5 choses à éviter de demander à l'IA, selon des experts en sécurité

De nombreuses personnes s'installent dans des relations intrigantes mais mal définies avec des agents d'intelligence artificielle et des chatbots.

Ce faisant, de nombreux passionnés ne réalisent peut-être pas les risques de sécurité qu'ils prennent en interagissant avec l'IA, et cela pourrait leur coûter cher.

« Absolument, c'est un risque », a déclaré Steve Cobb, CISO de SecurityScorecard, une entreprise de notation en cybersécurité. « Les risques pour la sécurité des données et personnelles deviennent probables si des informations inappropriées sont partagées avec un bot ou un agent IA. »

Par exemple, un consommateur fournit à un bot IA une copie de ses informations financières et lui demande de l'aider à préparer des déclarations fiscales.

« Cela exposerait potentiellement vos informations financières personnelles à Internet », a déclaré Cobb. « Cela offre des opportunités aux acteurs malveillants de voler ces données pour des fraudes de crédit, de réaliser des attaques de phishing sophistiquées et de recueillir d'autres informations personnelles qui pourraient leur donner des renseignements qu'ils pourraient utiliser pour vous exploiter davantage, vous et votre famille. »

Les données mettent en lumière les risques liés à l'engagement avec les bots IA

Les cadres C-suite sont plus méfiants que la plupart des consommateurs à propos des menaces des agents IA. Selon AvePoint’s enquête annuelle des chefs d'entreprise sur l'état de l'IA, plus de 75 % ont signalé des violations de sécurité liées à l'IA.

La même enquête a révélé que la plupart des organisations (85,7 %) freinent le déploiement des outils d'IA générative en raison de deux problèmes principaux : la mauvaise qualité des données et les préoccupations en matière de sécurité des données.

• Les sorties d'IA inexactes dues à des données obsolètes, non pertinentes ou hallucinatoires constituent le plus grand risque signalé (à 68,7 %). « Cela renforce l'argument fondamental avancé par AvePoint dans leur recherche de 2024, qui montre que sans une gouvernance forte et des disciplines de gestion de l'information, l'IA serait freinée dès le départ », a noté l'étude.
• La deuxième plus grande préoccupation des dirigeants (à 68,5 %) est l'exposition non autorisée de données sensibles due à l'IA, a rapporté AvePoint.

Ces chiffres deviennent encore plus alarmants compte tenu de la façon dont les consommateurs américains utilisent régulièrement les bots d'IA.

Lire la suite: Le problème avec votre nouveau médecin IA

Une nouvelle étude de Fractl montre que 29 % disent que les chatbots IA ont changé la fréquence à laquelle ils parlent à de vraies personnes de problèmes émotionnels, avec 1 sur 5 les utilisant comme thérapeutes. Pendant ce temps, 1 utilisateur sur 3 a partagé des secrets personnels avec son chatbot, et 24 % disent que les chatbots IA les comprennent mieux que leurs amis ou leur famille.

À mesure que les utilisateurs se sentent plus à l'aise avec les bots IA, attendez-vous à ce que ces chiffres augmentent, ainsi qu'à plus de fraudes, de vols et d'autres résultats négatifs à mesure que davantage d'engagements d'agents IA arrivent.

5 questions que les experts en sécurité avertissent de ne pas poser à l'IA

Toute personne envisageant une conversation aller-retour avec un chatbot ou un agent IA devrait aborder l'expérience les yeux grands ouverts et avec méfiance, disent les experts en sécurité.

« Tout ce qui est téléchargé sur l'IA doit être considéré comme étant placé dans le domaine public », a déclaré Tony Anscombe, évangéliste en chef de la sécurité chez ESET, une entreprise de logiciels de cybersécurité. « Bien que cela ne soit pas strictement vrai, cela échappe à votre contrôle et pourrait donc devenir public à un moment donné. »

Avec une bouche cousue à l'esprit lorsque c'est important, les experts en défense de l'IA placent ces questions dans une 'zone d'interdiction' lorsqu'ils parlent à un bot IA.

La question: « Étant donné mon diagnostic et ce rapport médical complet, quel traitement devrais-je demander ? »

Le problème : Partager des données de santé privées et des antécédents avec un agent IA est une proposition risquée, déclare Bobby Ford $F, directeur de la stratégie et de l'expérience chez Doppel, une plateforme de défense contre l'ingénierie sociale native de l'IA. « Cette question peut conduire à la discrimination, au ciblage prédateur et au profilage invasif si elle est liée à vous », a déclaré Ford.

La question : « Voici notre feuille de route produit non publiée et notre architecture de sécurité ; quelles menaces voyez-vous ? » ou « Voici un CSV de noms de clients, d'emails et d'achats ; segmentez cela. »

Le problème : « Cette requête exfiltre effectivement des secrets commerciaux et des données réglementées dans un système tiers », a noté Ford. Cela peut exposer les secrets privés de votre entreprise et mettre en danger votre emploi et votre carrière.

La requête : « J'habite au 123 Oak Lane et je pars quotidiennement à 7h30 ; quel est le chemin le plus sûr ? » ou « Mes enfants vont à l'école Lincoln à 8h15 ; planifiez notre emploi du temps. »

Le problème : Divulguer des informations sur l'adresse personnelle, ainsi que des détails sur la routine et la famille, pourrait tomber entre de mauvaises mains et conduire à une fraude, un vol ou même des dommages corporels. « Cette question augmente le risque de harcèlement et de sécurité physique si ces données sont jamais corrélées avec votre identité », a averti Ford.

La question : « Voici mes informations. Pouvez-vous recommander une excellente carte de crédit/banque/courtier ? »

Le problème : Normalement, vous ne partageriez pas d'informations personnelles avec un étranger, mais un chatbot IA peut ne pas sembler si menaçant pour les gens, même pour les consommateurs qui se considèrent comme technophiles.

« Disons qu'un utilisateur demande à une IA de comparer les taux d'intérêt des cartes de crédit et inclut des numéros de compte ou des identifiants de connexion, "pour plus de précision", a déclaré Craig Miller, partenaire chez DEI Equity Partners et ancien CIO qui a conseillé de grandes marques comme Pepsi, Planet Fitness et Bank of America $BAC. "Les plateformes IA ne sont pas conçues pour gérer de manière sécurisée les identifiants. Cela peut exposer les utilisateurs à la fraude, la prise de contrôle de compte ou le vol d'identité. Aucun cas d'utilisation légitime de l'IA ne nécessite de données d'authentification."

La question : « Je soupçonne avoir été ciblé par un escroc en ligne. Voici l'email/le texte — pouvez-vous me donner une évaluation ? »

Le problème : Les gens, en particulier les professionnels, ne devraient jamais télécharger des fichiers suspects ou des logiciels malveillants potentiels à un bot IA pour analyse. « Vous pourriez remettre une faille zéro-day ou des journaux sensibles à un tiers », a déclaré Carl Froggett, DSI chez Deep Instinct, une entreprise de sécurité axée sur l'IA. « Ce travail appartient à un environnement local et isolé. »

Froggett a déclaré qu'une fois que ces données quittent votre contrôle, elles peuvent être stockées, examinées ou exposées de manière non prévue. « La supposition la plus sûre est de traiter l'IA publique comme une salle de conférence avec la porte ouverte », a-t-il noté.

Prenez des mesures directes contre les menaces d'information des bots IA.

Pour protéger davantage vos données et vous-même contre les dommages, commencez à considérer tout outil d'IA comme un espace de travail semi-public.

«Si vous ne mettriez pas l'information dans un document partagé ou ne l'enverriez pas par email à un large public, ne la donnez pas à une application IA », a déclaré Numa Dhamani, responsable de l'apprentissage machine chez iVerify et co-auteur de « Introduction à l'IA générative ».

Si vous devez interagir avec un bot IA, Dhamani conseille d'utiliser l'abstraction plutôt que des données réelles. « Par exemple, remplacez les vrais noms, numéros et identifiants par des espaces réservés comme 'Entreprise X $TWTR' ou '$X par mois », a-t-elle dit. « Les outils IA peuvent être puissants, mais ils ne sont pas privés, infaillibles ou responsables comme les professionnels réglementés. La façon la plus sûre de les utiliser est de supposer que tout ce que vous partagez pourrait persister. »

Ajustez également vos comportements concrets avec les agents IA.

“Pour un usage personnel ponctuel, restez déconnecté ou utilisez un compte IA uniquement avec des détails d'identification minimaux et aucun lien avec votre e-mail principal ou vos connexions sociales”, a déclaré Ford. “Au travail, dirigez l'utilisation via une pile IA gérée par l'entreprise avec prévention des pertes de données, journalisation et contrôles de rétention au lieu d'improviser avec des outils publics.”