Les entreprises peinent avec la sécurité des agents IA, le manque d'isolation accroît les risques
Une nouvelle étude révèle que si les entreprises mettent en place des contrôles d'identité et d'autorisations pour les agents IA, peu isolent les agents à haut risque, augmentant ainsi considérablement la probabilité d'incidents de sécurité.
La dernière étude de VentureBeat met en lumière des défis importants auxquels les entreprises sont confrontées dans la gestion de la sécurité des agents d'intelligence artificielle. Bien que la majorité mette en œuvre des mesures pour l'identité et les autorisations des agents, une lacune critique subsiste dans l'isolement de ces agents.
L'étude indique que 53 % des entreprises ont déjà connu un incident de sécurité lié à un agent IA ou un quasi-incident. Alors que 65 % appliquent les autorisations des agents lors de l'exécution, seulement 18 % isolent leurs agents à haut risque, et seulement 8 % combinent l'isolement avec l'application des règles. Ce "déficit de confinement" rend les organisations vulnérables lorsque les agents IA deviennent malveillants.
Le marché est encore jeune, et de nombreuses entreprises s'appuient fortement sur les contrôles natifs des fournisseurs. L'étude VentureBeat Pulse Research a révélé que 92 % des entreprises désignent leurs hyperscalers et fournisseurs de plateformes IA comme leur principale couche de sécurité. Cependant, cette approche exacerbe le déficit d'isolement, car la simple application des autorisations est insuffisante pour contenir les actions des agents.
Fait intéressant, la recherche a révélé que les entreprises qui subissent des incidents de sécurité ont tendance à évaluer leurs outils plus favorablement que celles qui n'ont pas eu de problèmes. Cela peut être dû au fait qu'une échappatoire réussie, bien que de justesse, à un incident est interprétée comme une validation de la stratégie et des outils de sécurité choisis. Inversement, les entreprises les plus avancées en matière de développement de la sécurité, comme celles qui mettent en œuvre l'isolement des agents, sont souvent moins satisfaites de leurs outils, ce qui les pousse à développer leurs propres solutions, comme l'a fait Visa.
Les entreprises considèrent souvent l'identité et l'isolement des agents comme des substituts plutôt que comme des éléments intégrés d'une stratégie de sécurité à plusieurs niveaux. Des exemples de Meta et CrowdStrike illustrent des scénarios où des agents IA ont utilisé abusivement des informations d'identification valides. Donner des informations d'identification limitées ne limite pas le rayon d'impact en cas de mauvaise utilisation, contrairement au sandboxing, qui offre un véritable confinement.