Les banques n'ont que quelques minutes, et non quelques semaines, pour corriger leurs failles alors que l'IA accélère les cyberattaques, selon la BRI

L'IA avancée laisse aux banques moins de temps pour corriger les failles logicielles avant que les attaquants ne les exploitent, selon un nouveau document publié par la Banque des règlements internationaux.

Le document de l'Institut de la stabilité financière, publié mercredi, s'ajoute aux avertissements récents des développeurs d'IA et des régulateurs financiers selon lesquels des modèles de plus en plus capables accélèrent les cyberattaques. Le nouveau rapport se concentre sur la capacité des banques à réagir, les auteurs soutenant que les institutions doivent accélérer à la fois les réparations logicielles et les décisions nécessaires pour les autoriser.

« Le développement le plus significatif apporté par l’IA de pointe est la découverte et l’exploitation autonomes de vulnérabilités », ont écrit les auteurs, avertissant que les évaluations de sécurité périodiques et les correctifs planifiés sont de plus en plus insuffisants. « La fenêtre entre la découverte d’une vulnérabilité et son exploitation s’est réduite de plusieurs semaines à quelques minutes. »

L’article cite une revue de la Financial Conduct Authority britannique concluant que la découverte de vulnérabilités dépasse la capacité des entreprises à réagir, ainsi que les recommandations de l’Institute of International Finance appelant à des correctifs plus rapides — même en dehors des fenêtres de maintenance planifiées — et à une plus grande acceptation des temps d’arrêt planifiés.

Des recommandations volontaires distinctes du Cross Market Operational Resilience Group du Royaume-Uni prévoient que les délais de réparation passeront de plusieurs semaines à quelques jours et, dans certains cas, à quelques heures, selon l’article.

Bien que les délais mentionnés dans le rapport soient volontaires, les régulateurs poussent les banques à agir plus rapidement : le BaFin allemand a appelé à des correctifs plus rapides, tandis que l’autorité monétaire de Hong Kong a exhorté à une réponse et à un rétablissement plus robustes en cas de violation, selon l’article.

« Par exemple, l’Autorité monétaire de Hong Kong a encouragé les institutions à intégrer des scénarios cybernétiques pilotés par l’IA dans les programmes de résilience opérationnelle et à renforcer les capacités de réponse aux incidents et de rétablissement, reconnaissant que les scénarios de « violation » pourraient devenir plus probables à mesure que le paysage des cybermenaces continue d’évoluer », indique le rapport. « De même, le programme de tests de résistance à la cyberrésilience de la [Banque centrale européenne] et la mise en œuvre du règlement sur la résilience opérationnelle numérique mettent l’accent sur la capacité des institutions non seulement à résister aux cyberattaques, mais aussi à continuer à fournir des services critiques tout au long de perturbations opérationnelles graves. »

BitcoinBTC · USD

$77,078−5.14%

Sep 3Sep 5Sep 7Sep 9Sep 10

$81.8k$80.1k$78.5k$76.9k

24h HighHigh$78,774

24h LowLow$76,748

VolVol$1.2B

Market projectionsOdds by Myriad

Aujourd'hui$76,000 to $78,000$76k–$78k52% chanceCette semaineBelow $78,000Below $78k66% chance

Price data by CoinGeckoCoinGeckoMore Bitcoin news and projections →

L'avertissement fait suite à un appel d'août en faveur de défenses cybernétiques renforcées soutenu par OpenAI, Anthropic et plus de 100 autres organisations. Les signataires ont recommandé des contrôles d'accès plus stricts, le partage des menaces et une surveillance plus étroite des agents d'IA.

Le document de la BRI examine l'intrusion de Hugging Face impliquant des modèles OpenAI comme une preuve préliminaire que les capacités démontrées lors de tests peuvent se traduire par des attaques contre des systèmes réels. OpenAI a ensuite décrit comment ses agents se sont coordonnés pendant l'opération.

Bien que les auteurs avertissent que les protections habituelles avaient été assouplies et que des ressources informatiques substantielles avaient été fournies, ils affirment que l'incident ne reflète pas directement les risques posés par les outils d'IA accessibles au public.

« L'incident d'OpenAI n'indique pas que les modèles d'IA de pointe peuvent développer des objectifs malveillants par eux-mêmes. Néanmoins, ils peuvent poursuivre une tâche étroitement définie avec des conséquences involontaires et préjudiciables », ont-ils écrit. « L'importance de ce développement pour la cyber-résilience réside dans la combinaison d'un modèle performant avec un système logiciel environnant qui lui permet de planifier, d'utiliser des outils et d'agir de manière autonome. »