theCUBE définit la découverte de données comme première défense de l'IA

Contexte et enjeux

Lors du deuxième jour du AI Cybersecurity and Resilience Summit, Jon Oltsik, analyste principal chez SiliconANGLE et theCUBE, a souligné que la data discovery et la classification sont désormais des exigences opérationnelles pour les organisations qui intègrent l’IA. Il a rappelé que les équipes de sécurité doivent connaître l’ensemble des informations accessibles aux systèmes d’IA et maîtriser les mécanismes de gouvernance associés. Selon lui, « une politique reste une politique », mais la mise en œuvre de contrôles d’application devient rapidement complexe lorsqu’on passe du papier à l’automatisation.

Mécanismes de découverte et classification

Oltsik et Krista Case ont indiqué que la première ligne de défense repose sur une hygiène des données rigoureuse : identification des actifs, classification selon leur sensibilité, puis intégration dans les processus d’identity and access management (IAM). Ils ont recommandé d’auditer les comptes aux privilèges excessifs, y compris ceux détenus par les agents d’IA, afin de limiter les vecteurs d’accès non autorisés. Cette approche s’appuie sur les pratiques traditionnelles de contrôle d’accès, mais elle doit être adaptée aux flux de données générés en temps réel par les modèles d’apprentissage.

Contrôles d’accès et conformité

Le modèle de contrôle d’accès basé sur les rôles (RBAC) et le principe du moindre privilège, historiquement appliqués aux données réglementées, sont cités comme points de départ. Oltsik a précisé que « nous devons les ajuster à un monde très dynamique et non déterministe de l’IA », où la vitesse de création de nouveaux agents dépasse souvent les cycles de gouvernance. Il a également mentionné la draft guidance de la Commission européenne sur la classification des systèmes d’IA à haut risque dans le cadre du EU AI Act. Cette directive impose une surveillance humaine pour les agents manipulant des données sensibles ou opérant de façon autonome, rappelant les exigences des premiers systèmes de prévention d’intrusion.

Limites et perspectives

Oltsik a insisté sur la nécessité d’impliquer les équipes de sécurité dans les décisions d’adoption de l’IA, afin d’éviter une posture de « Dr No ». Il a souligné que le niveau d’autonomie accordé aux agents dépend du seuil de tolérance au risque propre à chaque organisation. Le sommet a été suivi par plus de 15 millions de spectateurs sur la plateforme theCUBE, avec une communauté de plus de 11 400 alumni, ce qui montre l’intérêt croissant pour ces problématiques. Toutefois, l’interview ne fournit pas de métriques précises sur l’efficacité des contrôles proposés, limitant ainsi l’évaluation quantitative de leur impact.