Une atténuation proactive des risques liés à l'IA agentique

ChatGPT a introduit l’intelligence artificielle générative (IA générative) comme outil expérimental pour générer du texte conversationnel, ce qui a suffi à attirer l’attention du monde entier et à stimuler les investissements des entreprises. Aujourd'hui, cette technologie émergente évolue vers une étape supérieure avec l’IA agentique, un système plus puissant qui peut non seulement analyser et générer du contenu, mais prendre des mesures sans intervention humaine. Les entreprises adoptent déjà ce nouvel outil d’automatisation. 

Mais comme l'IA passe d'un rôle d'augmentation des décisions humaines à un rôle de prise de décisions autonomes, les entreprises doivent tenir compte des risques de sécurité liés à l'octroi de cette nouvelle capacité agentique à l'IA. 

Selon le rapport Naviguer dans le parcours de l'IA générative et de la cybersécurité : des dangers jusqu'aux profits de Bell, près de la moitié des entreprises interrogées intègrent déjà l’IA générative dans des fonctions commerciales spécifiques. Les services informatiques, le soutient à la clientèle et la sécurité ouvrent la voie. Pourtant, 60 % des entreprises admettent ne pas savoir où sont stockées la plupart de leurs données sensibles. Cela les expose au risque que l’IA accède à leurs données sensibles, même lorsque ce n’est pas prévu. Bien que cela soit une préoccupation pour les fonctions d’IA générative, le risque augmente considérablement lorsqu’il s’agit d’IA agentique autonome. 

Le risque est clair : des agents d’IA agentiques pourraient accéder à des données sensibles et prendre des mesures à leur sujet sans que l’entreprise en soit consciente. Les personnes interrogées indiquent également qu’elles ne sont pas convaincues que l’IA prendra les bonnes décisions. Nous sommes conscients que l’IA peut « halluciner » ou commettre des erreurs dans ses résultats. Cela pourrait également entraîner la prise de mesures incorrectes, et les entreprises classent ​​​​​​l’IA comme le troisième risque global le plus élevé. Elle arrive en deuxième position après les vulnérabilités de sécurité et les violations de la vie privée. Pourtant, la plupart des professionnels déclarent que leurs entreprises sont prêtes à accepter le risque que l’IA fasse quelque chose qu’elle ne devrait pas faire.  

En permettant à l'IA de prendre des mesures dans différentes fonctions commerciales, les entreprises ouvrent-elles la voie à toute une série de nouveaux risques? 

L’IA autonome 

Notre étude a révélé que les entreprises ne se contentent pas d’expérimenter l’IA générative et l’IA agentique ; plusieurs laissent déjà cette technologie prendre des mesures concrètes dans des fonctions commerciales critiques, et d’autres prévoient le faire dans un avenir proche. 

• • • Dans le domaine des TI, 47 % des entreprises autorisent déjà l’IA générative à accéder aux applications et aux données pour effectuer des tâches. 38 % d’entre elles déclarent la tester, tandis que 11 % déclarent ne pas encore l’utiliser, mais envisagent de le faire à l’avenir. 
    • Dans le service à la clientèle, 41 % des entreprises déclarent que l’IA répond déjà aux demandes des clients. 41 % sont au stade de la mise à l’essai, tandis que 14 % envisagent de l’utiliser à l’avenir. 
    • En cybersécurité, 41 % utilisent déjà des agents d’IA, 40 % sont en phase pilote et 15 % supplémentaires envisagent leur utilisation future.  

Les impacts ne se limitent pas à ces domaines. Des services financiers au marketing en passant par les RH, de nombreuses entreprises déclarent qu’elles permettent à l’IA d’effectuer des tâches qui auraient été auparavant réalisées par un humain. Cela soulève des questions importantes : quel niveau de risque les entreprises prennent-elles avec ce nouveau niveau d’automatisation ? Et quel niveau de risque devraient-elles être prêtes à tolérer? 

Dans quelle mesure les entreprises peuvent-elles faire confiance à l'IA ? 

Donner à l'IA la capacité d'agir de manière autonome signifie lui accorder des autorisations système qui seraient normalement réservées aux employés humains. Mais l'IA comprend-elle quand elle doit agir et, plus important encore, quand elle ne le doit pas ? Une entreprise pourrait-elle détecter si un acteur malveillant a empoisonné un modèle d'IA qui est essentiel à sa sécurité ? 

Imaginez un agent d'IA chargé de détecter et de bloquer les cybermenaces. S'il isole par erreur un serveur critique, cela pourrait perturber les opérations légitimes. Si un agent d'IA du service à la clientèle traite automatiquement des demandes de remboursement frauduleuses, l'entreprise subira des pertes financières. Les agents d'IA prenant des mesures aujourd'hui, ces types de risques ne sont pas seulement théoriques ; ils sont réels et doivent être atténués. 

Notre étude a révélé que, si la plupart des entreprises intègrent activement l’IA générative dans leurs flux de travail, seulement 40 % déclarent ​​​​​​avoir une bonne maîtrise de l’endroit où leurs données sensibles sont stockées. Cela ouvre toute une série de préoccupations concernant les personnes susceptibles d’avoir accès à ces données sensibles non surveillées, et ce qu’elles pourraient en faire. L’IA agentique introduit un autre risque supplémentaire, à savoir que les agents pourraient prendre des mesures incorrectes avec ces données sensibles – une proposition effrayante. 

L’IA agentique expose de nouveaux vecteurs de menace auxquels les entreprises doivent répondre : 

• • • Des risques d'accès non autorisés : Les systèmes d’IA dotés de privilèges administratifs représentent une cible de grande valeur pour les cybercriminels. Un agent d’IA compromis pourrait être exploité pour manipuler des données, approuver des transactions non autorisées ou désactiver les contrôles de sécurité. 
    • Des erreurs de prise de décision : L’IA ne fait pas toujours les bons choix. Sans examen humain, elle pourrait appliquer incorrectement les politiques de sécurité, refuser des demandes d’accès légitimes ou mal classer les menaces. 
    • Une exposition des données et risques de conformité : Si des agents d’IA accèdent à des données sensibles et les exposent, les entreprises pourraient être tenues responsables de violations de la conformité liées aux engagements en matière de sécurité et de confidentialité. 

Comment exploiter en toute sécurité les avantages de l'IA agentique 

Alors, comment les entreprises peuvent-elles trouver le juste équilibre entre l'atténuation des risques et la récolte des avantages des agents d'IA ? 

Notre étude met en évidence plusieurs pratiques exemplaires essentielles : 

• • • Limiter les privilèges du système d'IA : L’IA doit avoir les privilèges les plus restreints possibles pour l’accès aux données. Au lieu de droits d'administration complets, les entreprises doivent appliquer des contrôles d’accès basés sur les rôles pour empêcher l’IA d’exécuter des actions non souhaitées. 
    • Surveiller et auditer les décisions de l’IA : Les entreprises doivent mettre en œuvre une surveillance continue pour suivre les actions de l’IA, signaler les anomalies et assurer une supervision humaine si nécessaire. Enregistrez les activités de l’IA pour détecter les moments où elle déraille. 
    • Sécuriser les modèles d'IA contre la manipulation : Les entreprises ont besoin de garde-fous stricts, y compris la validation des entrées pour empêcher les agents d'IA d'être exploités par le biais d'attaques par injection d'invite. 

Les agents d'IA peuvent être utilisés en toute sécurité si les entreprises adoptent une approche responsable et mettent en place un cadre de gouvernance approprié pour atténuer les risques. 

Êtes-vous prêt pour l'IA agentique? 

Notre étude montre que le passage à l'IA agentique est en bonne voie. Les entreprises voient le potentiel, et beaucoup d'entre elles vont de l'avant malgré les risques. Mais elles doivent procéder avec une gouvernance suffisante en place, tout en comblant les failles de sécurité avant que l'autonomie de l'IA ne s'accroisse encore davantage. 

Votre entreprise est-elle prête pour les agents d'IA ? La réponse dépend de la mise en place de mesures de cybersécurité appropriées pour aujourd'hui et demain. 

Téléchargez le rapport complet de Bell sur la cybersécurité pour apprendre comment les entreprises sécurisent l’automatisation pilotée par l’IA.