Netskope Threat Labs : le nombre de téléchargements de données via des applications d’IA générative a été multipliés par 30 en un an ;
par ailleurs, trois quarts des utilisateurs d’entreprise accèdent à des applis qui intègrent des fonctions d’IA générative.
Faute de contrôles de sécurité des données appropriés, l’IA générative transforme à leur insu les employés en menaces internes.
Tribune – Netskope, un spécialiste dans les domaines de la connectivité et de la sécurité de nouvelle génération, annonce la publication d’une nouvelle étude selon laquelle le volume de données envoyées par les utilisateurs au sein des entreprises à des applications d’IA générative (genAI) a été multiplié par 30 au cours de l’année écoulée. Il s’agit notamment de données sensibles telles que des codes source, des données réglementées, des mots de passe, des clés ou des informations liées à la propriété intellectuelle, ce qui augmente de façon significative les risques de failles onéreuses, de violations de conformité et de vol de propriété intellectuelle. Le rapport souligne par ailleurs que l’IA fantôme constitue désormais le principal défi en matière de shadow IT, étant donné que 72 % des utilisateurs associent leurs comptes personnels aux applications d’IA générative employées dans le cadre de leur activité professionnelle.
Le rapport du Threat Labs de Netskope, 2025 Generative AI Cloud and Threat Report, détaille l’omniprésence de l’usage de l’IA générative au sein des entreprises. À l’heure de la rédaction de ce rapport, Netskope disposait d’une visibilité dans 317 applications d’IA générative dont ChatGPT, Google Gemini ou GitHub Copilot. Une analyse plus large menée à l’échelle des entreprises indique que 75 % des utilisateurs professionnels ont accès à des applications dotées de fonctions d’IA générative, ce qui soulève un problème plus important pour les équipes en charge de la sécurité, à savoir la menace interne involontaire.
« Malgré les sérieux efforts accomplis par les entreprises pour mettre en œuvre des outils d’IA générative gérés en interne, notre étude montre que le shadow IT a été remplacée par une IA fantôme, près de trois quarts des utilisateurs continuant d’accéder à des applications d’IA générative à partir de leurs comptes personnels, commente James Robinson, CISO de Netskope. Cette tendance continue, associée aux données qui sont partagées, souligne la nécessité de mettre en œuvre des moyens de sécurité des données avancés, pour permettre aux équipes en charge de la sécurité et de la gestion des risques de recouvrer gouvernance et visibilité, deux éléments indispensables, ainsi qu’une maîtrise acceptable de la manière dont l’IA générative est employée au sein de leur société. »
Réduire les risques liés à l’IA générative
Nombreuses sont les entreprises qui ne disposent pas d’une visibilité totale, ni même partielle, sur la manière dont leurs données sont traitées, stockées et exploitées dans le cadre d’un usage indirect de l’IA générative. Dans de nombreux cas, elles choisissent d’appliquer une règle conçue pour bloquer toute utilisation avant de procéder à des vérifications, autrement dit d’autoriser explicitement certaines applications et de bloquer toutes les autres. Cependant, les responsables de la sécurité doivent chercher à mettre en place une stratégie de validation sûre, dans la mesure où les employés entendent bénéficier des avantages qu’apportent ces outils sur le plan de l’efficacité et de la productivité.
« Les données les plus récentes montrent que l’IA générative n’est plus une technologie de niche, mais qu’elle est omniprésente, ajoute Ray Canzanese, Netskope Threat Labs Director. Elle s’intègre de façon croissante à tous les domaines, qu’il s’agisse d’applications dédiées ou d’intégrations de back-end. Une telle ubiquité représente un défi croissant pour la cybersécurité en exigeant des entreprises qu’elles adoptent une approche globale de la gestion des risques, sous peine de voir leurs données sensibles exposées à des tiers susceptibles de les exploiter pour entraîner de nouveaux modèles d’IA, créant ainsi des opportunités d’expositions de données encore plus vastes. »
L’année dernière, le Threat Labs de Netskope a également observé une augmentation significative du nombre d’entreprises qui exécutent une infrastructure d’IA générative en mode local, à savoir de moins de 1 % à 54 % — une tendance qui devrait se poursuivre. Bien qu’elle réduise les risques que des données indésirables soient exposées à des applications en cloud tierces, l’adoption d’une infrastructure locale induit de nouveaux périls pour la sécurité : chaînes d’approvisionnement, fuites de données, traitement inapproprié des sorties de données, injection d’invites, jailbreaks ou encore extraction de méta-invites. Résultat, de nombreuses entreprises ajoutent une infrastructure d’IA générative hébergée localement aux applications d’IA générative qu’elles utilisent déjà sur le cloud.
« L’IA ne se contente pas de remodeler la sécurité du périmètre et des plateformes : elle réécrit les règles, observe Ari Giguere, vice-president of Security and Intelligence Operations de Netskope. Alors que les cybercriminels conçoivent des menaces avec une précision générative, les défenses doivent l’être elles aussi et évoluer en temps réel pour contrer la course à l’innovation qui en découle. Pour combattre avec efficacité un adversaire humain créatif, un défenseur humain faisant preuve d’autant de créativité sera toujours nécessaire. Mais dans un champ de bataille piloté par l’IA, seule une sécurité qui s’appuie sur cette même technologie peut suivre le rythme. »
Qu’en pensent les RSSI ?
Face aux menaces induites par l’IA, nombre de cyberdéfenseurs humains se tournent vers les outils de sécurité déjà présents dans leur pile technologique. Près de 100 % des entreprises s’efforcent de réduire les risques liés à l’IA en appliquant des règles leur permettant de bloquer l’accès aux outils d’IA et/ou de contrôler les utilisateurs autorisés à accéder à des outils d’IA spécifiques et aux données qui peuvent être partagées avec ces outils.
Netskope recommande aux entreprises de revoir, d’adapter et de personnaliser leur cadre de risque spécifiquement pour l’IA ou l’IA générative en prenant les mesures appropriées pour protéger les données, les utilisateurs et les réseaux. Les étapes tactiques permettant de faire face aux risques liés à l’IA générative sont les suivantes :
- Évaluer le paysage d’IA générative : Il est primordial de savoir quelles sont les applications d’IA générative et l’infrastructure d’IA générative locale utilisées dans l’entreprise, mais également qui les utilise et comment ;
- Renforcer le contrôle des applications d’IA générative : examiner et comparer régulièrement les moyens de contrôle par rapport aux bonnes pratiques — par exemple en autorisant exclusivement les applications agréées et en bloquant celles non approuvées, en utilisant les techniques de prévention des pertes de données (DLP) pour empêcher le partage de données confidentielles avec des applications non autorisées, et en tirant parti du coaching des utilisateurs en temps réel ;
- Faire l’inventaire des moyens de contrôle locaux : si une entreprise exécute une infrastructure d’IA générative en mode local, elle doit se reporter aux cadres pertinents comme le Top 10 des applications LLM (Large Language Model) de l’OWASP (Open Web Application Security Project), le cadre de gestion des risques de l’IA du NIST (National Institute of Standards and Technology) et le référentiel Atlas MITRE en vue de garantir une protection optimale des données, des utilisateurs et des réseaux.
