Tous les regards sont tournés vers la cyberdéfense alors que les élections entrent dans l’ère de l’IA générative

Les humains sont plus faciles à pirater que les systèmes informatiques, et les acteurs errants utiliseront l’IA générative pour exploiter cette opportunité.

Alors que les pays se préparent à organiser des élections majeures dans une nouvelle ère marquée par l’intelligence artificielle (IA) générative, les humains seront des cibles privilégiées des hacktivistes et des acteurs étatiques.

L’IA générative n’a peut-être pas modifié la façon dont le contenu se diffuse, mais elle a accéléré son volume et affecté sa précision.

Selon Allie Mellen, analyste principale chez Forrester Research, la technologie a aidé les acteurs malveillants à générer de meilleurs e-mails de phishing à grande échelle pour accéder aux informations sur un candidat ou une élection ciblée. Les recherches de Mellen couvrent les opérations de sécurité et les menaces des États-nations ainsi que l'utilisation de l'apprentissage automatique et de l'IA dans les outils de sécurité. Son équipe suit de près l’ampleur de la désinformation et de la désinformation en 2024.

Mellen a souligné le rôle que jouent les sociétés de médias sociaux dans la protection contre la propagation de la désinformation et de la désinformation afin d'éviter une répétition des élections américaines de 2016.

Près de 79 % des électeurs américains se sont déclarés préoccupés par l'utilisation de contenus générés par l'IA pour usurper l'identité d'un candidat politique ou créer du contenu frauduleux, selon une étude récente publiée par Yubico et Defending Digital Campaigns. 43 % d'entre eux estiment qu'un tel contenu nuirait aux résultats des élections de cette année. Menée par OnePoll, l'enquête a interrogé 2 000 électeurs inscrits aux États-Unis pour évaluer l'impact de la cybersécurité et de l'IA sur la campagne électorale de 2024.

Les personnes interrogées ont reçu un clip audio enregistré à l'aide d'une voix d'IA, et 41 % ont déclaré qu'elles pensaient que la voix était humaine. Quelque 52 % ont également reçu un e-mail ou un SMS qui semble provenir d’une campagne, mais qu’ils soupçonnent être une tentative de phishing.

"Les élections de cette année sont particulièrement risquées en termes de cyberattaques dirigées contre les candidats, les membres du personnel et toute personne associée à une campagne", a déclaré Michael Kaiser, président-directeur général de Defending Digital Campaigns, dans un communiqué de presse. "Mettre en place une cybersécurité adéquate n'est pas une option. C'est essentiel pour quiconque mène une opération politique. Autrement, les campagnes risquent non seulement de perdre des données précieuses, mais aussi des électeurs."

Notant que les campagnes reposent sur la confiance, David Treece, vice-président de l'architecture des solutions chez Yubico, a ajouté dans le communiqué que des piratages potentiels, tels que des e-mails frauduleux ou des deepfakes sur les réseaux sociaux qui interagissent directement avec leur public, peuvent affecter les campagnes. Treece a exhorté les candidats à prendre les mesures appropriées pour protéger leurs campagnes et à adopter des pratiques de cybersécurité afin d'instaurer la confiance des électeurs.

Une sensibilisation accrue du public aux faux contenus est également essentielle puisque l’humain est la dernière ligne de défense, a déclaré Mellen à ZDNET.

Elle a en outre souligné la nécessité pour les entreprises technologiques d'être conscientes que la sécurisation des élections n'est pas simplement une question de gouvernement, mais un défi national plus large que chaque organisation du secteur doit prendre en compte.

Avant tout, la gouvernance est essentielle, a-t-elle déclaré. Toutes les attaques de deepfake ou d'ingénierie sociale ne peuvent pas être correctement identifiées, mais leur impact peut être atténué par l'organisation grâce à un contrôle et des processus appropriés pour empêcher un employé d'envoyer de l'argent à une source externe.

"En fin de compte, il s'agit de s'attaquer à la source du problème plutôt qu'à ses symptômes", a déclaré Mellen. "Nous devrions nous préoccuper avant tout d'établir une gouvernance appropriée et des [niveaux de] validation pour garantir la légitimité des transactions."

Dans le même temps, elle a déclaré que nous devrions continuer à améliorer nos capacités de détection des deepfakes et des contenus frauduleux génératifs alimentés par l’IA.

Les attaquants qui exploitent les technologies d’IA générative sont pour la plupart des acteurs étatiques, tandis que d’autres s’en tiennent principalement à des techniques d’attaque qui fonctionnent déjà. Elle a déclaré que les acteurs de la menace étatique sont plus motivés à étendre leurs attaques et souhaitent aller de l'avant avec de nouvelles technologies et de nouveaux moyens d'accéder à des systèmes auxquels ils n'auraient pas pu accéder autrement. Si ces acteurs parviennent à propager la désinformation, cela peut éroder la confiance du public et déchirer les sociétés de l’intérieur, a-t-elle averti.

L'IA générative pour exploiter la faiblesse humaine

Nathan Wenzler, stratège en chef de la sécurité de la société de cybersécurité Tenable, s'est dit d'accord avec ce sentiment, avertissant que les acteurs étatiques vont probablement intensifier leurs efforts pour abuser de la confiance par la désinformation et la désinformation.

Bien que son équipe n'ait pas remarqué de nouveaux types de menaces de sécurité cette année avec l'émergence de l'IA générative, Wenzler a déclaré que la technologie avait permis aux attaquants de gagner en ampleur et en portée.

Cette capacité permet aux acteurs étatiques d'exploiter la confiance aveugle du public dans ce qu'il voit en ligne et sa volonté de l'accepter comme un fait, et ils utiliseront l'IA générative pour diffuser du contenu qui répond à leurs objectifs, a déclaré Wenzler à ZDNET.

La capacité de la technologie de l'IA à générer des courriels de phishing et des deepfakes convaincants a également fait de l'ingénierie sociale un catalyseur viable pour lancer des attaques, a déclaré Wenzler.

Les outils de cyberdéfense sont devenus très efficaces pour combler les faiblesses techniques, ce qui rend plus difficile la compromission des systèmes informatiques. Il a déclaré que les adversaires de la menace en sont conscients et choisissent une cible plus facile.

« À mesure que la technologie devient plus difficile à briser, les humains [se révèlent] plus faciles à briser et GenAI est une autre étape [pour aider les pirates informatiques] dans ce processus », a-t-il noté. "Cela rendra les [attaques] d'ingénierie sociale plus efficaces et permettra aux attaquants de générer du contenu plus rapidement et d'être plus efficaces, avec un bon taux de réussite."

Si les cybercriminels envoient 10 millions de messages électroniques de phishing, même une amélioration de seulement 1 % dans la création de contenu plus efficace pour convaincre leurs cibles de cliquer donne un résultat de 100 000 victimes supplémentaires, a-t-il déclaré.

"Il s'agit de vitesse et d'échelle. GenAI va être un outil majeur permettant à ces groupes de créer des attaques d'ingénierie sociale", a-t-il ajouté.

Dans quelle mesure les gouvernements devraient-ils se préoccuper des risques génératifs liés à l’IA ?

"Ils devraient être très inquiets", a déclaré Wenzler. "Cela revient à une attaque contre la confiance. Cela joue vraiment sur la psychologie humaine. Les gens veulent faire confiance à ce qu'ils voient et ils veulent se croire les uns les autres. Du point de vue de la société, nous ne faisons pas un assez bon travail en remettant en question ce que nous voyons. et être vigilant. Et cela devient de plus en plus difficile maintenant avec GenAI, les Deepfakes deviennent incroyablement bons.

"Vous voulez créer un scepticisme sain, mais nous n'en sommes pas encore là", a-t-il déclaré, soulignant qu'il serait difficile d'y remédier après coup puisque le mal est déjà fait et que des poches de la population auraient cru à tort à ce qu'elles avaient fait. vu depuis un certain temps.

À terme, les sociétés de sécurité créeront des outils, tels que la détection des deepfakes, qui pourront relever efficacement ce défi dans le cadre d'une infrastructure de défense automatisée, a-t-il ajouté.

Les grands modèles de langage doivent être protégés

Les organisations doivent également être attentives aux données utilisées pour former les modèles d’IA.

Mellen a déclaré que les données de formation dans les grands modèles de langage (LLM) devraient être vérifiées et protégées contre les attaques malveillantes, telles que l'empoisonnement des données. Les modèles d’IA corrompus peuvent générer de faux résultats.

Sergy Shykevich, responsable du groupe de renseignement sur les menaces de Check Point Software, a également souligné les risques liés aux LLM, notamment les modèles d'IA plus importants destinés à prendre en charge les principales plates-formes, telles que ChatGPT d'OpenAI et Gemini de Google.

Les acteurs des États-nations peuvent cibler ces modèles pour accéder aux moteurs et manipuler les réponses générées par les plateformes d’IA générative, a déclaré Shykevich à ZDNET. Ils peuvent alors influencer l’opinion publique et potentiellement changer le cours des élections.

En l’absence de toute réglementation régissant la manière dont les LLM doivent être sécurisés, il a souligné la nécessité de transparence de la part des entreprises exploitant ces plateformes.

L'IA générative étant relativement nouvelle, il peut également être difficile pour les administrateurs de gérer de tels systèmes et de comprendre pourquoi ou comment les réponses sont générées, a déclaré Mellen.

Wenzler a noté que les organisations peuvent atténuer les risques en utilisant des LLM plus petits, plus ciblés et spécialement conçus pour gérer et protéger les données utilisées pour former leurs applications d'IA générative.

Bien qu’il y ait des avantages à ingérer des ensembles de données plus volumineux, il recommande aux entreprises d’examiner leur appétit pour le risque et de trouver le bon équilibre.

Wenzler a exhorté les gouvernements à agir plus rapidement et à établir les mandats et les règles nécessaires pour faire face aux risques liés à l'IA générative. Ces règles fourniront des orientations pour guider les organisations dans leur adoption et leur déploiement d'applications d'IA générative, a-t-il déclaré.