L’IA agentique bouleverse la cybersécurité Zero Trust

TAMPA — Ces dernières années, le concept de cybersécurité Zero Trust, dans lequel les utilisateurs et les appareils sont soumis à plusieurs niveaux d’authentification, était considéré comme la réponse finale à la protection des données et de la propriété intellectuelle.

Mais aujourd’hui, l’intelligence artificielle (IA) et en particulier l’IA agentique – où les robots parcourent les réseaux parfois avec leur propre esprit pour accomplir les tâches qui leur sont assignées – obligent le ministère de la Défense et la communauté du renseignement (IC) à repenser la manière dont ils mettent en œuvre le Zero Trust au niveau de l’entreprise, selon le directeur de l’information de l’IC.

L’IA agentique étant conçue pour fonctionner de manière autonome, elle peut avoir besoin d’un large accès aux données, aux outils et aux systèmes, ce qui rend l’identité et les autorisations contrôlées avec précision de plus en plus importantes pour la stratégie Zero Trust du gouvernement.

« Si les utilisateurs et les appareils doivent demander, stocker et manipuler des données de processus, les agents d’IA le feront également », a déclaré Douglas Cossa, directeur de l’information d’IC, s’exprimant lundi lors de la conférence DoDIIS de la Defense Intelligence Agency. « Le défi auquel nous sommes confrontés est que ce nouveau domaine de l’IA a complètement bouleversé ZeroTrust, où nous sommes passés d’un modèle d’accès le moins privilégié ou d’absence d’accès à un modèle et à un agent (d’IA) tout ce dont ils ont besoin pour fonctionner de manière indépendante. Ce sont deux choses différentes, et la seule façon pour nous d’y parvenir est de commencer avec un système d’identité commun. « 

Comment l’entreprise établit-elle et contrôle-t-elle l’identité d’un utilisateur non humain comme un robot autonome ?

Cossa a déclaré que le gouvernement ne dispose pas actuellement d’un système d’identité unifié entre les agences pour une telle tâche. L’exigence émergente concerne essentiellement un acte de naissance numérique, non seulement pour les personnes et les appareils, mais également pour les agents d’IA capables de demander, stocker, manipuler et traiter des informations. Cette identité devient le fondement de la détermination de ce que les agents autonomes sont autorisés à faire.

Dans cette direction, le bureau IC CIO a investi dans le développement d’un service d’entreprise pour la gestion des identités, avec des plans pour commencer à piloter et à tester des outils dans des environnements opérationnels cet automne alors que l’IC se dirige vers l’exercice 2027, selon Cossa.

Un deuxième élément du défi est l’application des politiques en contrôlant les informations que les personnes, les appareils et les agents d’IA peuvent atteindre tout en garantissant que les données peuvent être transmises rapidement aux utilisateurs et fonctions autorisés.

« Nous avons tendance à considérer la cybersécurité comme une friction empêchant une fonction de se produire », a déclaré Cossa. « En réalité, si nous appliquons le Zero Trust tel que nous l’avons défini, c’est-à-dire en réduisant votre identité et en définissant des droits précis pour transmettre les données exactement aux fonctions qui en ont besoin, cela devient un outil clé de la mission.

« Pour nous, le Zero Trust a été redéfini comme l’application d’identités et de politiques d’attributs précis », a-t-il déclaré. « C’est ainsi que nous définissons Zero Trust dans la communauté du renseignement. Et ce sera l’un de nos nouveaux services d’intérêt commun cette année. »

L’IA pour la cybersécurité dans les opérations spéciales

Cependant, l’IC ne relève pas seule le défi de l’IA agentique. Cette même évolution vers l’automatisation Zero Trust change également la façon dont le commandement des opérations spéciales envisage la défense de ses réseaux.

L’amiral Frank Bradley, commandant du commandement des opérations spéciales des États-Unis, a déclaré que les futures cyberdéfenses ne peuvent pas dépendre de l’examen manuel des journaux ou de la reconfiguration des décisions de confiance pendant une crise. SOCOM souhaite plutôt des réseaux capables de détecter rapidement les compromissions, d’intégrer des contextes tels que l’état, l’emplacement et le comportement des appareils dans les décisions d’accès, et de répondre de plus en plus automatiquement.

« Nous devons savoir que nous avons été compromis en quelques minutes et non en mois, en travaillant sur des systèmes capables de se défendre automatiquement – ​​une défense agent contre une attaque agent », a-t-il déclaré.

Même si ces défenses s’améliorent, Bradley a déclaré que les adversaires se concentreraient de plus en plus sur ce qu’il appelle la « fragilité humaine ». La vulnérabilité peut être due à un manque de discipline, au non-respect du protocole ou à un simple épuisement après des opérations prolongées.

« De plus en plus, la cible deviendra la fragilité humaine plutôt que la fragilité des machines », a-t-il déclaré. « Les humains sont imparfaits. Ce n’est pas un défaut à éliminer. C’est une condition pour laquelle nous devons concevoir. »

Bradley a déclaré que des défenses à plusieurs niveaux, un accès compartimenté et des restrictions sur le besoin de connaître appliquées au niveau des données peuvent aider à contenir les dommages causés par une seule erreur humaine.