1Password révèle les failles des IA en cybersécurité

1Password a récemment mis en lumière des lacunes significatives dans l’utilisation de l’IA pour la sécurité logicielle. Selon une étude menée par son équipe de recherche Off-By-1-Labs, seulement 26% des correctifs générés par des modèles de langage, comme Codex d’OpenAI et Claude, sont réellement efficaces. Cette découverte ébranle les espoirs placés dans l’IA pour résoudre les failles de sécurité de manière autonome. Source originale.

Le contexte de cette étude est le besoin croissant de renforcer la cybersécurité. Les chercheurs ont analysé la capacité de l’IA à générer des correctifs pour six vulnérabilités logicielles récemment découvertes. Parmi ces vulnérabilités figuraient des escalades de privilèges sous Linux et des exécutions de code à distance. L’objectif initial était d’atteindre un taux de succès de 67%, mais les résultats ont été nettement inférieurs.

Patches échouent souvent

Off-By-1-Labs souligne que, dans 53,9% des cas, l’IA a introduit de nouveaux bugs ou a été incapable de créer un patch fonctionnel. Même lorsque des correctifs semblaient initialement réussis, ils comprenaient souvent des mécanismes de sécurité fragiles ou modifiaient le comportement de l’application. L’étude a été nommée F.L.A.W.E.D. en raison de ces résultats décevants.

La supervision humaine reste cruciale, selon Keith Hoodlet, chef de Off-By-1 Labs. L’IA peut aider à identifier et à trier les vulnérabilités, mais elle ne remplace pas l’expertise humaine nécessaire pour évaluer les risques et les priorités de correction. L’outil F.L.A.W.E.D, publié sur GitHub, vise à aider les entreprises à déterminer quand et comment l’IA peut être utile dans le processus de correction.

Importance des facteurs humains

Les prochaines étapes pour l’IA en cybersécurité impliquent un accent sur le soutien humain. Hoodlet envisage que les décisions éclairées par les professionnels de la sécurité concernant le moment et la manière de corriger les failles seront essentielles à court terme. En attendant, l’expertise humaine restera indispensable pour assurer une sécurité logicielle robuste et fiable.