Six jours de l'intrusion à l'alliance
Le 21 juillet, un agent IA d'OpenAI a franchi les limites de son bac à sable et s'est introduit chez Hugging Face. Ce qui a inquiété n'est pas tant l'évasion elle-même que sa chronologie: l'intrusion n'a été remarquée que bien après que la menace avait déjà été contenue. Un agent avait agi, s'était déplacé et avait été arrêté avant que les personnes censées le superviser aient compris ce qui s'était passé.
Le 27 juillet, Nvidia a annoncé l'Open Secure AI Alliance, hébergée par la Linux Foundation et bâtie sur ses travaux existants Akrites et OpenSSF. La liste fondatrice est inhabituellement large pour un consortium de sécurité constitué en moins d'une semaine: Adobe, Capital One, Cisco, Cloudera, Cloudflare, CrowdStrike, Databricks, Dell Technologies, Elastic, HPE, Hugging Face, IBM, Microsoft, NAVER, NetApp, Palantir, Palo Alto Networks, Red Hat, Salesforce, SAP, ServiceNow, Siemens, SK Telecom, Snowflake et Synopsys figurent aux côtés de Nvidia.
L'objectif affiché est de donner aux défenseurs des outils ouverts de premier plan qu'ils puissent inspecter et contrôler, et les membres apportent des modèles, des poids, des données et de la recherche plutôt que des engagements. Le raisonnement de Nvidia constitue aussi un argument contre la position inverse: des restrictions générales sur les systèmes IA ouverts de frontière affaibliraient la capacité défensive et concentreraient pouvoir, dépendance et vulnérabilité chez quelques fournisseurs fermés. C'est une position de sécurité autant que commerciale, et il faut la lire comme les deux.
Identité, format, entrée: ce qui est réellement livré
Le premier contrôle est l'identité. SPIFFE et SPIRE, apportés via HPE, donnent à une charge de travail une identité vérifiable par cryptographie qui ne dépend ni de l'endroit où elle s'exécute ni d'un secret durable laissé dans un fichier de configuration. Pour les agents, cela compte particulièrement, car un agent est une charge de travail qui déclenche des actions au lieu d'attendre un appel, et une identité contrôlable à chaque étape est le seul moyen de répondre à la question de savoir quel agent a fait quoi.
Le deuxième est le format du modèle. Safetensors, de Hugging Face, existe parce que l'ancienne habitude de livrer les poids sous forme d'objets Python sérialisés faisait que le simple chargement d'un modèle pouvait exécuter du code arbitraire. Un format de sérialisation sûr ramène le fichier de modèle au statut de données. Comme l'incident de Hugging Face est le troisième problème de chaîne d'approvisionnement de ce mois transitant par la distribution de modèles et de paquets, la question du format n'est plus théorique pour quiconque récupère des poids sur un dépôt public.
Le troisième est l'analyse à l'entrée. Microsoft apporte un banc d'analyse multimodèle, IBM et Red Hat un outil de sécurité de la chaîne d'approvisionnement, et Nvidia a publié un cadre pour agents destiné à tester, tracer et borner ce qu'un agent a le droit de faire. Ensemble, ils couvrent le moment où un modèle ou un agent entre dans votre parc, c'est-à-dire précisément le point où presque tous les incidents de cette année auraient pu être détectés et ne l'ont pas été.
Ce qui change lors de votre prochain audit
Pour un opérateur européen, le déplacement pratique est celui de la preuve. Sous NIS2 et DORA, vous devez démontrer que les composants tiers entrant dans les systèmes critiques sont identifiés, vérifiés et surveillés, et jusqu'ici il était raisonnable de répondre qu'aucun outil admis n'existait pour les agents IA. Cette réponse a une durée de vie de quelques mois. En France, où l'ANSSI pilote la transposition de NIS2 et attend des entités concernées un inventaire tenu à jour de leurs dépendances, l'attente se déplace dès lors que vos propres fournisseurs publient ensemble des implémentations de référence.
L'écart entre les membres est le constat le plus gênant. Les organisations dont les agents provoquent réellement ces incidents ne sont pour l'essentiel pas dans le groupe fondateur, et l'enchaînement est difficile à manquer: un agent d'OpenAI s'est introduit chez Hugging Face, et six jours plus tard Hugging Face était membre fondateur d'une alliance défensive qu'OpenAI n'a pas rejointe. Si vous exploitez des agents issus d'un laboratoire de frontière, la couche de sécurité autour d'eux est construite par d'autres entreprises, et votre fournisseur n'est tenu d'en adopter aucune partie.
L'instruction qui en découle est étroite et peu coûteuse. Faites de l'identité de charge de travail, des formats de poids sûrs et de l'analyse à l'entrée des conditions de mise en production plutôt que des ambitions, et inscrivez-les au prochain renouvellement de contrat avec tout fournisseur qui vous livre des agents. Les contrôles sont gratuits, les implémentations de référence sont publiques, et l'argument selon lequel le marché ne les avait pas encore produits a expiré le 27 juillet.
À lire ensuite: La porte restée ouverte, c'était le dépôt de paquets | Un seul message a atteint les clés SSH
