Dans cet épisode, Bastien Cabirou s'entretient avec Abbas Kudrati, Chief Identity Security Advisor APAC chez Silverfort et ancien Chief Cybersecurity Advisor pour l'Asie chez Microsoft, pour discuter de la manière dont les responsables sécurité doivent envisager l'IA fantôme, la gouvernance de l'IA et les risques émergents des systèmes agentiques en entreprise.
La conversation aborde pourquoi les employés continueront d'utiliser l'IA même lorsqu'elle est bloquée, pourquoi la gouvernance est préférable aux interdictions générales, comment l'IA agentique crée un nouveau problème d'identité non humaine, et ce que les CISO doivent faire dès maintenant pour anticiper la prochaine vague de risques en entreprise.
Points forts de l'épisode
- Pourquoi bloquer les outils d'IA pousse souvent leur usage dans l'ombre au lieu de réduire les risques
- Comment l'IA fantôme a évolué selon le même schéma que l'ombre informatique et l'ombre SaaS
- Pourquoi la gouvernance, la politique et la formation des employés comptent plus que les interdictions générales
- Comment les agents héritent des privilèges et créent de nouvelles surfaces d'attaque d'identité non humaine
- Pourquoi l'injection de prompt, l'accès non contrôlé aux outils et l'exposition par email sont des risques majeurs pour l'entreprise
- Pourquoi le SOC de demain inclura probablement des agents au niveau zéro et des humains pour les gérer, ajuster et superviser
À propos d'Abbas Kudrati
Abbas Kudrati cumule plus de 27 ans d'expérience en informatique, cybersécurité, hacking éthique, GRC et direction sécurité. Il a été Chief Cybersecurity Advisor pour l'Asie chez Microsoft et travaille désormais chez Silverfort, où il se concentre sur la sécurité des identités humaines, non humaines et agentiques.
Principaux enseignements de la conversation
1. Les employés utiliseront l'IA que vous l'approuviez ou non
Un des points clés d'Abbas est que l'adoption de l'IA suit les mêmes dynamiques que les vagues technologiques précédentes comme Internet, les téléphones mobiles et le BYOD. Si les organisations bloquent simplement l'IA, les employés contournent souvent les contrôles en utilisant des appareils personnels ou des comptes grand public, ce qui supprime la visibilité au moment où elle est la plus nécessaire.
2. Une bonne gouvernance vaut mieux que couper le robinet
Plutôt que d'imposer des interdictions par défaut, Abbas recommande que les organisations définissent des règles claires : quels outils sont approuvés, quels types de prompts sont acceptables, quelles données peuvent être utilisées, et où les versions payantes d'entreprise doivent remplacer les outils grand public. L'objectif est une activation sécurisée, pas une interdiction de façade.
3. L'IA fantôme devient un problème de visibilité à l'échelle de l'entreprise
Les équipes de sécurité connaissent peut-être quelques outils grand public, mais Abbas souligne que les environnements réels peuvent contenir des centaines d'applications IA sans supervision. La découverte est cruciale car si vous ne voyez pas quels outils sont utilisés, quelles données y circulent et quelles identités y sont liées, vous ne pouvez pas gérer le risque.
4. L'IA agentique crée un nouveau défi de sécurité des identités
Un thème majeur de l'épisode est que les agents doivent être considérés comme faisant partie de la main-d'œuvre. Ils héritent d'accès, créent des sous-identités, se connectent aux emails et aux outils SaaS, et peuvent déclencher des actions sur plusieurs systèmes. Cela rend la sécurité des identités non humaines, la gestion des privilèges et l'auditabilité centrales pour la gouvernance de l'IA.
5. La sécurité de l'IA devient un affrontement agent contre agent
La discussion explore aussi un futur où des agents red-team testent des agents blue-team, et où les systèmes défensifs challengent, surveillent et réentraînent continuellement d'autres systèmes IA. En pratique, cela signifie que la gouvernance s'étendra au-delà de la formation des employés vers un réglage, une évaluation et un contrôle continus des agents.
Citations remarquables
Si vous ne le voyez pas, vous ne pouvez pas le gérer.
Ne les fermez pas, car s'ils sont fermés, ils partiront. Mais éduquez-les.
Les hackers ne ciblent pas l'identité humaine. Ils ciblent l'identité non humaine.
Vous devez apprendre à gérer l'agent.
Pourquoi cela importe pour les CISO et les équipes de sécurité
L'épisode rappelle un point pratique pour les dirigeants d'entreprise : le risque IA ne se limite plus à savoir si les employés collent des données sensibles dans des chatbots publics. Il inclut désormais la découverte de l'IA fantôme, l'exposition des identités non humaines, l'injection de prompt, la prolifération des agents, la dérive budgétaire et le défi opérationnel de superviser des systèmes semi-autonomes connectés aux outils métiers.
Pour les responsables sécurité, la priorité à court terme n'est pas d'arrêter totalement l'adoption de l'IA. C'est de rendre son usage visible, gouverné, approuvé quand c'est pertinent, et encadré par des contrôles applicables. C'est là que les plateformes de gouvernance IA, les contrôles d'identité et les red-teams structurées prennent tout leur sens.
Transcription
Voici un extrait légèrement nettoyé de la transcription de la conversation pour les lecteurs qui préfèrent parcourir le texte.
Oui, les technologies évoluent rapidement et deviennent plus intelligentes. Nous avons les applications CNAPP, les proxys d'applications cloud, etc. Ils permettent d'identifier quelles IA sont utilisées, mais ils ne peuvent toujours pas voir quelles données y entrent ni quelles identités sont activées. De nouvelles technologies et fournisseurs émergent sur ces sujets, mais c'est encore à un stade précoce. Tout le monde n'a pas le budget pour faire un état des lieux et commencer à agir. Alors ils coupent simplement le robinet. Même en coupant le robinet, si on fait un scan approfondi et qu'on regarde toutes les identités humaines et non humaines, on trouvera encore des centaines d'applications IA utilisées dans l'environnement, sans aucune visibilité. Encore une fois, pour la gouvernance, si vous ne le voyez pas, vous ne pouvez pas le gérer.
Si ce n'est pas visible, vous ne pouvez pas les gérer. Merci Abbas d'avoir été avec nous aujourd'hui. C'est un plaisir de vous avoir ici. Aujourd'hui, j'aimerais avoir votre avis sur la cybersécurité liée à l'IA et tout ce qui se passe dans ce domaine. Merci d'être là. Avec plaisir. Merci de m'avoir invité, et il fait beau à Sydney aujourd'hui. Exactement. Alors d'abord, pouvez-vous nous parler un peu de vous ? Oui. Je suis dans le secteur depuis plus de vingt-sept ans. Je m'appelle Abbas Kudrati. J'ai travaillé dans diverses entreprises, commencé comme administrateur système, ingénieur réseau, puis hacker éthique, consultant GRC, et enfin CISO. Mon dernier poste était chez Microsoft en tant que Chief Cybersecurity Advisor pour l'Asie, et maintenant je travaille chez Silverfort comme Chief Identity Security Advisor pour la région Asie-Pacifique.
Wow. Vous avez donc occupé de nombreux postes, toujours en cybersécurité, toujours en informatique. J'ai toujours commencé en informatique car il n'y avait pas de cyber à l'époque, quand j'ai débuté vers 1996-1997. Ça a été un parcours fou jusqu'à présent. Et maintenant, nous vivons à l'ère de l'IA, comme on le sait. Oui, c'était une grande vague. Absolument. Cool. Selon votre expérience, quel a été le moment le plus excitant, la vague technologique la plus marquante ? Mon moment le plus excitant a été le passage à l'an 2000. Ceux qui ont vingt-cinq ou trente ans d'expérience s'en souviennent encore, ces longues heures et nuits à préparer le passage à l'an 2000, le nouveau millénaire. C'était une période folle pour moi, j'étais tout frais dans ma carrière professionnelle.
Je pense que c'était mon deuxième ou troisième emploi, en Inde, à Pune, dans une entreprise américaine. Toutes les exigences venaient des États-Unis, disant ce qu'il fallait faire pour se préparer et protéger nos données si l'horloge passait à minuit. Cette nuit-là, j'ai travaillé jusqu'à une heure du matin, à surveiller tous mes serveurs au passage à minuit. Moi et un collègue étions seuls dans la salle, tandis que les autres faisaient la fête pour le millénaire. Je me suis consacré en héros de la cybersécurité, regardant comment tout se passait, et tout s'est bien passé. Ensuite, j'ai envoyé le dernier email, tout semblait fonctionner, les données étaient sécurisées et protégées, tout allait bien.
Je suis parti chez moi ou à la fête. Ma fête a commencé à une heure trente du matin, j'étais déjà fatigué. C'était le moment le plus fou de ma carrière, je pense. Le passage à l'an 2000 est un souvenir que je chérirai toujours. C'est super. Après cela, vous avez fait différents types de jobs, et quand nous nous sommes rencontrés, vous travailliez chez Microsoft. Oui. Un grand parcours. Comment êtes-vous arrivé chez Microsoft ? J'ai été CISO pendant un moment, pour plusieurs entreprises, notamment au Moyen-Orient. Au Royaume de Bahreïn, j'étais CISO pour tout le gouvernement électronique. Puis je suis allé au Koweït, à la National Bank of Kuwait, où j'étais adjoint au bureau du CISO. Ensuite, je suis venu en Australie, à Melbourne, en 2013.
J'ai rejoint Public Transport Victoria, le réseau de trains, trams et métro. J'étais leur RSSI, puis j'ai intégré KPMG en tant que RSSI pour le travail interne, pas pour les clients. J'étais RSSI pour les bureaux KPMG en Australie, Nouvelle-Zélande, Fidji et Papouasie-Nouvelle-Guinée. Pendant ce rôle, je réfléchissais à la suite pour moi. J'ai vu un poste chez Microsoft, ils cherchaient un RSSI expérimenté, orateur public, à l'aise avec un large public, les dirigeants et la gestion des parties prenantes, et qui croit en la technologie Microsoft comme une entreprise sécurisée, pas une entreprise de sécurité. J'ai postulé, passé de nombreux entretiens, et finalement Microsoft et moi avons été convaincus que je pouvais devenir RSSI pour leurs clients.
Un RSSI client ou RSSI terrain comme on l'appelle. Ce fut une période intéressante. J'y ai passé presque sept ans, observant Microsoft évoluer de ce qu'ils appelaient une entreprise sécurisée à une entreprise de sécurité. J'ai vécu cette transition, et maintenant ils entrent dans une phase d'IA. J'ai alors pensé qu'il était temps de faire autre chose. Je crois fermement que l'identité est un plan de contrôle car toutes les attaques ciblent l'identité humaine ou non humaine. J'ai découvert Silverfort, partenaire Microsoft, avec qui je travaillais depuis trois ans côté Microsoft pour soutenir la mise en œuvre de l'architecture zero trust en environnement local. Le CEO m'a finalement proposé de les rejoindre, ce que nous avons accepté pour tenter quelque chose de différent.
Me voilà depuis un an et deux mois chez Silverfort, en charge de la sécurité des identités. Moment passionnant, passant de l'identité humaine à non humaine, puis à l'identité agentique, sur laquelle je me concentre actuellement. C'est formidable. En termes de... et c'est super, nous allons parler un peu d'IA et de la sécurité autour de l'IA. Depuis que vous travaillez avec Microsoft, vous avez vu l'adoption de l'IA au travail. Quels risques croissants avez-vous observés en cybersécurité autour de l'utilisation de l'IA par les employés et du travail agentique ? Les employés sont curieux. Toute nouvelle technologie suscite l'expérimentation et l'exploration. En même temps, les RSSI et dirigeants craignent cette nouveauté.
Ils ne veulent pas prendre le risque de l'activer. Mais si on essaie de désactiver ces technologies, les gens iront les tester chez eux sur leur téléphone ou leur ordinateur personnel, car tout le monde en parle. Vous avez sûrement vu les statistiques sur la rapidité d'adoption d'internet, du téléphone mobile, et de ChatGPT, qui a atteint un million d'utilisateurs en quelques semaines grâce à la curiosité et aux fonctionnalités attractives. En tant qu'humains, on veut explorer, mais il faut aussi considérer les risques et menaces associés. C'est une opportunité fantastique. Les RSSI veulent permettre l'usage mais avec des garde-fous, c'est là que la bonne gouvernance intervient.
Sans garde-fous ni gouvernance, les gens vont utiliser l'IA sans contrôle. C'est ce qui s'est passé avec internet et le téléphone mobile. Autorisez-vous vos employés à utiliser leur propre téléphone en entreprise ? La politique BYOD est née de cela. Le premier conseil que je donne aux RSSI est de définir des garde-fous et une politique claire sur les technologies autorisées. Ne les bloquez pas complètement, car ils iront ailleurs. Éduquez-les sur les risques. Ils peuvent utiliser une version d'entreprise si elle existe. Par exemple, ChatGPT propose une version entreprise, Microsoft a son Copilot professionnel et une version gratuite.
Ces versions payantes intègrent des garde-fous. Si c'est gratuit, vous êtes le produit, comme on dit. Il faut donc mettre en place des garde-fous, une politique et une sensibilisation. Indiquez les types de requêtes possibles, les données utilisables, pour que les employés exploitent la technologie en sécurité plutôt que de la bloquer. C'est exactement ce que nous recommandons et je pense que nous sommes alignés. Que pensez-vous de cette nouvelle ombre de l'IA et des risques liés à ce que l'on ignore ? L'ombre de l'IA vient de l'ombre informatique, puis de la sécurité et des applications fantômes. C'était le plus grand défi. Quand vous demandez à un DSI ou RSSI, ils vous diront : « Je ne crains pas ce que je connais,
je crains ce que j'ignore », c'est l'ombre. Des personnes déploient leurs propres serveurs, d'où l'ombre informatique. Puis leurs propres applications cloud, d'où les applications fantômes, et maintenant l'ombre de l'IA. Oui, les employés utilisent ces nouveaux produits qui se développent très vite. Il n'y avait que ChatGPT, aujourd'hui il y a plus de mille applications IA. Les organisations ignorent combien sont utilisées par leurs employés et quelles données d'entreprise y sont intégrées. Les technologies évoluent vite, avec des outils CNAPP, proxy d'applications cloud, qui aident à détecter les IA utilisées, mais ils ne voient pas les données ni les identités activées.
De nouveaux fournisseurs émergent, mais c'est encore tôt. Tout le monde n'a pas le budget pour faire un audit complet. Beaucoup ferment donc le robinet, pensant que le problème disparaît. Mais même en fermant, un scan approfondi révèle des centaines d'applications IA utilisées sans visibilité. Encore une fois, sans visibilité, pas de gestion possible. Je suis d'accord. Ce qui est intéressant, c'est que bloquer est pire car les gens utiliseront quand même l'IA.
Oui, et vous n'aurez aucune visibilité car ils utiliseront leur ordinateur personnel, enverront des documents sur leur laptop privé. Les informations circuleront. C'est trop tentant pour ne pas être utilisé. Ils l'utiliseront. La question est : voulez-vous le contrôler, le gouverner ? Si vous bloquez, ils l'utiliseront quand même et vous ne verrez rien. Absolument. Ils se parlent : « Je peux coder en cinq minutes au lieu d'heures. Pourquoi ne pas le faire ? Je le ferai chez moi si l'entreprise ne me le permet pas au bureau. » Exactement. Pour rédiger de longs rapports ou emails, c'est très utile.
Explorer la suite
Si cette conversation reflète les défis que vous rencontrez, Aona aide les équipes sécurité et conformité à découvrir l'ombre de l'IA, comprendre comment employés et agents utilisent les outils IA, et appliquer des garde-fous de gouvernance sans nuire à la productivité.
Vous voulez voir comment ça fonctionne ? Réservez une démo avec Aona pour découvrir la découverte de l'ombre IA et la gouvernance IA en action.
