À qui profite le plus l’intelligence artificielle (IA) dans l’univers de la cybersécurité ? Aux pirates informatiques ou bien aux entreprises et autres organisations qui cherchent à se protéger des cyberattaques ? Pour le moment, il ne semble pas y avoir de vainqueurs, selon trois spécialistes. La bonne nouvelle : les universités québécoises s’intéressent grandement à la question.

Selon Alina Dulipovici, professeure agrégée au département des technologies de l’information de HEC Montréal, les progrès en intelligence artificielle sont certes rapides, mais il n’y a pas lieu de paniquer, du moins pas pour le moment, quant à leur application dans le domaine des cyberattaques, dit-elle.

Dans les cas d’hameçonnage, qui demeure l’une des fraudes les plus fréquentes, il faut s’attendre à voir désormais circuler des messages frauduleux beaucoup plus difficiles à détecter grâce à l’IA, explique-t-elle.

Mais ce type de vol de données confidentielles par l’entremise de courriels, de textos ou des réseaux sociaux n’a toutefois pas, à ce jour, atteint un niveau de grande complexité. « Il faut entraîner l’IA, y mettre du temps. Or, les pirates veulent avant tout faire des profits à moindres coûts », dit Mme Dulipovici.

Par conséquent, puisque les entreprises connaissent désormais les capacités de l’IA, elles doivent s’y intéresser et mettre leurs employés dans le coup, selon elle.

Le facteur humain

Oui, les organisations se dotent de plus en plus d’algorithmes et d’outils d’apprentissage automatique (machine learning) visant à détecter les anomalies dans leurs systèmes informatiques, dit l’experte. Mais une simple brèche peut se créer à la suite d’une erreur humaine, ce qu’il est convenu d’appeler dans le jargon « le facteur humain ».

Le facteur humain est d’ailleurs l’un des nombreux sujets de recherche qui ont cours dans différentes universités québécoises. C’est entre autres le cas à l’Institut multidisciplinaire en cybersécurité et cyberrésilience (IMC2), où Mme Dulipovici est d’ailleurs directrice adjointe.

L’IMC2, un projet de HEC Montréal, de l’Université de Montréal et de Polytechnique Montréal, a officiellement vu le jour en 2023.

Dans les entreprises et les organisations, on comprend désormais que l’IA et la cybersécurité sont indissociables, pour les bonnes et les mauvaises raisons, explique Massimo Cecere, associé chez Richter à Montréal.

« Les cybercriminels ont de nouveaux outils pour innover, dit-il. Notre empreinte digitale est de plus en plus grande et il est facile de colliger des informations afin de mieux cibler les attaques », estime cet expert-conseil, spécialisé en stratégie d’entreprise, gestion de risque, et en gouvernance.

Lui aussi croit que le « facteur humain » y est pour beaucoup en cybersécurité.

Les entreprises ont des outils qui analysent des milliards de transactions et qui peuvent détecter des anomalies. On peut même entraîner ces outils avec l’IA. Mais l’humain demeure le maillon faible en cybersécurité. À quoi bon avoir les meilleurs outils de détection s’il n’y a pas de bons procédés et que les employés ne sont pas bien informés et qu’ils ne connaissent rien aux technologies ?

Massimo Cecere, associé chez Richter à Montréal

Ce type de stratégie en cybersécurité est dit « holistique », dit Massimo Cecere.

« Il ne faut pas mettre tous ses œufs dans le même panier, soutient-il. Il faut continuer à privilégier une stratégie hybride axée sur les outils et les humains. Pirates et entreprises ont accès aux technologies liées à l’IA. La formation des employés devient donc primordiale. Plus on va former les gens, mieux ce sera. En fait, il ne faut jamais arrêter de les former. »

Projets en cyberdéfense

Esma Aïmeur est professeure titulaire au département d’informatique et de recherche opérationnelle à l’Université de Montréal. Fondatrice du Laboratoire d’intelligence artificielle pour la cybersécurité (TALENT), elle travaille avec l’IA depuis plus de 20 ans.

Je suis préoccupée par les impacts indésirables et les effets collatéraux des technologies de l’IA. Il faut étudier la gravité des problèmes de bris de vie privée, de divulgation de données sensibles et de désinformation causés par ces technologies.

Esma Aïmeur, professeure titulaire à l’Université de Montréal

Toutefois, se console Mme Aïmeur, l’IA générative crée des occasions en cyberdéfense. Plusieurs projets de recherche en cours au TALENT en sont la preuve.

« On a des étudiants des deuxième et troisième cycles, et même au postdoc, qui travaillent sur certains modèles afin de protéger les données personnelles. J’ai aussi des étudiants qui font des chatbots [agents logiciels qui dialoguent avec un utilisateur] et qui utilisent la manipulation pour voir comment il est possible d’aider ceux qui se font tromper. On travaille également sur des systèmes de recommandation qui aideront à détecter les fake news. »

Selon Esma Aïmeur, la direction que prendra l’IA (pas seulement en matière de cybersécurité) passe par une plus grande éducation et, bien sûr, par une législation adéquate. Membre du comité d’honneur du Festival mondial de l’intelligence artificielle de Cannes (WAICF), auquel elle a pris part du 8 au 10 février dernier, elle est également d’avis qu’il faut plus que jamais sensibiliser et informer les gens au sujet de l’IA.