Les risques de l’IA que personne ne surveille : l’exposition des secrets dans les flux de travail d’entreprise
La plupart des discussions sur les risques de l’IA en entreprise commencent par une préoccupation familière : les employés qui copient des données clients dans des chatbots. La confidentialité et l’exposition aux régulations dominent les gros titres et les réunions des conseils d’administration, et des recherches montrent que la confidentialité des données et la sécurité figurent parmi les principaux risques de l’IA qui inquiètent les organisations.
Cependant, les données émergentes de l’utilisation réelle de l’IA en entreprise racontent une histoire différente. La plupart des informations sensibles qui circulent dans les outils d’IA ne sont pas des données personnelles. Ce sont des secrets et des identifiants.
Les clés API, les tokens d’accès, les webhooks et les artefacts d’authentification représentent désormais la plus grande part des expositions de données sensibles observées dans les requêtes d’IA. Ces divulgations ne résultent généralement pas de négligence ou d’intention malveillante, mais plutôt de travaux de routine tels que le débogage d’une intégration échouée, le dépannage d’une automatisation, le test de code ou la résolution d’un problème client. À mesure que l’IA s’intègre dans les flux de travail quotidiens, ces moments se produisent constamment et souvent en dehors de la visibilité des contrôles de sécurité traditionnels.
Les conséquences de l’utilisation de l’IA
À mesure que l’adoption de l’IA s’élargit, les organisations obtiennent une image plus précise des risques réels qui émergent, et la gouvernance doit évoluer pour y faire face. Une analyse récente de l’utilisation de l’IA a examiné la télémétrie anonymisée à travers des environnements d’entreprise pour comprendre comment les outils d’IA sont réellement utilisés au travail.
Les résultats fournissent de nouveaux éclairages sur l’émergence des risques liés à l’IA dans l’utilisation en entreprise. Les expositions de données sensibles dans les requêtes d’IA sont dominées par des identifiants opérationnels. Les secrets et identifiants représentent environ 48 % des événements de données sensibles détectés, contre 36 % pour les données financières et 16 % pour les informations liées à la santé. Ces schémas suggèrent que le plus grand défi en matière d’exposition de données en IA n’est pas la fuite de la vie privée, mais l’expansion des secrets.
Une adoption croissante de l’IA
La recherche indique que l’adoption de l’IA a dépassé l’expérimentation. Les outils d’IA sont intégrés dans les flux de travail, connectés à des plates-formes commerciales essentielles et capables de prendre des actions autonomes. Des études montrent que 88 % des organisations rapportent une utilisation régulière de l’IA dans au moins une fonction commerciale, contre 78 % l’année précédente.
Cette expansion est importante car le risque suit l’utilisation. À mesure que l’IA devient intégrée dans des environnements de développement, des plates-formes de collaboration et des flux de travail de support client, elle se rapproche des systèmes sensibles et des données opérationnelles.
Le risque des secrets divulgués
Les données personnelles restent sensibles et réglementées, mais les secrets peuvent avoir un impact opérationnel immédiat. Une clé API divulguée peut donner accès à des systèmes de production. Un token compromis peut exposer des dépôts. Les identifiants apparaissent fréquemment dans les requêtes d’IA pendant les flux de travail quotidiens. Les développeurs collent des tokens dans des interfaces de chat en résolvant des échecs d’authentification, tandis que les ingénieurs peuvent partager des extraits de configuration pour diagnostiquer des problèmes d’intégration.
Ces actions ne sont pas inhabituelles. Les secrets sont intégrés dans les flux de travail techniques et apparaissent dans les journaux, les scripts, les fichiers de configuration et les sorties d’automatisation. Lorsque les équipes sont sous pression pour résoudre rapidement des problèmes, elles peuvent partager ces artefacts sans réfléchir à ce que contiennent les données sensibles.
Une gouvernance traditionnelle inefficace
Les programmes de gouvernance de l’IA se concentrent souvent sur des contrôles formels tels que des politiques et des outils approuvés. Cette approche suppose que le risque découle d’un usage abusif ou du comportement du modèle. En pratique, les expositions les plus significatives se produisent lors de flux de travail routiniers exécutés par des employés bien intentionnés.
La gouvernance efficace nécessite une visibilité sur l’utilisation réelle des outils d’IA et des garde-fous qui guident des décisions plus sûres au moment où les données sont partagées.
Que doivent faire les équipes de sécurité ?
Réduire l’exposition des secrets dans les flux de travail d’IA nécessite un changement des contrôles réactifs vers une gouvernance qui reflète la façon dont le travail se déroule réellement. Les leaders en sécurité peuvent commencer par des étapes pratiques qui améliorent la visibilité, guident des comportements plus sûrs et réduisent l’exposition sans ralentir la productivité :
- Cartographier où se produisent les interactions avec l’IA.
- Intervenir au moment où les décisions sont prises.
- Appliquer une gouvernance des intégrations avec la même rigueur que les applications OAuth.
- Créer des flux de travail plus sûrs pour le dépannage et le support.
- Établir des garde-fous pour l’automatisation basée sur des agents.
- Former les employés sur des tâches courantes.
Conclusion
L’IA évolue d’un outil de productivité à une couche opérationnelle intégrée au travail quotidien. Les risques dominants vont au-delà des violations de la vie privée ou d’un usage abusif des modèles. Ils émergent de la façon dont les personnes, les autorisations et les plates-formes s’intersectent dans les flux de travail réels.
Les expositions de secrets dans les requêtes d’IA signalent cette transformation plus large et soulignent les limites des contrôles basés sur le périmètre. Les organisations qui s’adaptent dépasseront les contrôles réactifs et se dirigeront vers des modèles de gouvernance axés sur le comportement réel.
