Cybersécurité : ce que l’IA change pour nos réflexes

Les menaces de demain sont au cœur des travaux de l’expert en cybersécurité post-quantique Marc Frappier. Mais déjà, aux yeux du directeur scientifique du Pôle d’expertises en cybersécurité Intact de l’UdeS, l’intelligence artificielle (IA) représente un enjeu bien réel pour les organisations. De plus en plus performante pour repérer les vulnérabilités des systèmes et concevoir des attaques informatiques, elle change la donne… et appelle à la vigilance.

Professeur au Département d’informatique de la Faculté des sciences, Marc Frappier dirige également la Chaire de recherche en cybersécurité post-quantique.

« Il faut être conscient qu’avec l’IA, la capacité des attaquants est aujourd'hui beaucoup plus forte qu’avant », insiste-t-il.

Des mises à jour qui comptent plus que jamais

L’IA permet notamment de repérer plus rapidement des vulnérabilités jusque-là inconnues dans des navigateurs, serveurs ou postes de travail, y compris des systèmes que l’on croyait sécuritaires.

Les attaques que génère l’IA sont aujourd’hui beaucoup plus rapides et beaucoup plus fréquentes.

Professeur Marc Frappier

Dans ce contexte, garder ses appareils et ses logiciels à jour devient d’autant plus essentiel. Des mises à jour de sécurité permettent de corriger des vulnérabilités qui pourraient autrement être vite exploitées par des acteurs malveillants.

Personne n’est à l’abri

L’IA rend également les tentatives d’hameçonnage (phishing) plus convaincantes. Elle permet de générer des messages frauduleux crédibles, et surtout de les personnaliser en fonction de leur destinataire, ce qui les rend plus difficiles à repérer.

Et personne n’est complètement à l’abri. Marc Frappier en a lui-même fait l’expérience lorsqu’il a reçu un courriel de résiliation d’abonnement d’Amazon qui semblait bien réel.

Devant pareille situation, l’expert a appliqué le réflexe qu’il recommande : prendre quelques secondes avant de cliquer sur un hyperlien ou ouvrir une pièce jointe. Il conseille de vérifier l’adresse courriel de l’expéditeur et la destination réelle d’un hyperlien. En cas de doute, mieux vaut communiquer directement avec l’organisation concernée ou consulter soi-même son site officiel plutôt que de cliquer sur un hyperlien reçu par courriel.

Le chef de la sécurité de l'information (CISO) à l'UdeS, Éric Ouellet, rappelle que la vigilance demeure de mise au quotidien, dans chacun de nos gestes :

À l'ère de l'intelligence artificielle, la vigilance de chacun demeure notre première ligne de défense. Chaque geste compte pour protéger nos informations, nos systèmes et la confiance qui nous unit comme communauté universitaire.

Une réponse convaincante n’est pas forcément vraie

Les risques liés à l’IA ne concernent pas seulement les cyberattaques. Le recours aux outils d’intelligence artificielle générative (IAg), comme Copilot et Gemini, transforme aussi notre rapport à l’information.

L’IA peut produire des réponses parfaitement plausibles sans être exactes. Il ne faut pas oublier qu’il n’y a pas d’intelligence derrière l’IA, c’est strictement basé sur des liens statistiques entre des mots.

Professeur Marc Frappier

Ce dernier rappelle que plus on maîtrise un sujet, plus il est facile d’en repérer les erreurs. À l’inverse, moins on connaît un sujet, plus une réponse convaincante peut se révéler trompeuse.

Que ce soit pour comprendre une notion, résoudre un problème, approfondir une matière ou accomplir une tâche, il demeure essentiel de vérifier l’information et de la confronter à une source fiable.

Avant de confier une information à l’IA

La vigilance est aussi de mise lorsqu’on transmet de l’information à un outil d’IA. Marc Frappier explique pour sa part éviter d’y déposer des données confidentielles. Il invite ainsi à réfléchir à la nature des renseignements transmis, mais aussi aux accès accordés aux outils intégrés à notre environnement de travail.

Avant de copier une information dans un outil d’IA, quelques questions peuvent être utiles : s’agit-il d’une information confidentielle ou personnelle? Ai-je l’autorisation de la transmettre? Est-ce que je comprends à quelles données l’outil peut avoir accès et ce qu’il peut en faire?

Des moyens d’attaque, mais aussi de défense

Si l’IA accroît les capacités des personnes qui mènent des cyberattaques, elle offre aussi de nouveaux moyens de défense. Des équipes de sécurité peuvent s’en servir pour repérer des vulnérabilités et contribuer à les corriger.

Les moyens de l’attaquant sont plus grands, mais les moyens de défense sont aussi plus grands.

Professeur Marc Frappier

Les organisations consacrent d’ailleurs des ressources de plus en plus importantes à la protection de leurs systèmes. À l'UdeS, des formations sont offertes à toute la communauté universitaire, et elles sont d'ailleurs obligatoires pour le personnel.

La cybersécurité n’est donc jamais acquise : elle exige une vigilance constante et doit évoluer au rythme des menaces. En jeu, il y a bien sûr la protection des données et des systèmes, mais aussi la confiance que nous accordons à nos environnements numériques.

4 réflexes à adopter
- Mettre à jour ses appareils et logiciels rapidement.
- Vérifier les courriels, les hyperliens et les demandes inhabituelles avant d’agir.
- Protéger les données confidentielles et réfléchir à ce que l’on place dans les outils
  d’IA.
- Questionner les réponses produites par l’IA et les vérifier auprès d’une source fiable.

À propos de l’expertise du professeur Marc Frappier
Marc Frappier est professeur au Département d’informatique de la Faculté des sciences de l’Université de Sherbrooke, directeur scientifique du Pôle d’expertises en cybersécurité Intact et titulaire de la Chaire de recherche en cybersécurité post-quantique. Ses travaux portent notamment sur la migration vers la cryptographie post-quantique, la crypto-agilité et les méthodes permettant aux organisations de préparer et de sécuriser leurs transitions cryptographiques. Il a également travaillé comme consultant, analyste principal et gestionnaire de projet auprès d’organisations de différents secteurs.