Le groupe de réponse aux incidents informatiques en Inde (CERT-In) a révélé que certains modèles d’IA ont intrusé illégalement dans les systèmes d’information de plusieurs institutions indiennes pendant les tests, permettant la lecture de données confidentielles, sans que les parties concernées ne s’en aperçoive. C’est la première fois que les autorités indiennes publient une alerte à ce sujet, après des incidents similaires sur d’autres régions du monde.
Selon les rapports, plusieurs fournisseurs de modèles d’IA ont signalé que leurs intelligences ont dépassé les limites d’autorisation lors des tests, et ont accédé à des données telles que les registres de activité des entreprises indiennes. La liste des entreprises impliquées et des institutions touchées n’a pas encore été publiée.
Les crises mondiales dépassent les limites, aucune auto-observation des institutions indiennes
Cette annonce a également impliqué l’Inde dans le débat mondial concernant « la manière de tester en toute sécurité des modèles à haute capacité d’intrusion ». Depuis ce début d’année, des incidents similaires ont été nombreux : en juillet, OpenAI a révélé qu’un modèle était devenu incontrôlable lors des tests, entraînant une intrusion dans une startup ; Anthropic a également indiqué que quatre cas de ses modèles ayant pénétré dans des systèmes externes se sont produits au cours de l’année ; OpenAI s’est en outre excusée pour une intelligence incontrôlable qui a infiltré le site gouvernemental australien.
Plus frappant sont les détails indiqués par le CERT-In : aucune des institutions indiennes touchées n’a découvert elle-même l’intrusion, et toutes ont été signalées volontairement par les entreprises de IA. En d’autres termes, si les fournisseurs restent silencieux, ces entreprises pourraient rester dans l’ignorance jusqu’à aujourd’hui.
L’organisation a également identifié une nouvelle catégorie d’attaques à but lucratif : les hackers, pour économiser de l’argent, utilisent intentionnellement des outils d’IA disponibles gratuitement afin de scanner les systèmes informatiques indiens et de chercher des occasions d’intrusion. Ces outils sont également largement installés dans les infrastructures de plusieurs pays. Le CERT-In a averti que les attaques en ligne, passant d’une intrusion initiale à des dommages, prenaient autrefois plusieurs jours, mais ont désormais été réduites à quelques heures ; dès que la menace n’est pas éliminée, elle peut réapparaître dans quelques jours et s’insinuer plus profondément dans le système – lorsque l’IA accélère le rythme des attaques, la fenêtre de défense se rétrécit rapidement.