La sécurité de l'IA agentique teste les domaines dans lesquels les entreprises accordent leur confiance à mesure que les logiciels acquièrent la capacité d'accéder aux données sensibles et d'agir au nom des utilisateurs. Le défi s'étend du contrôle des demandes individuelles à la gouvernance des actions pouvant s'étendre sur plusieurs systèmes et processus métier.
Cette portée croissante fait de la sécurité une préoccupation architecturale et opérationnelle, les décisions concernant l’accès, la surveillance et la récupération étant de plus en plus connectées. Les entreprises doivent réfléchir à la manière dont ces décisions affectent leur capacité à continuer de fonctionner malgré les perturbations, selon Krista Case de CUBE Research.
« Avec l’IA agentique, nous avons ces nouvelles attaques basées sur des agents qui font la une des journaux », a-t-elle déclaré. « En ce qui concerne la cyber-résilience et la résilience des entreprises, l'impact que cela a eu est que cela fait vraiment partie du débat sur la sécurité. (La résilience) doit vraiment être construite dès le départ, car il est reconnu que nous ne pouvons pas simplement ériger des barrières assez hautes. »
Case et son collègue analyste Dave Vellante ont examiné ces pressions lors de la couverture par theCUBE de l'événement virtuel d'Oracle « Les cyberattaques IA s'intensifient : comment sécuriser vos données maintenant ». Les discussions ont réuni des dirigeants d'Oracle et des experts en technologie pour examiner l'évolution du paysage des menaces et ses implications pour les entreprises. (* Divulgation ci-dessous.)
Voici la discussion vidéo complète de theCUBE avec Dave Vellante et Krista Case :
Voici trois informations que vous avez peut-être manquées lors de la couverture par theCUBE de l'événement virtuel d'Oracle « Les cyberattaques IA s'intensifient : comment sécuriser vos données maintenant » :
Insight n°1 : la sécurité des données doit être renforcée sous les applications et les agents d'IA.
La sécurité de l'IA agentique nécessite une limite d'autorisation cohérente à mesure que les agents créent de nouveaux chemins vers les données d'entreprise. L'approche d'Oracle Corp. déplace l'application des applications individuelles vers la base de données, réduisant ainsi le recours aux développeurs pour mettre en œuvre les protections séparément, selon Juan Loaiza, vice-président exécutif d'Oracle Database Technologies chez Oracle.
« Les gens sont très intelligents dans la façon dont ils peuvent formuler les choses afin de faire en sorte que l'IA fasse des choses que vous auriez fondamentalement pensé avoir empêchées en incitant l'IA », a-t-il déclaré au CUBE. « Si, au niveau de cette couche de données, nous appliquons que chaque utilisateur final ne peut voir que ses données, alors quel que soit le type d'invite que vous placez… l'agent qui agit au nom de cet utilisateur ne peut voir que les données de cet utilisateur. »
Le fait de déplacer l'application dans la base de données modifie également la façon dont les entreprises gèrent la sécurité : les protections doivent être maintenues quelle que soit l'application ou l'agent qui demande l'accès. Oracle combine les contrôles appliqués lors de l'accès aux bases de données avec une gestion centralisée de la sécurité, y compris Oracle Data Safe basé sur le cloud et Oracle Database Security Central autogéré, a expliqué Vipin Samar, vice-président senior de la sécurité des bases de données chez Oracle, qui est apparu aux côtés de David Knox, vice-président de la gestion des produits de sécurité des bases de données chez Oracle.
« L'IA peut passer très facilement et naturellement d'une base de données à une autre », a déclaré Samar. « Nous devons avoir une vue complète à 360 degrés sur l'ensemble de la flotte, sur vos utilisateurs et sur vos données. Ce n'est qu'alors que vous pourrez réellement bénéficier d'une sécurité efficace. »
Pour les partenaires créant des applications basées sur des agents, cette architecture sépare les requêtes générées par un agent des données qu'il est autorisé à récupérer. Accenture Enkitec Group a utilisé Oracle Deep Data Security pour appliquer des règles d'accès à l'intérieur de la base de données, permettant aux agents d'interroger un référentiel de connaissances partagé tout en préservant différents niveaux d'autorisation, selon Roger Cornejo, directeur principal de l'innovation technologique de gen AI/AI chez Accenture Enkitec Group.
« Nous avons des dizaines, voire 40 agents ou plus qui utilisent cette application », a déclaré Cornejo au CUBE. « Nous devions nous assurer qu'il évoluerait également. À l'heure actuelle, nous l'avons testé pour s'adapter à 300 requêtes simultanées renvoyant la plupart des résultats en 15 secondes ou moins. »
Voici la vidéo complète de theCUBE avec Vipin Samar et David Knox :
Insight n°2 : La sécurité de l'IA agentique dépend de systèmes préparés et d'une surveillance responsable.
Les agents de soutien exigent que les entreprises modernisent les systèmes dont elles dépendent. Retarder l'adoption expose les organisations aux menaces liées à l'IA tandis que la dette technique s'aggrave, selon Holger Mueller, vice-président et analyste principal chez Constellation Research Inc.
« Cette année, tout le monde se bat pour savoir quel est le meilleur cadre agent », a-t-il déclaré. « L'année prochaine sera la grande renaissance de la mise à l'échelle des systèmes backend. »
La préparation nécessite également de savoir où les agents sont construits et quels actifs sensibles ils peuvent atteindre. Cet inventaire aide les organisations à établir des contrôles autour du travail délégué, selon Johnnie Konstantas (photo), vice-président du groupe Oracle Cloud Engineering chez Oracle.
« Agentic AI met en avant cette idée selon laquelle un agent et plusieurs sous-agents fonctionnant comme mandataires d'un individu peuvent accéder aux données », a-t-elle déclaré au CUBE. « Ainsi, l'identité prend une nouvelle forme dans la mesure où l'agent transporte en quelque sorte ces autorisations d'accès et (peut) peut-être même prendre des mesures sur un certain flux de travail. Ayez une bonne identité en place dans la mesure où elle peut être uniforme et omniprésente. «
Ces contrôles techniques nécessitent un soutien organisationnel. La gouvernance fondamentale, les bases de la sécurité et les responsabilités clairement comprises des clients et des fournisseurs restent des lacunes dans les déploiements d'IA en entreprise, selon Brennan Baybeck, vice-président senior et directeur de la sécurité de l'information d'Oracle Customer Success chez Oracle.
« Les humains n'ont jamais été aussi essentiels pour contrôler ces robots, comme nous les appelons », a-t-il déclaré au CUBE. « On avait l'habitude de dire que les humains sont le maillon le plus faible. Mais maintenant, ce que je dis, c'est que les robots sont le maillon le plus puissant et potentiellement dangereux, et les humains sont désormais un maillon essentiel. »
Voici l'interview vidéo complète de theCUBE avec Holger Mueller :
Insight n°3 : La cyber-résilience nécessite une récupération fiable et une amélioration continue.
La sécurité de l'IA agentique doit tenir compte de la possibilité que les systèmes de production et les sauvegardes deviennent tous deux des cibles, selon Ashish Ray, vice-président senior d'Oracle Database, gestion des produits chez Oracle. Des contrôles administratifs séparés et une ségrégation réseau protègent les actifs de récupération, tandis que l'appliance Zero Data Loss Recovery d'Oracle vérifie l'intégrité et la capacité de récupération des sauvegardes.
« Les données sauvegardées mais qui ne peuvent pas être validées sont celles de Schrödinger », a-t-il déclaré lors de l'événement. « Les données pourraient être sauvegardées, et vous ne pouvez pas vous reposer sur vos lauriers, car au moment où vous commencez à essayer de restaurer, de récupérer les données et de les utiliser, vous découvrirez peut-être que les données ne peuvent pas être utilisées parce qu’il y a peut-être eu des contrôles de validation sous-jacents, des corruptions sous-jacentes qui se sont produites. »
Les programmes de sécurité doivent également tenir compte du fait que les attaquants découvrent et exploitent les faiblesses plus rapidement que les utilisateurs ne peuvent tester, approuver et déployer des correctifs. La connaissance des défenseurs des actifs commerciaux critiques les aide à prioriser la protection et la remédiation, selon Zulfikar Ramzan, ancien directeur de la technologie et directeur numérique de RSA Security USA LLC.
« Apprenez continuellement de chaque incident qui se produit », a-t-il déclaré au CUBE. « Regardez ces quasi-accidents où vous avez réussi à vous en sortir, mais peut-être que vous n'auriez pas dû. Prenez cette contribution, prenez en compte ces informations (et) réinjectez-les régulièrement dans votre programme de sécurité. «
Voici l'interview vidéo complète avec Ashish Ray :
Pour en savoir plus sur la couverture par theCUBE de l'événement virtuel d'Oracle « Les cyberattaques IA s'intensifient : comment sécuriser vos données maintenant », voici notre playlist vidéo complète :
https://www.youtube.com/watch?v=videoseries
(* Divulgation : TheCUBE est un partenaire média payant pour l'événement virtuel d'Oracle « Les cyberattaques IA s'intensifient : comment sécuriser vos données maintenant ». Les sponsors de la couverture de l'événement theCUBE n'ont pas de contrôle éditorial sur le contenu de theCUBE ou SiliconANGLE.)
