Capital One partage un outil de sécurité

Tandis que les principaux fournisseurs d'intelligence artificielle générative, Anthropic en tête, se précipitent sur l'opportunité de la création de solutions de détection de failles de sécurité, Capital One présente sa propre incarnation du concept, dédiée à l'analyse et la correction du code logiciel, et la distribue sous licence libre.

Les vulnérabilités introduites dès la phase de développement des applications, qui ouvrent la plupart des portes qu'exploitent les cybercriminels, constituent une plaie depuis toujours mais l'irruption de l'IA dans le paysage, avec ses capacités à repérer ces défauts et à déterminer comment en tirer parti, très rapidement, démultiplie le danger et impose plus que jamais, surtout dans les secteurs sensibles tels que celui de la finance, de mettre en place des mesures de protection préemptives efficaces.

Comme tous leurs homologues, les responsables de Capital One savent que le problème est essentiellement dû à deux causes. D'une part, les personnes qui produisent le code applicatif sont rarement bien sensibilisées aux bonnes pratiques de sécurité… et la faiblesse risque de s'accroître avec le recours à des assistants IA dans ce métier. D'autre part, les mêmes sont aussi extrêmement réticents à respecter des protocoles de contrôle pénibles à exécuter et perçus comme une perte de temps.

La banque a donc mis le plus grand soin à élaborer un outil qui soit non seulement aussi peu rébarbatif que possible à prendre en main mais, au contraire, soit appréhendé, grâce à une expérience utilisateur optimale, comme incontournable et devienne un réflexe naturel. Une partie des efforts ont ainsi porté sur un aspect particulièrement pénible : les fausses alertes. Il est en effet extraordinairement frustrant de chercher à remédier à une anomalie dont il s'avère finalement qu'elle n'a pas de réalité.

Dans cette optique, VulnHunter (c'est son nom) comprend un module contradictoire spécifiquement consacré à la démonstration qu'une faille identifiée en amont n'est pas exploitable en pratique, par exemple en raison d'une hypothèse incorrecte, d'une carence dans le « raisonnement » logique, de conditions interdisant une attaque… Chaque alerte retournée par le premier moteur est passée au crible de ce deuxième étage et seules celles qui n'ont pu être écartées sont transmises au développeur.

Sur le plan méthodologique, les équipes de Capital One renversent également les habitudes. Leur système ne fonctionne pas via une approche classique de recherche de motifs connus d'erreur dans la programmation. Il adopte plutôt une position offensive, simulant le mode opératoire d'un adversaire et remontant à la source des failles trouvées. D'autre part, il ne se contente pas d'une analyse passive, VulnHunter sait aussi préconiser les remèdes à appliquer à chacune de ses découvertes.

Ce genre d'outil est aujourd'hui indispensable dans la panoplie des institutions financières (entre autres entreprises) et il ne s'agit pas d'un facteur de différenciation concurrentielle, ne serait-ce que parce qu'une attaque réussie sur n'importe quel acteur nuit à la confiance globale envers le secteur. C'est pourquoi Capital One met VulnHunter à la disposition de la communauté, à la fois pour le mettre en œuvre et l'enrichir. C'est probablement ce qui le distingue le plus clairement des offres des ténors de l'IA.