L’IA de pointe a révolutionné la manière dont les logiciels sont testés. Elle permet aux équipes de sécurité d’analyser davantage de code, d’explorer davantage de vecteurs d’attaque et d’identifier plus rapidement les failles exploitables. Parallèlement, les acteurs malveillants utilisent eux aussi l’IA de pointe pour détecter et exploiter les vulnérabilités plus rapidement que jamais.
Le programme de gestion des vulnérabilités de Commvault s’appuie sur toute une gamme de modèles d’IA de pointe, et nous soumettons chaque découverte à un processus rigoureux de validation, de hiérarchisation et de correction.
Les normes en matière de tests ont évolué grâce aux partenariats dans le domaine de l’IA
La participation de Commvault au projet Glasswing d’Anthropic nous a permis d’étendre notre utilisation des modèles d’IA de pointe afin d’intégrer Claude Mythos 5.1 à notre gestion des vulnérabilités.
De plus, Commvault s’est associé à NVIDIA lorsque cette entreprise spécialisée dans l’IA a fondé l’Open Secure AI Alliance afin de développer des outils de sécurité open source pour les modèles, les agents et l’infrastructure d’IA.
Ces partenariats remplissent deux fonctions. Glasswing élargit l’éventail des modèles que nous pouvons utiliser pour détecter les vulnérabilités dans notre code. L’Alliance fournit aux responsables de la sécurité des outils ouverts qu’ils peuvent inspecter, adapter et exécuter sur leur propre infrastructure. Aucun des deux ne remplace le processus. Quels que soient les résultats des modèles, un cadre de gouvernance unique détermine la suite des opérations.
Ce que nous faisons chez Commvault
Nous traitons les vulnérabilités détectées par notre IA de pointe de la même manière que n’importe quelle autre vulnérabilité : des experts en sécurité et des ingénieurs valident chaque découverte, nous la corrigeons via un processus de développement renforcé, et nous ne la divulguons qu’une fois la correction mise en place.
Les résultats obtenus jusqu’à présent confirment notre hypothèse : la découverte de problèmes réels et exploitables que les outils existants n’avaient pas mis en évidence – et que nous pouvons désormais corriger.
Ce que nous apprenons
La détection n’est plus la partie la plus difficile. C’est la mise en œuvre des mesures correctives qui l’est.
Lorsque l’IA met en évidence davantage de vulnérabilités plus rapidement, la question est de savoir si les organisations sont capables de trier, de hiérarchiser et de corriger ces vulnérabilités à un rythme suffisant. Découvrir davantage de failles sans être en mesure de les corriger rapidement peut vous exposer davantage, et non l’inverse. Nous visons donc à associer chaque investissement dans la détection à un investissement équivalent dans la réponse : tri basé sur les risques, délais de correction cohérents et processus de divulgation coordonné.
Les contrôles qui garantissent la sécurité
Nous réalisons des analyses assistées par IA sur du matériel isolé ou au sein d’une infrastructure cloud isolée, avec des chemins « air-gapped » pour les modèles open source.
Nos ingénieurs vérifient que chaque résultat généré par l’IA correspond bien à une véritable vulnérabilité en le testant dans un environnement client représentatif avant de mettre en œuvre toute correction. La gravité dépend de l’exposition, de l’exploitabilité et de l’impact – et non de la manière dont nous avons détecté la faille. L’analyse statique, les tests de fuzz, la révision manuelle et les tests d’intrusion réalisés par des tiers restent en place. L’IA apporte une couverture plus approfondie.
Le bilan
Commvault dispose d’un processus de gestion des vulnérabilités suffisamment rigoureux pour répondre à tout ce que l’IA de pointe met en évidence – à grande échelle, de manière cohérente et sans lacunes. C’est ainsi que nous développons notre activité, et c’est ainsi que nous protégeons la vôtre.
Pour en savoir plus, rendez-vous sur leCommvault Trust Center.Bill O’Connell est directeur de la sécurité chez Commvault.
