« Les RSSI devraient exiger une couche de pertinence de sécurité dans leur modélisation des risques, un cadre structuré qui exige que chaque résultat généré par l’IA passe une vérification automatisée, y compris une validation dynamique de preuve de concept et un filtrage puissant des faux positifs, avant qu’il ne parvienne à un analyste humain », a déclaré Datta.
Ces contrôles devraient également couvrir la divulgation, en particulier lorsque les outils d’IA identifient des failles dans des composants open source tiers que l’entreprise ne contrôle pas, a déclaré Datta. Les organisations ont besoin de chemins d’escalade prédéfinis, de délais de notification et d’attributions de rôles qui prennent effet une fois qu’un problème confirmé est détecté dans une dépendance externe.
« La divulgation ponctuelle dans un environnement accéléré par l’IA n’est pas seulement une lacune dans le processus ; c’est un handicap », a déclaré Datta. « Faire confiance à l’IA dans le pipeline de production nécessite une auditabilité vérifiable : les organisations doivent être capables de retracer pourquoi l’IA a signalé une ligne de code, comment elle a validé l’exploit et comment elle a déterminé que le correctif ne briserait pas les systèmes de production en aval. »
