CERT-In Recommends 12-Hour Patching for Internet-Facing Flaws Amid AI-Assisted Attacks

Urgence cyber : Nouvelles directives du CERT-In face aux menaces boostées par l’IA

Le CERT-In (Inde) a publié un guide de 38 pages alertant sur l’utilisation croissante de l’IA par les cybercriminels pour automatiser la découverte et l’exploitation des failles. Cette accélération des attaques nécessite une réponse opérationnelle drastique pour réduire la fenêtre d’exposition des systèmes.

Points clés :

• Automatisation des menaces : L’IA permet aux attaquants de compresser les délais de préparation, de générer des malwares et de créer des contenus de phishing convaincants.
• Risques spécifiques à l’IA : Les modèles eux-mêmes sont vulnérables (empoisonnement de données, injections de prompt, détournement de modèle, vol de données).
• Réduction des délais de patching : Le CERT-In impose désormais une gestion des correctifs basée sur le risque et l’exposition.

Calendrier de remédiation recommandé :

• Vulnérabilités critiques exposées sur Internet : 12 heures (si réalisable) ou 1 jour.
• Vulnérabilités exploitées connues (systèmes internes) : 1 jour.
• Vulnérabilités critiques (systèmes internes à haute valeur) : 3 jours.
• Vulnérabilités de haute sévérité : 5 jours.

Recommandations stratégiques :

• Défense proactive : Adopter une approche “Zero Trust” (vérification continue, moindre privilège) et une stratégie de défense en profondeur.
• Sécurisation par la conception : Intégrer la sécurité dès la phase de développement et surveiller étroitement les flux de travail liés à l’IA.
• Gestion de la chaîne d’approvisionnement : Utiliser des SBOM (Software Bill of Materials) et valider la provenance des composants tiers.
• Atténuations temporaires : En l’absence de correctif immédiat, isoler les systèmes, restreindre les accès ou activer des protections WAF/API renforcées.
• Gouvernance : Établir des mécanismes formels pour l’usage de l’IA en entreprise et maintenir une visibilité constante sur les comportements opérationnels des systèmes.

Note : L’article ne mentionne pas de CVE spécifiques, se concentrant sur une approche méthodologique globale de gestion des risques face à l’accélération des cycles d’exploitation.

Source