What Security Teams Can Do To Tame Wild Code

Maîtriser le “Wild Code” : Gérer l’automatisation et l’IA en entreprise

L’essor des outils d’IA et d’automatisation permet aux employés de créer rapidement des flux de travail autonomes, créant un phénomène de « code sauvage » (wild code) échappant souvent à la gouvernance informatique. Ce déploiement rapide pose des risques opérationnels et de sécurité majeurs dès lors que ces outils deviennent des dépendances critiques sans supervision adéquate.

Points clés des risques identifiés

• Permissions excessives : Les flux utilisent des identités dotées de privilèges trop larges par rapport à leurs besoins réels.
• Exposition de données sensibles : Fuite d’informations vers des agents non autorisés, des logs ou des modèles d’IA.
• Actions non intentionnelles : Absence de limites (boundaries) pour empêcher une automatisation d’effectuer des modifications critiques sans approbation.
• Accès orphelins : Flux continuant de s’exécuter après le départ ou le changement de poste du créateur, sans suivi des droits.
• Déficit d’audit : Incapacité à retracer les actions effectuées, les données consultées ou l’identité utilisée en cas d’incident.

Note : L’article traite de risques méthodologiques et structurels ; aucune vulnérabilité spécifique associée à un identifiant CVE n’est mentionnée, car la menace réside dans l’usage et la configuration des outils plutôt que dans des failles logicielles documentées.

Recommandations pour une gouvernance efficace

• Gouvernance continue : Définir les accès et les sources de données avant le déploiement et maintenir ces contrôles durant tout le cycle de vie du flux (ne pas se limiter au stade du test).
• Le chemin de moindre résistance : Proposer des environnements de construction sécurisés et « approuvés » qui sont plus simples à utiliser que les solutions détournées. Si la voie officielle est trop complexe, les employés privilégieront les contournements.
• Intégration de la sécurité dès la conception :
  • Identité : Associer chaque flux à un propriétaire responsable et à une identité d’exécution spécifique.
  • Traçabilité : Enregistrer les actions de manière auditable.
  • Mécanismes d’intervention : Prévoir des protocoles clairs pour suspendre un flux ou révoquer ses accès instantanément en cas d’anomalie.
• Approche structurelle plutôt qu’éducative : Ne pas se reposer uniquement sur la formation ou les comités de pilotage. La sécurité doit être intégrée techniquement dans l’environnement d’exécution via des contraintes logicielles (injections de secrets à l’exécution, isolation des étapes, etc.).

Source