Last updated:
L'utilisation non autorisée de modèles d'IA, d'agents ou d'outils par les employés sans l'approbation du service informatique crée des vulnérabilités de sécurité cachées dues à des fuites de données et à des actions autonomes non autorisées.
Le Shadow AI représente une évolution majeure du « Shadow IT ». Alors que le Shadow IT traditionnel impliquait des applications SaaS non approuvées (créant des silos de données), le Shadow AI introduit des risques actifs : la fuite de données propriétaires vers des ensembles d’entraînement de modèles publics et le déploiement d’agents autonomes qui exécutent des actions en dehors de la gouvernance d’entreprise. Une gestion efficace exige une détection au niveau du réseau (surveillance du trafic API vers des fournisseurs d’IA connus), la sensibilisation des collaborateurs et la mise à disposition d’alternatives approuvées et sécurisées plutôt qu’un blocage généralisé.
Real world example:
Une équipe d’ingénierie logicielle utilise un assistant de codage gratuit et public pour déboguer un algorithme propriétaire. Elle colle du code source sensible dans la fenêtre d’invite, sans savoir que les conditions d’utilisation de l’outil autorisent le fournisseur à exploiter les entrées pour l’entraînement du modèle. Le code propriétaire est intégré au modèle public, ce qui peut permettre à des concurrents de reproduire l’algorithme ou exposer des vulnérabilités de sécurité à un public plus large.
