[TRIBUNE de Anne Cutler, KEEPER SECURITY] Le nouvel agent IA Muse de Meta, comme d'autres assistants autonomes, demande parfois aux utilisateurs leurs identifiants pour se connecter à leurs comptes et effectuer des tâches à leur place. Amazon a récemment bloqué l'accès de Muse à son site, après avoir demandé sans succès à Meta de retirer volontairement Amazon.com du périmètre d'action de son agent. Anne Cutler, experte en cybersécurité chez Keeper Security, alerte sur ce point.
Confier ses identifiants de connexion à une IA tierce introduit un risque inutile et incontrôlable, quand bien même l'entreprise affirme les stocker dans un espace sécurisé.
Ainis, les agents IA autonomes, tels que Muse de Meta, promettent un niveau de confort inédit en se chargeant des tâches quotidiennes à notre place. Cependant, lorsqu’un bot (*) IA demande des identifiants de compte pour se connecter à des sites web, il franchit une limite critique en matière de sécurité personnelle.
La décision d’Amazon et d’autres d’empêcher le bot de Meta d’effectuer des achats pour le compte des clients met en évidence l’enjeu qui va bine au-delà de sites marchands : confier des identifiants de connexion à une IA tierce introduit un risque inutile et incontrôlable.
Les entreprises peuvent affirmer que ces identifiants sont stockés dans un espace sécurisé auquel le bot n’a pas accès. Mais le fait de partager des mots de passe avec un intermédiaire crée des vulnérabilités importantes.
A ce niveau, les bases de données intermédiaires, les bots fondés sur navigateur et les jetons de session peuvent être compromis. Si un service d’IA ou son infrastructure de stockage est piratée ou si un bot est manipulé par injection de commandes, les comptes personnels, les moyens de paiement et les données privées peuvent être exposés.
Utiliser des identifiants forts et uniques
Les utilisateurs et les industriels doivent donc prendre des mesures proactives pour protéger leurs identités numériques à mesure que les outils d’IA se généralisent : ne jamais partager des mots de passe avec des agents IA, ne pas saisir, coller ou enregistrer des identifiants de compte dans une invite d’IA ou l’interface d’un bot tiers.
Face à cette situation, pour n'importe quel système, il faut protégez chaque compte à l’aide d’un mot de passe ou d’une clé d’accès complexe et généré aléatoirement, stocké dans un gestionnaire de mots de passe Zero Knowledge plutôt que dans le stockage non chiffré du navigateur.
Il est aussi esentiel d'activez l’authentification multifactorielle (MFA) sur tous les comptes personnels. La MFA constitue à ce niveau une protection essentielle, garantissant qu’un bot ou un pirate ne puisse pas se connecter sans une autorisation explicite et en temps réel.
La commodité ne doit jamais se faire au détriment de la sécurité. Tant qu’il n’existe pas de cadres de délégation sécurisés et normalisés pour les agents IA, le maintien d’un contrôle strict et personnel des identifiants reste la meilleure des protections.
(*) Un bot est une application logicielle automatisée qui exécute des tâches répétitives sur un réseau. Il suit des instructions spécifiques pour imiter le comportement humain et peut également fonctionner de manière autonome sans intervention humaine.
