Le tsunami de l’IA générative bouscule le monde de la Cyber Offensive

La première édition des rencontres du Clusif a été l’occasion d’aborder un thème relativement nouveau, celui de l’impact de l’IA générative dans la cybersécurité offensive.

L’IA s’est fait une place dans les outils de détection, dans les SOC depuis quelques années. Elle s’impose aussi dans les équipes de cybersécurité offensives. Elle est tout d’abord considérée comme un outil d’automatisation, comme l’a expliqué Hélène Chang, Offensive & Application Security Manager chez l’industriel Rexel : « nous menons une vingtaine de tests d'intrusion par an sur nos différentes entités. La cyber offensive est vraiment un sujet important. Notre CEO était chez Saint-Gobain lors de l’attaque NotPetya. Pour lui, c’est un sujet vraiment important et nous bénéficions d’un sponsorship important de notre direction sur ce sujet ».

Hélène Chang a notamment automatisé le processus de déchiffrement des hash de mot de passe : « c’était en 2023, au tout début d’Open.ai, quand un membre de mon équipe a dû partir en congé maladie et il était le seul à gérer ce volet dans notre service. Je n’avais pas une connaissance détaillée de ce qu’il faisait, je n’avais pas accès au serveur, mais comme nous faisons des pentests toute l’année, nous avons des deadlines à tenir tous les mois ».

La responsable s’est lancée dans un reverse engineering de la procédure habituellement suivie par son collaborateur et a expliqué à ChatGPT ce qu’elle souhaitait obtenir et comment l’automatiser : « je ne suis pas développeuse à la base et sans ChatGPT je ne me serais pas lancé dans cette automatisation, mais après plusieurs nuits de travail, nous avons pu automatiser ce processus. Aujourd’hui, celui-ci nécessite moins de maintenance ». Plus récemment, son équipe est restée bloquée plusieurs jours devant un antivirus. Avec l’IA, quelques heures plus tard, ils disposaient d’une solution qui a fonctionné.

Autre approche, celle de Sheldon Fresne, Product Owner - Offensive Cybersecurity dans une société agroalimentaire du CAC40 et, par ailleurs, co-animateur de l’espace OffSec du Clusif. Son périmètre couvre toutes les activités cyberdéfense dites préventives. De ce fait, son équipe assure la gestion des vulnérabilités, les pentests, les programmes de Bug Bounty et de RedTeaming : « la gestion des vulnérabilités est une activité de plus en plus tendance, malheureusement, avec la vulnérabilité qui tombe le vendredi à midi et à laquelle il faut donner une réponse avant 17h ou 18h. Ceux qui sont équipés des solutions de gestion des vulnérabilités classiques disposent de beaucoup d'informations, mais ils n'ont pas la finesse de ce qu’un attaquant dispose avec des méthodes offensives et qui est vraiment la meilleure méthode pour essayer d'évaluer la dangerosité d’une vulnérabilité ».

Pour Sheldon Fresne, l’IA a un rôle à jouer : « une personne qui fait de la gestion des vulnérabilités et qui n’est pas pentester est capable de vérifier si un code d’exploitation existe, et, s’il ne comprend pas la vulnérabilité, se la faire expliquer par l’IA. Il peut ensuite automatiser la remédiation à l’échelle » .D’une certaine manière, l’IA rapproche la gestion des vulnérabilités et l’offensif.

Hocine Mahtout Offensive Security Manager à la Caisse des Dépôts et co-animateur de l’espace OffSec du Clusif explique que si, au début, l’IA pouvait donner des conseils lors d’un test d'intrusion, ces propositions ont rapidement évolué vers le développement d’exploits complets : « je pense notamment à un outil assez connu pour faire de l’exploitation Active Directory, ImPacket et qui a été converti de Python vers le langage Go car l’ensemble des équipements défensifs s’appuyaient la signature de la version Python. Nous avons maintenant la possibilité de transposer des outils vers d’autres langages ».

Il évoque aussi de récents travaux qui montrent qu’il est possible, à travers un agent, de tester l’ensemble des méthodes de détection d’un EDR : « c’est très intéressant, car se livrer à un contournement d’EDR demande beaucoup de temps, c’est très fastidieux, il faut développer, compiler. L’agent fait désormais tout lui-même, détermine, par rapport à la littérature existante, ce qu’il peut faire ou pas. L’EDR qui était une boite noire jusqu’à aujourd’hui, ne l’est plus car un agent peut identifier ce qui va déclencher ou pas une alerte ».