Synthetic APTs: the Collapse of TTP-Based Attribution
Cet article soutient que l'émulation d'adversaires pilotée par l'IA démontre comment la capacité des agents à adapter et à instrumentaliser dynamiquement les outils de défense mine l'reliance traditionnelle aux tactiques, techniques et procédures (TTP) statiques pour attribuer les cyberattaques à des acteurs de menaces spécifiques, effondrant ainsi la barrière permettant à des individus d'opérer avec des capacités de niveau étatique.
Article original placé dans le domaine public sous CC0 1.0 (http://creativecommons.org/publicdomain/zero/1.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
L'idée principale : Le problème du « Masque Numérique »
Imaginez que vous êtes un détective essayant d'attraper un voleur. Par le passé, vous pouviez identifier le voleur grâce à sa signature : peut-être qu'il utilisait toujours un pied-de-biche rouge, qu'il forçait toujours les serrures par le côté gauche, et qu'il laissait toujours un type spécifique de boue sur le sol. Dans le monde cyber, ces signatures sont appelées TTP (Tactiques, Techniques et Procédures). Si vous voyez un hacker utiliser le « Pied-de-biche Rouge n°41 », vous savez qu'il s'agit du « Groupe A ».
Cet article soutient que l'Intelligence Artificielle (IA) est sur le point de briser ce système.
Les chercheurs ont construit un terrain de jeu numérique (un « cyber range ») et ont programmé des agents d'IA pour qu'ils agissent comme cinq différents groupes de hackers célèbres (comme APT28, APT29, Lazarus, etc.). Ils ont ensuite observé ces hackers d'IA combattre des défenseurs d'IA.
Le résultat choc : Même si les agents d'IA avaient reçu l'ordre d'agir comme des groupes différents, ils ont tous commencé l'attaque de la même manière exacte. Ils ont utilisé les mêmes outils, les mêmes méthodes de scan et les mêmes points d'entrée. C'était comme si cinq personnes différentes, portant des masques différents, entraient toutes dans une banque par la même porte dérobée, en utilisant la même clé et en laissant exactement la même empreinte.
Parce qu'ils se ressemblaient tous au début, un détective humain (ou un ordinateur) ne peut plus dire : « Oh, c'est certainement le Groupe A. » L'« empreinte digitale » a été brouillée.
L'expérience : Un « Wargame » numérique
Les chercheurs ont mis en place deux « champs de bataille » différents pour tester cela :
- L'« Immeuble de bureaux » (Réseau d'entreprise) : Un réseau d'entreprise standard avec 20 ordinateurs. C'était relativement ouvert, comme un bâtiment avec des portes latérales non verrouillées.
- La « Forteresse » (Infrastructure militaire) : Un réseau hautement sécurisé avec deux organisations distinctes, des pare-feu lourds et des zones de sécurité strictes. C'était comme une forteresse avec plusieurs couches de portes.
Ils ont mené 20 batailles au total. Dans chaque bataille, un attaquant d'IA (se faisant passer pour l'un des 5 groupes de hackers) tentait de s'introduire, tandis qu'un défenseur d'IA tentait de l'arrêter.
Les résultats : Une division parfaite
Le dénouement était incroyablement prévisible, peu importe le « groupe de hackers » que l'IA simulait :
- Dans l'Immeuble de bureaux : Les attaquants d'IA ont toujours gagné. Ils se sont introduits et ont pris le contrôle d'ordinateurs (entre 2 et 12 d'entre eux).
- Dans la Forteresse : Les défenseurs d'IA ont toujours gagné (ou le combat s'est terminé par un match nul). Les attaquants n'ont pas pu franchir la porte principale.
La leçon : Peu importait que l'IA se fasse passer pour un espion russe, un voleur nord-coréen ou un hacker chinois. La configuration du bâtiment (la conception du réseau) importait bien plus que la « personnalité » de l'attaquant. Si les portes étaient faibles, l'IA s'introduisait. Si les murs étaient solides, l'IA échouait.
Le « Tour de magie » qui a brisé l'attribution
La partie la plus intéressante de l'étude s'est produite lors des batailles dans l'« Immeuble de bureaux ».
Les chercheurs s'attendaient à ce que l'IA simulant le « Groupe A » utilise les outils spéciaux du « Groupe A », et que le « Groupe B » utilise les outils du « Groupe B ». Au lieu de cela, tous les attaquants d'IA ont découvert le même tour de magie de manière indépendante.
Ils ont découvert que les défenseurs avaient laissé un outil de gestion (appelé Velociraptor) traîner avec un mot de passe par défaut.
- Les attaquants d'IA ne se sont pas contentés de pirater les ordinateurs ; ils ont détourné l'outil de sécurité du défenseur.
- Ils ont transformé la caméra de sécurité du défenseur en leur propre télécommande (Command and Control).
- Ils ont utilisé cet outil de confiance pour se déplacer dans le réseau, invisibles pour les autres alarmes de sécurité.
L'analogie : Imaginez un cambrioleur qui s'introduit dans une maison. Au lieu de crocheter la serrure, il trouve la clé de secours du propriétaire cachée sous le paillasson. Pire encore, il trouve le manuel du système de sécurité du propriétaire, utilise le propre code de sécurité du propriétaire pour déverrouiller la porte d'entrée, et utilise la propre caméra de sécurité du propriétaire pour surveiller l'arrivée de la police.
Pourquoi c'est important : Ce tour de magie ne figurait pas dans les « playbooks » (manuels de stratégie) des groupes de hackers spécifiques. C'était un nouveau comportement partagé que tous les agents d'IA ont inventé d'eux-mêmes parce qu'ils utilisaient le même cerveau d'IA sous-jacent. Comme ils faisaient tous exactement la même chose, vous ne pouviez pas savoir quel « groupe » était responsable.
Les trois principales conclusions
Le « Début » est le même pour tout le monde :
Lorsque les agents d'IA commencent une attaque, ils font tous les mêmes actions de base d'abord (scan du réseau, supposition de mots de passe). Ils ne commencent à agir différemment que plus tard dans l'attaque, s'ils parviennent à s'enfoncer suffisamment profondément. Mais d'ici là, ils ont déjà laissé une empreinte générique qui ressemble à celle de tout le monde.L'« Empreinte digitale » s'efface :
Par le passé, si vous voyiez une technique de piratage spécifique, vous pouviez dire : « C'est certainement le groupe Lazarus. » Maintenant, si vous voyez cette technique, vous ne pouvez pas en être sûr. Cela pourrait être le groupe Lazarus, ou pourrait être un autre groupe utilisant une IA qui vient simplement de découvrir que c'est la meilleure façon de procéder. La « signature » n'est plus unique.Le bâtiment compte plus que le cambrioleur :
L'étude a révélé que la conception du réseau (la façon dont les ordinateurs sont connectés et protégés) était la seule chose qui déterminait le vainqueur.- Si le réseau était faible (Bureau), l'IA gagnait à chaque fois, quelle que soit l'intelligence du défenseur.
- Si le réseau était fort (Forteresse), l'IA perdait à chaque fois, même si l'attaquant utilisait le modèle d'IA le plus puissant disponible.
- Idée clé : Un défenseur d'IA plus petit et moins coûteux pouvait faire tout aussi bien qu'un énorme et coûteux modèle, si le réseau était construit de manière sécurisée.
Conclusion : Qu'est-ce que cela signifie ?
L'article conclut que nous entrons dans une ère où l'attribution est brisée.
Par le passé, nous pouvions identifier un cyber-attaquant par son « style ». Aujourd'hui, parce que l'IA peut être programmée pour agir comme n'importe qui, et parce que l'IA a tendance à trouver les mêmes « meilleures » solutions aux problèmes, les différents attaquants commenceront à se ressembler.
Si un acteur malveillant veut faire accuser un autre pays pour une cyberattaque, il peut simplement dire à une IA d'« agir comme le Groupe X ». L'IA produira probablement exactement la même « empreinte » que le véritable Groupe X, rendant impossible de savoir qui est réellement derrière l'attaque.
Le dernier avertissement de l'article : Nous ne pouvons plus compter sur le « style » pour attraper les cybercriminels. Nous devons compter sur des murs de réseau plus solides (segmentation) et une meilleure hygiène de sécurité (comme changer les mots de passe par défaut), car les « empreintes numériques » ne sont plus fiables.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.