IA et slopsquatting : les néo-développeurs confrontés aux enjeux de cybersécurité
Tandis que certain·es se reposent de plus en plus sur l'IA pour développer, sans se méfier de ses hallucinations, d'autres exploitent les failles de cette technologie pour faire passer en douce du code malveillant. Focus sur le slopsquatting, ce nouveau risque de cybersécurité.
Dans le monde des développeurs·ses Web, les éditeurs de code se sont mis assez tôt à intégrer les modèles de langage artificiel. Avec pour objectif de réduire le nombre de développeurs·ses, faire des économies et booster la productivité. Certains parlent même de "vibecoding", une expression désignant le fait de travailler en binôme avec l'intelligence artificielle.
Rien de plus facile que de lui envoyer un prompt pour créer une application, un service puis une page, ou de corriger un bug. Dans ce contexte, les développeurs·ses seraient-ils·elles devenu·es des machines à transposer en langage naturel les besoins de chef·fes de projets, ou à copier-coller des erreurs à ChatGPT et autres IAs ? Sauf que quand celles-ci hallucinent, ou se font manipuler, il y a de quoi regretter de s'être fié·e à cette technologie.
Le slopsquatting : quand les failles de l'IA sont exploitées à des fins malveillantes
Pour commencer, il faut prendre conscience d'une chose : les intelligences artificielles n'aiment pas... ne pas savoir. Alors, même quand elles ne connaissent pas la réponse à une question, elles s'arrangent toujours pour en proposer une. Quand elles ne dénichent aucun élément correspondant à la requête, ou qu'elles l'ont mal interprétée, il leur arrive d'halluciner. Autrement dit, d'inventer purement et simplement des noms de fonctions, des noms de colonnes en bases de données, voire même des librairies.
Pour éviter de réinventer la roue, la communauté des développeurs·ses a créé des briques réutilisables nommées librairies. Par exemple, il existe une librairie pour remplir des formulaires avec des fausses données pour accélérer le temps de test.
Bonne volonté... et hallucinations
Imaginons qu'une développeur·se se réveille un matin en se disant : "Et si j'utilisais l'intelligence artificielle pour créer un concurrent de ChatGPT, afin de diriger le monde ?"
Imaginons maintenant que ChatGPT lui réponde : "C''est très simple : commençons par installer la librairie qu'il vous faut" :
npm install @jedirigelemonde/ia-generator-one-week
Sauf que...
L'utilisateur·rice se rend vite compte que la librairie n'existe pas. Mais l'intelligence artificielle est conçue pour relancer l'échange. De quoi donner envie de réessayer une nouvelle fois, puis encore une...
Devant tant de bonne volonté, avec autant de serveurs qui tournent pour proposer une solution, ce serait dommage de s'arrêter là. Pourtant, rien ne garantit que ces efforts finissent par payer.
Pour se faire une idée de l'ampleur du phénomène des hallucinations, des chercheurs·ses ont réalisé quelques tests :
Le malheur des un·es fait le bonheur des autres
Certain·es ont le don de voir des opportunités là où d'autres s'arrachent les cheveux (en essayant de faire comprendre à l'IA que le code fourni ne fonctionne pas).
Il existe des individus qui créent en open source des noms de librairies correspondant aux hallucinations de l'IA. Quoi de plus satisfaisant que de rendre heureuse une intelligence artificielle désespérément en quête de réponses ? Au passage, ils·elles insèrent discrètement quelques lignes de codes malveillantes pour miner du Bitcoin, cyber-attaquer des serveurs gouvernementaux...
Et c'est ainsi que le slopsquatting a fait son apparition, profitant des lacunes des IAs qui se voudraient omniscientes. Avec leurs solutions (empoisonnées), des petit·es malin·es font d'une pierre deux coups : ils satisfont des utilisateurs·rices pas trop regardant·es, et pallient le manque de connaissances des intelligences artificielles avec des cadeaux piégés.
- ❌ 0% publicité
- 🫀 100% du contenu écrit par un·e humain·e
- ✏️ Le dessin du mois réalisé par le dessinateur Théo Schulthess
- 💡 Le meilleur du numérique responsable
Voici 3 solutions (l'une d'entre elles est radicale !)
- Lire le code et au bout de 2 erreurs de l'IA, se mettre réellement au travail.
- Utiliser des outils d'analyse de code malveillant. Le moteur de recherche de Socket permet de faire une pré-analyse des libraires.
- Arrêter de coder avec des IA.
Références :
- Arxiv (Cornell University) - We Have a Package for You! A Comprehensive Analysis of Package Hallucinations by Code Generating LLMs
- Socket
[Visuel de couverture : montage réalisé à partir d'une photo de Jefferson Santos]
Soutenez-nous en partageant l'article :
