Sage : les premiers utilisateurs mettent à l’épreuve les agents d’IA de Sysdig

L’importance de l’humain dans la boucle

Le concept de Sage a également attiré un autre utilisateur de Sysdig, BigCommerce, un éditeur de solutions e-commerce basé à Austin, au Texas. BigCommerce s’est également engagé à participer au programme de disponibilité contrôlée de l’outil.

« C’est ce que l’IA aurait dû faire pour nous depuis le début », écrit Dan Holden, CISO chez BigCommerce, dans un commentaire public sur LinkedIn le 1er août. « Ce n’est pas une fonctionnalité de détection magique, mais elle permet d’améliorer et d’accélérer la capacité de réponse humaine ».

Jusqu’à présent, l’entreprise s’est concentrée sur l’utilisation de Sage pour évaluer et affiner les règles de sécurité personnalisées, selon Jordan Bodily, chef d’équipe d’ingénierie de la sécurité de l’infrastructure chez BigCommerce.

« Nous ne cherchons pas à supprimer tous les événements de Sysdig. Ce qui nous intéresse, c’est d’obtenir des événements personnalisés et de modifier les [cotes] de criticité en fonction de nos besoins », explique Jordan Bodily. « Dans notre cas, nous avons interagi avec Sage pour répondre à plusieurs questions : “Pourquoi y a-t-il eu un pic dans l’événement X ? Sage a-t-il des recommandations pour réduire la quantité d’un événement, par exemple en créant des exclusions pour ce que nous considérons comme normal ?” ».

En temps normal, selon l’intéressé, ce type de réglage fin nécessite de dupliquer une règle prête à l’emploi sous forme de template, puis de fouiller dans la documentation du moteur de politique open source Falco utilisé par Sysdig, et enfin de tester les changements apportés à la règle dupliquée pour s’assurer que la syntaxe est correcte.

« Pour moi, ce n’est pas un gros problème. Je suis un grand utilisateur de Sysdig et je suis à l’aise avec l’outil », déclare-t-il. « Cependant, il y a certainement des personnes qui n’interagissent pas quotidiennement avec ce logiciel, et c’est là que Sage nous fait gagner du temps et éviter les frustrations. »

Les ingénieurs moins expérimentés en matière de sécurité applicative pourront poser des questions à Sage pour mieux apprendre à utiliser Sysdig sans avoir besoin de faire intervenir des experts internes pour répondre à ces questions, selon Jordan Bodily et Cat Schwan.

« Cela nous aide vraiment à combler le fossé entre la sécurité et le DevOps », assure Cat Schwan. « [Sysdig Sage] nous a aidés à déterminer exactement ce que nous devons dire à notre équipe [d’infrastructure as code] quand un événement semble sortir de l’ordinaire ».

Aucun des premiers utilisateurs n’a encore fait appel à Sysdig Sage dans le cadre d’un scénario de réponse aux menaces. Mais les deux utilisateurs interrogés pensent que Sysdig Sage leur sera utile dans ce cas précis.

« Je m’attends à l’utiliser pour trier des événements » anticipe Jordan Bodily. « Nous l’avons exploité pour obtenir davantage d’informations sur certains événements afin d’identifier si une activité est normale ou si elle a déjà été enregistrée ».

Aborder les risques liés au LLM et aux agents

Le développement de Sysdig Sage intervient près de deux ans après l’engouement pour l’IA générative. Au cours des six derniers mois, cet enthousiasme a fait place à une certaine désillusion. Il n’est pas évident que les LLM tiennent leurs promesses initiales en matière de coût. Surtout, des risques continuent de peser sur la confidentialité des données, la sécurité, le respect des droits d’auteur et l’exactitude des contenus générés.

Les responsables de Sysdig déclarent que le LLM qui propulse Sage a été entraîné et testé à plusieurs reprises sur les données de sécurité des applications afin de garantir des résultats précis, mais que la société n’exploite pas les données des clients pour ce faire.

Sysdig teste aussi régulièrement des agents d’IA travaillant ensemble pour s’assurer qu’il n’y a pas d’hallucinations causées par les interactions entre les modèles d’IA, indique Loris Degioanni, cofondateur et directeur technique, dans un courriel adressé à la rédaction de TechTarget [propriétaire du MagIT].

« À ce jour, nous n’avons enregistré aucune diminution de la qualité ou de la précision », assure Loris Degioanni.

Dans certaines architectures d’agents d’IA, plusieurs LLM peuvent se transmettre des données, ce qui peut augmenter le risque d’hallucinations. Mais Sysdig Sage semble adopter une approche différente et moins risquée, estime Andy Thurai, analyste chez Constellation Research.

« Tout le monde finira par créer des agents virtuels personnalisés, ce qui pourrait mener à des scénarios où un bot communique avec un autre bot, chacun étant formé dans un contexte différent. Ils pourraient alors essayer de se tromper l’un l’autre, croyant avoir affaire à un humain, ce qui créerait une boucle infinie », anticipe-t-il. « Dans ce cas particulier [Sysdig], utilise un seul LLM entraîné avec des informations spécifiques au domaine et s’appuie sur des agents comme des extensions, qui accomplissent des tâches précises. L’éditeur utilise un mécanisme de raisonnement complexe et des prompts multiples (avec plusieurs exemples) ».

Les réponses de Sysdig Sage survolent parfois les sujets abordés par les usagers ou sont génériques, indique Cat Schwan. Mais l’agent s’est montré plus précis et a donné des réponses plus utiles que les chatbots grand public que l’ingénieure a pu tester.

« Est-il parfait à 1 000 % ? Non », admet Cat Schwan. « Je ne pense pas avoir expérimenté un LLM qui l’est pour l’instant ».

L’utilisation de l’IA nécessite toujours de la prudence, mais elle apparaît nécessaire. Les infrastructures cloud s’avèrent de plus en plus complexes. Elles génèrent plus d’événements et d’alertes que les humains ne peuvent en traiter. Compte tenu de cette nécessité, Sysdig n’est pas le seul à préparer ce type d’agents. Cisco et Splunk, Dynatrace ou encore Datadog ne sont jamais loin. Mais certains DSI qui utilisent principalement des applications cloud natives semblent préférer le CNAPP de Sysdig pour la rapidité de sa détection et de sa réponse aux menaces, en sus de l’exhaustivité de sa collecte de logs.

« Les temps de réponse sont essentiels dans la détection et la réponse aux menaces du cloud », considère Melinda Marks, analyste chez Enterprise Strategy Group de TechTarget. « L’impact [d’un incident] est souvent plus sévère lorsque le temps est plus long entre la détection, la réponse et la remédiation », ajoute-t-elle.

« Sysdig Sage est une bonne application de l’IA générative pour faire gagner du temps aux analystes et accélérer la réponse, car l’outil peut utiliser les traces en provenance d’eBPF et les informations contextuelles pour traiter et analyser les données plus rapidement que les humains », poursuit-elle.

Mieux associer les événements aux comptes admins

En plus d’une mise à jour de son collecteur de données basé sur eBPF censée améliorer les performances de détection, Sysdig a présenté la semaine dernière Cloud Identity Insights. Cette fonction relie les informations connues à propos des comptes d’utilisateurs aux événements afin de déterminer quelles entités au sein d’une infrastructure cloud ont effectué certains changements. Cela aiderait, entre autres, à repérer les escalades de privilège, ce qui est généralement signe d’une intrusion.

« En tant qu’équipe de sécurité, nous sommes parfois confrontés à des difficultés parce que tout notre environnement est [basé sur HashiCorp] Terraform. Nous pouvons donc recevoir une alerte indiquant qu’un compte de service fait quelque chose [mais] quelqu’un pourrait se faire passer pour un compte de service dans [Google Cloud Platform] », illustre Cat Schwan. « Je pense qu’il s’agit d’un outil puissant pour savoir qui a lancé telle ou telle commande au sein d’un conteneur ».