Analyse d'applications Web distribuées dans le cloud F5 : Protection des applications Web basées sur l'IA

Alors que intelligence artificielle (IA) continue de révolutionner le fonctionnement des entreprises, son intégration dans les applications Web – via de grands modèles de langage (LLM) alimentant les services basés sur l’IA – est devenue de plus en plus courante. Et cette innovation s’accompagne de risques supplémentaires sous la forme de nouveaux services et vulnérabilités basés sur l’IA, mettant en péril de nouveaux services critiques, des données plus sensibles, la fiabilité globale des applications et des entreprises, et en fin de compte la confiance des utilisateurs.

Des mesures de sécurité étendues sont essentielles et F5 Distributed Cloud Web App Scanning répond à ce besoin. Solution de sécurité intelligente application Web, Distributed Cloud Web App Scanning est conçue pour aider les organisations à relever les défis en constante évolution de la protection des applications Web modernes basées sur l'IA. Avec des fonctionnalités de pointe, notamment la cartographie de la surface d'attaque externe du domaine d'une organisation associée à la fonctionnalité de test de sécurité des application dynamiques (DAST) et à une suite complète pour tester les composants d'IA par rapport aux risques du Top 10 OWASP pour les grands modèles de langage (LLM), ce service offre une détection robuste et continue des vulnérabilités des applications Web modernes.

Ce blog explore pourquoi l'adoption de ce service est indispensable pour les organisations intégrant l'IA et les LLM dans leurs applications Web, les vulnérabilités identifiées par Distributed Cloud Web App Scanning et le fonctionnement du service.

Les systèmes d'IA, en particulier les LLM, sont puissants mais intrinsèquement complexes, et leur introduction dans les applications Web ajoute une nouvelle couche de risque sous la forme de nouvelles vulnérabilités et attaques dont il faut se soucier, notamment :

• Attaques par injection rapide : Les acteurs malveillants créent des entrées qui manipulent le LLM pour exécuter des actions inattendues, telles que la génération de sorties non autorisées.
• Fuite de données : Les LLM s’appuient souvent sur de vastes ensembles de données pour fonctionner et, sans mesures de protection appropriées, ils peuvent divulguer par inadvertance des données sensibles fournies lors de la formation ou de leurs interactions.
• Script intersite (XSS) : Les attaquants injectent des scripts malveillants dans les entrées activées par l'IA, compromettant l' application, les sorties et potentiellement ses utilisateurs.
• Modèles d'hallucinations : Les LLM peuvent générer des résultats contextuellement inappropriés ou inexacts qui peuvent nuire à la confiance des utilisateurs et introduire des problèmes juridiques ou de conformité.

L'analyse des applications Web Cloud distribuées ne se contente pas de détecter ces problèmes ; elle propose également des conseils de correction. Grâce à un assistant IA qui permet de mieux comprendre chaque vulnérabilité et de fournir des recommandations exploitables, les organisations peuvent garantir que leurs applications Web sont protégées et disponibles et que la confiance des utilisateurs reste intacte.

Le processus de découverte et de test des LLM au sein applications Web modernes basées sur l'IA commence par un processus automatisé en quatre étapes qui garantit une couverture complète :

1. Reconnaissance: Le service d'analyse d'applications Web interagit d'abord avec tout domaine externe, pour détecter et cartographier l'ensemble de l'application Web, ses sous-domaines et l'infrastructure de support, y compris les services intégrés LLM exposés.
2. Identification: Une fois la présence d'un LLM détectée, le service exécute un algorithme d'empreinte digitale pour identifier les modèles spécifiques utilisés, par exemple, Mistral 7B Instruct ou d'autres modèles largement adoptés, dont plus de 150 LLM populaires dans l'industrie.
3. Essai: Après la cartographie initiale, viennent les tests de pénétration automatisés qui incluent une large suite de tests des menaces spécifiques aux applications Web OWASP et LLM Top 10. En s'appuyant sur des cadres de test de pointe tels que garak de NVIDIA et PyRIT de Microsoft, le service simule des attaques adverses pour découvrir des problèmes de sécurité critiques, notamment des attaques par injection rapide, des fuites de données via des vulnérabilités de relais et de relais répétés, des scripts intersites (XSS), des sondes de mots-clés et des hallucinations de modèles, des allégations trompeuses, et bien plus encore.
4. Rapports : L'analyse et le test génèrent un rapport de test de pénétration complet et détaillé, qui met en évidence toutes les vulnérabilités trouvées dans les listes Top 10 des application LLM et Web. Ce rapport comprend des conseils de correction exploitables, avec des vidéos et des captures d'écran de l'ensemble du test et des vulnérabilités avec des informations contextuelles qui permettent aux organisations de traiter facilement toutes les vulnérabilités identifiées pour protéger leurs applications Web modernes basées sur l'IA.