Après l’enquête de 404 Media sur le virage IA de l’entreprise, Proton explique dans un billet de blog comment la société protège ses données et assure qu’un humain valide chaque modification de code.
Il y a quelques semaines, 404 Media partageait des informations ayant fuité par un employé de Proton sur le changement de stratégie en interne. L’entreprise suisse entend miser plus que jamais sur l’IA, au risque de soulever plusieurs craintes, tant en interne que chez les utilisateurs. Dans un billet de blog, l’éditeur explique comment il sécurise ses services tout en utilisant l’IA pour se défendre.
Un SIEM, des clés physiques et un humain à chaque validation
Proton s’appuie sur un SIEM (Security Information and Event Management). Cet outil enregistre toutes les actions réalisées dans le périmètre de sécurité, qu’elles viennent d’un salarié ou d’un agent IA, c’est-à-dire un programme capable d’agir seul. Des analystes humains traitent chaque alerte suspecte. Seuls les appareils autorisés accèdent aux systèmes internes, et l’autorisation passe par des jetons physiques (des clés de sécurité matérielles) qu’une IA ne peut pas manipuler seule. Les serveurs et les ordinateurs portables sont aussi surveillés pour repérer des indicateurs de compromission, c’est-à-dire des traces d’intrusion.
Pour Proton, l’IA est aussi un outil de défense, et le seul qui permette de tenir. Des attaques qui demandaient autrefois les moyens d’un État sont désormais à la portée de presque n’importe qui. Or un attaquant n’a besoin que d’une faille, alors qu’un défenseur doit toutes les fermer. Le billet cite trois usages.
- Des relecteurs automatiques repèrent des défauts avant qu’une modification soit fusionnée dans le code principal, en plus des relecteurs humains.
- Des analyses continues cherchent des vulnérabilités dans le code de Proton, avec des modèles maison et des modèles « cyber » non publics d’OpenAI et d’Anthropic. Ces modèles ne reçoivent que du code source et des informations sur les menaces, jamais de contenu client.
- Enfin, des outils internes aident une équipe d’analystes à surveiller une surface d’attaque devenue trop vaste pour des humains seuls. Ce sont ensuite eux qui enquêtent sur les signaux remontés.
À ce jour, chaque modification doit être approuvée par un humain. Proton admet qu’aucune entreprise ne peut supprimer tous les risques et promet qu’une personne restera responsable de chaque changement mis en production.
Proton freine son élan
Mais au-delà des mécanismes purement techniques, il y a bien sûr les équipes et leur adoption de l’IA en interne. Nous rapportions fin octobre que Proton avait prévenu ses salariés d’entretiens sur leur usage de l'IA, puis assuré sur Reddit que cette technologie n’était pas un prétexte à des licenciements. L’enquête reposait également sur des messages Slack, des enregistrements de réunions et les témoignages de huit salariés. En réunion, le directeur technique, Bart Butler, aurait déclaré que 90% du code de Proton était écrit par IA. Plusieurs salariés disent qu’une bonne partie vient de Claude, le modèle d’Anthropic.
Par ailleurs, le manifeste interne publié par le directeur technique Bart Butler expliquait vouloir qu’une grande partie du code soit relue par des IA et non plus par des humains. Plusieurs salariés auraient été encouragés à travailler plus rapidement et affirmaient aussi ne pas oser évoquer leurs inquiétudes sur le degré de sécurité, par crainte de représailles.
Les fuites internes semblent donc avoir freiné l’élan initial de Proton sur un développement presqu’entièrement géré par une IA, avec des garde-fous humains et une sécurité toujours sous contrôle. Il faut dire que la communauté, elle aussi, a largement fait savoir qu’elle n’appréciait pas ce changement stratégique, tant sur le plan technique que sur les décisions de la direction envers les employés. L’entreprise reconnaît une communication bâclée avec les équipes internes.
Reste à savoir si l’entreprise saura bel et bien prendre le virage de l’IA pour rester compétitive face aux Big Tech tout en accompagnant la masse salariale vers cette transition. Si l’affaire a été particulièrement médiatisée, ce n’est certainement pas la seule entreprise à se heurter au problème.
