Lignes directrices de gestion des risques MAS IA : pourquoi les institutions financières ont besoin d’un confinement

Un ami à Singapour m’a dit qu’il arrive à l’aéroport de Changi environ 30 minutes avant son vol. Il marche directement jusqu’à sa porte, passe la sécurité là-bas, puis embarque. Je laissai échapper un souffle audible.

Je venais de passer des vacances à Singapour, donc je peux confirmer le battage médiatique. Changi est l’aéroport le plus cool que j’aie traversé. La cascade intérieure est le point fort évident, alors mettons cela au clair. Au-delà, les voyageurs peuvent se déplacer entre les terminaux, traîner dans un bar ou laisser leurs enfants dépenser un peu d’énergie.

Ce qui m’est resté en tête, cependant, c’est là où a lieu le vrai contrôle de sécurité. Dans les terminaux 1 à 3, c’est à la porte elle-même.

Beaucoup d’aéroports contrôlent tout le monde une fois à l’entrée, puis font confiance à toute la cour. Changi place le point de contrôle à destination. C’est la logique derrière la microsegmentation, et Changi l’applique depuis des années sans l’appeler ainsi.

Maintenant, échangez les passagers contre des agents IA. Ils sont déjà à l’intérieur du bâtiment, se déplaçant entre les systèmes, détenant l’accès aux données et agissant de leur propre chef.

Le régulateur financier singapourin l’a remarqué. Dans ses nouvelles Lignes directrices sur la gestion des risques par intelligence artificielle pour les institutions financières, l’Autorité monétaire de Singapour (MAS) avertit que les agents d’IA compromis ayant accès à des systèmes internes pourraient « exfiltrer des données sensibles ou exécuter des commandes malveillantes à grande échelle ».

Les directives attendent des entreprises qu’elles sachent où se trouve chaque système d’IA et qui en est propriétaire. Ensuite, ils pointent vers la porte : segmentation du réseau, séparation de l’environnement et accès au moindre privilège.

C’est le vrai message pour les banques, les assureurs et les sociétés de paiement. Les garde-fous influencent le comportement d’un agent IA. Le confinement décide jusqu’où il va quand une rambarde de sécurité tombe en panne. MAS attend les deux, et le chronomètre est déjà écoulé.

Le MAS a publié les directives le 7octobre 2026. Ils prennent effet en deux étapes :

• 7octobre 2027: supervision, identification de l’IA, inventaire IA et évaluation du risque pour chaque cas d’utilisation
• 7octobre 2028: contrôles du cycle de vie, y compris la technologie et la cybersécurité

Ce sont des attentes de supervision, adaptées à la taille de chaque cabinet et à la quantité d’IA utilisée. Cette flexibilité ne baisse pas la barre.

Les directives MAS IA ressemblent à une liste de contrôle de sécurité

La technologie et les contrôles de cybersécurité sembleront familiers à toute équipe de sécurité. Les institutions financières devraient prendre en compte :

• Segmentation du réseau où l’IA est déployée (paragraphe 5.16(a))
• Séparation des environnements et application de l’accès à privilège minimum à travers le système d’IA, y compris ses API, plugins et services tiers (paragraphe 5.22(a))
• Contrôler les plugins et les API pour qu’ils ne puissent pas divulguer de données (paragraphe 5.16(c))
• Verrouillage et enregistrement de l’accès aux systèmes, modèles, données d’entraînement et pipelines d’IA (paragraphe 5.23(d))
• Maintenir un kill switch pour l’IA à haut risque (par. 5.23(b))

Les directives décrivent ce qu’il faut prendre en compte et laissent le comment à chaque cabinet. C’est là que commencent les décisions difficiles.

Les garde-fous sont les règles. La porte est l’application de la loi.

MAS prend les garde-fous très au sérieux. Le paragraphe 5.15 indique que les tests pour l’IA générative et les agents d’IA devraient couvrir « l’efficacité des garde-fous associés ». Les directives nomment également l’injection prompte et l’empoisonnement des données comme des risques de sécurité (paragraphe 1.10).

Mais une rambarde de sécurité vit à l’intérieur du système qu’elle est censée surveiller. Les garde-corps détectent la plupart des mauvais comportements, mais certains passent à travers. Et l’entrée d’un attaquant atteint souvent la rambarde de sécurité au même moment où elle atteint le modèle.

Posez-vous donc la question la plus difficile : si un attaquant prenait le contrôle total de cet agent demain, qu’est-ce qu’il pourrait atteindre ? Cette réponse est votre véritable exposition.

Les contrôles qui tiennent la route sont ceux qu’un agent ne peut pas contourner. Une porte ne demande pas à un passager de se comporter correctement. Elle ne s’ouvre tout simplement pas pour la mauvaise carte d’embarquement. Pour un agent IA, cela signifie appliquer une application hors modèle : politique réseau et accès à portée portée qui s’appliquent quoi que l’agent ait été convaincu de faire.

Une porte pour chaque charge de travail : microsegmentation pour les agents IA

À quoi ressemble une porte pour un agent IA ?

MAS nomme segmentation réseau et accès à privilèges minimums. La microsegmentation est la façon dont vous faites respecter les deux, charge de travail par charge de travail. Chaque partie d’un système d’IA dispose de sa propre porte, y compris l’application, les données qu’il lit, les API et plugins qu’il appelle, ainsi que les systèmes qu’un agent peut atteindre. Compromis un, et la politique décide jusqu’où elle va. Idéalement, pas loin.

Il y a aussi un élément de visibilité. Pour les agents IA, le MAS suggère que l’inventaire enregistre « les outils et systèmes auxquels l’agent peut accéder » (note de bas de page 25). Tu ne peux pas écrire cela, encore moins l’appliquer, si tu ne vois pas comment tes charges de travail interagissent entre elles. Voir d’abord, puis rédiger la police.

La plateforme Illumio gère les deux moitiés. Illumio Insights offre aux équipes de sécurité une visibilité en temps réel, propulsée par l’IA, sur la manière dont les charges de travail communiquent entre datacenters, clouds et les endpoints. Illumio Segmentation transforme cette visibilité en politique qui empêche les mouvements latéraux. Pour les charges de travail en IA, la plateforme correspond aux directives MAS en quatre endroits :

• Voyez à quoi votre IA communique. Illumio Insights cartographie les véritables liens entre les applications d’IA, les modèles, les magasins de données et les services tiers, y compris ceux que personne n’a documentés. Cela vous donne un point de départ factuel pour l’inventaire 2027. Cela aide également à faire ressortir l’IA d’ombre lorsqu’une charge de travail inconnue commence à appeler un modèle ou une API externe.
• Limitez ce qu’elle peut atteindre. Illumio Segmentation applique une politique de moindre privilège autour de chaque composant IA. Un modèle peut accéder à ses données d’entraînement, un agent peut appeler les plugins qu’il est autorisé à utiliser, et tout le reste est bloqué par défaut. Cela inclut la segmentation du réseau où l’IA fonctionne, la séparation des environnements, et l’empêchement que les plugins et API ne deviennent une sortie discrète pour les données sensibles.
• Réduisez le rayon d’explosion. Quand une rambarde de sécurité tombe en panne, la police limite un échec à un seul incident. Si un système d’IA à haut risque doit être hors ligne rapidement, vous pouvez l’isoler pendant que l’enquête se déroule. Cela donne à l’interrupteur d’arrêt que le MAS recommande d’avoir un filet de sécurité au niveau réseau.
• Montrez votre travail. Les superviseurs voudront des preuves. Les enregistrements de flux de trafic indiquent quelles charges de travail sont connectées à vos systèmes, modèles et données d’IA, et quand. Ils montrent aussi aux équipes rouges ce qu’un composant compromis peut atteindre. Vous pouvez tester le confinement aussi soigneusement que les garde-corps et conserver les résultats dans vos fichiers.

Avant l’appel d’embarquement : 5 étapes pour se préparer aux directives MAS IA

Les préparatifs sont prévus pour 2027. Les contrôles techniques seront prévus en 2028. Aucun n’est loin.

1. Cartographiez ce à quoi votre IA est connectée. Votre inventaire et vos notes de risque 2027 devront être sensibles aux données, dépendre du système et, pour les agents, ce qu’ils peuvent consulter.
2. Chasse l’IA de l’ombre. La note de bas de page 22 pointe vers la surveillance réseau et la prévention des pertes de données pour détecter une utilisation non autorisée.
3. Tester le confinement le long des garde-corps. Le paragraphe 5.22(b) appelle à des tests d’intrusion et à la manipulation en équipe rouge sur les systèmes d’IA. Demandez ce qu’un composant compromis pourrait atteindre.
4. Commencez là où le risque est le plus élevé. MAS adapte ses attentes au risque, donc placez la segmentation et l’accès à privilèges minimes autour de vos cas d’usage à risque élevé.
5. Vérifie l’IA et les plugins tiers. Le paragraphe 5.16(c) prévoit des contrôles qui restreignent l’exposition des données via des plugins et des API.

Les directives MAS IA arrivent jusqu’à la porte

Il est tentant de considérer les « directives » et une date limite de 2028 comme un problème pour plus tard. Mais les travaux de 2027 atteignent déjà l’IA fantôme et l’IA intégrée dans les services des fournisseurs. Et lorsque l’IA vient d’un fournisseur, la responsabilité reste à l’institution.

Les superviseurs mesureront les entreprises selon ces attentes, et le Financial Stability Board a consulté sur des pratiques similaires à l’échelle mondiale. Pendant ce temps, les attaquants n’attendent pas une date de conformité pour s’en prendre aux agents déjà présents dans votre réseau.

Changi l’avait compris bien avant l’arrivée des agents IA : savoir qui est sur le manifeste, et placer le point de contrôle à la porte. Les institutions financières peuvent appliquer la même logique aux agents déjà présents dans leur hall.

Apprenez comment Illumio aide les institutions financières Contenir les violations avant qu’elles ne se propagent.