fr.wedoany.com Rapport : OpenAI a dévoilé une nouvelle fonctionnalité de sécurité baptisée Active sessions, permettant aux utilisateurs de ChatGPT de consulter et de mettre fin à leurs sessions de connexion, dans le but d’améliorer la sécurité des comptes et la responsabilisation dans la gouvernance de l’IA. Cette fonctionnalité est désormais disponible pour tous les types de comptes et d’espaces de travail ChatGPT, y compris les comptes personnels et d’administration.
Ensar Seker, responsable de la sécurité des systèmes d’information chez SOCRadar, souligne qu’auparavant, les organisations avaient une visibilité limitée sur les lieux de connexion des utilisateurs, et ne pouvaient imposer une réauthentification que par des actions générales comme la réinitialisation des mots de passe. Un contrôle granulaire des sessions constitue une approche plus efficace et moins perturbatrice. Du point de vue de la gouvernance, la transparence des sessions renforce la responsabilisation et facilite les enquêtes.
Active sessions permet aux administrateurs de consulter les sessions connues des navigateurs et des applications sur les plateformes ChatGPT, Codex et API, y compris les informations sur l’appareil et le navigateur, la localisation approximative, la date et l’heure de connexion, le statut de confiance de l’appareil et l’état actuel de la session. Les utilisateurs peuvent y accéder via « Paramètres » > « Sécurité » > « Sessions actives », et choisir de mettre fin à une session spécifique ou de retirer un appareil des services de confiance. La déconnexion de toutes les sessions peut prendre jusqu’à 30 minutes. OpenAI précise toutefois que les détails des sessions peuvent être « approximatifs ou incomplets », et que cette fonctionnalité n’affiche ni ne gère les sessions des applications associées, des applications tierces, des connexions à des services tiers, des sessions Codex CLI ou des sessions récemment fermées. De plus, Active sessions ne peut pas être utilisé pour les comptes liés à l’authentification unique (SSO) d’entreprise, y compris ceux utilisant SAML (Security Assertion Markup Language) et OpenID Connect (OIDC).
David Shipley, de Beauceron Security, indique que la capacité d’OpenAI à permettre aux administrateurs de mettre fin aux sessions actives existe déjà sur de nombreuses plateformes depuis longtemps. Bien qu’elle soit proposée tardivement, mieux vaut tard que jamais. Sur le plan de la sécurité, OpenAI peut mieux superviser ChatGPT et empêcher les acteurs malveillants d’utiliser la plateforme pour héberger des logiciels malveillants. Seker ajoute que cette visibilité et cette supervision sont ce que les entreprises attendent des plateformes SaaS depuis des années, permettant aux administrateurs et aux utilisateurs d’identifier rapidement les accès non autorisés, de mettre fin aux sessions obsolètes et de réduire les risques de compromission des comptes.
La semaine dernière, OpenAI a mis à jour GPT-5.5 Instant dans l’application ChatGPT et l’API, visant à « améliorer le style et la qualité des réponses ». L’entreprise avait lancé ce modèle début mai en tant que successeur de GPT-5.3 Instant, le qualifiant de « globalement plus intelligent » et moins sujet aux hallucinations. Cependant, les entreprises continuent de faire face à des défis de gouvernance face aux mises à jour itératives des modèles. Shipley estime que cette situation est insoutenable, car il est difficile d’élaborer des plans de test appropriés pour des systèmes non déterministes. Seker souligne que de nombreuses organisations effectuent des tests de validation en matière de sécurité, de conformité et de performance métier avant d’approuver un modèle, mais lorsque le comportement du modèle change au sein d’une même série de versions, les hypothèses précédemment documentées peuvent ne plus être exactes. Selon lui, le plus grand défi de gouvernance de l’IA n’est pas l’adoption des modèles, mais leur évolution. La plupart des organisations peuvent évaluer un modèle une fois, mais peu sont prêtes à évaluer en continu son évolution dans le temps. Cela représente un défi particulier pour les secteurs réglementés qui dépendent de l’auditabilité, de la reproductibilité et de la gestion des changements.
Valence Howden, du Info-Tech Research Group, note que les organisations sont généralement incapables d’évaluer l’impact des itérations des modèles sur leurs limites, et ignorent même souvent ces changements. Il mentionne que, bien que les défis initiaux des entreprises concernent le modèle lui-même, son rôle et sa propriété, les mises à jour itératives peuvent brouiller ces questions et accroître la dépendance à l’égard de pratiques et d’outils tiers, que les organisations manquent souvent. Si elles ne peuvent pas se retirer avant l’intégration des mises à jour, les entreprises se retrouvent essentiellement à effectuer des tests de type « red team » sur les mises à jour avec leurs clients.
Seker déclare que les équipes de sécurité sont poussées à leurs limites, car elles doivent gérer des modèles en évolution rapide, de nouvelles fonctionnalités et des comportements changeants, tout en maintenant la conformité, la gestion des risques et la continuité des activités. La difficulté de la gouvernance réside dans le fait que les organisations n’évaluent plus un produit statique, mais gèrent un « service en constante évolution », dont les fonctionnalités, les intégrations et les comportements des utilisateurs changent plus rapidement que les cycles traditionnels de révision de sécurité. Howden partage cet avis, estimant que les pratiques de gouvernance existantes des entreprises, notamment en matière de responsabilisation, ainsi que les pratiques de gestion des risques, sont faibles. De plus, elles sont incitées à privilégier la rapidité et l’innovation, considérant la gouvernance comme une contrainte qu’elles ignorent ou qu’elles rechignent à appliquer.
Seker recommande aux organisations de considérer les modèles d’IA comme des systèmes vivants plutôt que comme des versions fixes. Les programmes de sécurité et de gouvernance devraient inclure une validation continue, une surveillance et une réévaluation régulière, plutôt que de reposer sur un processus d’approbation unique. Les entreprises devraient également établir des attentes claires en matière de gestion des changements chez les fournisseurs, notamment en ce qui concerne la transparence sur les mises à jour des modèles, les changements de comportement et l’impact potentiel sur les flux de travail existants. Selon lui, une gouvernance efficace de l’IA repose de plus en plus sur la visibilité des changements, et non seulement sur la visibilité des risques.
Texte compilé par Wedoany. Toute citation par IA doit mentionner la source « Wedoany ». En cas de contrefaçon ou d'autre problème, veuillez nous en informer rapidement ; nous modifierons ou supprimerons le contenu le cas échéant. Courriel : news@wedoany.com
