Generative AI Security: What CISOs Must Know in 2025

Generative AI Security: What CISOs Must Know in 2025

par Prabh Nair

Sciences appliquées & ingénierie Informatique & Cybersécurité UInformatique et technologies de l’informationURSécurité informatique
🎙 Prabh Nair 👥 184K 📅 12 septembre 2025 ⏱ 49 min 👁 2K 📄 débat 🧭 2026-08-16
Disponible en : Français (actuel) English

Mots-clés

IA générativesécuritéCISOOWASP TASMCI/CD

Résumé

Dans cet épisode de ‘Coffee with Prabh’, Prabh Nair reçoit Ross Young, CISO en résidence et créateur de l’OWASP Threat and Safeguard Matrix (TASM). La discussion porte sur les défis de sécurité posés par l’adoption de l’IA générative dans le développement logiciel. Ross explique que les développeurs deviennent des ‘prompt engineers’ et que le code généré par IA introduit de nouvelles vulnérabilités, des problèmes de conformité et de confidentialité. Il souligne l’importance pour les CISOs de mettre en place des contrôles adaptés, notamment dans les pipelines CI/CD, et de surveiller les usages non autorisés (shadow AI). Le concept de Model Context Protocol (MCP) est présenté comme une évolution des API, avec ses avantages et ses risques. Le cœur de l’épisode est la présentation de la matrice TASM, un framework open source qui permet de lister les menaces matérielles et de les croiser avec les fonctions du NIST CSF (identifier, protéger, détecter, répondre, récupérer). Ross montre comment utiliser TASM pour standardiser les threat models, identifier des problèmes transverses et prioriser les investissements. Il aborde également l’alignement de TASM avec le NIST AI RMF et l’EU AI Act, et donne des conseils pour construire des KPIs pertinents pour mesurer la réduction des risques liés à l’IA. Enfin, il prodigue des conseils de carrière pour les CISOs, les encourageant à se former et à adopter une approche basée sur les risques et les opportunités.

231 mots

Évaluation critique

Valeur des informations & solidité de l’argumentation

La valeur des informations est élevée, car l’épisode offre une perspective pratique et experte sur la sécurisation de l’IA générative, un sujet d’actualité. Ross Young apporte des exemples concrets, comme l’analyse des risques liés aux fuites de données via ChatGPT ou l’utilisation de TASM pour standardiser les threat models. L’argumentation est solide, s’appuyant sur des frameworks reconnus (OWASP, NIST) et des expériences professionnelles. Cependant, certaines affirmations manquent de nuances, comme la mention d’outils spécifiques (Encrypt AI) sans évaluation critique. La discussion est structurée et les points clés sont bien étayés, mais elle reste une conversation informelle plutôt qu’une étude rigoureuse.

Rigueur scientifique, qualité des sources, adéquation du titre

La rigueur scientifique est correcte : les intervenants citent des références officielles (OWASP, NIST AI RMF, EU AI Act) et des outils open source. La qualité des sources est bonne, avec des liens vers le projet OWASP TASM et des vidéos complémentaires. L’adéquation titre/contenu est bonne, le titre reflétant bien le sujet. Cependant, certaines affirmations ne sont pas sourcées précisément, et la discussion reste de nature conversationnelle, ce qui limite la rigueur académique. Les commentaires ne sont pas fournis, donc aucune analyse des tendances du public n’est possible.

203 mots

Adéquation titre / contenu

Le titre est en adéquation avec le contenu, qui aborde les enjeux de sécurité de l'IA générative du point de vue d'un CISO.

Qualité & fiabilité

7/10

Le contenu est une discussion experte entre un CISO en résidence et un créateur de framework, avec des références à des standards reconnus (OWASP, NIST, EU AI Act). Les informations sont globalement fiables, mais certaines affirmations manquent de preuves détaillées et des outils spécifiques sont mentionnés sans évaluation critique approfondie.

Chapitres

Sources citées

Sources concordantes

Apport & nouveautés

L’apport principal de cette vidéo est la présentation détaillée de l’OWASP Threat and Safeguard Matrix (TASM), un framework open source pour la modélisation des menaces et des sauvegardes, spécifiquement adapté aux risques liés à l’IA générative. L’épisode met en lumière les défis concrets pour les CISOs, comme la gestion du shadow AI et l’intégration de contrôles de sécurité dans les pipelines CI/CD. Il propose une approche structurée pour évaluer les risques et les opportunités, en insistant sur l’importance de considérer les bénéfices potentiels de l’IA, pas seulement les risques.

Pour aller plus loin :

160 mots

Profil radar

Le profil radar montre une bonne quantité d'informations et un niveau technique correct, mais une fiabilité globale légèrement inférieure en raison de la nature conversationnelle et du manque de preuves détaillées. La qualité de l'information est bonne, mais pourrait être renforcée par des références plus précises.

Fiabilité 7/10