Essor de l’IA agentive : transformer la gestion des risques de fraude

Contributeurs :
Wassim Azzoug, conseiller senior, Criminalité financière
Florence Laisné, conseillère, Criminalité financière
Shanna Auger‑Drolet, conseillère, Criminalité financière

L’IA agentive a le potentiel de transformer la gestion des risques de fraude en tirant parti de la surveillance en temps réel et de l’apprentissage adaptatif pour améliorer les stratégies de détection et de prévention.

En bref

• L’IA agentive révolutionne la gestion des risques de fraude en permettant aux organisations de tirer parti de la surveillance en temps réel et de l’apprentissage adaptatif pour s’adapter de façon proactive à l’évolution des tactiques utilisées par les fraudeurs.
• Contrairement à l’IA traditionnelle, qui s’appuie sur des données historiques, l’IA agentive analyse les transactions et perfectionne les méthodes de détection de façon autonome, ce qui procure des avantages considérables en termes de réduction des fausses alertes et d’amélioration de la précision.
• L’intégration de l’IA agentive aux stratégies de prévention de la fraude permet aux organisations d’automatiser les interventions, d’améliorer l’efficacité opérationnelle et de protéger leurs actifs, tout en préservant la confiance de la clientèle.

Essor de l’IA agentive : transformer la gestion des risques de fraude

L’IA agentive désigne les systèmes capables d’agir avec un niveau d’autonomie leur permettant de gérer des situations complexes sans intervention humaine. Ces systèmes utilisent des algorithmes évolués en matière d’apprentissage automatique, de traitement du langage naturel et d’analyse de données en temps réel pour relever des tendances, faire des prédictions et prendre des décisions.

Contrairement à l’IA traditionnelle, qui s’appuie sur des algorithmes statiques et des modèles de données historiques pour repérer les fraudes, l’IA agentive utilise des techniques d’apprentissage dynamique qui lui permettent de s’adapter en temps réel à l’évolution des tactiques utilisées par les fraudeurs, ouvrant ainsi la voie à une détection plus rapide et plus efficace des stratagèmes frauduleux nouveaux et complexes.

L’IA générative est conçue pour la création de contenu original (texte, image, vidéo, document audio ou code logiciel) en fonction des requêtes des utilisateurs. Elle s’appuie sur des modèles d’apprentissage automatique, particulièrement l’apprentissage profond, qui imitent les processus d’apprentissage et de prise de décisions du cerveau humain. Principales fonctionnalités de l’IA générative :

• Création de contenu
• Analyse de données
• Adaptabilité
• Personnalisation

En revanche, l’IA agentive est conçue pour la prise de décisions de façon autonome et avec un minimum de supervision humaine. Elle associe les caractéristiques polyvalentes des grands modèles de langage (GML) à la précision de la programmation traditionnelle. Principales fonctionnalités de l’IA agentive :

• Prise de décisions
• Résolution de problèmes
• Autonomie
• Interactivité
• Planification

Comment l’IA agentive révolutionnera le domaine de la fraude

Attaques de piratage psychologique hyperpersonnalisées

L’IA agentive permet aux attaquants d’élaborer des fraudes extrêmement personnalisées et de les perpétrer à grande échelle en adaptant leur message et leur ton en fonction du comportement en temps réel des victimes. Ils peuvent maintenant commettre en quelques minutes, et avec une précision émotionnelle beaucoup plus grande, des fraudes auxquelles ils devaient consacrer plusieurs jours auparavant.

Chaîne de valeur d’une attaque menée par un agent d’IA :

• Collecte de données provenant de sources publiques et vols de données
• Création de scripts d’appels ou de courriels personnalisés
• Appels effectués en utilisant une voix et un ton réalistes
• Adaptation de la stratégie en tenant compte des hésitations de la victime

Automatisation du ciblage et des mouvements latéraux

Les fraudeurs pourront déployer des agents autonomes se comportant comme de véritables pirates informatiques qui infiltrent les réseaux, explorent les systèmes et extraient les données sensibles, tout en réduisant au minimum le risque d’être détectés.

Chaîne de valeur d’une attaque menée par un agent d’IA :

• Accès initial par reconnaissance automatisée, puis utilisation de tactiques d’exploitation ou de piratage psychologique ciblées
• Cartographie des systèmes et découverte des vulnérabilités
• Intégration avec des comportements légitimes
• Extraction furtive de données en plusieurs étapes

Création de fausses identités et de faux documents

L’IA agentive permettra la productisation de la fraude. Les attaquants pourront créer des agents capables de générer de faux documents, de contourner les contrôles et de présenter des demandes pour obtenir des prêts ou des services au nom d’identités de synthèse, le tout avec un minimum d’intervention manuelle.

Chaîne de valeur d’une attaque menée par un agent d’IA :

• Combinaison de données enfreintes et de faux numéros d’assurance sociale pour créer des identités de synthèse
• Création de faux documents réalistes
• Envoi de demandes sans être détecté
• Perfectionnement des techniques au moyen de boucles de rétroaction

Comment les organisations peuvent‑elles utiliser l’IA agentive?

Grâce à une analyse des données en temps réel, à une détection plus précise des activités suspectes, à une réduction des coûts opérationnels par l’automatisation et à une capacité d’adaptation rapide à l’évolution des tactiques utilisées par les fraudeurs, l’IA agentive permettra aux organisations d’améliorer considérablement leurs stratégies de prévention des fraudes, tout en protégeant leurs actifs et leur réputation.

Automatisation des interventions en cas de fraude

Les organisations pourront remplacer les longs cycles d’enquêtes en confiant à des agents d’IA les activités de détection, de communication, de vérification et d’intervention, le tout en quelques secondes sans perdre la confiance de leur clientèle.

Chaîne de valeur de la ligne de défense offerte par un agent d’IA :

1. Détection d’un événement suspect
2. Gestion de l’alerte par le signalement ou sa résolution de façon autonome
3. Vérification de la légitimité du client par l’envoi d’un message personnalisé
4. Intervention (approbation, blocage ou signalement)

Optimisation des contrôles et modification des stratégies

L’IA agentive permettra d’analyser les stratégies de prévention des fraudes en continu, en ajustant avec précision les seuils, la logique des règles et les extrants des modèles afin d’assurer un équilibre entre la réduction du risque et l’expérience client.

Chaîne de valeur de la ligne de défense offerte par un agent d’IA :

1. Évaluation de l’efficacité des contrôles
2. Modélisation des cas limites et des menaces émergentes
3. Suggestions pour la mise à jour des règles, des modèles et des contrôles
4. Déploiement contrôlé

Évaluation des risques liés au comportement en temps réel

L’IA agentive pourra évaluer le comportement des utilisateurs en continu dans l’ensemble des points de contact, ce qui permettra non seulement de signaler les anomalies, mais également de les interpréter en contexte pour arrêter les fraudes avant qu’elles ne surviennent.

Chaîne de valeur de la ligne de défense offerte par un agent d’IA :

1. Surveillance des modèles comportementaux à risque
2. Comparaison avec les tendances historiques
3. Déclenchement d’une alerte, blocage ou envoi d’une demande d’authentification renforcée
4. Perfectionnement de la logique en fonction des résultats des incidents

Simulation automatisée de scénarios de fraude selon la méthode de l’équipe rouge

L’IA agentive permettra aux responsables de la lutte contre les fraudes de simuler des attaques en recherchant les vulnérabilités, en testant les seuils de détection et en repérant les faiblesses des contrôles comme le ferait un fraudeur.

Chaîne de valeur de la ligne de défense offerte par un agent d’IA :

1. Création de cas de tests pour les fraudes
2. Simulation d’une attaque
3. Évaluation des répercussions
4. Formulation de recommandations pour améliorer les contrôles

Éléments clés à prendre en considération

Explicabilité et responsabilité en matière réglementaire

Les systèmes d’IA agentive peuvent fonctionner de manière non linéaire et opaque, particulièrement lorsqu’ils formulent des conclusions basées sur des données non structurées ou ambiguës, ce qui peut s’avérer problématique dans les secteurs très réglementés comme celui des services financiers où les décisions doivent être :

• explicables aux parties prenantes internes, aux clients et aux organismes de réglementation;
• traçables au moyen de registres et d’historiques de décisions;
• défendables en cas de différends, d’enquêtes réglementaires ou de litiges.

En raison de nouvelles lois, comme la loi sur l’IA de l’Union européenne et le projet de loi C‑27 du Canada, l’explicabilité n’est plus seulement une pratique exemplaire, mais constitue une exigence légale. Les organisations doivent veiller à ce que leurs systèmes agentifs puissent justifier leurs actions d’une manière intelligible et vérifiable.

Accessibilité, confidentialité et gouvernance des données

Les systèmes d’IA agentive auront besoin d’accéder à un large éventail de systèmes internes, qu’il s’agisse de l’historique des transactions, des données des clients ou des registres des authentifications et de communications. En l’absence d’une gouvernance rigoureuse, un tel niveau d’accès engendre des risques importants en matière de protection des renseignements personnels et de conformité.

Voici ce que les organisations doivent faire pour gérer ces risques :

• Établir des contrôles d’accès fondés sur le principe du moindre privilège
• Surveiller les requêtes et les décisions des systèmes agentifs pour assurer qu’elles sont conformes aux politiques
• Appliquer des pratiques rigoureuses en matière de minimisation et de conservation des données

L’utilisation de l’IA agentive doit être envisagée en parallèle avec celle de l’IA générative en raison des similarités qui existent entre les deux technologies. En outre, les organisations doivent se préparer à la possibilité que des initiés utilisent les agents à mauvais escient, que ce soit pour exercer une surveillance illicite ou pour regrouper des données sans autorisation.

Sécurité et accroissement de la surface d’attaque

Les systèmes d’IA agentive feront bientôt partie de la surface d’attaque numérique des organisations. Voici les vulnérabilités auxquelles ces systèmes sont exposés :

• Résultats indésirables
• Exemples contradictoires conçus pour que les agents commettent des erreurs de classification
• Infiltration de requêtes par des adversaires pour manipuler les données d’entrée ou les actions des agents
• Exploitation d’interfaces de programmation ou de logiques d’exécution, particulièrement dans le cas d’agents connectés à d’autres systèmes

L’IA agentive doit donc faire l’objet de tests de sécurité rigoureux, y compris des simulations d’actes malveillants et d’attaques lancées par une équipe rouge. Afin de prévenir les risques de compromission ou d’utilisation abusive des données, il faut absolument isoler les actions des agents, nettoyer les intrants et délimiter clairement les privilèges d’accès.

Degré d’autonomie et processus d’escalade pour des considérations éthiques

Les organisations doivent définir le degré d’autonomie de leurs agents. Les décisions ne doivent pas toutes être prises sans la supervision d’un intervenant humain, particulièrement lorsqu’elles portent sur une clientèle vulnérable, comme des personnes âgées ou des victimes de piratage psychologique, ou sur des enquêtes à haut risque ou des résultats financiers ayant une incidence importante.

Voici les principales questions à prendre en considération :

• Dans quelles circonstances l’agent doit‑il s’en remettre à un intervenant humain?
• Quels types de cas de fraude doivent toujours faire l’objet d’un processus d’examen ou d’escalade pour des considérations éthiques?
• Quelle doit être la réaction de l’agent en cas d’incertitude ou en présence d’un préjudice émotionnel?

Veillez à intégrer des garde‑fous éthiques et des protocoles d’escalade lors de la conception des systèmes de votre organisation pour vous assurer que le comportement des agents d’IA demeure proportionné et adapté au contexte.

Conclusion – IA agentive et fraude : une révolution à double tranchant

Un changement de paradigme tant pour les attaques que pour les moyens de défense

L’IA agentive redéfinira les façons de commettre des fraudes et les moyens de les empêcher. Elle permettra aux fraudeurs d’opérer à une échelle industrielle en automatisant les activités qui leur permettent de manipuler leurs victimes, d’usurper des identités et d’adapter leurs stratagèmes en temps réel.Cependant, elle procurera également aux organisations des outils de prévention, de détection et d’intervention d’une puissance que l’on n’aurait jamais crue possible auparavant.

Le facteur humain demeure crucial

L’IA agentive rendra les systèmes plus intelligents, plus rapides et plus efficaces, mais elle ne remplacera pas le discernement humain.Les organisations doivent veiller à intégrer une surveillance, une éthique et une empathie à dimension humaine dans toutes les couches de déploiement d’une IA.

dont :

• Établir des cadres robustes pour le contrôle et la gouvernance de l’IA
• Constituer des équipes interfonctionnelles composées d’experts en fraudes, d’ingénieurs en IA et de responsables de la gestion des risques
• Préserver l’explicabilité et la responsabilité à tous les points de décision

Résumé

L’IA agentive révolutionnera le rythme, la complexité et la portée des fraudes.

Elle influencera la prochaine génération d’attaquants et de défenseurs, faisant monter les enjeux, intensifiant l’automatisation et brouillant encore davantage la frontière entre les comportements machines et les comportements humains.

Pour gérer ce virage, votre organisation doit investir non seulement dans l’IA, mais aussi dans la résilience, l’intégrité et l’agilité des solutions d’IA en tenant compte des personnes qui les utilisent.