La Linux Foundation et l’Open Secure AI Alliance ont ouvert à consultation le projet SAFE, destiné à recueillir les incidents et quasi-accidents impliquant des systèmes d’IA. L’objectif est de produire des tests et des recommandations partagés, sous une gouvernance indépendante qui reste encore à définir.
Les entreprises qui déploient des agents d’intelligence artificielle enquêtent souvent seules lorsqu’un système accède à une ressource interdite, divulgue une donnée ou contourne une protection. Le projet Shared AI Findings Exchange, abrégé SAFE, veut créer un mécanisme confidentiel pour tirer des enseignements communs de ces incidents sans publier les informations sensibles des organisations concernées.
La Linux Foundation a publié le 4 août une demande de commentaires rédigée avec des membres de l’Open Secure AI Alliance. Cette coalition réunit plus de 120 organisations. Cisco, CrowdStrike, Hugging Face, Nvidia et Red Hat figurent parmi les contributeurs initiaux du texte. La proposition coïncide avec l’ouverture de la conférence de cybersécurité Black Hat à Las Vegas.
SAFE couvrirait les incidents avérés et les quasi-accidents. Le dispositif prévoit une collecte confidentielle, une notification rapide des organisations touchées, l’identification des défaillances récurrentes et des analyses portant sur l’ensemble du système : modèle, outils, environnement d’exécution, supervision, opérations humaines et dépendances de la chaîne d’approvisionnement.
Les enseignements pourraient être transformés en tests réutilisables, politiques lisibles par des machines, règles de détection, configurations de référence et guides de réponse aux incidents. Le projet s’inspire des systèmes de retour d’expérience utilisés dans l’aviation, où les signalements volontaires servent à prévenir la répétition d’erreurs. Il vise les systèmes propriétaires comme les logiciels ouverts.
L’initiative arrive alors que les agents obtiennent davantage de permissions pour consulter des fichiers, appeler des applications et exécuter des tâches. Une erreur de configuration ou une consigne piégée peut alors produire un effet concret sur un compte, un poste de travail ou un service en ligne. Partager des schémas d’incidents aiderait les équipes à corriger plus vite des faiblesses observées chez plusieurs acteurs.
SAFE demeure toutefois une proposition soumise à consultation, et non une norme opérationnelle ou une obligation. Les règles de confidentialité, la composition de l’organe indépendant, le financement, la responsabilité juridique et les critères de publication devront être précisés. Le texte prévoit de respecter les contrats et les réglementations existantes; cette précaution pourrait aussi limiter la quantité de données que les entreprises accepteront réellement de partager.
Cet article vous est proposé en collaboration avec Aïobi. Contact : team@aiobi.world.
