Comment sécuriser les systèmes d'IA et le pipeline de développement : les conférences de PRO DevSecOps Conf 2026

La conférence PRO DevSecOps Conf 2026 a réuni plus de 30 experts en sécurité de l'information, DevOps et IA. L'événement s'est déroulé le 22 septembre dans un contexte d'exigences croissantes : la Russie applique désormais la loi fédérale 243-FZ sur le soutien aux technologies d'intelligence artificielle, et les exigences réglementaires devancent les pratiques des entreprises.

Le problème central : l'IA arrive en production bien plus vite que les équipes ne parviennent à construire un système de défense. La solution consiste à intégrer la sécurité à chaque étape du cycle de vie, du développement du modèle et de son intégration aux systèmes d'entreprise jusqu'à la surveillance en conditions réelles.

Un nouveau modèle de maturité AI Security : SAIMM v2.0

L'annonce phare de la conférence a été la présentation de SAIMM v2.0 (Secure AI Maturity Model). Il s'agit d'une version actualisée du modèle, qui prend en compte à la fois les spécificités du développement de l'IA et les exigences de la réglementation russe. Ce modèle permet d'évaluer la préparation d'une organisation au développement et à l'exploitation sécurisés de systèmes d'IA. La société PAO VimpelCom a déjà réalisé cette évaluation et a transformé ses résultats en un plan concret de réduction des risques. Ces résultats ont permis à l'entreprise de structurer son processus de développement sécurisé (RBPO) à l'échelle de plus de 90 équipes et plus de 200 produits.

Protéger la chaîne d'approvisionnement et les modèles d'IA

Un autre axe fort a porté sur la supply chain security dans le contexte du développement par IA. Les intervenants ont abordé la chaîne d'approvisionnement logicielle de confiance, la protection contre la rétro-ingénierie et la préparation à la nouvelle norme GOST sur les environnements de développement sécurisés. AppSec Solutions a présenté des outils de protection à chaque niveau :

• AppSec.Track — protection de la chaîne d'approvisionnement, suivi du code écrit par des agents d'IA • AppSec.Code — analyse statique des vulnérabilités dans le code source, accélérée par l'IA • **AppSec.

Registry — protection des registres de dépendances et d'artefacts • AppSec.GenAI et AppSec.AIGate — protection des modèles d'IA à toutes les étapes, du développement à l'utilisation en production dans des systèmes intégrés • AppSec.

Sting — tests dynamiques des applications mobiles à la vitesse du développement assisté par IA • AppSec.Cryptex — protection des applications mobiles contre la rétro-ingénierie et la modification • AppSec.Wave et AppSec.

Shadow AI et le contrôle des outils d'IA

Un paradoxe a été souligné : les interdictions d'entreprise visant ChatGPT, Claude et leurs équivalents ne fonctionnent pas. La bonne approche consiste à fournir aux employés un outil pratique et contrôlé. Cela permet d'éviter les fuites via des services publics et d'assurer une visibilité sur les systèmes d'IA réellement utilisés dans le développement.

L'ensemble des enregistrements des interventions est disponible sur RUTUBE. Intervenants : Alexandre Pinaev, Youri Sergueïev (Swordfish Security), Oskar Konioukhov (expéditions de Fiodor Konioukhov), Albina Askerova, Dmitri Sloujenikine (Consortium IA), Anton Bacharine, Alexandre Gadaï, Andreï Orekhov, Denis Danilov, Evgueni Koulikov, Pavel Tochtchakov, David Kim (Swordfish Security), Kirill Sorokine (VimpelCom), Roman Chapiro (Poste russe), Konstantin Braguine, Youri Chabaline, Mikhaïl Makarov, Danil Balavnev (AppSec Solutions), Nikita Pinaev, Alexandre Zavodovski, Kirill Garanov.