owasp/aisvsLa norme de vérification de la sécurité de l'IA (AISVS) se concentre sur la fourniture aux développeurs, architectes et professionnels de la sécurité d'une liste de contrôle structurée pour vérifier la sécurité des applications basées sur l'IA.
Ce travail est sous licence Creative Commons Attribution-ShareAlike 4.0 International License.
L'Artificial Intelligence Security Verification Standard (AISVS) est un catalogue communautaire d'exigences de sécurité testables pour les systèmes dotés d'IA. Il fournit aux développeurs, architectes, ingénieurs en sécurité et auditeurs un cadre structuré pour concevoir, construire, tester et vérifier la sécurité des applications d'IA tout au long de leur cycle de vie, de la collecte des données et de l'entraînement des modèles au déploiement, à la surveillance et au retrait.
L'AISVS est modelé sur l'OWASP Application Security Verification Standard (ASVS) et suit la même philosophie : chaque exigence doit être vérifiable, testable et implémentable.
Ce projet a été fondé par Jim Manico. La direction actuelle du projet comprend Jim Manico, Otto Sulin, Rico Komenda et Russ Memisyazici.
| Norme | Objectif | Relation avec l'AISVS |
|---|---|---|
| OWASP ASVS | Sécurité des applications web | L'AISVS étend les concepts de l'ASVS aux menaces spécifiques à l'IA |
| OWASP Top 10 for LLMs | Sensibilisation aux principaux risques des LLM | L'AISVS fournit les contrôles détaillés pour atténuer ces risques |
| OWASP Top 10 for Agentic Applications | Sensibilisation aux principaux risques de l'IA agentique | L'AISVS fournit les contrôles détaillés pour traiter les menaces spécifiques à l'agentique |
| NIST AI RMF | Gouvernance des risques liés à l'IA | L'AISVS fournit les contrôles techniques testables auxquels l'AI RMF fait référence |
| ISO/IEC 42001 | Systèmes de management de l'IA | L'AISVS complète avec une vérification de sécurité au niveau de la mise en œuvre |
La dernière version stable est AISVS 1.01, disponible ici :
| Format | Lien |
|---|---|
| AISVS 1.01 PDF | |
| Markdown (source) | Consulter en ligne |
Chaque exigence de l'AISVS est associée à un niveau de vérification (1, 2 ou 3) indiquant la profondeur de l'assurance de sécurité :
| Niveau | Description | Quand l'utiliser |
|---|---|---|
| 1 | Contrôles de base essentiels que tout système d'IA devrait mettre en œuvre. | Toutes les applications d'IA, y compris les outils internes et les systèmes à faible risque. |
| 2 | Contrôles standard pour les systèmes traitant des données sensibles ou prenant des décisions à conséquences. | Systèmes de production, IA orientée client, systèmes traitant des données personnelles. |
| 3 | Contrôles avancés pour les environnements à haute assurance nécessitant une défense contre des attaques sophistiquées. | Infrastructures critiques, IA critique pour la sécurité, cibles de grande valeur, industries réglementées. |
Les organisations devraient choisir un niveau cible en fonction du profil de risque de leur système d'IA. La plupart des systèmes de production devraient viser au moins le niveau 2.
Pour chaque exigence de la norme, le Wiki de recherche fournit un contexte de mise en œuvre au-delà du texte de l'exigence :
