NIST AI Risk Management Framework : guide d'implémentation pratique

# Politique de gestion des risques IA — Acme Corp
 
## 1. Périmètre
Tous les systèmes IA développés ou utilisés par Acme :
- LLMs (achetés via API ou self-hosted)
- Modèles ML traditionnels en production
- Pipelines d'entraînement
- Outils de productivité IA grand public utilisés par employés
  (sous conditions définies)
 
## 2. Principes
- Privacy by design
- Transparence avec les utilisateurs
- Surveillance humaine pour décisions critiques
- Audit régulier et amélioration continue
 
## 3. Catégories de risque
- **Critique** : santé, finance, RH, données très sensibles
- **Élevé** : support client externe, contenu public
- **Modéré** : outils internes avec données sensibles
- **Faible** : prototypes, démos, sandbox
 
## 4. Exigences par catégorie
[Tableau matriciel : pour chaque catégorie, mitigations
obligatoires, fréquence audits, validation par...]
 
## 5. RACI
[Voir RACI document séparé]
 
## 6. Procédures d'incident
[Voir runbook IR-AI séparé]
 
## 7. Revue annuelle
Cette politique est revue annuellement (octobre) par le
Comité de Gouvernance IA.

                          Resp.   Acct.   Cons.   Inf.
─────────────────────────────────────────────────────
Politique IA              CISO    CTO     RSSI    Tous
AI Risk Assessment        CISO    CTO     ML Lead Tous
Tests adversariaux        AppSec  CISO    ML Lead RSSI
Incident response IA      SOC     CISO    AI Off. Direction
Audit conformité          Audit   CTO     CISO    Direction
Approbation déploiement   ML Lead Tech VP CISO    AI Off.
Politique data IA         DPO     CTO     CISO    Métiers
Communication externe     Comms   CTO     Direction Tous

# inventory/ai-systems.yml
systems:
  - id: AS-2026-001
    name: "Chatbot support clients B2B"
    description: "RAG sur documentation produit, GPT-4o + Pinecone"
    risk_category: élevé
    pii_processed: true
    public_facing: true
    owner_team: "support-ai"
    technical_lead: "alice@yourcompany.com"
    deployed_at: "2025-09-15"
    last_audit: "2026-03-12"
    next_audit: "2026-06-12"
    threat_model_doc: "./threat-models/AS-2026-001.md"
    
  - id: AS-2026-002
    name: "Agent IA orchestration tâches internes"
    description: "Agent CrewAI multi-agent, accès Jira + Slack + GitHub"
    risk_category: critique
    pii_processed: false
    public_facing: false
    owner_team: "platform-eng"
    technical_lead: "bob@yourcompany.com"
    deployed_at: "2025-11-20"
    last_audit: "2026-04-01"
    next_audit: "2026-05-01"  # plus fréquent (critique)
    threat_model_doc: "./threat-models/AS-2026-002.md"

# Threat Model — AS-2026-001 (Chatbot support B2B)
 
## Architecture
[Diagramme : User → API Gateway → LLM (GPT-4o) → RAG (Pinecone) → Response]
 
## Cartographie OWASP LLM Top 10
- LLM01 *Prompt Injection* — APPLICABLE (input utilisateur direct + RAG)
- LLM02 *Sensitive Information Disclosure* — APPLICABLE (peut leaker docs)
- LLM03 *Supply Chain* — APPLICABLE (Pinecone, transformers, OpenAI API)
- LLM06 *Excessive Agency* — NON APPLICABLE (pas de tool calling)
- LLM07 *System Prompt Leakage* — APPLICABLE
- LLM08 *Vector and Embedding Weaknesses* — APPLICABLE (RAG)
- LLM10 *Unbounded Consumption* — APPLICABLE (rate limit critique)
 
## Cartographie MITRE ATLAS
- AML.T0051 *Prompt Injection* — TPR cible 90%
- AML.T0070 *Indirect Prompt Injection* (RAG) — TPR cible 85%
- AML.T0024 *Exfiltration via ML Inference API* — extraction risk
- AML.T0029 *Denial of ML Service* — DoS risk
 
## Profil de risque
- Probabilité : élevée (chatbot public)
- Impact : élevé (PII clients, réputation)
- Score risk : 8/10
 
## Mitigations en place
[Tableau : pour chaque risque, mitigation actuelle + gap]

# kpis/AS-2026-001.yml
system_id: AS-2026-001
 
security_metrics:
  injection_detection_tpr: 
    target: 0.92
    current: 0.89
    last_measured: "2026-04-15"
  injection_detection_fpr:
    target: 0.02
    current: 0.018
  mttd_minutes:
    target: 5
    current: 8  # gap
  mttr_minutes:
    target: 30
    current: 45  # gap
 
quality_metrics:
  hallucination_rate:
    target: 0.05
    current: 0.07
  groundedness_score:
    target: 0.85
    current: 0.83
 
operational_metrics:
  cost_per_query_usd:
    target: 0.02
    current: 0.018
  p95_latency_ms:
    target: 2000
    current: 2300
 
drift_metrics:
  embedding_drift_ks:
    target: 0.1
    current: 0.07
  response_drift_score:
    target: 0.1
    current: 0.05

# tests/quarterly_adversarial.py
def quarterly_adversarial_audit(system_id: str):
    results = {
        "system_id": system_id,
        "date": datetime.utcnow().isoformat(),
        "categories": {},
    }
    
    # 1. OWASP LLM01 — Prompt Injection
    results["categories"]["LLM01"] = run_garak_probes(
        system_id,
        probes=["promptinject", "dan", "encoding", "translation"]
    )
    
    # 2. OWASP LLM07 — System Prompt Leakage
    results["categories"]["LLM07"] = run_canary_probe(system_id)
    
    # 3. OWASP LLM08 — RAG isolation
    results["categories"]["LLM08"] = run_cross_tenant_canary(system_id)
    
    # 4. OWASP LLM10 — Unbounded Consumption
    results["categories"]["LLM10"] = run_loop_protection_test(system_id)
    
    # 5. ATLAS AML.T0024 — Extraction
    results["categories"]["T0024"] = run_extraction_baseline(system_id)
    
    return results

# Drift continu sur golden set
GOLDEN_SET = [
    {"q": "Quelle est notre politique de retour ?", "a_pattern": r"\b30 jours\b"},
    # 50-100 cas
]
 
def daily_drift_check(system_id: str):
    drifts = []
    for case in GOLDEN_SET:
        resp = system.query(case["q"])
        if not re.search(case["a_pattern"], resp):
            drifts.append({"q": case["q"], "got": resp})
    
    if drifts:
        alert_soc(system_id, "drift_detected", drifts)

# Runbook IR-AI-LLM01 — Prompt Injection détectée
 
## Trigger
- Score detection > 0.8 sur > 5 requêtes en 10 minutes
- Canary token apparu en sortie
- Pattern d'attaque identifié par classifier
 
## Étapes immédiates (< 15 min)
1. **Confirmer** : vérifier que c'est pas un faux positif (alerts récents context).
2. **Contenir** : si volume > seuil critique → activer rate limit ciblé sur le user/IP.
3. **Logger** : capture complète des requêtes/réponses concernées.
4. **Notifier** : SOC L2 + technical lead du système.
 
## Investigation (< 2h)
- Cartographier l'attaque : technique ATLAS (T0051, T0070, T0024 ?)
- Périmètre : 1 user, plusieurs users, IP ?
- Réussite : exfil, leak, manipulation ?
 
## Containment / Eradication
- Si réussite → escalade RSSI, communication interne.
- Si tentative seulement → renforcement détection (ajout pattern au classifier).
 
## Post-incident (< 1 semaine)
- Post-mortem documenté (cause, détection, response).
- MAJ corpus de test adversarial (ajout du pattern observé).
- Communication retex à l'équipe.
 
## Métriques à mettre à jour
- TPR detection (régression test ?)
- MTTD (delay détection)
- MTTR (delay résolution)

# remediation/AS-2026-001-plan.yml
system_id: AS-2026-001
gaps_identified:
  - id: GAP-001
    risk: LLM01 Prompt Injection
    current_tpr: 0.89
    target_tpr: 0.92
    plan: "Ajouter classifier LLM-judge en seconde couche"
    owner: "alice@yourcompany.com"
    deadline: "2026-06-30"
    cost_estimate_eur: 8000
  
  - id: GAP-002
    risk: LLM10 Unbounded Consumption
    current_state: "max_steps en place, pas de cost cap"
    target_state: "cost cap par session + circuit breaker"
    plan: "Implémenter LimitGuard avec cost tracking"
    owner: "bob@yourcompany.com"
    deadline: "2026-05-15"
    cost_estimate_eur: 5000

# incidents/2026-INC-0042.yml
incident_id: 2026-INC-0042
date: 2026-04-29
system_id: AS-2026-001
atlas_techniques:
  - AML.T0051
  - AML.T0024
description: |
  User externe a tenté extraction documents via prompts répétés
  variant DAN. Detection LLM Guard a flaggé après 3 requêtes,
  blocked à la 4ème.
detected_at: 2026-04-29T14:23:00Z
mttd_minutes: 7
mttr_minutes: 12
impact: aucun (tentative bloquée)
lessons_learned:
  - Pattern de prompt non couvert dans corpus régression
  - Ajouter à test_prompt_injection_resistance
mitigations_added:
  - Mise à jour LLM Guard threshold à 0.65
  - Ajout pattern au corpus régression CI