Bezpečnost AI není rozbitá, pouze bráníme nesprávné věci

Cyberbezpečnostní průmysl má vzorec pro každé nové technologie, které se objeví, okamžitě začínáme stavět kolem ní zdi. Tak jsme to udělali s cloudem, kontejnery a nyní děláme to s AI, kromě toho, že zdi, které stavíme, jsou úplně na špatných místech.

Vstup do jakéhokoli podnikového bezpečnostního přezkumu dnes a uslyšíte stejné priority: zabezpečení AI modelů, ochrana trénovacích dat, ověřování výstupů a nasazování AI poháněných copilotů. Dodavatelé spěchají prodávat “bezpečnostní nástroje AI”, které se zaměřují výhradně na kontroly na úrovni modelu, jako jsou ochranné lišty, obrany proti vstřikování příkazů a platformy pro monitorování modelů.

Ale útočníci používají vaše AI integrace jako dálnice do všeho ostatního.

Skutečná útočná plocha, kterou nikdo nesleduje

Jeden vzorec, který jsme pozorovali napříč podnikovými prostředími, vypráví znepokojivý příběh o bezpečnostních týmech, které investují大量ně do zabezpečení svých AI vývojových prostředí: kontroly přístupu k modelům, rámce pro správu dat, bezpečnostní nástroje MLOps. To dává falešnou jistotu, že jejich AI je “zabezpečeno.”

Ale když si namapujete skutečnou útočnou plochu, vidíte, že AI chatboty často drží OAuth tokeny pro desítky SaaS platforem, API klíče s nadměrnými oprávněními cloudu a důvěryhodné vztahy identity, které mohou vytvořit přímé cesty z jednoduché injekce příkazu do produkční infrastruktury. Samotné modely mohou být zabezpečeny, ale ekosystémy, ve kterých žijí, jsou často zcela otevřené a to není okrajový případ.

Podniky nyní používají v průměru 130+ SaaS aplikací, s AI integracemi sahajícími do poskytovatelů identity, cloudové infrastruktury, databází a podnikově kritických systémů. Každá integrace je potenciální útočná cesta a každá API spojení je hranice důvěry, kterou útočníci aktivně zkoumají.

Problém není v tom, že naše bezpečnostní nástroje AI jsou rozbité. Je to v tom, že zabezpečujeme jednotlivé komponenty, zatímco útočníci využívají spojení mezi nimi.

Proč modelově centrická bezpečnost postrádá smysl

Současný přístup k AI bezpečnosti funguje na základě fundamentálního nedorozumění toho, jak moderní útoky fungují. Léčíme AI jako samostatný aktivum, které potřebuje ochranu, podobně jako bychom zabezpečili databázi nebo webovou aplikaci. Ale AI v produkci neexistuje v izolaci. Je to uzel v komplexním grafu identit, oprávnění, API a toků dat.

Zvažte typické podnikové nasazení AI. Máte AI agenta s přístupem k vašemu Google Workspace. Je připojen k Salesforce přes API. Je integrován se Slackem pro oznámení. Čte data z AWS S3 kbelíků. Je ověřen prostřednictvím Okta nebo Azure AD. Spouští pracovní postupy v ServiceNow.

Tradiční AI bezpečnost se zaměřuje na samotný model: jeho bezpečnostní postoje, ověřování příkazů, bezpečnost výstupu. Ale útočníci se zaměřují na integrace: co mohou dosáhnout prostřednictvím kompromitovaných služebních účtů, kde mohou provést pivot přes API manipulace, které hranice důvěry mohou překročit prostřednictvím využité integrace.

Útok nezačíná ani nekončí s AI modelem. Model je pouze vstupní bod.

Útočné cesty nedodržují hranice produktů

Zde je místo, kde se většina organizací zasekne. Nasadili bezpečnostní nástroje, které každá poskytuje viditelnost do jediného domény. Jeden nástroj monitoruje cloudová oprávnění. Další sleduje konfigurace SaaS. Třetí spravuje správu identity. Čtvrtý řeší správu zranitelností.

Každý nástroj vám ukáže svou část puzzle. Žádný z nich vám neukáže, jak se části spojují.

Podle Gartneru organizace nyní používají v průměru 45+ bezpečnostních nástrojů. Přes tuto masivní investici útočníci úspěšně spojují nesprávné konfigurace napříč těmito doménami, protože žádný jediný nástroj nemůže vidět kompletní útočnou cestu.

Útočník nemusí najít kritickou zranitelnost ve vašem AI modelu. Stačí mu najít řetěz. Možná je to nesprávně nakonfigurovaná role IAM připojená k vašemu AI službě, která má oprávnění k S3 kbelíku, který obsahuje přihlašovací údaje k SaaS aplikaci, která má administrativní přístup k vaší produkční infrastruktuře.

Každá jednotlivá nesprávná konfigurace může mít “střední” nebo “nízkou” prioritu ve vašich bezpečnostních nástrojích. Ale spojené dohromady? To je kritická expozice. A je zcela neviditelná, pokud se díváte na každou bezpečnostní doménu izolovaně.

Imperativ expozice

To je důvod, proč je potřeba změnit konverzaci z “bezpečnosti AI” na nepřetržitou správu expozice hrozeb pro AI integrovaná prostředí.

Není dostatečné se ptát, zda naše AI modely jsou zabezpečeny. Bezpečnostní týmy potřebují pochopit, co útočník může skutečně dosáhnout, pokud kompromituje AI službu. Potřebují viditelnost do toho, jak nesprávné konfigurace napříč cloudem, SaaS a systémy identity by mohly být spojeny. Potřebují vědět, jak AI integrace mění jejich útočnou plochu v reálném čase. A potřebují priorizovat rizika na základě skutečné útočnosti, ne pouze na základě hodnocení závažnosti.

Většina bezpečnostních programů stále priorizuje rizika izolovaně, pomocí hodnocení CVSS a kontrolních seznamů dodržování předpisů, které zcela ignorují, zda je zranitelnost skutečně využitelná ve vašem konkrétním prostředí.

Tato mezera je ještě více zdůrazněna u AI systémů, protože se neustále mění. Nové integrace jsou přidávány týdně. Oprávnění se vyvíjejí. API spojení se mění. Vaše útočná plocha z minulého měsíce není vaší útočnou plochou dnes, ale vaše bezpečnostní hodnocení pravděpodobně ano.

Co vypadá bezpečnost vědomá o útočné cestě

Zabezpečení AI v produkci vyžaduje fundamentálně odlišný přístup a spočívá ve čtyřech klíčových posunech v myšlení.

První, potřebujete sjednocenou viditelnost napříč bezpečnostními doménami. Přestaňte požadovat, aby každý bezpečnostní nástroj fungoval ve své vlastní izolaci. Vaše cloudová bezpečnost, správa identity, správa SaaS a skenování zranitelností všechny drží kusy puzzle útočné cesty. Potřebují sdílet data v reálném čase, abyste mohli vidět, jak se nesprávné konfigurace spojují.

Druhý, přijměte nepřetržitou simulaci útočné cesty. Nečekejte na penetrační testy nebo cvičení červeného týmu, abyste objevili využitelné cesty. Nepřetržitě testujte, jak útočník může projít vaším prostředím, zaměřující se na skutečnou využitelnost spíše než na teoretická hodnocení závažnosti.

Třetí, priorizujte na základě kontextu. Nesprávně nakonfigurovaný S3 kbelík není kritický pouze proto, že je veřejný. Je kritický, pokud je veřejný a obsahuje přihlašovací údaje a tyto přihlašovací údaje mají privilegovaný přístup a jsou dosažitelné z internetově exponovaného aktiva. Kontext záleží více než jakékoli jednotlivé hodnocení.

Čtvrtý, přesuňte se k preventivnímu odstranění. Do té doby, než váš SOC tým bude vyšetřovat upozornění, jste již ztratili cenný čas reakce. Moderní obrana vyžaduje schopnost uzavřít využitelné cesty, než jsou zneužity, ne po incidentu.

Varování, které nelze ignorovat

Jak AI se stává integrováno napříč každou vrstvou podnikového stacku, útočná plocha se rozšiřuje rychleji, než bezpečnostní týmy mohou manuálně rozumět. Přidáváme AI integrace desetkrát rychleji, než je zabezpečujeme.

Pokud zabezpečujete AI izolovaně, chráníte model, zatímco ignorujete ekosystém, ve kterém funguje, jste již pozadu. Útočníci nemyslí v nástrojích, myslí v cestách. Nemusíexploitovat jednotlivé zranitelnosti. Spojují nesprávné konfigurace napříč vaším celým prostředím.

Podniky, které úspěšně zabezpečují AI, nebudou ty, které mají nejvíce bezpečnostních nástrojů AI. Budou ty, které chápou, že bezpečnost AI je neoddělitelná od správy expozice napříč celou útočnou plochou.

Bezpečnost modelu je základní. Co záleží, je pochopit, co útočník může dosáhnout, pokud kompromituje AI integraci. Dokud bezpečnostní týmy nemohou odpovědět na tuto otázku nepřetržitě, v reálném čase, napříč celým prostředím, nezabezpečují AI. Pouze doufají, že zdi, které postavili, jsou na správných místech.