Hrozby umělé inteligence jsou rozptýlením. Váš skutečný problém je blíž domovu.

Buďme upřímní: kybernetické útoky poháněné umělou inteligencí jsou děsivou vyhlídkou. Ale nejsou největší hrozbou pro vaše podnikání.

Největší hrozbou je rozptýlení oni tvoří.

Už přes 15 let vidím, jak se odehrává stejný příběh. Vedení je vyděšeno nejnovější „superhrozbou umělé inteligence“, zatímco bezpečnostní tým se stále potýká s odpověďmi na základní otázky typu: „Kde jsou naše nejcitlivější zákaznická data?“ nebo „Kdo je majitelem záplat pro ten kritický systém?“ Honíme se za novými nástroji, zatímco inženýři jsou vtahováni do na poslední chvíli do cvičení v oblasti dodržování předpisů a kritické zranitelnosti jsou deprivizované.

Toto je klasika „luxusní zámek na dveřích se sítí“ problém. Organizace spěchají s nasazením obrany založené na umělé inteligenci, ale útočníci používají umělou inteligenci s menším počtem pravidel a větší flexibilitou, aby se dostali skrz zásadní mezery v procesech, vlastnictví a kultuře. Zejména pro středně velké společnosti je ignorování základů pozvánkou k tomu, aby se staly dalším varovným příběhem.

Proč statická obrana selhává v dynamickém světě

Když jsem začínal svou kariéru, bezpečnost byla jen kontrolní seznam: antivirus, záplaty a silné firewally. Ten svět je dávno pryč. Dnes se polymorfní malware přepisuje, aby se vyhnul signaturám, a botnety spouštějí útoky rychleji, než na ně dokáže jakýkoli člověk reagovat.

Šifrovaný provoz se stal oblíbeným úkrytem protivníka. Zpráva ThreatLabz společnosti Zscaler z roku 2024 zjistila, že téměř 90 % malwaru je nyní šířeno přes šifrované kanályTo znamená, že devět z deseti hrozeb je pro starší nástroje, které nemohou tento provoz kontrolovat, neviditelných.

Skutečným úzkým hrdlem však není jen technologie; je to organizační třeniceViděl jsem skvělé bezpečnostní týmy, jak tráví týdny snahou získat podporu pro uzavření známé mezery. Během doby potřebné k naplánování schůzek se může automatizovaný útočník objevit a odejít. Být statický už nepřipadá v úvahu. Bezpečnostní programy musí být kontextově orientované a zaměřené na rychle se vyvíjející části firmy.

Industrializace kyberkriminality

To by nikoho nemělo překvapovat. Útočníci jsou podnikatelé, kteří provozují firmy. Prostě zavádějí nové technologie, aby zlepšili návratnost investic – stejně jako my. Umělá inteligence jim pomáhá industrializovat jejich provoz.

• Phishing jako služba, super výkonný: Phishing je stále nejčastější cestou dovnitř. FBI a IBM jej již léta uvádějí jako nejčastější vektor prvního přístupu. Nyní, s generativními nástroji umělé inteligence, jako je „FraudGPT“, mohou zločinci vytvářet dokonale přizpůsobené phishingové kampaně bez gramatiky v rozsahu, jaký jsme dosud neviděli.
• Hlas je lež: Hlasový phishing („vishing“) zažívá prudký nárůst. CrowdStrike zaznamenal 442% nárůst protože útočníci používají hlasy klonované umělou inteligencí k vydávání se za vedoucí pracovníky a k podvodnému převodu finančních prostředků ze zaměstnanců. Britská energetická firma ztratila více než $243,000 tímto způsobem z jediného hovoru.
• Vzestup automatizovaného protivníka: Lovci hrozeb v CrowdStrike nyní vidí komplexní automatizované kampaně – od životopisů generovaných umělou inteligencí s deepfake video rozhovory až po útoky bez malwaru, které jsou kompletně uloženy v cloudu.

Obránci čelí hrozbám, které se přizpůsobují a přetrvávají s minimálním lidským dohledem. Útočníci automatizují procesy už léta; umělá inteligence jen zrychlila jejich pracovní postupy.

Abychom udrželi krok, je nejvyšší čas opustit zastaralé, na kontrolních seznamech založené přístupy k dodržování předpisů a kybernetické bezpečnosti. Hledání zázračného řešení s nejnovějším nástrojem na trhu také není řešením. Nicméně je to jedinečná příležitost vrátit se k základům.

Přestaňte se ptát: „Jsme v souladu s předpisy?“ Začněte se ptát: „Jsme odolní?“

I když umělá inteligence mění prostředí, většina úniků dat se stále děje kvůli zanedbávaným základům. Jistě, hlas generálního ředitele byl naklonován, ale skutečným selháním byl pravděpodobně narušený proces schvalování finančních prostředků. Umělá inteligence byla jen posledním krokem v řetězci opomíjených základů.

Umělá inteligence nemusí najít nulové využití když dokáže najít pět let starý neopravený server nebo vývojáře s administrátorskými právy ke všemu. Koupě dalšího bezpečnostního nástroje s umělou inteligencí neopraví narušenou kulturu. Umělá inteligence by měla posilovat silné procesy, ne je nahrazovat.

Právě v tomto se vedení často mýlí. Byl jsem v zasedacích místnostech, kde otázka zněla: „Jsme v souladu s předpisy?“ Lepší otázka zní: „Posiluje náš bezpečnostní program naši firmu?“

Dodržování předpisů se stává cvičením s kontrolními políčky. Produktové týmy uhánějí vpřed, inženýři dostávají bezpečnostní úkoly bez zdrojů a vedoucí představitelé se domnívají, že čistý audit znamená, že podnik je bezpečný. Neznamená to. Řešením není více nástrojů, ale silnější opěrné prvky odshora dolů. Zabezpečení musí být přímo propojeno s růstem podniku a integritou produktu.

Pragmatický plán pro éru umělé inteligence

Společnosti z žebříčku Fortune 500 mohou na tento problém investovat peníze. Středně velké společnosti musí být chytřejší. Co tedy vlastně dělat? do?

1. Nejprve si opravte základy. Než si koupíte další nástroj, ujistěte se, že máte spolehlivý inventář svých dat, neprůstřelné kontroly přístupu a skutečně fungující proces oprav.
2. Zařaďte umělou inteligenci na pořad dne. Provádějte simulovaná cvičení založená na útocích řízených umělou inteligencí. Zařaďte je do pravidelných hlášení představenstvu, aby se s nimi zacházelo jako s obchodním rizikem, nikoli s IT problémem.
3. Zaměřte se na chování, ne jen na statické signály. Upřednostňujte nástroje, které odhalují podivnou aktivitu – například uživatelský účet, který se náhle připojuje k databázi, které se nikdy nedotkne – před nástroji, které pouze hledají známý malware.

Umělá inteligence není nepřítelem – nepřítelem je uspokojení se s realitou.

Umělá inteligence není dvousečná zbraň; je to lupa. Díky ní jsou dobré procesy efektivnější a špatné procesy katastrofální.

Útočníci budou mít vždy nové nástroje. Skutečnou otázkou je, zda je vaše bezpečnostní strategie postavena na pevných základech odolnosti, nebo zda se jen honí za dalším nablýskaným předmětem. Éra zabezpečení typu „nastav a zapomeň“ skončila. Organizace, které budují kulturu zabezpečení a dodržují základy, zvítězí, a to i ve věku autonomních hrozeb.