Umělé inteligence nezachrání rozbité bezpečnostní základy

Umělé inteligence verbessňuje viditelnost, analýzu a rozhodování, ale její účinnost je omezena kvalitou podkladového prostředí

“Používá umělou inteligenci?” se stalo standardní otázkou v diskusích o bezpečnostních produktech, kterou klade bezpečnostní lídři a která je opakovaně zmiňována v téměř každé prodejní prezentaci.

Problém spočívá v tom, že je to špatná otázka. Skutečnost, zda produkt používá umělou inteligenci, neznamená, že bude pomáhat posilovat bezpečnostní postavení organizace. Umělá inteligence není všelék na všechny kybernetické problémy. Její hodnota závisí na tom, jak je aplikována, a to začíná jasným definováním problému, který chcete vyřešit.

Lepší otázka zní: “Jakou konkrétní bezpečnostní mezeru se snažíme uzavřít a zda tato umělou inteligencí poháněná technologie skutečně pomáhá tuto mezeru uzavřít?”

Co umělá inteligence dělá dobře

Umělá inteligence přináší hodnotu v oblasti bezpečnosti ve třech klíčových oblastech. První oblastí je vyplňování mezer v datech. Bezpečnostní týmy získávají data z desítek zdrojů, včetně zastaralých inventářů aktiv, identifikačních systémů, které nezachycují všechny vztahy přístupu, a síťové telemetrie, která chybí určitý provoz. Umělá inteligence může odvodit kontext z neúplných datových sad, aby vytvořila úplnější obraz aktiv, identit, konektivity a chování zátěží.

Umělá inteligence také zlepšuje analýzu ve velkém měřítku. Problém signálu a šumu v bezpečnostních operacích je závažný a zhoršuje se. Umělá inteligence může korelovat události napříč několika datovými zdroji, označit výstrahy, které vyžadují pozornost, a odstranit nízkou prioritu šumu z pohledu analytika. Toto je oblast, ve které se většina bezpečnostních dodavatelů zaměřila na investice do umělé inteligence. Týmy SOC stráví méně času triáží nízkohodnotných výstrah a více času aktivitami, které vyžadují lidský úsudek.

Třetí oblastí je, že umělá inteligence může guidovat akci tím, že doporučuje další kroky, jako je změna zásad, která sníží riziko, reakční akce, která odpovídá behaviorálnímu vzoru, nebo kde je třeba změnit konfiguraci.

Umělá inteligence přináší největší hodnotu, když zlepšuje kontext, analýzu a rozhodování. Zlepšuje silné bezpečnostní postupy, ale nemůže nahradit chybějící.

Proč slabé základy stále selhávají

Umělá inteligence je omezena vstupy, které organizace nakrmí. Tyto vstupy (například telemetrie, architektura, zásady, kontroly a stávající nástroje) definují hranice toho, co může umělá inteligence dělat. Zlepšení těchto vstupů a umělá inteligence produkuje lepší výsledky. Zhoršení těchto vstupů a výstup se zhoršuje.

Bez kontextu pro identifikaci absence nemá umělá inteligence žádný způsob, jak o ní informovat. Není schopna sama prozkoumat prostředí a označit, co chybí. Nezjistí, zda síť postrádá dostatečnou segmentaci, zda jsou přístupové kontroly příliš permissive, nebo zda jsou viditelnostní mezery zanechávající celé segmenty prostředí bez monitorování.

Umělá inteligence neuniká starému principu kvality dat, „odpad dovnitř, odpad ven“, ale posiluje ho. Slabá telemetrie produkuje slabou analýzu. Chybné kontroly dávají umělé inteligenci něco, co optimalizuje ve špatném směru. Neúplná viditelnost znamená, že rozhodnutí jsou učiněna z neúplného obrazu, a umělá inteligence tato rozhodnutí činí rychleji, ne přesněji. Rychlost není zlepšením, pokud je podkladová informace nedůvěryhodná.

To je důvod, proč kvalita základny záleží před jakýmkoli použitím umělé inteligence. Silná základna zahrnuje identitu a přístupové kontroly, které vynucují smysluplné hranice, nejnižší privilegia napříč uživateli, zátěží, aplikacemi, daty, mikrosegmentací pro omezení laterálního pohybu a komplexní viditelnost/observabilitu napříč prostředím. Také vyžaduje spolehlivou telemetrii a jasnou představu o tom, jak systémy souvisí a závisí na sobě.

Nic z toho není nové. Tyto jsou stejné disciplíny, o kterých bezpečnostní týmy diskutovaly po léta, od přechodu na mobilní až po přechod na cloud. Co se změnilo, je cena zanedbání těchto disciplín. Umělá inteligence může zesílit silnou bezpečnostní základnu, ale nemůže ji nahradit.

Agentní umělá inteligence mění rovnici rizika

Posun není z žádné umělé inteligence na umělou inteligenci, ale z umělé inteligence, která asistuje, na umělou inteligenci, která jedná. Tradiční umělá inteligence analyzuje data, označí poznatky a doporučí další kroky. Agentní umělá inteligence provádí akce napříč systémy, daty a pracovními postupy bez čekání na lidské rozhodnutí.

Představte si to takto: nasazení 100 agentů umělé inteligence přes noc je efektivní jako najmutí 100 nových zaměstnanců, kteří se nikdy neodhlásí, pracují na rychlosti strojů a mají přístup ke všem systémům, jejichž povolení jim dovolí. Ale na rozdíl od lidských zaměstnanců tito agenti nezpomalují, nekladou otázky a neaplikují úsudek o tom, kdy by měl být přístup použit. Provádějí akce neustále, na velkém měřítku, napříč všemi systémy, ke kterým mají přístup.

To je mezera. Váš model přístupu předpokládá lidské chování (například diskrétní akce, pomalejší tempo a určitá úroveň úsudku). Agenti umělé inteligence odstraňují tato omezení. Pokud jsou povolení příliš široká (nebo nepřesná), nejsou pouze nevyužité nebo zneužité příležitostně; jsou neustále využívány, na velkém měřítku, napříč všemi systémy, ke kterým mají přístup.

Riziko se zvyšuje, když organizace přiřazuje agentovi stejný přístupový profil jako konkrétnímu uživateli, vytváří klon, ne pomocného proxy. Tento klon má stejná široká povolení jako originál, běží neustále a může vystavit organizaci stejným rizikům, ať už je jeho chování škodlivé nebo pouze nesprávně nakonfigurované.

V éře umělé inteligence jsou identita, přístupová kontrola, nejnižší privilegia, segmentace a observabilita již nejsou pouze nejlepšími postupy – jsou to základní bezpečnostní požadavky. Nedávná zpráva Cloud Security Alliance briefing vyvinutá se SANS, OWASP Gen AI Security Project a komunitou praktiků posiluje tvrzení, že agentní umělá inteligence nečiní tyto fundamentální principy zastaralými. Činí je nezbytnými.

Co vypadá bezpečnost připravená na umělou inteligenci

Považovat připravenost umělé inteligence za otázku nákupu a zaměřit se na to, které nástroje s umělou inteligencí implementovat, ignoruje fakt, že připravenost umělé inteligence je otázkou architektury, řízení a kontrol. Otázka není, které nástroje koupit, ale zda prostředí bude podporovat bezpečné fungování umělé inteligence.

Začněte s viditelností. Před nasazením jakéhokoli umělé inteligence potřebují bezpečnostní týmy jasný obraz toho, co existuje v prostředí: aktiv, zátěží, identit, aplikací, dat, modelů umělé inteligence, agentů a třetích stran. Tento inventář není něco, co může umělá inteligence vytvořit za vás. Je to výchozí bod, který potřebuje umělá inteligence, aby mohla dělat něco užitečného.

Odtud definujte problém. Identifikujte kontrolní mezeru nebo konkrétní riziko. Rozhodněte, jaký výsledek potřebuje zlepšit. Pak se zeptejte, zda může umělá inteligence pomoci uzavřít tuto mezeru lépe než jiné přístupy. Organizace, které obrátí tento pořadí tím, že začnou s nástrojem umělé inteligence a poté hledají problém, na který by jej mohli aplikovat, tendenci generovat aktivitu bez zlepšování bezpečnosti.

Aplikace principů nulové důvěry na agenty umělé inteligence je místem, kde se to stává operačním. Instinkt je často definovat, co agenti nemají dělat, ale tento seznam bude vždy neúplný. Více spolehlivý přístup je být preskriptivní ohledně toho, co může každý agent dělat, dát mu pouze přístup, který je vyžadován pro definovanou úlohu, a vynucovat tyto limity napříč každou vrstvou zásobníku. Segmentujte systémy, ke kterým mohou agenti přistupovat, aby pokud jeden chová v ways mimo jeho definované hranice nebo útočník zneužije, poškození zůstalo obsaženo.

Nakonec není nárůst aktivity metrikou úspěchu. Umělá inteligence zvýší objem akcí, které bezpečnostní tým provede, ale to neznamená, že zlepšuje bezpečnost. Panel, který prezentuje mnoho aktivity, neznačí, že umělá inteligence dodává hodnotu.

Měřte výsledky, jako je zda objem výstrah klesá způsobem, který odráží skutečný signál, a zda úroveň rizika klesá rychleji v oblastech, které mají největší význam. Zajistěte, aby doporučení zásad posilovala kontroly, umožňovala bezpečnostnímu týmu izolovat incidenty rychleji a umožňovala analytikům SOC trávit více času prací, která vyžaduje lidský úsudek.

Základna přichází první

Umělá inteligence není základem silného bezpečnostního postoje. Je to násobič, a jako každý násobič, jeho hodnota závisí zcela na tom, na co je aplikován.

Organizace, které vybudovaly silnou architekturu s jasnou viditelností, vynucenou nejnižší privilegií, segmentací a silnými identifikačními kontrolami, mohou použít umělou inteligenci, aby zlepšily kontext, urychlit analýzu a jednat na základě lepší informace. Ty, kteří tak neučinili, zjistí, že umělá inteligence je pohybuje rychleji ve špatném směru, optimalizuje chybné kontroly a označí poznatky z neúplného obrazu.

Otázka, která musí být položena před investicí do umělé inteligence, je stejná, která by měla vést každé bezpečnostní rozhodnutí: Jaký problém se snažíme vyřešit? Pokud je odpověď jasná a architektura, která ji podporuje, je na místě, pak může umělá inteligence udělat řešení účinnějším. Pokud je odpověď vágní nebo základna je slabá, přidání umělé inteligence to nezmění. Způsobí pouze to, že mezera bude hůře viditelná.

Umělá inteligence nezachrání rozbitou základnu. Způsobí pouze to, že trhliny budou viditelnější rychleji.