Keith Stewart, grundlægger og administrerende direktør for Humanix – Intervju-serie

Keith Stewart, grundlægger og administrerende direktør for Humanix, er en erfaren cybersecurity-ekspert med mere end 25 års erfaring inden for produktledelse, ingeniørarbejde, forretningsudvikling og ledelse i nogle af branchens mest anerkendte virksomheder, herunder Cisco, Brocade, Riverbed og vArmour. Før han grundlagde Humanix i 2023, fungerede han som midlertidig administrerende direktør og vicepræsident for produkt og ingeniørarbejde i vArmour, hvor han hjalp med at guide virksomheden gennem dens overtagelse og overgang til en SaaS-baseret forretningsmodel. Gennem sin karriere har Stewart ledet globale teams, drevet store cybersecurity-produktinitiativer, deltaget i fundraising og M&A-aktiviteter og spillet en nøglerolle i udviklingen af næste generations sikkerhedsteknologier. Hans omfattende baggrund inden for enterprise-sikkerhed og hans dybe forståelse af, hvordan angribere udnytter menneskers adfærd, ledte ham til at etablere Humanix med missionen om at beskytte mennesker mod stadig mere avancerede sociale ingeniørangreb.

Humanix er en cybersecurity-virksomhed, der banevej for, hvad de kalder Human Threat Detection and Response (HTDR), en ny kategori, der fokuserer på at beskytte den “menneskelige lag” i enterprise-sikkerhed. I stedet for at koncentrere sig udelukkende om endpunkter, netværk og infrastruktur bruger Humanix konversations-AI, der er trænet på menneskelig psykologi og naturlige sprogangrebsmønstre, til at opdage manipulation, bedrag, efterligning og andre sociale ingeniørteknikker på tværs af tale, chat, e-mail, video og service desk-interaktioner. Platformen er designed til at identificere angreb i realtid, hvilket hjælper organisationer med at stoppe datakrænkelser, før angribere kan udnytte medarbejdere, underleverandører eller kunder. Humanix’ tilgang afspejler en voksende erkendelse af, at de fleste succesfulde cyberangreb targetter mennesker snarere end systemer, og virksomheden sigter mod at give sikkerhedsteams den samme niveau af synlighed og responsfærdigheder for menneske-rettede trusler, som de allerede har for traditionelle cybertrusler.

Du har ledet store forandringer på tværs af virksomheder som vArmour, herunder SaaS-overgange, opskalering af ingeniørteams og navigation i forbindelse med overtagelse. Hvad var det specifikke gap eller vendepunkt, der fik dig til at grundlægge Humanix, og hvorfor fokuserer du så stærkt på at sikre mennesker snarere end systemer?

Det største problem i enhver organisations sikkerhedsstilling er menneskeligt risiko. Mennesker er både vores mest kraftfulde defensive aktiv og vores største område af vedvarende sårbarhed. Alligevel er det et problem, der konstant har været uadresseret. Branchens svar har været træning – effektivt forsøg på at omdanne den gennemsnitlige medarbejder til en cybersecurity-ekspert i en time. Vi ved, det virker ikke, men vi har ikke haft nogen bedre løsninger.

To ting er ændret for nylig, en til det værre og en til det bedre. Først, det værre: AI gør angreb, der targetter mennesker direkte, meget mere tilgængelige. Du kan nu være en teenager på den anden side af verden, ikke tale et ord engelsk, vide ingenting om en bestemt forretning og pludselig kan en LLM fortælle dig næsten alt og lyde som næsten enhver. Det skaber en reel og nuværende fare.

Anden, en ændring til det bedre: Vi har nu teknologien til at opdage disse angreb. LLM’er er meget gode til at forstå nuancen og kompleksiteten af menneskelige interaktioner. Med konversations-AI kan vi identificere mønstre i disse interaktioner og reagere i næsten realtid.

Vi behøver ikke længere kun at afhænge af forældede, træningscentrerede strategier. For første gang har vi en måde at løse menneskeligt sårbarhedsproblemet direkte. Det er derfor, vi byggede Humanix.

Dit arbejde har længe centreret sig omkring stor skala data, adfærdsanalyse og graf-baserede sikkerhedsmodeller. Hvordan formede disse erfaringer Humanix’ tilgang til at opdage angreb, der ikke ligner traditionelle datakrænkelser?

På overfladen ser opdagelse af interaktive sociale ingeniørangreb ud som en overvældende opgave. Hver person er anderledes. Naturligt sprog er ekstremt højdimensionelt. Klassiske ML-centrerede adfærdsmodeller forstår ikke kontekst og mislykkes derfor ofte.

Men når man dykker lidt dybere, kan man se, at denne angrebsklasse har mønstre som enhver anden. I stedet for buffer-overløb eller zero days udnytter angribere forretningsprocesser og menneskelig tillid. Angribere har playbook, de konsekvent kører mod organisationer, hvilket betyder, vi burde være i stand til at opdage og reagere på disse angreb på samme måde, som vi gør på endpoint, netværk, cloud eller identitet.

Denne indsigt giver os mulighed for at kombinere klassiske opdageLS og responsmønstre, vi ved er effektive – herunder adfærdsanalyse og grafteori – med sprogmodellers semantiske resonansfærdigheder. Humanix bruger denne kombination til at forstå enheder, relationer, adfærd, risiko og interaktionen selv. Dette er, hvordan vi skaber en ny klasse af opdageLS og responsprodukt: Human Threat Detection and Response.

Opkommende grupper som BlackFile bruger voice phishing og realtid sociale ingeniørangreb i stedet for malware-tunge taktikker. Hvad fortæller denne skift os om, hvordan trusselslandskabet ændrer sig?

BlackFile er en del af en bredere skift mod angreb, der er mindre om at få malware ind i en miljø og mere om at bruge naturligt sprog til at få en person til at åbne døren.

Disse grupper har fundet ud af, at en overbevisende telefonopringning, en plausibel forudsætning og den rette mængde hastighed kan være lige så effektiv som en teknisk exploit og ofte sværere for sikkerhedsteams at se. Angrebsfladen har ikke ændret sig så meget som angriberfokus har. Mennesker har altid været en del af angrebsfladen. Hvad der er ændret, er skalaen, modningen og gentagelsen af playbooket.

Sociale ingeniørangreb kopieres, forfineres og industrialiseres, fordi det virker. Det udnytter, hvordan forretninger faktisk opererer, især i arbejdsgange, hvor mennesker forventes at hjælpe hurtigt, løse undtagelser og holde tingene i gang.

Vi ser angribere, der efterligner IT-hjælpeskranke og udnytter medarbejdere direkte for at få adgang. Hvorfor bliver teknikker som vishing og hjælpeskranke-manipulation så effektive primære indgangspunkter?

Teknikker som vishing og hjælpeskranke-manipulation er så effektive, fordi de udnytter kombinationen af tillid, hastighed og adgang, der findes i mange support- og administrative arbejdsgange.

Hvis jeg vil komme ind i din miljø, kan jeg bruge uger på at lede efter en teknisk exploit. Eller jeg kan ringe til en person, der er trænet til at hjælpe, skabe en troværdig historie og få dem til at gøre det, jeg har brug for, enten det er at nulstille en adgangskode, registrere en ny MFA-faktor, ændre en tilladelse eller godkende en anmodning.

Personen på den anden side af opkaldet er ofte forsøger at løse et virkeligt problem under tidspressning med utilstrækkelig information. Det er præcis, hvad gør hjælpeskranke så attraktivt. Det er et af de få steder, hvor en samtale kan omdannes direkte til adgang. Når adgangen er givet, kan resten ske meget hurtigt.

Branchen har investeret kraftigt i medarbejdertræning, men datakrænkelser, der targetter mennesker, fortsætter med at stige. Hvor falder traditionel sikkerhedsbevidsthed kort, og hvad skal ændre sig?

Sikkerhedsbevidsthedstræning er blevet behandlet som den primære forsvar mod sociale ingeniørangreb, selv om resultaterne tydeligt viser dets begrænsninger. Organisationer fortsætter med at investere kraftigt i træning, men angribere fortsætter med at lykkes, fordi de targetter mennesker i live-interaktioner, ikke tester, om medarbejdere kan huske materiale fra en kursus.

Et socialt ingeniørangreb er ikke en quiz. Det er en person på den anden side af en telefonopringning eller en chat-tråd, der skaber hastighed, bygger tillid og forsøger at få en person til at udføre en handling, de ikke burde udføre. Den nuværende model bryder sammen, fordi den forventer, at medarbejderen skal genkende og stoppe angrebet, mens angriberen aktivt manipulerer interaktionen.

Når noget går galt, er reaktionen ofte at bebrejde medarbejderen og tildele mere træning. Men medarbejderen var sandsynligvis forsøger at hjælpe, hvilket er præcis, hvad forretningen beder dem om at gøre hver dag. Vi skal stoppe med at behandle sociale ingeniørangreb som et bevidsthedsproblem alene. Det er en angrebsklasse, og vi skal opdage og reagere på den, mens interaktionen finder sted.

Humanix positionerer sig omkring opdageLS af angreb på mennesker i realtid. Hvad ser observabilitet af menneskeligt risiko ud i praksis?

Observabilitet af menneskeligt risiko betyder at give sikkerhedsteams indsigt i de live-interaktioner, hvor angribere forsøger at manipulere mennesker til at ændre adgang, omgå en påkrævet procedure eller udføre en anden usikker handling på angriberens vegne.

I dag er disse interaktioner effektivt usynlige for sikkerhed. Nogen ringer til hjælpeskranke, åbner en billet, eller starter en chat. En adgangskode bliver nulstillet, en MFA-faktor bliver registreret, en tilladelse bliver ændret, eller en undtagelse bliver godkendt. Disse er meget følsomme arbejdsgange, men sikkerhedsteams har ingen indsigt og observabilitet.

Humanix ændrer dette. Vi tilslutter os til de eksisterende kommunikationssystemer, der allerede bruges – Microsoft 365, ServiceNow , Zoom, Slack og mere. Humanix overvåger handlinger og interaktioner over disse kanaler og sammenligner dem med angrebstaktikker og virksomhedsprocedurer.

Bleve opkaldet korrekt verificeret? Talte de deres vej rundt om verificering? Var der hastighed, efterligning eller pres for at springe en påkrævet skridt over? Var agenten på vej til at udføre en højrisiko-handling? Hvordan har risikoprofilen ændret sig, da opkaldet skred frem? Humanix giver sikkerhedsopdageLS og respons, mens interaktionen finder sted, og lader sikkerhedsteamet vide, hvis noget ser mistænkeligt ud.

Det ultimative mål med denne analyse er ikke at straffe ofrene efter faktum. Det er at beskytte dem i øjeblikket. Hvis en samtale bliver et angreb, skal sikkerhedsteamet vide det.

Når AI-genereret stemme og deepfake-teknologier forbedres, hvor tæt er vi på, at menneskelig tillid bliver den svageste angrebsflade?

Menneskelig tillid har været en af de svageste angrebsflader i lang tid. AI gør angreb mod tillid lettere at oprette, tilpasse og skala.

Men vi skal være forsigtige med ikke at overrottere på det specifikke ‘deepfake’-tilfælde. Deepfakes er kun et medium, angribere kan bruge til at manipulere nogen. I virkeligheden, hvis vi ser på de fleste succesfulde sociale ingeniørangreb over de sidste par år, var de fleste ikke deepfakes – de er bare menneskelige angribere og svindlere, der ringer op. Grupper som Scattered Spider, ShinyHunters og BlackFile har vist, at en normal telefonopringning, en troværdig forudsætning og den rette mængde hastighed er mere end nok til at få en person til at udføre en handling på angriberens vegne.

Sikkerhedsteams skal fokusere på beskeden, ikke mediet. Nogen, der presses til at krænke en politik eller godkende en undtagelse under mistænkelige omstændigheder – disse er de virkelige risikoforstyrrelser. Risikoen ligger i interaktionen selv og handlingen, den er designet til at inducere.

Tillid er ikke noget, vi kan fjerne fra forretningen. Mennesker må svare på opkald, løse problemer, godkende anmodninger og hjælpe hinanden. Svaret kan ikke være at gøre alle mindre menneskelige. Det må være at beskytte øjeblikket, hvor tillid udnyttes.

Hvad skal AI spille for en rolle i forsvar mod AI-drevne sociale ingeniørangreb, og hvad er de største tekniske udfordringer i at opdage manipulation i realtid?

Konversations-AI åbner muligheden for at omdanne AI-drevne sociale ingeniørangreb fra et træningsproblem til et opdageLS- og responsproblem. Sprogmodeller giver os mulighed for at anvende alle vores erfaringer fra domæner som endpoint eller netværk og anvende dem på den menneskelige lag. Vi skal opdage og reagere på disse angreb, ikke fortsætte ned ad den forgæves vej af at forsøge at træne dem væk.

Der er mange tekniske udfordringer i at gøre denne vision til virkelighed. Naturligt sprog er ekstremt højdimensionelt, hvilket betyder, at der er utallige måder at udtrykke det samme på. At sige “Jeg er låst ud af mit system” er en funktionsmæssigt ækvivalent udtalelse til at sige “Jeg har brug for min adgangskode nulstillet”, selv om ordene ‘adgangskode’ og ‘nulstillet’ aldrig blev brugt.

Endnu en udfordring er betydningen af kontekst. Menneskelige interaktioner er kontekstuelle og kumulative, og således også menneskelig manipulation. En opkaldende kan lyde rolig, høflig og troværdig, mens han stadig kan styre nogen rundt om verificering eller mod en usikker handling. Vi skal kombinere multiple signaler og kontekstuelle data sammen for at kunne adskille uskadelige fra maliciøse.

Til sidst er hver organisation anderledes. Den har forskellige procedurer og normer, som næsten alle er ikke maskinlæsbare. Dette er endnu et område, hvor AI kan være en stor hjælp – at forstå disse politikker og sammenligning med observerede virkelige verdensadfærd.

Mange sikkerhedsværktøjer fokuserer stadig på endpunkter, netværk og identitetssystemer. Hvordan skal CISO’er omstrukturere deres arkitektur, hvis det primære slagfelt skifter til menneskelig adfærd?

Først skal CISO’er formelt anerkende, hvad vi alle intuitivt ved: En organisations menneskelige kapital er en aktivklasse (som endpoint, netværk eller cloud), der skal administreres. Trusler og risici skal modelleres og kontrolleres nøjagtigt.

NIST Cybersecurity Framework giver allerede vejledning i, hvordan man gør dette. “Identifikation” og “administration” af mennesker er en del af Asset Management (ID.AM) underafdelen af risikoidentifikation. Alligevel definerer mange organisationer menneskeligt risikoproblem som et træningsproblem og administrerer det kun via sikkerhedsbevidsthedstræningssamarbejdskravet. Dette skal ændre sig.

Når vi behandler menneskelig kapital som sin egen aktivklasse, åbner det op for de standard playbooks, vi kører for hver anden aktivklasse. Hvad er de vigtigste risici (ID.RA)? Hvordan kan jeg systematisk forsvare mod dem (Protect)? Hvad er vores systemer og processer til at opdage, om en angriber er på vej til at krænke disse forsvar, eller værre, allerede har (Detect)? Hvordan reagerer organisationen for at indeholde truslen og til sidst genskabe tjenester (Respond og Recover)? Ved at tage den samme systematiske tilgang til vores menneskelige kapital, som vi gør til enhver anden aktivklasse, kan vi bedre identificere risici og mere effektivt prioritere ressourcer til at administrere disse risici.

Settende fremad, forventer du, at menneske-lag-angreb kommer til at dominere cyberkriminalitet, eller vil vi se en hybridmodel, hvor AI-drevet automation og sociale ingeniørangreb konvergerer til noget, der er sværere at forsvare?

Det vil sandsynligvis være en blandet trusselsmodel. Vi har to ting, der sker samtidigt. Først lærer angribere at skala deres angreb med AI, øger adgangen og reducerer omkostningerne af denne klasse af angreb. Anden, virksomhederne selv er i færd med at gennemgå en agentisk AI-transformation, ledet af de samme forretningservices, der angribes af BlackFile og deres ligemænd.

Kundeservice, hjælpeskranke, service desk, finansielle operationer og interne support-arbejdsgange er alle i færd med at blive transformeret fra menneskeleveret til AI-leveret. Det betyder, vi vil opleve en eksplosion i naturligt sprogangrebsflade, mens vi fjerner menneskelig sund fornuft. Store sprogmodeller er trænet til at reagere på instruktioner og være hjælpsomme. Den menneskelige mistro eller ‘fornemmelse’ har været nogle af vores bedste forsvar mod sociale ingeniørangreb og er blevet bevidst fjernet fra modellsvar. Overgangen til AI-leveret service vil ultimativt øge risikoen for sociale ingeniørangreb, ikke reducere den.

Derfor er virksomhedernes eksponering for denne klasse af angreb næsten sikkert gået til at fortsætte med at vokse over de næste par år. Mennesker og agenter er begge sårbare over for naturligt sprogangreb. Sikkerhedsteams skal starte med at planlægge i dag for en systematisk forsvar og responsplan til denne nye virkelighed. Tak for det gode interview, læsere, der ønsker at lære mere Humanix.