Γιατί η συντέλεια του κόσμου αποσπά την προσοχή από τον πραγματικό κίνδυνο της ΤΝ που θα έπρεπε να μας ανησυχεί

Αν παρακολουθείτε οποιοδήποτε μέσο ενημέρωσης, δύσκολα μπορείτε να αγνοήσετε την κλιμακούμενη κινδυνολογία γύρω από τον κλάδο της ΤΝ και τις προειδοποιήσεις για τη συντέλεια του κόσμου. Το αφήγημα που προειδοποιεί για τον «υπαρξιακό κίνδυνο» που συνιστούν για την ανθρωπότητα τα συστήματα ΤΝ έχει διευκολύνει υπερβολικά τις εταιρείες κυβερνοασφάλειας να ακολουθήσουν το ρεύμα και να πουλούν αξιοποιώντας τον φόβο. Ωστόσο, η εστίαση στη «συντέλεια του κόσμου» είναι παραπλανητική, καθώς παραβλέπει τους πιο άμεσους κινδύνους που ενέχει σήμερα για τους οργανισμούς η ΤΝ με δυνατότητες αυτόνομης δράσης.

Βεβαίως, οι πράκτορες ΤΝ που δρουν ανεξάρτητα από τους ελέγχους ενός οργανισμού εγκυμονούν σαφείς κινδύνους. Μόλις πρόσφατα, δημοσιεύματα από την Αυστραλία και τις ΗΠΑ διαπίστωσαν ότι πράκτορες ΤΝ της OpenAI είχαν υπερβεί τα καθήκοντά τους σε κυβερνητικά συστήματα και στις δύο χώρες.

Ωστόσο, η απειλή σεναρίων καταστροφής του κόσμου από την ΤΝ είναι υπερβολικά διογκωμένη. Αντί να αναλώνονται σε υποθετικά ενδεχόμενα, οι οργανισμοί πρέπει να αντιμετωπίσουν αυτή τη νέα πραγματικότητα και να διασφαλίσουν ότι υπάρχουν ντετερμινιστικές δικλίδες ασφαλείας για την επιχειρησιακή ανθεκτικότητα.

Το διαδίκτυο δεν έχει έναν μοναδικό διακόπτη απενεργοποίησης

Όσοι ενστερνίζονται το αφήγημα της συντέλειας του κόσμου πιστεύουν ότι, καθώς η ΤΝ εξελίσσεται και διευρύνεται η εμβέλειά της, θα μπορούσε να μετατραπεί σε έναν συγκεντρωτικό «διακόπτη καταστροφής» —ένα μοναδικό σημείο ευάλωτο σε όποιον επιχειρήσει να αποκτήσει τον πλήρη έλεγχο και να προκαλέσει καταστροφή.

Ωστόσο, το διαδίκτυο είναι πολύ πιο αποκεντρωμένο και ποικιλόμορφο απ’ όσο υποθέτει η θεωρία του διακόπτη καταστροφής. Λειτουργεί ως «δίκτυο δικτύων», αποτελούμενο από δισεκατομμύρια στοιχεία, οργανωμένα σε διαφορετικές αρχιτεκτονικές και προστατευμένα από αμέτρητες ομάδες λειτουργίας που χρησιμοποιούν διαφορετικά πρότυπα και εργαλεία. Επομένως, δεν υπάρχει ένας μοναδικός διακόπτης που να μπορεί να πατήσει οποιοσδήποτε, άνθρωπος ή μηχανή, ούτε μία μοναδική ευπάθεια ή αλυσίδα ευπαθειών που θα μπορούσε να αξιοποιηθεί με τόσο καταστροφικό αποτέλεσμα.

Η ιδέα ότι η ΤΝ θα μπορούσε να κατασκευάσει και να απελευθερώσει έναν παθογόνο μικροοργανισμό ή να παραβιάσει πυρηνικά συστήματα απομονωμένα από άλλα δίκτυα μπορεί να προσφέρει συναρπαστικό θέαμα στον κινηματογράφο. Ωστόσο, απέχει πολύ από το να αποτελεί αξιόπιστο σενάριο για μια αξιολόγηση επιχειρησιακών απειλών.

Εκτός οπτικού πεδίου, εκτός ελέγχου

Καθώς η ΤΝ με δυνατότητες αυτόνομης δράσης συνεχίζει να εξελίσσεται, δύο παράγοντες έχουν αλλάξει ριζικά τη φύση του επιχειρηματικού κινδύνου.

Από τη μία πλευρά, η ΤΝ μπορεί πλέον να βοηθά κακόβουλους παράγοντες να εντοπίζουν και να εκμεταλλεύονται ευπάθειες στον κυβερνοχώρο μέσα σε λεπτά αντί για μήνες. Όταν οι πιθανολογικές άμυνες ΤΝ εντοπίσουν ύποπτη δραστηριότητα, συχνά είναι πλέον πολύ αργά για να αντιμετωπιστεί η απειλή. Επειδή βασίζονται στη στατιστική πιθανότητα και όχι σε σταθερούς κανόνες, ακόμη και οι καλύτερες θα παραλείψουν κάποια κακόβουλη δραστηριότητα, και αρκεί ένας εισβολέας να ξεφύγει μία φορά

Από την άλλη πλευρά, η χρήση «σκιώδους ΤΝ» από τους εργαζομένους έχει καταστήσει πολύ δυσκολότερο να γνωρίζουμε τι χρειάζεται προστασία. Το συντριπτικό 82% των οργανισμών που συμμετείχαν σε έρευνα της Cloud Security Alliance ανακάλυψε μέσα στον τελευταίο χρόνο ότι λειτουργούσαν πράκτορες ΤΝ, χωρίς να το γνωρίζουν οι ομάδες ασφάλειας ή πληροφορικής, παρότι το 68% δήλωσε ότι είχε μεγάλη εμπιστοσύνη στην ορατότητά του ως προς τους πράκτορες. Σε ξεχωριστή έρευνα, η EY διαπίστωσε ότι το ένα τέταρτο των μεγάλων αμερικανικών επιχειρήσεων που χρησιμοποιούν ΤΝ με δυνατότητες αυτόνομης δράσης παραδέχτηκε ότι δεν μπορούσε να εντοπίσει μη εξουσιοδοτημένους πράκτορες που λειτουργούσαν εντός της επιχείρησης.

Όπως είναι φυσικό, και οι δύο αυτές μεταβολές ασκούν σημαντική επιχειρησιακή πίεση στα εταιρικά συστήματα. Σε συνδυασμό, αφήνουν τους οργανισμούς σε ιδιαίτερα μειονεκτική θέση: αργούν υπερβολικά να εντοπίσουν και να διορθώσουν τις εκτεθειμένες ευπάθειες και δεν γνωρίζουν καν ποια συστήματα είναι εκτεθειμένα.

Έλεγχος όσων μπορούν να ελεγχθούν

Οι οργανισμοί χρειάζονται ένα ενημερωμένο, σε πραγματικό χρόνο μητρώο κάθε πράκτορα που λειτουργεί στην επιχείρηση, είτε είναι εγκεκριμένος είτε όχι, με ονομαστικά καθορισμένο υπεύθυνο και σαφώς ορισμένο πεδίο πρόσβασης και ενεργειών για τον καθένα. Αυτό είναι το πρώτο βήμα για τον έλεγχο όσων μπορούν να ελεγχθούν, επειδή, ενώ τα μοντέλα ΤΝ μπορεί να λειτουργούν πιθανολογικά, οι έλεγχοι που θεσπίζονται γύρω τους μπορούν να είναι ντετερμινιστικοί, σταθεροί και σαφώς καθορισμένοι.

Στην πράξη, αυτό σημαίνει ότι κάθε φορά που ένας πράκτορας προτείνει μια ενέργεια, ένα ξεχωριστό επίπεδο επιβολής, ανεξάρτητο από το ίδιο το μοντέλο, πρέπει να επαληθεύει αν η ενέργεια επιτρέπεται και να τηρεί αρχείο ελέγχου. Ωστόσο, μόνο το 11% των οργανισμών αποκλείει αυτόματα την ενέργεια ενός πράκτορα όταν αυτή υπερβαίνει το πεδίο αρμοδιοτήτων του, ενώ οι περισσότεροι βασίζονται στην έγκριση ανθρώπου ή απλώς καταγράφουν την ενέργεια. Το περιστατικό στην Αυστραλία δείχνει το κόστος της εμπιστοσύνης στο σύστημα-στόχο ότι θα πει όχι: όταν του αρνήθηκε την πρόσβαση, ο πράκτορας βρήκε άλλον τρόπο να εισέλθει. Η ευρύτερη αρχιτεκτονική διακυβέρνησης πρέπει επίσης να μπορεί να εντοπίζει, να εξουσιοδοτεί και να επαληθεύει διαρκώς όλους τους πράκτορες, ώστε να αποτρέπεται η πραγμάτωση απρόβλεπτων επιχειρησιακών κινδύνων. Όλα αυτά πρέπει να γίνονται με ταχύτητα, επειδή οι επιθέσεις που κινούνται με την ταχύτητα των μηχανών απαιτούν κανόνες που κινούνται με την ίδια ταχύτητα.

Από τον υποθετικό φόβο στις πρακτικές λύσεις

Όσο πειστικός κι αν φαίνεται, ο καταιγισμός δημοσιευμάτων για τη συντέλεια του κόσμου, με αφορμή τα αυτόνομα συστήματα ΤΝ, απέχει πολύ από την πραγματικότητα. Ο κίνδυνος που αξίζει να μας ανησυχεί είναι πολύ πιο πεζός από μια ΤΝ που αποφασίζει να μας καταστρέψει: ένας πράκτορας που δρα μέσα στην επιχείρησή σας ταχύτερα απ’ όσο μπορεί να τον αντιληφθεί οποιοσδήποτε, με δικαιώματα που κανείς δεν του παραχώρησε.

Τα προβλήματα της ταχύτητας και της ορατότητας είναι και τα δύο αντιμετωπίσιμα, αρκεί τα συστήματα ασφάλειας που διέπουν την ΤΝ να είναι ντετερμινιστικά και να μπορούν να επαληθεύουν με ακρίβεια και να παρακολουθούν κάθε πράκτορα με την ταχύτητα με την οποία αυτός λειτουργεί.

Για τα διοικητικά συμβούλια και τους επικεφαλής ασφάλειας, αυτό μεταφράζεται σε τρία πρακτικά ερωτήματα: γνωρίζουμε κάθε πράκτορα που λειτουργεί στο περιβάλλον μας; Έχει ο καθένας υπεύθυνο και σαφώς καθορισμένα όρια; Και μπορούμε να σταματήσουμε μια μη εξουσιοδοτημένη ενέργεια πριν εκτελεστεί; Βοηθώντας τους πελάτες να καλύψουν αυτά τα πρακτικά κενά, οι πάροχοι κυβερνοασφάλειας μπορούν να ενισχύσουν πολύ περισσότερο την ανθεκτικότητα από ό,τι πουλώντας τον φόβο για υποθετικά μελλοντικά σενάρια.