Οι απειλές του AI είναι μια διαστράτευση. Το πραγματικό σας πρόβλημα είναι πιο κοντά στο σπίτι

Ας είμαστε ειλικρινείς: οι κυβερνοεπιθέσεις που βασίζονται στο AI είναι μια τρομακτική προοπτική. Nhưng δεν είναι η μεγαλύτερη απειλή για την επιχείρησή σας.

Η μεγαλύτερη απειλή είναι η διαστράτευση που δημιουργούν.

Για πάνω από 15 χρόνια, έχω δει την ίδια ιστορία να επαναλαμβάνεται. Η ηγεσία τρομοκρατείται από την τελευταία “υπερ-απειλή του AI”, ενώ η ομάδα ασφαλείας ακόμα παλεύει να απαντήσει σε βασικά ερωτήματα όπως “Πού βρίσκεται τα πιο ευαίσθητα δεδομένα των πελατών μας;” ή “Ποιος είναι υπεύθυνος για την ενημέρωση του κρίσιμου συστήματος;” Χασ ourselves με νέα εργαλεία ενώ οι μηχανικοί τραβούν σε τελευταίες δραστηριότητες συμμόρφωσης και κρίσιμες ευπαθής déprioritize.

Αυτό είναι το κλασικό “φανταχτερό κλείδωμα σε μια οθόνη πόρτας” πρόβλημα. Οι οργανισμοί βιάζονται να αναπτύξουν αμυντικά συστήματα που βασίζονται στο AI, αλλά οι επιτιθέμενοι χρησιμοποιούν το AI με λιγότερους κανόνες και μεγαλύτερη ευελιξία για να περάσουν από τις θεμελιώδεις lacunae στη διαδικασία, την ιδιοκτησία και τον πολιτισμό. Για τις εταιρείες του μεσαίου μεγέθους, ειδικά, η αγνόηση των βασικών είναι μια πρόσκληση να γίνει η επόμενη προειδοποιητική ιστορία.

Γιατί οι στατικές αμυντικές λύσεις αποτυγχάνουν σε ένα δυναμικό κόσμο

Όταν ξεκίνησα την καριέρα μου, η ασφάλεια ήταν ένα checklist: αντί-ιός, ενημερώσεις και ισχυρά τείχη προστασίας. Αυτός ο κόσμος έχει πέρασει. Σήμερα, το πολυμορφικό malware ξαναγράφει τον εαυτό του για να αποφύγει τις υπογραφές, και τα botnets εκτοξεύουν επιθέσεις γρηγορότερα από ό,τι μπορεί να ανταποκριθεί οποιοσδήποτε άνθρωπος.

Ο κρυπτογραφημένος трафик έχει γίνει ο αγαπημένος κρυψώνα του εχθρού. Η αναφορά ThreatLabz του Zscaler για το 2024 βρήκε ότι 几乎 90% του malware παραδίδεται μέσω κρυπτογραφημένων καναλιών. Αυτό σημαίνει ότι εννέα από δέκα απειλές είναι αόρατες στα legacy εργαλεία που δεν μπορούν να ελέγξουν αυτόν τον трафик.

Το πραγματικό φιλτράρισμα, ωστόσο, δεν είναι μόνο η τεχνολογία, αλλά και η οργανωτική τριβή. Έχω δει εξαιρετικές ομάδες ασφαλείας να ξοδεύουν εβδομάδες μόνο για να πάρουν την έγκριση για να κλείσουν một γνωστή lacuna. Στο χρόνο που χρειάζεται για να προγραμματιστούν οι συναντήσεις, ένας αυτοματοποιημένος επιτιθέμενος μπορεί να είναι μέσα και έξω. Το να είναι στατικός δεν είναι πλέον μια επιλογή. Τα προγράμματα ασφαλείας πρέπει να είναι συνειδητά και εστιασμένα στα γρήγορα κινητά μέρη της επιχείρησης.

Η βιομηχανική κυβερνοεγκλήματος

Αυτό δεν πρέπει να μας εκπλήσσει. Οι επιτιθέμενοι είναι επιχειρηματίες που διευθύνουν μια επιχείρηση. Απλώς υιοθετούν νέα τεχνολογία για να βελτιώσουν το ROI τους – όπως και εμείς. Το AI βοηθά στην βιομηχανική των επιχειρήσεών τους.

• Phishing-as-a-Service, Supercharged: Το phishing είναι ακόμα ο лучший τρόπος για να μπει. Το FBI και η IBM το αναφέρουν ως τον πρώτο αρχικό διαύλου για χρόνια. Τώρα, με εργαλεία γενικής AI όπως το “FraudGPT,” οι εγκληματίες μπορούν να δημιουργήσουν τέλεια προσαρμοσμένες, χωρίς γραμματικές λάθη, εκστρατείες phishing σε μια κλίμακα που δεν έχουμε δει ποτέ.
• Η φωνή είναι ένα ψέμα: Το voice phishing (“vishing”) εκρήγνυται. Η CrowdStrike είδε μια 442% αύξηση καθώς οι επιτιθέμενοι χρησιμοποιούν φωνές που κλωνοποιούνται από το AI για να μιμούνται εκτελεστές και να πείθουν τους υπαλλήλους να μεταφέρουν κεφάλαια. Μια βρετανική εταιρεία ενέργειας έχασε πάνω από $243,000 με αυτόν τον τρόπο από μια seule κλήση.
• Η άνοδος του αυτοματοποιημένου ανταγωνιστή: Οι κυνηγοί απειλών της CrowdStrike βλέπουν πλέον ολοκληρωμένες αυτοματοποιημένες εκστρατείες – από AI-γεννημένα βιογραφικά με ψευδείς βίντεο συνεντεύξεων σε εισβολές χωρίς malware που ζουν εξ ολοκλήρου στο cloud.

Οι αμυνόμενοι αντιμετωπίζουν απειλές που προσαρμόζονται και επιμένουν με ελάχιστη ανθρώπινη επιτήρηση. Οι επιτιθέμενοι έχουν αυτοματοποιήσει για χρόνια, το AI απλώς έβαλε την εργασία τους σε υπερταχύτητα.

Για να τηρηθούν, είναι ώρα να αφήσουμε πίσω τις παλιές, checklist-οδηγούμενες προσεγγίσεις για τη συμμόρφωση και την κυβερνοασφάλεια. Η αναζήτηση για ένα ασημένιο δώρο με το τελευταίο εργαλείο στην αγορά δεν είναι η απάντηση. Αυτό λέει, αυτή είναι μια μοναδική ευκαιρία να επιστρέψουμε στις βασικές αρχές.

Σταματήστε να ρωτάτε “Είμαστε συμμορφωμένοι;” Ξεκινήστε να ρωτάτε “Είμαστε ανθεκτικοί;”

Ακόμα και καθώς το AI ανασχηματίζει το τοπίο, οι περισσότερες παραβιάσεις συμβαίνουν ακόμα λόγω παραμελημένων βασικών. Βέβαια, η φωνή του CEO ήταν κλωνοποιημένη, αλλά η πραγματική αποτυχία ήταν πιθανότατα μια κατεστραμμένη διαδικασία οικονομικής έγκρισης. Το AI ήταν απλώς το τελικό βήμα σε μια αλυσίδα παραμελημένων βασικών.

Το AI δεν χρειάζεται να βρει ένα zero-day exploit όταν μπορεί να βρει ένα πενταετές μη ενημερωμένο server ή έναν προγραμματιστή με δικαιώματα διαχειριστή σε όλα. Η αγορά ενός ακόμα AI-ενισχυμένου εργαλείου ασφαλείας δεν θα sửaσει έναν κατεστραμμένο πολιτισμό. Το AI πρέπει να ενισχύσει ισχυρές διαδικασίες, όχι να τις αντικαταστήσει.

Αυτός είναι ο nơi όπου η ηγεσία συχνά το κάνει λάθος. Έχω βρίσκεται σε δωμάτια του διοικητικού συμβουλίου όπου το ερώτημα ήταν, “Είμαστε συμμορφωμένοι;” Το καλύτερο ερώτημα είναι, “Κάνει το πρόγραμμα ασφαλείας μας την επιχείρησή μας πιο ισχυρή;”

Η συμμόρφωση γίνεται ένα checkbox άσκηση. Οι ομάδες προϊόντων τρέχουν μπροστά, οι μηχανικοί λαμβάνουν καθήκοντα ασφαλείας χωρίς πόρους, και οι ηγέτες υποθέτουν ότι μια καθαρή επιθεώρηση σημαίνει ότι η επιχείρηση είναι ασφαλής. Δεν είναι. Η λύση δεν είναι περισσότερα εργαλεία, αλλά ισχυρότερη σκαφτή από πάνω προς τα κάτω. Η ασφάλεια πρέπει να είναι συνδεδεμένη απευθείας με την ανάπτυξη της επιχείρησης και την ακεραιότητα του προϊόντος.

Ένα πραγματικό εγχειρίδιο για την εποχή του AI

Οι εταιρείες Fortune 500 μπορούν να ρίξουν χρήματα σε αυτό το πρόβλημα. Οι εταιρείες του μεσαίου μεγέθους πρέπει να είναι πιο έξυπνες. Έτσι, τι κάνετε πραγματικά κάνετε;

1. Διορθώστε την βάση σας πρώτα. Πριν αγοράσετε ένα ακόμα εργαλείο, βεβαιωθείτε ότι έχετε μια ασφαλή απογραφή των δεδομένων σας, ασφαλείς ελέγχους πρόσβασης και μια διαδικασία ενημέρωσης που λειτουργεί πραγματικά.
2. Βάλτε το AI στην ατζέντα. Εκτελέστε tabletop ασκήσεις με βάση τις επιθέσεις που βασίζονται στο AI. Κάντε το ένα κανονικό μέρος της αναφοράς του διοικητικού συμβουλίου, ώστε να αντιμετωπίζεται ως ένα επιχειρηματικό ρίσκο, όχι ως πρόβλημα IT.
3. Επικεντρωθείτε στη συμπεριφορά, όχι μόνο στα στατικά σήματα. Προτεραιότητα στα εργαλεία που εντοπίζουν περίεργη δραστηριότητα – όπως ένα λογαριασμό χρήστη που πρόσφατα πρόσβασε σε μια βάση δεδομένων που δεν την έχει ξανααγγίξει – πάνω από εργαλεία που κυνηγούν μόνο γνωστό malware.

Το AI δεν είναι ο εχθρός – Η αυταπάτη είναι

Το AI δεν είναι ένα δίκοπο σπαθί, είναι ένα μεγεθυντικό γυαλί. Κάνει τις καλές διαδικασίες πιο αποτελεσματικές και τις κακές διαδικασίες καταστροφικές.

Οι επιτιθέμενοι θα έχουν πάντα νέα εργαλεία. Το πραγματικό ερώτημα είναι αν η στρατηγική ασφαλείας σας είναι χτισμένη σε μια στερεή βάση ανθεκτικότητας ή απλώς κυνηγά το επόμενο λαμπρό αντικείμενο. Η εποχή της set-it-and-forget-it ασφαλείας έχει περάσει. Οι οργανισμοί που χτίζουν einen πολιτισμό ασφαλείας και νικάνε τις βασικές αρχές θα κερδίσουν, ακόμα και στην εποχή των αυτόνομων απειλών.