Mitä todella tapahtuu tekoälyllä varustetun hyökkäyksen aikana?

Vuosiin cyberturvallisuusala on puhunut tekoälyhyökkäyksistä tulevaisuudessa. Olemme kuvitelleet älykkäitä super-hakkerien purkavan palomuureja avaruuslogiikalla. Todellisuus, jonka havaitsemme laboratorioissamme Simbianissa, on kaukana tästä, mutta paljon vaarallisempi.

Uhat ei ole se, että tekoäly on yliluonnollisen älykäs. Se on se, että tekoäly tekee asiantuntijatasoisen jatkuvuuden skaalattavaksi, välittömäksi ja äärettömän muunneltavaksi. Se muuttaa “reunan parantamisen” käsikirjoitukseksi, josta tulee entropian vyöry, jota ihmisen SOC-tiimi ei voi käsitellä.

Tässä on, mitä todella tapahtuu, kun kone ottaa näppäimistön haltuun.

Vaihe 1: Tutkimus – Kontekstin aikakausi

Vanha maailma oli “spray and pray”. Hyökkääjät ostivat sähköpostiosoitteiden luetteloita ja lähettivät yleisiä malleja, toivoen 0,1%:n klikkausluvun.

Tekoälyllä varustetussa hyökkäyksessä tutkimus on “spear and clone”. Generatiiviset agentit voivat nyt syödä kohdeyrityksen digitaalisen jalanjäljen – LinkedIn-viestit, viimeisimmät twiitit, uutisviittaukset ja jopa julkaistut koodin committit – luodakseen psykologisen profiilin sekunneissa. Ne eivät vain kirjoita phishingsähköposteja; ne kirjoittavat kontekstin.

Tekoälyagentti ei lähetä yleistä “Salasanan vaihto”-linkkiä. Se näkee, että olet juuri committasin koodin tiettyyn GitHub-repositorioon kello 2:00. Se lähettää sinulle Slack-ilmoituksen “Senior Dev”:ltä, joka valittaa merge-konfliktista kyseisessä repositoriossa, ja linkin “korjataksesi” sen. Kiire on valmistettu, mutta konteksti on todellinen.

Vaihe 2: Suoritus – Polymorfinen painajainen

Tässä puolustus todella murtuu. Perinteisesti, jos hyökkääjä kirjoitti pahantahtoisen käsikirjoituksen (esim. Mimikatz-variantin), turvallisuusvalmistajat löysivät sen, hashasivat sen ja estivät sen. “Signaatti” oli kilpi.

Generatiivinen tekoäly tuhoaa staattisen signaatin käsitteen. Tekoälyllä varustettu hyökkääjä ei käytä staattista työkalua. Se käyttää agenttia, joka kirjoittaa työkalun kohdekoneelle. Jos agentti havaitsee EDR-sensorin (Endpoint Detection and Response), se pyytää LLM-takausta: “Uudelleenkirjoita tämä salasanan kaivamisen logiikka välttääksesi nämä tiettyjä API-liittymiä. Nimeä kaikki muuttujat uudelleen. Muuta ohjausvirtaa.”

Koodin tarkoitus säilyy samana. Syntaksi muuttuu täysin. Sääntöpohjaiseen puolustusjärjestelmään se näyttää uudelta, aikaisemmin näkemättömältä ohjelmalta.

Vaihe 3: Sivusuuntaiset liikkeet – Abduktion nopeus

Kun sisällä, ihmisen reagointinopeus muuttuu merkityksettömäksi. Ihmishyökkääjä liikkuu varovasti, tarkistaa lokit, kirjoittaa komennot ja pysähtyy miettimään. Hän voi siirtyä uuteen palvelimeen useiden tuntien kuluttua.

Tekoälyagentti siirtyy millisekunneissa.

Mutta nopeus ei ole ainoa tekijä; se on abduktiivinen päättely eli johtopäätös parhaaseen selitykseen. Tekoäly on yllättävän hyvä “arvaamassa” verkon rakennetta perustuen fragmentteihin. Jos se näkee palvelimen nimeltä US-WEST-SQL-01, se arvaa US-EAST-SQL-01 ja US-WEST-BAK-01 olemassaolon. Se testaa nämä hypoteesit välittömästi tuhansien sisäisten IP-osoitteiden yli.

Se ei tarvitse olla täydellinen. Se tarvitsee vain olla nopea. Kun SOC-analyytikko on vielä käsittelemässä alkuperäistä phishausilmoitusta, tekoäly on jo kartoittanut verkkotunnisteiden ohjaajan, tunnistanut varmuuskopioservut ja siirtänyt organisaation kruununjalokivet.

Vaihe 4: Vaikutus – Entropiapommi

Tekoälyllä varustetun hyökkäyksen lopullinen tavoite ei aina ole salamainen. Joskus se on kaaos. Menemme korkean entropian hyökkäysten aikakauteen. Tekoälyagentti voi generoida 10 000 realistista hälytystä samanaikaisesti – epäonnistuneet kirjautumiset, porttiskannaukset, huijausmalware-suoritukset.

Tämä on “Entropiapommi”. Se tulvii SOC:ia niin paljon signaaleja, että analyytikot kärsivät kognitiivisesta ylikuormituksesta. He taistelevat huijaushälytyksiä vastaan, kun todellinen hyökkäys tapahtuu hiljaisesti taustalla. Puolustajan haaste siirtyy “löytääksesi neulan heinäsuovasta” “löytääksesi neulan neuloista”.

Taistele tulta tulella

Opimme tutkimuksestamme: Et voi taistella konetta lipunvarjolla vastaan.

Jos hyökkääjä voi iteroida koodiaan sekunneissa, ja puolustuksesi vaatii ihmisen kirjoittamaan havaitsemissäännön tunteissa, olet jo hävinnyt. Epäsymmetria on matemaattinen. Ainoa tapa selviytyä tekoälyllä varustetusta hyökkäyksestä on olla tekoälypuolustaja, joka toimii samalla nopeudella – päättely, vahvistus ja estäminen nopeammin kuin hyökkääjä voi muuttaa.

Hyökkäys on evoluutionut. Puolustus on nyt kehittynyt.