Chaim Mazal, Gigamonin Chief AI & Security Officer – Haastattelusarja

Chaim Mazal on Gigamonin Chief AI ja Security Officer, joka vastaa globaaleista turvallisuudesta, tietotekniikasta, verkkotoiminnasta, hallinnosta, riskeistä, compliancesta, sisäisistä liiketoimintajärjestelmistä ja tuoteturvallisuudesta. Chaim johtaa myös yhtiön strategista AI-ohjelmaa, joka ajaa hallintoa, ristiinliittymisen hyväksymistä ja turvallista, vastuullista AI:n käyttöä. Turvallisuuslehti on tunnustanut hänet yhdeksi vaikutusvaltaisimmista ihmisistä turvallisuuden saralla vuonna 2025, ja hän on OWASP-säätiön elinikäinen jäsen ja toimii muun muassa Cloudflaren, GitLabin ja Rapid7:n neuvottelukunnissa. Aikaisemmin hän on toiminut useiden alan johtajien johtajana, viimeksi Kandjin teknologian ja tietoturvan johtajana.

Gigamon on kyberTurvallisuus- ja havainnollistamisteknologiayhtiö, joka keskittyy tarjoamaan syvää näkyvyyttä verkkoliikenteeseen hybridi- ja monipilviympäristöissä. Sen alusta kerää ja analysoi liikkeessä olevia tietoja, mukaan lukien paketit, virrat ja sovellusmetatiedot, jotta se voi toimittaa toimintatietoja turvallisuus-, pilvi- ja IT-seurantatyökaluille. Tämä mahdollistaa organisaatioiden havaita piilevät uhkat, parantaa suorituskykyä, ylläpitää complianciaa ja vähentää monimutkaisuutta poistamalla sokeat pisteet kasvavasti jakautuneissa ja salattuissa järjestelmissä. Suurten yritysten ja hallituksen organisaatioiden luottama, Gigamon auttaa turvallisuuden ja modernin digitaalisen infrastruktuurin hallitsemisessa laajassa mittakaavassa.

Olet ollut ainutlaatuinen matkalla, joka alkoi hakkerifoorumeista teini-ikäisenä ja johti lopulta Chief AI ja Security Officerin asemaan Gigamonissa. Kuinka nuoret kokemukset ovat muovanneet ajattelutapaa modernien AI-käyttöisten kyberuhkiin nähden?

Sain ensimmäisen tietokoneeni kahdeksanvuotiaana ja opin kokeilemalla, mm. selvittämällä DOSin, lukemalla manuaaleja ja lopulta opiskellessani Visual Basica. Kun perehdyin internet-yhteisöihin, olin kiinnostunut siitä, miten ohjelmistoja voitiin manipuloida ja miten järjestelmät olivat haavoittuvaisia. Se uteliaisuus kehittyi verkkosovellusten penetraatiotestaukseksi ja SaaS-kehitysprosessien turvallistamiseksi.

Mikä on mielenkiintoista modernissa uhkakuvassa on, että AI ei keksi uusia heikkouksia, vaan skaalaa olemassa olevien heikkouksien löytämisen ja hyödyntämisen. Sen varhaisen näkökulman vuoksi lähestyn AI-turvallisuutta olettaen vihamielistä käyttöä päivästä yksi, mikä auttaa minua kehittämään puolustuksia asiakkaidemme puolesta Gigamonissa.

Olet havainnut, että AI-luotujen Phishing-, ransomware- ja malware-kampanjat ovat lyhentäneet vaikutusaikaa viikoista tunteihin. Mitä konkreettisia muutoksia näet näiden hyökkäysten suunnittelussa ja toteutuksessa?

AI on laskenut kyberrikoksen kynnyskohdan. Malwaren kirjoittaminen, Phishing-kampanjien luominen ja haavoittuvuuksien tunnistaminen vaativat aikaisemmin syvää teknistä osaamista. Nyt nämä hyökkäykset voidaan kiihdyttää ja jopa täysin automatisoida AI-työkalujen avulla. Hakkerit eivät enää tarvitse vahvaa teknistä taustaa laukaisuakseen monimutkaisia kampanjoita, koska AI voi generoida koodia, jalostaa sosiaalisen insinöörityön viestejä ja auttaa operaattoreita vianmäärityksessä reaaliajassa.

Tämän muutoksen seurauksena koko uhkakuva on muuttunut. Ilman hallintorakenteita, compliancvaatimuksia tai eettisiä rajoituksia, jotka hidastaisivat heitä, hyökkääjät voivat kokeilla, sopeutua ja ottaa käyttöön uusia hyökkäyksiä nopeasti ja vähäisin kustannuksin. Tämän seurauksena vaikutusaika on lyhentynyt dramaattisesti, ja mitä aiemmin vei viikkoja, voi nyt tapahtua tunneissa. Samaan aikaan monet organisaatiot ovat edelleen AI:n puolustuksellisen soveltamisen alkuvaiheessa, mikä tarkoittaa, että jotkut tehokkaimmat AI-käyttötavat ovat tällä hetkellä hyökkääjien ohjauksessa.

Mikä perustavasti erottaa AI-käyttöisen kyberhyökkäyksen perinteisistä automaattisista uhkista, ja voitko jakaa esimerkin, joka tekee tämän eron selväksi?

Se, mikä perustavasti erottaa AI-käyttöisen kyberhyökkäyksen perinteisistä automaattisista uhkista, on autonomia ja sitkeys. Aiemmin hakkerit suorittivat skriptin ja lopettivat, kun se epäonnistui. “Elinaika” oli rajoitettu siihen, kuinka kauan automaatio kesti. AI:n avulla agentit saavat tavoitteen, ja jos ne epäonnistuvat, ne eivät lopeta. Ne jatkavat iteroiden, etsien vaihtoehtoisia polkuja samaan tavoitteeseen. Elinaika on käytännössä ääretön.

Esimerkiksi tuotantoversiossa hyökkääjät voivat lisätä jotain niin pieniä kuin kaksi skriptiriviä, pitäen tiedoston koon muuttumattomana, mikä tarkoittaa, että bittien näyttävät samanlaisilta. Kun tiedosto on kootettu ja suoritettu, se käynnistää terminaali-instancesin, joka asentaa autonomisen agentin yrityksen ympäristöön, joka suorittaa joukon pahantahtaisia tehtäviä, jotka voivat toistua loputtomiin. Aikaisemmin binäärit olivat katsottu post-deployment uhkavaltteina. Nyt ne manipuloidaan jatkuvasti, myös kehitysprosessin aikana, suorittaakseen AI-käyttöisiä toimintoja yrityksen ympäristössä.

Monet organisaatiot luottavat edelleen perinteisiin turvallisuusohjauksiin ja vakiintuneisiin pelikirjoihin. Miksi nämä lähestymistavat epäonnistuvat AI-käyttöisiä hyökkäyksiä vastaan, ja missä kohtaa näet vaarallisimmat sokeat pisteet?

Olemme saavuttaneet vaiheen, jossa jos et innovoi ja ottaa AI:ta tietoisesti mukaan turvallisuusratkaisuihin ja -operaatioihin, olet jo jäljessä, ja tämä koskee sekä suuria yrityksiä että startup-yrityksiä. Organisaatiot, jotka eivät integroi AI:ta turvallisuusstrategiaansa, vaarantavat olemassaolonsa, koska hyökkääjät liikkuvat nopeammin ja toimivat suuremmassa mittakaavassa.

Tämä ei välttämättä vaadi teknologisen pinon täydellistä uudelleenkeksintää. Monet tarvittavat työkalut ovat jo paikallaan. Todellinen muutos on siinä, miten näitä työkaluja käytetään. On kyettävä vahvistamaan perusteita, soveltamaan olemassa olevia teknologioita älykkäämmin ja sopeuttamaan puolustuksia vastaamaan nykyisten hyökkäysten nopeutta ja mittakaavaa.

Hyökkääjät käyttävät AI:ta luovasti ja strategisesti. Jos yritykset eivät ottaa vastaavaa strategista lähestymistapaa, he luovat massiivisia sokeita pisteitä. Johtajien on ajateltava toisin siitä, miten he käyttävät työkaluja, joita he jo omistavat, integroida AI:ta operaatioihin ja kehittää pelikirjoja puolustamaan nykyisten hyökkäysten nopeutta ja mittakaavaa.

AI näyttää laskevan kynnyksen kyberrikokselle. Miten tämä muutos on muuttanut nykyisten hyökkääjien profiilia, ja mitkä riskit se luo yrityksille?

AI on tehnyt siitä mahdollista, että melkein kuka tahansa voi tulla hakkeriksi. AI-työkalujen avulla kokemattomat toimijat, jopa teini-ikäiset, voivat nyt käynnistää monimutkaisia Phishing-kampanjoita, asentaa rootkittejä ja suorittaa ransomware-hyökkäyksiä, jotka aikaisemmin vaativat merkittävää teknistä osaamista.

Tämä muutos lisää uudenlaista epävarmuutta uhkakuvassa. Sen sijaan, että yritykset kohtaisivat vain muutaman hyvin kehittynyt ryhmän, he kohtaavat nyt laajemman toimijoiden kirjon, jotka kokeilevat nopeasti, oppivat reaaliajassa ja tekevät yhteistyötä verkostoituneissa yhteisöissä.

Yrityksille tämä tarkoittaa, että heidän on valmistauduttava uhkaympäristöön, jossa kyky ei ole enää suoraan sidottu kokemukseen, ja jossa kuka tahansa voi toteuttaa kampanjoita, jotka vastaavat historiallisesti edistyneiden ryhmien kampanjoita.

Mitä AI-käyttöisiä työkaluja hyökkääjät ottavat käyttöön, ja kuinka nopeasti nämä kyvyt paranevat?

Se ei ole niinkään yksittäisten AI-työkalujen asema hyökkääjien avuksi, vaan resurssien jakamista. Sen sijaan, että yksittäinen työkalu suorittaisi lineaarisen prosessin, hyökkääjät käyttävät hajautettuja agenteja, jotka ristiriitoivat tietoja ja jakavat tietoa kollektiivisesti eri työkalujen välillä. Tulos toimii enemmän hyökkäysverkkona kuin yksittäisenä kyvykkyytenä.

Se, mikä on merkittävintä tässä, on kykyjen paranemisen nopeus. Nämä kyvyt muuttuvat päivittäin, ja monet käytetyistä työkaluista olivat vasta viikkoja sitten konseptin todistamista. Hyökkääjien yhteisöjen innovaation ja iteroinnin tempo on kiihtynyt nopeasti, ja uudet tekniikat ja työkalut syntyvät melkein reaaliajassa.

Milket merkit viittaavat siihen, että organisaatio on kohtaamassa AI-käyttöisen hyökkäyksen eikä perinteisemmän hyökkäyksen?

Yksi tärkeä merkki on, että tutkimus ei enää näytä peräkkäiseltä tai jaettuna. Historiallisesti hyökkääjät seurasivat selkeää prosessia – keräämällä tietoja vaiheittain, aikatauluttaen toimintaa ja kohdistamalla yhtä kohdetta kerrallaan. Nyt kaikki nämä toiminnot tapahtuvat yhtä aikaa. Sähköpostiportit, ulkoisesti saatavilla olevat palvelut, tilitoiminta, havaitsemis- ja välttämistekniikat harjoitellaan yhtä aikaa eikä peräkkäin.

Toinen merkki on toiminnan yhdistäminen ja koordinointi. Se, mikä aiemmin oli paloittainen, on nyt yhdistetty ja jaettu kollektiivisesti työkalujen välillä, toimien enemmän kuin yksittäinen ponnistus. Nämä agentit iteroiden jatkuvasti, sopeutuen ja nopeuttaen päätöksentekoa uhkavektoreiden ympärillä eivätkä hyväksy “ei”-vastauksia. Tämä tasoinen samanaikainen toiminta, koordinointi ja sitkeys viittaa vahvasti AI-käyttöiseen hyökkäykseen eikä perinteiseen hyökkäykseen.

Olet väittänyt, että monet nykyiset AI-turvalaitteet eivät havaitse näitä uhkia lainkaan. Mitä he tekevät väärin, ja mitkä kyvyt ovat kaikkein kiireellisimmin tarpeen?

Monet nykyiset AI-turvalaitteet perustuvat edelleen virheelliseen oletukseen, että estäminen on ensisijainen tavoite. Toimittajat jatkavat AI:n markkinointia parempana tapana estää uhkia reunalla, mutta hyökkääjät ovat nopeampia, sopeutuvampia ja kärsivällisempiä, käyttäen AI:ta, deepfakeja ja edistynyttä malwarea, joka voi välttää valvontaa ja pysyä havaitsemattomana kuukausien ajan.

Mitä kaikkein kiireellisimmin tarvitaan, on kattava, reaaliaikainen näkyvyys ja vahvemmat havaitsemis- ja reagointikyvyt. Organisaatioiden on toteutettava jatkuva riskiarviointi, ylläpidettävä näkyvyys salattuun liikenteeseen, missä monet uhkat piilevät, ja hyödynnettävä verkkoderiivattua telemetriikkaa ja API:ita ymmärtääkseen, mitä järjestelmissä suoritetaan ja miten data liikkuu. Nykyään kestävyys ei ole enää vain siinä, että pidetään jokainen uhka ulkona, vaan siinä, että näkee, estää ja oppii uhkista ennen kuin ne eskaloituvat.

Kun AI kiihdyttää sekä puolustusta että hyökkäystä, uskotko, että puolustuksellinen AI voi realistisesti pysyä vauhdissa, vai olemme menossa jaksoon, jossa hyökkääjillä on rakenteellinen etu?

AI kiihdyttää molempia puolia, mutta lähitulevaisuudessa uskon, että hyökkääjillä on etu. Heillä ei ole sääntelyrajoituksia, compliancvaatimuksia tai eettisiä rajoituksia, jotka hidastaisivat heidän toimintaansa. Tämä tarkoittaa, että he voivat kokeilla vapaasti ja iteroida korkealla tahdilla. Toisaalta yritysten on tasapainotettava innovaatiota hallinnon, yksityisyyden ja operatiivisen riskin kanssa, mikä hidastaa AI:n omaksumista ja toteutusta.

Tämä ei kuitenkaan tarkoita, että puolustuksellinen AI ei voi tulla ulos voittajana. Onnistuneet turvallisuustaktiikat eivät tule pelkästään siitä, että AI:ta käytetään estämiseen. Se vaatii AI:n integroimista havainnontaan, tutkimukseen ja reagointiin, jota tukevat reaaliaikaiset näkyvyydet. Etu ei ole pysyvästi hyökkääjien puolella, mutta se pysyy siellä, kunnes organisaatiot lopettavat estämisen. Todellinen vahinko tapahtuu, kun hyökkääjä murtautuu verkkoon, usein elää maasta ja odottaa datan salakuljetusta. Johtajien on siirryttävä ajattelemasta “voimmeko estää murron” “miten nopeasti voimme havaita ja poistaa tunkeutujat?”

Katsoen eteenpäin kuuteen kuukauteen, mitkä AI-käyttöiset hyökkäystekniikat odotat yleistyvän, ja mitä turvallisuustiimit pitäisi tehdä nyt valmistautuakseen?

Kuusi kuukautta on valtava aika tässä ympäristössä. Asioiden kehittyminen on realistisesti muuttunut jo kuuden tai kahdentoista viikon sisällä. AI:n nopea kehittyminen tekee vaikeaksi ennustaa tarkalleen, mitä hyökkääjät tulevat käyttämään. Tästä syystä fokus pitäisi olla vähemmän siinä, mitä seuraavaksi tulee, ja enemmän siinä, miten valmistautua.

Puolustajien on hyödynnettävä samaa AI-käyttöistä teknologiaa, jota hyökkääjät käyttävät, korostamalla puolustuksen syvyyttä. Tämä tarkoittaa AI:n käyttämistä jatkuvasti virtaaviin tietovirtoihin reaaliajassa, luottamista muuttumattomaan verkkotelemetriikkaan tunnistamaan transaktiivista käyttäytymistä yksityis-, julkisissa pilvissä ja paikallisissa ympäristöissä ja syöttämistä tietoa oikeaan työkaluun, jotta turvallisuustiimit ovat aktiivisesti tietoisia, kun heidän organisaatiotaan kartoitetaan.

Samaan aikaan reunan ensin -puolustusmieli on retkeily. Se ei ole enää kysymys siitä, tapahtuuko AI-käyttöinen murtorikos, vaan milloin. Prioriteetti on nyt varhainen tunnistaminen, vaikutuksen vähentäminen ja ajankohtainen korjaaminen. Tämä sisältää myös hyvän vastetoimenpiteen suunnitelman, soveltamisen nollatrust-periaatteita, verkkosegmentaation voimistamista, pääsyn hallinnan ylläpitämistä jatkuvilla tarkasteluilla ja dynaamisten mukautusten tekemistä tarpeen mukaan suojellakseen asiakastietoja ja rajoittamaan vaikutusta.

Kiitos mielenkiintoisesta haastattelusta. Lukijoille, jotka ovat kiinnostuneita syvää havainnollistamista ja AI-käyttöistä verkkoturvallisuudesta, Gigamonin sivustolle pääsee osoitteesta Gigamon.