Voiko tekoälyagentteihin luottaa tietoturvakeskuksen kriittisissä tehtävissä?

Suuret kielimallit eli LLM:t ja tekoälyagentit vaikuttavat merkittävästi monilla aloilla, myös kyberturvallisuudessa. Niiden mahdollisuuksille vain taivas on rajana. Käytännössä kielimallien yhdistäminen keskeisiin työnkulkuihin, joissa tehdään liiketoimintapäätöksiä, on kuitenkin tuonut esiin monia ongelmia, etenkin yksityisyydessä ja tietojen tarkkuudessa. Jäljelle jää kysymys: ovatko tekoälyagentit riittävän luotettavia yritykseni käyttöön?

Kyberturvallisuudessa ja tietoturvakeskuksissa (SOC) nopea vastaus on sama kuin olemme kuulleet koko uramme ajan: kyllä, asianmukaisilla kontrolleilla ja riskien lieventämiskeinoilla tekoälyagentit voidaan ottaa onnistuneesti ja turvallisesti tuotantokäyttöön SOC-ympäristöissä. Ne tuottavat merkittävää lisäarvoa työskennellessään ihmisanalyytikkojen rinnalla.

Tekoälyn kyberturvallisuushaasteet

Valmiissa kielimalleissa on itsenäisenä ratkaisuna käytettyinä useita perusongelmia, kuten hallusinaatiot, datamyrkytys ja kehoteinjektio. Nämä voivat aiheuttaa autonomisessa tietoturvakeskuksessa vakavia ongelmia, esimerkiksi:

Puutteellinen data johtaa virheellisiin arvioihin – Tekoälyagentit tarvitsevat kaiken olennaisen tiedon ympäristöstään voidakseen tehdä työnsä hyvin: vähintään yhtä paljon dataa kuin ihmisanalyytikoilla on, mieluiten enemmän. Riittämätön data johtaa virheellisiin oletuksiin, jotka voivat vaihdella tutkintakertojen välillä. Jos datan saatavuutta rajoitetaan turvallisuushuolten vuoksi tai tekoälyn toimintaa rajataan budjettisyistä, tarkkuus todennäköisesti kärsii.

Epäjohdonmukaiset arviot – Tekoälyagenttien on tehtävä päätöksiä ja suoritettava tehtäviä keräämänsä datan pohjalta. Tavallisten ympäristöjen suuren tietoturvadatamäärän vuoksi otantaa käytetään usein tarkkuuden ja budjetin tasapainottamiseen. Kun tutkinta toistetaan, arvio, määritetty vakavuus ja suositellut toimet voivat vaihdella. Tämä on normaalia, kunhan ero pysyy hyväksyttävissä rajoissa. Näin käy myös kahden eri ihmisanalyytikon tarkastellessa samaa hälytystä.

Läpinäkymätön päättely eli ”musta laatikko (BBOX.BO ) ” -ongelma  – Jotkin tekoälyagentit toimivat läpinäkymättöminä järjestelminä. Tekoälyä hyödyntävän tietoturvakeskuksen tulokset voivat näyttää aluksi vaikuttavilta, mutta tärkeissä liiketoimintapäätöksissä on ymmärrettävä, mihin sen suositukset perustuvat. Tämä ei kuitenkaan ole tekoälyn luontainen rajoitus, sillä jotkin agentit panostavat läpinäkyvyyteen paljon. Agentit on suositeltavaa validoida perusteellisesti niiden arvoa osoittavassa Proof of Value -kokeilussa ennen sitoutumista.

Miten tekoälyn käyttö kyberturvallisuudessa on kehittynyt

Tekoälyyn perustuvat kyberturvallisuusratkaisut ovat kehittyneet merkittävästi ensiesittelystään. Tarkastellaan seuraavia keinoja:

Otantaan perustuva yhteisymmärrys vähentää epäjohdonmukaisuutta – Päätösten ja tulosten epäjohdonmukaisuutta voidaan vähentää tehokkaasti käyttämällä useita eri tavoin määritettyjä tekoälyagentteja, esimerkiksi eri malleja eri lämpötilaparametreilla, tulkitsemaan aiempien agenttitoimintojen keräämää dataa.

Otanta auttaa organisaatioita ymmärtämään, missä eri mallit ovat yhtä mieltä ja missä ne eroavat. Kun kaikille malleille yhteisiin tietoihin luotetaan ja eriäville tiedoille annetaan vähemmän painoarvoa, epäjohdonmukaisuus voi vähentyä merkittävästi.

Myös tieto, josta otannan agentit ovat eri mieltä, on arvokasta: se osoittaa epävarmuuden sekä paremman datan tai syötteen tarpeen. Tällainen tieto voi auttaa priorisoimaan olennaisen datan saatavuutta parempien päätösten tekemiseksi.

Johdonmukaiset menettelyt tutkintaohjeiden avulla  – Yksi tärkeimmistä syistä saman tekoälypohjaisen SOC-tutkinnan eri suoritusten vaihteleviin tuloksiin on kerätyn datan lisäksi tutkinnan aikana luotujen tai muokattujen hypoteesien vaihtelu. Tiettyjä luokkia varten laadittu ylemmän tason vakiotoimintamenettelyyn eli SOP:hen perustuva tutkintaohje auttaa agentteja muodostamaan yhdenmukaisempia hypoteeseja ja parantaa tulosten yleistä johdonmukaisuutta. Lähestymistapa ei ole uusi: useimmat ihmisanalyytikot tukeutuvat jo SOP-ohjeisiin tehokkaan ja johdonmukaisen tutkinnan varmistamiseksi. Tekoälyagentit voivat käyttää niitä samalla tavalla.

Jäljitettävä näyttö avaa mustan laatikon – Hyvän käytännön mukaisesti tekoälypohjainen tietoturvakeskus on suunniteltava alusta alkaen tukeva näyttö huomioiden. Jokaisen agentin päätöksen ja hypoteesin tueksi tarvitaan tietoa, mukaan lukien päättelyn jäljet ja sitä tukeva raakalokidata.

Luotettavaa tekoälyä kyberturvallisuuteen

Tekoälyagentit voivat nopeuttaa havaitsemista, luokittelua ja uhkiin vastaamista kyberturvallisuudessa, mutta niihin liittyy myös todellisia riskejä: vaihtelevia tuloksia, läpinäkymättömiä päätöksiä ja herkkyyttä datan laadulle. Liiketoimintakriittisissä ympäristöissä luottamus edellyttää näyttöön perustuvaa päättelyä jälkineen ja alkuperäisine aineistoineen, jäsenneltyjä SOP-ohjeita vaihtelun vähentämiseksi, usean agentin otantaa yhteisymmärryksen erottamiseksi epävarmuudesta sekä datan eheyden varmistamista, suojautumista kehoteinjektiolta ja toiminta-askelten määrän sekä budjetin rajaamista.

Kaikki nämä kriittiset parannukset voidaan toteuttaa edistyneillä kielimallipohjaisilla agenttiratkaisuilla, jotka on suunniteltu nykyisten tekoälyä hyödyntävien tietoturvatoimintojen monimutkaisuutta varten. Esimerkiksi jotkin edistyneet lähestymistavat käyttävät usean agentin otantaa, jotta organisaatiot voivat hyödyntää erilaisten tekoälymallien yhteistä älykkyyttä. Mallit tekevät yhteistyötä yhteisymmärryksen saavuttamiseksi, epäjohdonmukaisuuksien vähentämiseksi ja epävarmuuden paikantamiseksi. Jäsennellyt ja selkeät tutkintaohjeet varmistavat, että analyysivaiheet noudattavat hyviä käytäntöjä ja vakiomenettelyjä. Näin jokaisen toiminnon johdonmukaisuus ja luotettavuus paranevat.

Päätösten kattava jäljitettävyys mahdollistaa jokaisen arvion, suosituksen ja automaattisen toimenpiteen auditoinnin ja ymmärtämisen. Se tarjoaa tietoturvatiimeille täyden läpinäkyvyyden ja rakentaa samalla sidosryhmien luottamusta. Yhdistämällä nämä osat sekä ottamalla käyttöön vahvat kontrollit kehotteiden datan laadulle, turvallisuudelle ja toiminnan suojarajoille edistyneet kielimallipohjaiset agenttiratkaisut mahdollistavat SOC-keskuksille luotettavat ja läpinäkyvät tulokset, jotka ovat myös valmiita tuotantokäyttöön todellisissa ympäristöissä ja kaikkein kriittisimmissä tehtävissä.