מה באמת קורה במהלך התקפה מזוינת באינטליגנציה מלאכותית?

במשך שנים, תעשיית האבטחת סייבר דיברה על התקפות אינטליגנציה מלאכותית בזמן עתיד. הינו דמיינו האקרים על-אנושיים המפרקים חומות אש בלוגיקה חייזרית. המציאות, כפי שאנו מגלים במעבדותינו ב-Simbian, היא הרבה פחות קולנועית אך הרבה יותר מסוכנת.

האיום אינו שהאינטליגנציה המלאכותית היא חכמה באופן על-אנושי. זה שהאינטליגנציה המלאכותית הופכת את ההתמדה ברמת המומחה למשותפת, מיידית ומשתנה באופן אינסופי. היא הופכת את “השיפור השולי” של תסריט למפולת של אנטרופיה שאף צוות SOC אנושי לא יכול להתמודד.

זה מה שבאמת קורה כאשר המכונה לוקחת את המקלדת.

שלב 1: סיור – עידן ההקשר

בעולם הישן, סיור היה “ריסוס ותפילה”. תוקפים קנו רשימות דוא”ל ושלחו תמונות גנריות, תוך תקווה לקצב לחיצה של 0.1%.

בהתקפה מזוינת באינטליגנציה מלאכותית, סיור הוא “חנית ושיבוט”. סוכנים יוצרים יכולים עכשיו לבלוע את הטביעת האצבע של היעד – פוסטים ב-LinkedIn, ציוצים אחרונים, הזכרות בחדשות ואפילו התחייבויות קוד ציבוריות – כדי לבנות פרופיל פסיכולוגי בשניות. הם לא רק כותבים דוא”לים לדייג, הם כותבים הקשר.

סוכן אינטליגנציה מלאכותית לא שולח קישור “איפוס סיסמה” גנרי. הוא רואה שאתה רק התחייבת לקוד באחסון GitHub מסוים ב-2:00 AM. הוא שולח לך הודעת Slack מ-“Senior Dev” המחקה מתלונן על עימות מיזוג באותו אחסון, עם קישור ל”תיקון”. הדחיפות מיוצרת, אך ההקשר הוא אמיתי.

שלב 2: ביצוע – הסיוט הפולימורפי

זהו המקום שבו ההגנה באמת נשברת. מסורתית, אם תוקף כתב תסריט תוקפני (למשל, וריאנט של Mimikatz), ספקי אבטחה היו מוצאים אותו, מקשים אותו ובולעים אותו. “החתימה” הייתה המגן.

אינטליגנציה מלאכותית גנרטיבית הורסת את המושג של חתימה סטטית. תוקף מזוין באינטליגנציה מלאכותית לא משתמש בכלי סטטי. הוא משתמש בסוכן שכותב את הכלי ביעד. אם הסוכן מגלה חיישן EDR (Endpoint Detection and Response), הוא פשוט שואל את ה-LLM האחורי: “כתוב מחדש את הלוגיקה של הפליטת אישורים כדי להימנע מאלו הקשרים API ספציפיים. שנה את כל המשתנים. שנה את זרימת הבקונטרול.”

הכוונה של הקוד נותרת זהה. ה- תחביר משתנה לחלוטין. למערכת הגנה המבוססת כללים, זה נראה כמו תוכנית חדשה, לא נראתה לפני.

שלב 3: תנועה לטרלית – מהירות החטיפה

פעם בתוך, מהירות התגובה האנושית הופכת ללא רלוונטית. תוקף אנושי נע בזהירות, בודק לוגים, כותב פקודות ועוצר לחשוב. הוא עשוי לעבור לשרת חדש בשעות.

סוכן אינטליגנציה מלאכותית עובר באלפיות השנייה.

אבל מהירות אינה הגורם היחיד; זו היא היקש הוסטוכי, או היקש להסבר הטוב ביותר. אינטליגנציה מלאכותית מפתיעה ב”ניחוש” המבנה של רשת על בסיס חלקים. אם היא רואה שרת בשם US-WEST-SQL-01, היא מניחה את קיומו של US-EAST-SQL-01 ו-US-WEST-BAK-01. היא בודקת השערות אלו באופן מיידי באלפי כתובות IP פנימיות.

היא לא צריכה להיות מושלמת. היא צריכה רק להיות מהירה. בעוד אנליסט SOC עדיין מטפל בהתרעת הדייג הראשונית, האינטליגנציה המלאכותית כבר מיפתה את בקר התחום, זיהתה את שרתי הגיבוי והוציאה את “הפנינים” של הארגון.

שלב 4: ההשפעה – פצצת אנטרופיה

המטרה הסופית של התקפה מזוינת באינטליגנציה מלאכותית אינה תמיד סמויה. לפעמים, זו היא כאוס. אנו נכנסים לעידן של התקפות אנטרופיה גבוהה. סוכן אינטליגנציה מלאכותית יכול ליצור 10,000 התראות מדומות בו-זמנית – ניסיונות התחברות כושלים, סריקות נמל, הרצת מלוורים מתחזים.

זו “פצצת האנטרופיה”. היא מהציפה את ה-SOC עם כל כך הרבה אותות שהאנליסטים סובלים מעומס קוגניטיבי. הם נלחמים בדקויות בעוד ההתקפה האמיתית מתרחשת בשקט ברקע. האתגר למגן משתנה מ”מציאת המחט בערימת התבן” ל”מציאת המחט בערימת מחטים”.

להילחם באש באש

הלקח ממחקרנו הוא חד: אי אפשר להילחם במכונה עם תור כרטיסים.

אם התוקף יכול לשכפל את הקוד שלו בשניות, והגנתך דורשת מאדם לכתוב כלל גילוי בשעות, אתה כבר הפסדת. הא-סימטריה היא מתמטית. הדרך היחידה לשרוד התקפה מזוינת באינטליגנציה מלאכותית היא להיות מגן אינטליגנציה מלאכותית שפועלת באותה מהירות – תובנה, אימות וחסימה מהר יותר מאשר התוקף יכול להשתנות.

ההתקפה התפתחה. ההגנה חייבת עכשיו לעשות את אותו הדבר.