Keith Stewart, Oprichter en CEO van Humanix – Interviewreeks

Keith Stewart, Oprichter en CEO van Humanix, is een cybersecurity-veteraan met meer dan 25 jaar ervaring in productmanagement, engineering, businessdevelopment en uitvoerend leiderschap bij enkele van de meest erkende bedrijven in de branche, waaronder Cisco, Brocade, Riverbed en vArmour. Voordat hij Humanix in 2023 oprichtte, was hij interim-CEO en SVP van Product en Engineering bij vArmour, waar hij het bedrijf hielp bij de overname en de overgang naar een SaaS-gebaseerd bedrijfsmodel. Gedurende zijn carrière heeft Stewart wereldwijd teams geleid, belangrijke cybersecurity-productinitiatieven aangestuurd, deelgenomen aan fundraising- en M&A-activiteiten en een sleutelrol gespeeld bij de ontwikkeling van next-generation-beveiligingstechnologieën. Zijn uitgebreide achtergrond in enterprise-beveiliging en diepe kennis van hoe aanvallers menselijk gedrag exploiteren, hebben hem ertoe gebracht Humanix op te richten met de missie om mensen te beschermen tegen steeds geavanceerdere sociale-engineeringaanvallen.

Humanix is een cybersecurity-bedrijf dat baanbrekend werk doet op het gebied van Human Threat Detection and Response (HTDR), een nieuwe categorie die zich richt op het beschermen van de “menselijke laag” van enterprise-beveiliging. In plaats van zich uitsluitend te concentreren op eindpunten, netwerken en infrastructuur, gebruikt Humanix conversational AI die getraind is op menselijke psychologie en natuurlijke taalaanvalspatronen om manipulatie, bedrog, impersonatie en andere sociale-engineeringtactieken te detecteren via spraak-, chat-, e-mail-, video- en servicedeskinteracties. Het platform is ontworpen om aanvallen in real-time te detecteren, waardoor organisaties inbreuken kunnen voorkomen voordat aanvallers medewerkers, contractanten of klanten kunnen exploiteren. De aanpak van Humanix weerspiegelt een groeiend besef dat de meeste succesvolle cyberaanvallen mensen en niet systemen als doelwit hebben, en het bedrijf streeft ernaar om beveiligingsteams te voorzien van hetzelfde niveau van zichtbaarheid en responsmogelijkheden voor mensgerichte bedreigingen als ze al hebben voor traditionele cyberbedreigingen.

U heeft grote transformaties aangestuurd bij bedrijven als vArmour, waaronder SaaS-overgangen, het opschalen van engineersteams en het navigeren van een overname. Wat was de specifieke kloof of keerpunt die u ertoe bracht Humanix op te richten, en waarom legt u zo’n sterke focus op het beveiligen van mensen in plaats van systemen?

De grootste uitdaging in de beveiligingspositie van elke organisatie is het menselijke risico. Mensen zijn zowel ons meest krachtige defensieve actief als ons grootste gebied van persistentie. Toch is dit een probleem dat continu onbehandeld is gebleven. Het antwoord van de industrie is training geweest – effectief proberen de gemiddelde medewerker in een uur om te vormen tot een cybersecurity-expert. We weten dat het niet werkt, maar we hebben geen betere oplossingen gehad.

Twee dingen zijn onlangs veranderd, een voor het slechter en een voor het beter. Eerst, het slechter: AI maakt aanvallen die mensen rechtstreeks als doelwit hebben veel toegankelijker. U kunt nu een tiener aan de andere kant van de wereld zijn, geen woord Engels spreken, niets weten over een bepaald bedrijf en plotseling laat een LLM u weten bijna alles en klinkt als bijna iedereen. Dat creëert een echt en aanwezig gevaar.

Ten tweede, een verandering ten goede: we hebben nu de technologie om deze aanvallen te detecteren. LLM’s zijn erg goed in het begrijpen van de nuances en complexiteit van menselijke interacties. Met conversational AI kunnen we patronen in die interacties identificeren en in bijna real-time reageren.

We hoeven niet langer alleen te vertrouwen op verouderde, training-georiënteerde strategieën. Voor het eerst hebben we een manier om het menselijke kwetsbaarheidsprobleem rechtstreeks op te lossen. Dat is waarom we Humanix hebben gebouwd.

Uw werk heeft langdurig gefocust op grote schaalgegevens, gedragsanalyse en grafische beveiligingsmodellen. Hoe hebben die ervaringen de aanpak van Humanix beïnvloed om aanvallen te detecteren die er niet uitzien als traditionele inbraken?

Op het eerste gezicht lijkt het detecteren van interactieve sociale-engineeringaanvallen overweldigend. Elke persoon is anders. Natuurlijke taal is extreem hoogdimensionaal. Klassieke ML-gecentreerde gedragsmodellen begrijpen de context niet en mislukken daarom vaak.

Echter, als u dieper duikt, kunt u zien dat deze aanvalsklasse patronen heeft zoals elke andere. In plaats van bufferoverflows of zero-days, exploiteren aanvallers bedrijfsprocesgaten en menselijk vertrouwen. Aanvallers hebben playbooks die ze consistent uitvoeren tegen organisaties, wat betekent dat we deze aanvallen moeten kunnen detecteren en erop reageren zoals we dat doen op eindpunten, netwerken, cloud of identiteit.

Die inzicht stelt ons in staat om klassieke detectie- en responspatronen die we effectief weten te zijn – inclusief gedragsanalyse en grafentheorie – te combineren met de semantische redeneercapaciteiten van taalmodellen. Humanix gebruikt die combinatie om entiteiten, relaties, gedrag, risico en de interactie zelf te begrijpen. Dit is hoe we een nieuwe klasse van detectie- en responsproducten creëren: Human Threat Detection and Response.

Opkomende groepen zoals BlackFile gebruiken voicephishing en real-time sociale engineering in plaats van malware-zware tactieken. Wat zegt deze verschuiving ons over de verandering in het bedreigingslandschap?

BlackFile maakt deel uit van een bredere verschuiving naar aanvallen die minder gericht zijn op het binnenkrijgen van malware in een omgeving en meer op het gebruik van natuurlijke taal om iemand te laten openen.

Deze groepen hebben ontdekt dat een overtuigend telefoontje, een geloofwaardig voorwendsel en de juiste hoeveelheid urgentie net zo effectief kunnen zijn als een technische exploit, en vaak moeilijker voor beveiligingsteams om te zien. Het aanvalsoppervlak is niet zozeer veranderd als de focus van de aanvaller. Mensen zijn altijd onderdeel van het aanvalsoppervlak geweest. Wat veranderd is, is de schaal, volwassenheid en herhaalbaarheid van het playbook.

Sociale engineering wordt gekopieerd, verfijnd en geïndustrialiseerd omdat het werkt. Het maakt gebruik van hoe bedrijven daadwerkelijk opereren, vooral in workflows waar mensen verwacht worden om snel te helpen, uitzonderingen op te lossen en dingen gaande te houden.

We zien aanvallers die IT-helpdesks imiteren en medewerkers rechtstreeks exploiteren om toegang te krijgen. Waarom worden technieken zoals vishing en helpdeskmanipulatie zo effectieve primaire toegangspunten?

Technieken zoals vishing en helpdeskmanipulatie zijn zo effectief omdat ze het vertrouwen, de urgentie en de toegang exploiteren die vaak aanwezig zijn in veel ondersteunings- en administratieve workflows.

Als ik toegang wil krijgen tot uw omgeving, kan ik weken besteden aan het zoeken naar een technische exploit. Of ik kan iemand bellen die getraind is om te helpen, een geloofwaardig verhaal creëren en hen ertoe brengen om het te doen wat ik nodig heb, of het nu gaat om het resetten van een wachtwoord, het registreren van een nieuwe MFA-factor, het wijzigen van een machtiging of het goedkeuren van een verzoek.

De persoon aan de andere kant van de oproep probeert vaak een echt ogend probleem op te lossen onder tijdsdruk, met onvolledige informatie. Dat is precies wat de helpdesk zo’n aantrekkelijk doelwit maakt. Het is een van de weinige plaatsen waar een gesprek rechtstreeks kan worden omgezet in toegang. Zodra toegang is verleend, kan de rest zeer snel gebeuren.

De industrie heeft zwaar geïnvesteerd in medewerkersopleiding, maar inbraken die mensen als doelwit hebben, blijven stijgen. Waar schiet traditionele beveiligingsbewustzijn tekort, en wat moet er veranderen?

Beveiligingsbewustzijnstraining is behandeld als de primaire verdediging tegen sociale engineering, ondanks het feit dat de resultaten duidelijk de beperkingen ervan laten zien. Organisaties blijven zwaar investeren in training, maar aanvallers blijven slagen omdat ze mensen in live-interacties aanvallen, niet omdat ze toetsen of medewerkers materiaal uit een cursus onthouden.

Een sociale-engineeringaanval is geen quiz. Het is iemand aan de andere kant van een telefoontje of chatthread die urgentie creëert, vertrouwen opbouwt en probeert iemand te laten doen wat ze niet zouden moeten doen. Het huidige model faalt omdat het van de medewerker verwacht dat hij de aanval herkent en stopt terwijl de aanvaller de interactie actief manipuleert.

Wanneer iets misgaat, is de reactie vaak om de medewerker de schuld te geven en meer training toe te wijzen. Maar de medewerker probeerde vaak te helpen, wat precies is wat het bedrijf elke dag van hen vraagt. We moeten stoppen met het behandelen van sociale engineering als een enkel bewustzijnsprobleem. Het is een aanvalsklasse, en we moeten het detecteren en erop reageren terwijl de interactie plaatsvindt.

Humanix positioneert zich rond het detecteren van aanvallen op mensen in real-time. Wat ziet observabiliteit van menselijk risico er in de praktijk uit?

Observabiliteit van menselijk risico betekent dat beveiligingsteams zichtbaarheid geven in de live-interacties waar aanvallers proberen mensen te manipuleren om toegang te veranderen, een vereiste procedure te omzeilen of een andere onveilige actie uit te voeren namens de aanvaller.

Vandaag de dag zijn deze interacties effectief onzichtbaar voor beveiliging. Iemand belt de helpdesk, opent een ticket of start een chat. Een wachtwoord wordt gereset, een MFA-factor wordt geregistreerd, een machtiging wordt gewijzigd of een uitzondering wordt goedgekeurd. Dit zijn zeer gevoelige workflows, maar beveiligingsteams hebben geen zichtbaarheid en observabiliteit.

Humanix verandert dit. We pluggen in de enterprise-communicatiesystemen die al in gebruik zijn – Microsoft 365, ServiceNow , Zoom, Slack en meer. Humanix bewaakt acties en interacties via deze kanalen en vergelijkt ze met aanvalstactieken en bedrijfsprocedures.

Was de beller correct geverifieerd? Heeft hij zijn weg rond de verificatie gepraat? Was er urgentie, impersonatie of druk om een vereiste stap over te slaan? Stond de agent op het punt een risicovolle actie te ondernemen? Hoe is het risicoprofiel veranderd toen het gesprek vorderde? Humanix biedt beveiligingsdetectie en -respons terwijl de interactie plaatsvindt en laat het beveiligingsteam weten als iets verdacht lijkt.

Het uiteindelijke doel van deze analyse is niet om de slachtoffers na de feiten te straffen. Het is om hen te beschermen op het moment. Als een gesprek een aanval wordt, moet het beveiligingsteam dat weten.

Naarmate AI-gegenereerde stem- en deepfake-technologieën verbeteren, hoe dichtbij zijn we bij een punt waarop menselijk vertrouwen het zwakste aanvalsoppervlak wordt?

Menselijk vertrouwen is al lange tijd een van de zwakste aanvalsoppervlakken. AI maakt aanvallen tegen vertrouwen gemakkelijker te creëren, aan te passen en te schalen.

Echter, we moeten oppassen dat we niet te veel overhellen naar het specifieke ‘deepfake’-geval. Deepfakes zijn slechts één medium dat aanvallers kunnen gebruiken om iemand te manipuleren. In feite, als we naar de overgrote meerderheid van succesvolle sociale-engineeringaanvallen in de afgelopen jaren kijken, waren de meeste geen deepfakes – het zijn gewoon menselijke aanvallers en oplichters die de telefoon opnemen. Groepen zoals Scattered Spider, ShinyHunters en BlackFile hebben laten zien dat een normaal telefoontje, een geloofwaardig voorwendsel en de juiste hoeveelheid urgentie meer dan genoeg zijn om iemand te laten doen wat de aanvaller wil.

Beveiligingsteams moeten zich richten op het bericht, niet op het medium. Iemand die onder druk wordt gezet om een beleid te schenden of een uitzondering goed te keuren in verdachte omstandigheden – dit zijn de echte risicovolle gedragingen. De risico’s liggen in de interactie zelf en de actie die het beoogt te induceren.

Vertrouwen is iets dat we niet kunnen verwijderen uit het bedrijf. Mensen moeten telefoontjes beantwoorden, problemen oplossen, verzoeken goedkeuren en elkaar helpen. Het antwoord kan niet zijn om iedereen minder menselijk te maken. Het moet zijn om de momenten te beschermen waarin vertrouwen wordt geëxploiteerd.

Wat moet de rol van AI zijn bij het verdedigen tegen AI-gedreven sociale engineering, en wat zijn de grootste technische uitdagingen bij het detecteren van manipulatie in real-time?

Conversational AI biedt de kans om AI-gedreven sociale engineering te transformeren van een trainingsprobleem naar een detectie- en responsprobleem. Taalmodellen stellen ons in staat om al onze kennis uit domeinen zoals eindpunten of netwerken toe te passen op de menselijke laag. We moeten deze aanvallen detecteren en erop reageren, in plaats van verder te gaan met de futiele poging om ze weg te trainen.

Er zijn veel technische uitdagingen bij het maken van deze visie een realiteit. Natuurlijke taal is zeer hoogdimensionaal, wat betekent dat er oneindig veel manieren zijn om dezelfde betekenis over te brengen. “Ik ben uitgesloten van mijn systeem” is een functioneel equivalente verklaring als “Ik heb mijn wachtwoord nodig”, zelfs als de woorden “wachtwoord” en “reset” nooit zijn gebruikt.

Een andere uitdaging is het belang van context. Menselijke interacties zijn contextueel en cumulatief, en dus ook menselijke manipulatie. Een beller kan klinken als kalm, beleefd en geloofwaardig, terwijl hij iemand rond de verificatie leidt of naar een onveilige actie stuurt. We moeten meerdere signalen en contextuele gegevens combineren om benigne van kwaadaardige te onderscheiden.

Ten slotte is elke organisatie uniek. Het heeft verschillende procedures en normen, die voor het merendeel niet machinaal leesbaar zijn. Dit is nog een gebied waarin AI een enorme hulp kan zijn – het begrijpen van die beleidsregels en het vergelijken ervan met waargenomen werkelijke gedrag.

Veel beveiligingshulpmiddelen richten zich nog steeds op eindpunten, netwerken en identiteitssystemen. Hoe moeten CISO’s hun architectuur heroverwegen als het primaire slagveld verschuift naar menselijk gedrag?

Ten eerste moeten CISO’s formeel erkennen wat we allemaal intuïtief weten: de menselijke kapitaal van een organisatie is een activaklasse (zoals eindpunt, netwerk of cloud) die beheerd moet worden. Bedreigingen en risico’s moeten nauwkeurig worden gemodelleerd en gecontroleerd.

Het NIST Cybersecurity Framework biedt al richtlijnen over hoe dit te doen. De “identificatie” en “beheer” van mensen maken deel uit van de Asset Management (ID.AM) subset van risicoidentificatie. Toch definiëren veel organisaties het menselijke risicoprobleem als een trainingsprobleem en beheren ze het alleen via de beveiligingsbewustzijnstrainingcomplianceregel. Dit moet veranderen.

Wanneer we menselijk kapitaal behandelen als een eigen activaklasse, opent dit de standaardplaybooks die we voor elke andere activaklasse uitvoeren. Wat zijn de sleutelrisico’s (ID.RA)? Hoe verdedigen we ons systematisch tegen hen (Protect)? Wat zijn onze systemen en processen om te detecteren of een aanvaller onze verdedigingen gaat doorbreken, of erger, al heeft doorbroken (Detect)? Hoe reageert de organisatie om de bedreiging te containen en uiteindelijk diensten te herstellen (Respond en Recover)? Door dezelfde systematische aanpak te gebruiken voor ons menselijk kapitaal als we voor elke andere activaklasse doen, kunnen we risico’s beter identificeren en middelen effectiever prioriteren om die risico’s te beheren.

Kijkend naar de toekomst, verwacht u dat menslaag-aanvallen de cybermisdaad zullen domineren, of zullen we een hybride model zien waarin AI-gedreven automatisering en sociale engineering samenkomen tot iets moeilijker te verdedigen?

Het zal waarschijnlijk een gemengd bedreigingsmodel zijn. We hebben twee dingen die tegelijk gebeuren. Ten eerste leren aanvallers hun aanvallen te schalen met AI, waardoor de toegang toeneemt en de kosten van deze aanvalsklasse dalen. Ten tweede gaan ondernemingen zelf door een agente AI-transformatie, geleid door de zeer bedrijfsdiensten die worden aangevallen door BlackFile en hun peers.

Klantenservice, helpdesk, servicedesk, financiële operaties en interne ondersteuningsworkflows worden allemaal getransformeerd van menselijk geleverd naar AI-geleverd. Dit betekent dat we een explosie zullen meemaken in natuurlijke taalaanvalsoppervlak, terwijl we menselijke gezond verstand verwijderen. Grote taalmodellen zijn getraind om instructies te volgen en behulpzaam te zijn. De menselijke argwaan of ‘gevoel’ dat onze beste verdediging tegen sociale-engineeringaanvallen zijn, zijn opzettelijk verwijderd uit de modelreacties. De overgang naar AI-geleverde diensten zal uiteindelijk het risico van sociale-engineeringaanvallen verhogen, niet verlagen.

Als resultaat zal de blootstelling van ondernemingen aan deze aanvalsklasse waarschijnlijk de komende jaren blijven groeien. Mensen en agenten zijn allebei kwetsbaar voor natuurlijke taalaanvallen. Beveiligingsteams moeten vandaag beginnen met plannen voor een systematische verdediging en responsplan voor deze nieuwe realiteit.

Bedankt voor het geweldige interview, lezers die meer willen leren over Humanix.