Keith Stewart, grunnlegger og CEO av Humanix – Intervju-serie

Keith Stewart, grunnlegger og CEO av Humanix, er en erfaren cybersecurity-ekspert med over 25 års erfaring fra produktledelse, ingeniørvirksomhet, forretningsutvikling og ledelse i noen av bransjens mest kjente selskaper, inkludert Cisco, Brocade, Riverbed og vArmour. Før han grunnla Humanix i 2023, var han midlertidig CEO og SVP for produkt og ingeniørvirksomhet i vArmour, der han hjalp selskapet gjennom oppkjøp og overgang til en SaaS-basert forretningsmodell. Gjennom sin karriere har Stewart ledet globale team, drevet store cybersecurity-prosjekter, deltatt i fundraising og M&A-aktiviteter og spilt en nøkkelrolle i utviklingen av neste generasjons sikkerhetsteknologi. Hans omfattende bakgrunn innen entreprise-sikkerhet og dyp forståelse av hvordan angripere utnytter menneskeligt atferd, ledet ham til å etablere Humanix med målet om å beskytte mennesker mot stadig mer sofistikerte sosiale ingeniørangrep.

Humanix er et selskap som spesialiserer seg på å beskytte mennesker mot sosiale ingeniørangrep. De kaller dette for Human Threat Detection and Response (HTDR), en ny kategori som fokuserer på å beskytte “menneskelige laget” i entreprise-sikkerhet. I stedet for å konsentrere seg bare om endepunkter, nettverk og infrastruktur, bruker Humanix konversasjons-AI trent på menneskelig psykologi og naturlig språk-angrepsmønster for å detektere manipulasjon, bedrag, forkledning og andre sosiale ingeniør-taktikker over stemme-, chat-, e-post-, video- og service-desk-interaksjoner. Plattformen er designet for å identifisere angrep i sanntid, og hjelpe organisasjoner med å stoppe brudd før angriperne utnytter ansatte, underleverandører eller kunder. Humanix’ tilnærming reflekterer en økende erkjennelse av at de fleste vellykkede cyberangrep tar sikte på mennesker, ikke systemer, og selskapet har som mål å gi sikkerhetsteamene den samme nivået av synlighet og responsmuligheter for menneske-rettete trusler som de allerede har for tradisjonelle cyber-trusler.

Du har ledet store transformasjoner i selskaper som vArmour, inkludert SaaS-overganger, skaling av ingeniørvirksomhet og navigering av oppkjøp. Hva var den spesifikke åpningen eller vendepunktet som ledet deg til å grunnlegge Humanix, og hvorfor fokusere så sterkt på å beskytte mennesker i stedet for systemer?

Den største utfordringen i enhver organisasjons sikkerhetsposture er menneskelig risiko. Mennesker er både vårt mest kraftfulle defensive aktivum og vårt største område med varig sårbarhet. Likevel er dette et problem som har vært kontinuerlig uadressert. Bransjens svar har vært opplæring – effektivt å forsøke å transformere den gjennomsnittlige ansatte til en cybersecurity-ekspert i en enkelt time. Vi vet at det ikke fungerer, men vi har hatt ingen bedre løsninger.

To ting har endret seg nylig, en for verre og en for bedre. Først, det verre: AI gjør angrep som tar sikte på mennesker direkte mye mer tilgjengelige. Du kan nå være en tenåring på den andre siden av verden, ikke snakke et ord engelsk, vite ingenting om et bestemt firma, og likevel kan en LLM la deg vite nesten alt og lyde som nesten hvem som helst. Dette skaper en virkelig og nåværende fare.

Andre, en endring for bedre: Vi har nå teknologien til å detektere disse angrepene. LLM-er er veldig gode til å forstå nuansene og kompleksiteten i menneskelige interaksjoner. Med konversasjons-AI kan vi identifisere mønster i disse interaksjonene og reagere i nær sanntid.

Vi trenger ikke lenger å stole bare på foreldede, opplærings-sentriske strategier. For første gang har vi en måte å løse menneskelig sårbarhetsproblemet direkte. Det er derfor vi bygde Humanix.

Ditt arbeid har lenge sentrert seg rundt stor skala data, atferdsanalyse og graf-basert sikkerhetsmodell. Hvordan har disse erfaringene formet Humanix’ tilnærming til å detektere angrep som ikke ligner tradisjonelle brudd?

På overflaten ser det ut som om å detektere interaktive sosiale ingeniørangrep er overveldende. Hver person er forskjellig. Naturlig språk er ekstremt høydimensjonalt. Klassiske ML-sentriske atferdsmodeller forstår ikke kontekst, og mislykkes derfor ofte.

Likevel, når du dykker litt dyptere, kan du se at denne angrepsklassen har mønster som enhver annen. I stedet for buffer-overflows eller zero-dager, utnytter angriperne forretningsprosess-gapper og menneskelig tillit. Angriperne har playbooks de konsistent kjører mot organisasjoner, hvilket betyr at vi bør være i stand til å detektere og reagere på disse angrepene like vi gjør på endepunkt, nettverk, sky eller identitet.

Denne innsikten lar oss blande klassiske deteksjons- og responsmønster vi vet er effektive – inkludert atferdsanalyse og graf-teori – med språkmodellers semantiske resoneringsevner. Humanix bruker denne kombinasjonen for å forstå enheter, relasjoner, atferd, risiko og interaksjonen selv. Dette er hvordan vi skaper en ny klasse av deteksjons- og responsprodukt: Human Threat Detection and Response.

Emerginge grupper som BlackFile bruker voice-phishing og sanntids-sosial ingeniørkunst i stedet for malware-tyngde taktikker. Hva forteller denne skiftet oss om hvordan trusselslandskapet endrer seg?

BlackFile er en del av en bredere skift mot angrep som er mindre om å få malware inn i en miljø og mer om å bruke naturlig språk for å få en person til å åpne døren.

Disse gruppene har funnet ut at en overbevisende telefon-samtale, en plausibel forutsetning og riktig mengde urgency kan være like effektive som en teknisk utnytting, og ofte harder for sikkerhetsteamene å se. Angrepsflaten har ikke endret seg like mye som angriper-fokuset har. Mennesker har alltid vært en del av angrepsflaten. Hva som har endret seg er skalaen, modenheten og gjentakelsen av playbooken.

Sosial ingeniørkunst blir kopiert, forbedret og industrialisert fordi det fungerer. Det tar fordel av hvordan forretninger faktisk opererer, spesielt i arbeidsflyter hvor mennesker forventes å hjelpe raskt, løse unntak og holde ting i gang.

Hvorfor er teknikker som vishing og hjelp-desk-manipulering så effektive primære inngangspunkter?

Teknikker som vishing og hjelp-desk-manipulering er så effektive fordi de utnytter kombinasjonen av tillit, urgency og tilgang funnet i mange støtte- og administrative arbeidsflyter.

Hvis jeg vil komme inn i din miljø, kan jeg bruke uker på å lete etter en teknisk utnytting. Eller jeg kan ringe noen som er trent til å hjelpe, skape en troverdig historie og få dem til å gjøre det jeg trenger gjort, enten det er å tilbakestille en passord, registrere en ny MFA-faktor, endre en tillatelse eller godkjenne en forespørsel.

Personen på den andre enden av samtalen er ofte prøver å løse et virkelig-seende problem under tidspress, med ufullstendig informasjon. Dette er nettopp hva gjør hjelp-desken så attraktivt. Det er ett av de få stedene hvor en samtale kan gå direkte over i tilgang. Når tilgang er gitt, kan resten skje veldig raskt.

Sikkerhetsbransjen har investert tungt i ansatt-opplæring, men brudd som tar sikte på mennesker fortsetter å øke. Hvor feiler tradisjonell sikkerhetsbevissthet, og hva må endre seg?

Sikkerhetsbevissthet-trening har blitt behandlet som den primære forsvar mot sosial ingeniørkunst, selv om resultater tydelig viser dens begrensninger. Organisasjoner fortsetter å investere tungt i opplæring, men angriperne fortsetter å lykkes fordi de tar sikte på mennesker i live-interaksjoner, ikke tester om ansatte husker materiale fra en kurs.

En sosial ingeniør-angrep er ikke en quiz. Det er en person på den andre enden av en telefon-samtale eller chat-tråd som skaper urgency, bygger tillit og prøver å få noen til å utføre en handling de ikke bør utføre. Den nåværende modellen bryter sammen fordi den forventer at ansatte skal gjenkjenne og stoppe angrepet mens angriperen aktivt manipulerer interaksjonen.

Når noe går galt, er responsen ofte å skyld på ansatte og tildele mer opplæring. Men ansatte var vanligvis prøver å hjelpe, hvilket er nettopp hva forretningen ber dem om å gjøre hver dag. Vi må slutte å behandle sosial ingeniørkunst som et bevissthet-problem alene. Det er en angrepsklasse, og vi bør detektere og reagere på det mens interaksjonen skjer.

Hva betyr observasjon av menneskelig risiko i praksis?

Observasjon av menneskelig risiko betyr å gi sikkerhetsteamene synlighet inn i live-interaksjoner hvor angriperne prøver å manipulere mennesker til å endre tilgang, unngå en påkrevd prosedyre eller utføre en annen trygg handling på angriperens vegne.

I dag er disse interaksjonene effektivt usynlige for sikkerhet. Når noen ringer hjelp-desken, åpner en billett eller starter en chat. En passord tilbakestilles, en MFA-faktor registreres, en tillatelse endres eller en unntak godkjennes. Disse er svært sensitive arbeidsflyter, men sikkerhetsteamene har ingen synlighet og observasjon.

Humanix endrer dette. Vi kobler oss til de entreprise-kommunikasjonssystemer som allerede er i bruk – Microsoft 365, ServiceNow , Zoom, Slack og mer. Humanix overvåker handlinger og interaksjoner over disse kanalene og sammenligner dem med angreps-taktikker og bedriftsprosedyrer.

Ble kalleren korrekt verifisert? Snakket de seg rundt verifiseringen? Var det urgency, forkledning eller press for å hoppe over en påkrevd steg? Var agenten i ferd med å utføre en høy-risiko-handling? Hvordan har risikoprofilen endret seg mens samtalen skred frem? Humanix gir sikkerhetsdeteksjon og respons mens interaksjonen skjer, og lar sikkerhetsteamene vite om noe ser mistenkelig ut.

Det ultimate målet med denne analysen er ikke å straffe ofrene etter faktum. Det er å beskytte dem i øyeblikket. Hvis en samtale blir et angrep, må sikkerhetsteamene vite.

Hvordan nært er vi en situasjon hvor menneskelig tillit blir den svakeste angrepsflaten?

Menneskelig tillit har vært en av de svakeste angrepsflatene i lang tid. AI gjør angrep mot tillit lettere å skape, tilpasse og skala.

Likevel må vi være forsiktige med å over-rotasjon på det spesifikke ‘deepfake’-tilfellet. Deepfakes er bare ett medium angriperne kan bruke til å manipulere noen. I virkeligheten, hvis vi ser på de fleste vellykkede sosiale ingeniør-angrepene de siste årene, var de fleste ikke deepfakes – de var bare menneskelige angripere og svindlere som tok opp telefonen. Grupper som Scattered Spider, ShinyHunters og BlackFile har vist at en vanlig telefon-samtale, en troverdig forutsetning og riktig mengde urgency er mer enn nok til å få noen til å utføre en handling på angriperens vegne.

Sikkerhetsteamene må fokusere på meldingen, ikke mediumet. Når noen blir presset til å bryte politikk eller godkjenne en unntak i mistenkelige omstendigheter – disse er de virkelige risikofulle atferdene. Risikoen ligger i interaksjonen selv og handlingen den er designet til å inducere.

Tillit er ikke noe vi kan fjerne fra forretningen. Mennesker må svare på telefoner, løse problemer, godkjenne forespørsler og hjelpe hverandre. Svaret kan ikke være å gjøre alle mindre menneskelige. Det må være å beskytte øyeblikkene hvor tillit utnyttes.

Hva rolle bør AI spille i å forsvare mot AI-drevet sosial ingeniørkunst, og hva er de største tekniske utfordringene i å detektere manipulering i sanntid?

Konversasjons-AI åpner muligheten for å transformere AI-drevet sosial ingeniørkunst fra et opplærings-problem til et deteksjons- og respons-problem. Språkmodeller lar oss bruke all vår kunnskap fra domener som endepunkt eller nettverk og bruke dem på menneskelige laget. Vi må detektere og reagere på disse angrepene, ikke fortsette ned den futile veien å prøve å trene dem bort.

Det er mange tekniske utfordringer i å gjøre denne visjonen til virkelighet. Naturlig språk er svært høydimensjonalt, hvilket betyr at det er mange måter å uttrykke samme mening på. Å si “Jeg er låst ute av systemet” er en funksjonelt ekvivalent uttalelse til å si “Jeg trenger passordet mitt tilbakestilt”, selv om ordene ‘passord’ og ’tilbakestilt’ aldri ble brukt.

En annen utfordring er viktigheten av kontekst. Menneskelige interaksjoner er kontekstuelle og kumulative, og således også menneskelig manipulering. En kaller kan lyde rolig, høflig og troverdig samtidig som de styrer noen rundt verifisering eller mot en trygg handling. Vi må kombinere flere signaler og kontekst-data sammen for å nøyaktig skille benigne fra malisøse.

Til slutt er hver organisasjon forskjellig. Den har forskjellige prosedyrer og normer, som nesten alle ikke er maskinleselige. Dette er et annet område hvor AI kan være en stor hjelp – å forstå disse prosedyrene og sammenligne dem med observerte virkelige verdens-atferd.

Mange sikkerhet-verktøy fokuserer fortsatt på endepunkter, nettverk og identitetssystemer. Hvordan bør CISO-er omstrukturere sin arkitektur hvis den primære slagmarken skifter til menneskelig atferd?

Først bør CISO-er formelt anerkjenne hva vi alle intuitivt vet: en organisasjons menneskelige kapital er en egen aktivaklasse (som endepunkt, nettverk eller sky) som må håndteres. Trusler og risiko må bli nøyaktig modellert og kontrollert.

NIST Cybersecurity Framework gir allerede veiledning på hvordan å gjøre dette. “Identifisering” og “håndtering” av mennesker er en del av Asset Management (ID.AM) undergruppen av risiko-identifisering. Likevel definerer mange organisasjoner menneskelig risiko-problemet som et opplærings-problem, og håndterer det bare via sikkerhetsbevissthet-trening-kravet. Dette må endre seg.

Når vi behandler menneskelig kapital som sin egen aktivaklasse, åpner dette opp standard-playbookene vi kjører for hver annen aktivaklasse. Hva er de nøkkel-risikoene (ID.RA)? Hvordan kan jeg systematisk forsvare mot dem (Protect)? Hva er våre systemer og prosesser for å detektere om en angriper er i ferd med å bryte disse forsvarsmekanismene, eller verre, allerede har (Detect)? Hvordan responderer organisasjonen for å inneholde trusselen og til slutt gjenopprette tjenester (Respond og Recover)? Ved å ta samme systematiske tilnærming til vår menneskelige kapital som vi gjør for enhver annen aktivaklasse, kan vi mer tydelig identifisere risikoer og mer effektivt prioritere ressurser for å håndtere disse risikoene.

Ser du for deg at menneske-lag-angrep kommer til å dominere cyberkriminalitet, eller vil vi se en hybrid-modell hvor AI-drevet automatisering og sosial ingeniørkunst konvergerer til noe hardest å forsvare mot?

Det vil nesten sikkert være en blandet trussel-modell. Vi har to ting som skjer samtidig. Først, angriperne lærer å skala sine angrep med AI, øker tilgangen og reduserer kostnadene for denne klassen av angrep. Andre, entreprise selv går gjennom en agentisk AI-transformasjon ledet av de samme forretnings-tjenestene som angripes av BlackFile og deres like.

Kundeservice, hjelp-desk, service-desk, finansielle operasjoner og interne støtte-arbeidsflyter er alle i ferd med å bli transformert fra menneske-levert til AI-levert. Dette betyr at vi vil oppleve en eksplosjon i naturlig språk-angrepsflate samtidig som vi fjerner menneskelig sunn fornuft. Store språkmodeller er trent til å respondere på instruksjoner og være nyttige. Den menneskelige mistanken eller ‘gut feelings’ som har vært noen av våre beste forsvar mot sosial ingeniør-angrep, er bevisst fjernet fra modell-responsene. Overgangen til AI-leverte tjenester vil til slutt øke risikoen for sosial ingeniør-angrep, ikke redusere den.

Som resultat er entreprise-exponeringen for denne klassen av angrep nesten sikkert gå til å fortsette å vokse over de neste årene. Mennesker og agenter er begge sårbare for naturlig språk-angrep. Sikkerhetsteamene må starte å planlegge i dag for en systematisk forsvar og respons-plan for denne nye virkeligheten. Thank you for the great interview, readers who wish to learn more Humanix.