Zagrożenia AI to odwrócenie uwagi. Twój prawdziwy problem jest bliżej domu

Powinniśmy być szczerzy: ataki cybernetyczne wspomagane przez sztuczną inteligencję są przerażające. Ale nie są one największym zagrożeniem dla Twojego biznesu.

Największym zagrożeniem jest odwrócenie uwagi, które one tworzą.

Przez ponad 15 lat widziałem to samo zjawisko. Kierownictwo zostaje zastraszane przez najnowsze “zagrożenie AI”, podczas gdy zespół ds. bezpieczeństwa nadal ma problemy z odpowiedzią na podstawowe pytania, takie jak “Gdzie znajduje się nasze najbardziej wrażliwe dane klientów?” lub “Kto jest odpowiedzialny za łatanie tego krytycznego systemu?” Ścigamy nowe, lśniące narzędzia, podczas gdy inżynierowie są wciągani do ostatnich ćwiczeń zgodności, a krytyczne luki w zabezpieczeniach są odsuwane na dalszy plan.

To jest klasyczny problem “fancy lock on a screen door”. Organizacje spieszą się, aby wdrożyć obrony oparte na sztucznej inteligencji, ale atakujący używają sztucznej inteligencji z mniejszą ilością reguł i większą elastycznością, aby przekroczyć podstawowe luki w procesach, własności i kulturze. Dla firm z rynku średniego, w szczególności, zaniedbywanie podstaw jest zaproszeniem do zostania następną opowieścią ostrzegawczą.

Dlaczego statyczne obrony zawodzą w dynamicznym świecie

Kiedy zacząłem swoją karierę, bezpieczeństwo było listą sprawdzającą: oprogramowanie antywirusowe, łaty i silne zapory sieciowe. Ten świat już dawno minął. Dziś, złośliwe oprogramowanie polymorficzne zmienia się, aby uniknąć sygnatur, a botnety uruchamiają ataki szybciej niż jakikolwiek człowiek może zareagować.

Ruch sieciowy zaszyfrowany stał się ulubionym miejscem ukrycia się przeciwnika. Raport Zscaler ThreatLabz z 2024 roku wykazał, że prawie 90% złośliwego oprogramowania jest teraz dostarczane przez kanały zaszyfrowane. To oznacza, że dziewięć na dziesięć zagrożeń jest niewidocznych dla starszych narzędzi, które nie mogą sprawdzić tego ruchu.

Prawdziwą wąskim gardłem jest jednak nie tylko technologia, ale tarcie organizacyjne. Obserwowałem, jak wielkie zespoły ds. bezpieczeństwa spędzały tygodnie, próbując uzyskać zgodę na zamknięcie znanego luka. W czasie, jaki potrzebny jest do zaplanowania spotkań, automatyczny atakujący może być już wewnątrz i na zewnątrz. Bycie statycznym nie jest już opcją. Programy bezpieczeństwa muszą być świadome kontekstu i skupione na dynamicznych częściach biznesu.

Przemysłowy charakter cyberprzestępczości

To nie powinno nikogo zaskakiwać. Atakujący są przedsiębiorcami prowadzącymi biznes. Po prostu przyjmują nową technologię, aby poprawić swoją stopę zwrotu — tak jak my. Sztuczna inteligencja pomaga im zindustrializować swoje operacje.

• Phishing-as-a-Service, Supercharged: Phishing wciąż jest najczęstszym sposobem wejścia. FBI i IBM zgłaszają go jako najważniejszy wektor dostępu początkowego przez lata. Teraz, dzięki narzędziom generatywnym AI, takim jak “FraudGPT”, przestępcy mogą tworzyć idealnie dopasowane, bezbłędne kampanie phishingowe w skali, której nigdy nie widzieliśmy.
• Głos jest kłamstwem: Phishing głosowy (“vishing”) eksploduje. CrowdStrike odnotował 442% wzrost, ponieważ atakujący używają głosów sklonowanych przez AI, aby podszyć się pod dyrektorów i oszukać pracowników, aby przelali fundusze. Brytyjska firma energetyczna straciła ponad 243 000 dolarów w ten sposób z jednego połączenia.
• Wzrost zautomatyzowanego przeciwnika: Myśliwi CrowdStrike widzą teraz zautomatyzowane kampanie od końca do końca — od AI-generowanych CV z fałszywymi wywiadami wideo do ataków bez złośliwego oprogramowania, które żyją wyłącznie w chmurze.

Obrońcy stają w obliczu zagrożeń, które adaptują się i trwają z minimalnym nadzorem ludzkim. Atakujący zautomatyzowali swoje operacje przez lata; AI po prostu przyspieszył ich pracę.

Aby nadążyć, wysoko czas, abyśmy porzucili przestarzałe, oparte na liście sprawdzającej podejścia do zgodności i bezpieczeństwa. Szukanie srebrnej kuli z najnowszym narzędziem na rynku nie jest odpowiedzią. To powiedziawszy, to jest unikalna okazja, aby wrócić do podstaw.

Przestań pytać “Czy jesteśmy zgodni?” Zaczynaj pytać “Czy jesteśmy odporni?”

Nawet gdy AI zmienia krajobraz, większość naruszeń wciąż występuje z powodu zaniedbanych podstaw. Oczywiście, głos tego CEO został sklonowany, ale prawdziwa awaria była prawdopodobnie złamanym procesem zatwierdzania finansowego. AI było po prostu ostatnim krokiem w łańcuchu zaniedbanych podstaw.

AI nie musi znaleźć zero-day exploit, gdy może znaleźć pięcioletni, niezłatany serwer lub programistę z prawami administratora do wszystkiego. Kupowanie kolejnego narzędzia bezpieczeństwa wspomaganego przez AI nie naprawi złamanego procesu. AI powinno wzmacniać silne procesy, a nie zastępować je.

To jest miejsce, w którym kierownictwo często myli się. Byłem w salach zarządu, gdzie pytanie brzmiało: “Czy jesteśmy zgodni?” Lepsze pytanie jest: “Czy nasz program bezpieczeństwa sprawia, że nasz biznes jest silniejszy?”

Zgodność staje się ćwiczeniem polegającym na odhaczaniu punktów. Zespoły produktowe biegną do przodu, inżynierowie otrzymują obowiązki bezpieczeństwa bez zasobów, a kierownictwo zakłada, że czysty audyt oznacza, że biznes jest bezpieczny. Nie jest. Rozwiązaniem nie jest więcej narzędzi; jest to silniejsza konstrukcja od góry do dołu. Bezpieczeństwo musi być bezpośrednio związane z rozwojem biznesu i integralnością produktu.

Pragmatyczny podręcznik dla ery AI

Firmy z listy Fortune 500 mogą rzucać pieniędzmi na ten problem. Firmy z rynku średniego muszą być mądrzejsze. Więc, co tak naprawdę robisz?

1. Napraw swoją podstawę najpierw. Zanim kupisz kolejne narzędzie, upewnij się, że masz solidny inwentarz Twoich danych, niezawodne kontrolę dostępu i proces łatania, który naprawdę działa.
2. Umieść AI w porządku dziennym. Przeprowadź ćwiczenia na podstawie ataków wspomaganych przez AI. Zrób to regularną częścią raportowania zarządu, aby było traktowane jako ryzyko biznesowe, a nie problem IT.
3. Skoncentruj się na zachowaniu, a nie tylko na statycznych sygnałach. Priorytetowo traktuj narzędzia, które wykrywają dziwne zachowania — takie jak konto użytkownika, które nagle uzyskuje dostęp do bazy danych, której nigdy nie dotykało — nad narzędziami, które tylko polują na znane złośliwe oprogramowanie.

AI nie jest wrogiem — samozadowolenie jest

AI nie jest obosiecznym mieczem; jest szkłem powiększającym. Robi dobre procesy bardziej wydajnymi i złe procesy katastrofalnymi.

Atakujący zawsze będą mieli nowe narzędzia. Prawdziwe pytanie jest, czy Twoja strategia bezpieczeństwa opiera się na solidnej podstawie odporności, czy tylko goni za następnym lśniącym obiektem. Era bezpieczeństwa “ustaw i zapomnij” jest skończona. Organizacje, które budują kulturę bezpieczeństwa i naprawiają podstawy, wygrają, nawet w erze autonomicznych zagrożeń.