Угрозы ИИ – это отвлечение. Ваша реальная проблема ближе к дому

Давайте будем честными: кибератаки, использующие ИИ, – это страшная перспектива. Но они не являются самой большой угрозой для вашего бизнеса.

Самая большая угроза – это отвлечение, которое они создают.

Более 15 лет я вижу, как разворачивается одна и та же история. Руководство пугается последней “суперугрозой ИИ”, а команда безопасности все еще борется с ответами на基本ные вопросы, такие как “Где находится наша наиболее чувствительная клиентская информация?” или “Кто отвечает за патчинг критической системы?” Мы гоняемся за новыми инструментами, пока инженеры вынуждены участвовать в последних процедурах соблюдения требований, и критические уязвимости откладываются.

Это классическая проблема “фанковый замок на экранной двери”. Организации спешат развертывать системы защиты, основанные на ИИ, но атакующие используют ИИ с меньшим количеством правил и большей гибкостью, чтобы пройти через фундаментальные пробелы в процессах, собственности и культуре. Для компаний среднего размера, в частности, игнорирование основ – это приглашение стать следующей предостерегающей историей.

Почему статические защиты терпят неудачу в динамичном мире

Когда я начал свою карьеру, безопасность была списком: антивирус, патчи и сильные брандмауэры. Этот мир давно прошел. Сегодня полиморфный вредоносный код переписывает себя, чтобы избежать сигнатуры, и ботнеты запускают атаки быстрее, чем любой человек может отреагировать.

Шифрованный трафик стал любимым местом для隐藏ения противника. Отчет ThreatLabz 2024 года компании Zscaler показал, что почти 90% вредоносного кода теперь доставляется по зашифрованным каналам. Это означает, что девять из десяти угроз невидимы для устаревших инструментов, которые не могут проверить этот трафик.

Однако реальная бутылочная пробка не только в технологии, но и в организационном трении. Я видел, как отличные команды безопасности тратят недели на то, чтобы получить разрешение на закрытие известной уязвимости. За время, необходимое для планирования встреч, автоматизированный атакующий может войти и выйти. Быть статичным больше не является вариантом. Программы безопасности должны быть контекстно-зависимыми и сосредоточенными на быстро меняющихся частях бизнеса.

Индустриализация киберпреступности

Это не должно удивлять никого. Атакующие – это предприниматели, которые управляют бизнесом. Они просто принимают новую технологию, чтобы улучшить свою отдачу от инвестиций – как и мы. ИИ помогает им индустриализировать свои операции.

• Фишинг как услуга, суперзаряженная: Фишинг все еще является основным способом проникновения. ФБР и IBM сообщают об этом как о основном векторе первоначального доступа в течение многих лет. Теперь с помощью инструментов ИИ, таких как “FraudGPT”, преступники могут создавать идеально подобранные, безграмматические кампании по фишингу в масштабе, который мы никогда не видели.
• Голос – это ложь: Фишинг по голосу (“вishing”) взрывоопасен. CrowdStrike зафиксировал 442% увеличение, поскольку атакующие используют клонированные голоса ИИ, чтобы выдать себя за руководителей и обмануть сотрудников, заставив их перевести средства. Британская энергетическая компания потеряла более 243 000 долларов таким образом за один звонок.
• Восхождение автоматизированного противника: Охотники за угрозами CrowdStrike теперь видят полностью автоматизированные кампании – от резюме, сгенерированных ИИ, с видео-интервью deepfake до атак без вредоносного кода, которые существуют исключительно в облаке.

Защитники сталкиваются с угрозами, которые адаптируются и сохраняются с минимальным человеческим надзором. Атакующие автоматизируют свои действия уже много лет; ИИ просто перевел их рабочий процесс в режим гипердрайва.

Чтобы идти в ногу, пора отказаться от устаревших, основанных на списке подходов к соблюдению требований и кибербезопасности. Поиск серебряной пули с помощью последнего инструмента на рынке не является ответом. Однако это уникальная возможность вернуться к основам.

Перестаньте спрашивать “Соответствуем ли мы?” Начните спрашивать “Являемся ли мы устойчивыми?”

Даже когда ИИ меняет ландшафт, большинство нарушений все еще происходит из-за пренебрежения основами. Конечно, голос генерального директора был клонирован, но реальная неудача, скорее всего, была связана с нарушенной финансовой процедурой утверждения. ИИ был лишь последним шагом в цепи пропущенных основ.

ИИ не нужно находить zero-day эксплойт, когда он может найти пятилетнюю неисправленную уязвимость сервера или разработчика с правами администратора на все. Покупка еще одного инструмента безопасности, основанного на ИИ, не исправит сломанную культуру. ИИ должен укреплять сильные процессы, а не заменять их.

Именно здесь руководство часто ошибается. Я был в совете директоров, где вопрос был: “Соответствуем ли мы?” Лучший вопрос – “Делает ли наша программа безопасности наш бизнес сильнее?”

Соблюдение требований становится упражнением в отметке галочками. Команды продукта спешат вперед, инженеры получают обязанности по безопасности без ресурсов, а руководители предполагают, что чистая проверка означает, что бизнес в безопасности. Это не так. Решение не в новых инструментах, а в более прочной основе сверху.

Прагматичное руководство для эпохи ИИ

Компании из списка Fortune 500 могут бросить деньги на эту проблему. Компании среднего размера должны быть умнее. Итак, что вы фактически делаете?

1. Сначала исправьте основу. Прежде чем покупать еще один инструмент, убедитесь, что у вас есть прочный инвентарь данных, надежный контроль доступа и процесс патчинга, который действительно работает.
2. Поместите ИИ в повестку дня. Проведите имитационные упражнения на основе атак, основанных на ИИ. Сделайте это регулярной частью отчетности совета директоров, чтобы оно было рассмотрено как бизнес-риски, а не как проблема ИТ.
3. Сосредоточьтесь на поведении, а не только на статических сигналах. Отдавайте приоритет инструментам, которые обнаруживают странную активность – например, учетную запись пользователя, которая внезапно получает доступ к базе данных, к которой она никогда не обращалась – над инструментами, которые просто охотятся на известный вредоносный код.

ИИ не является врагом – самодовольство является

ИИ не является двусторонним мечом; это лупа. Он делает хорошие процессы более эффективными и плохие процессы катастрофическими.

Атакующие всегда будут иметь новые инструменты. Реальный вопрос в том, построена ли ваша стратегия безопасности на прочной основе устойчивости или просто гоняется за следующим блестящим объектом. Эра безопасности “установи и забудь” закончилась. Организации, которые строят культуру безопасности и укрепляют основы, выиграют, даже в эпоху автономных угроз.