Rami Habal, ผู้ก่อตั้งและซีอีโอของ Magnitude – ชุดสัมภาษณ์

Rami Habal, ผู้ก่อตั้งและซีอีโอของ Magnitude เป็นผู้บริหารระดับสูงที่มีประสบการณ์ด้านความปลอดภัยไซเบอร์และผลิตภัณฑ์ AI มาหลายปีโดยมีอาชีพครอบคลุมด้านความปลอดภัยองค์กร การเรียนรู้ของเครื่อง เทคโนโลยีผู้บริโภค และสตาร์ทอัพที่ได้รับการสนับสนุนจากนักลงทุน ก่อนก่อตั้ง Magnitude เขาเคยดำรงตำแหน่ง Entrepreneur in Residence ที่ Ballistic Ventures และทำงานที่ Abnormal Security มากกว่าสี่ปี รวมถึงบทบาท Chief Product Officer และ Chief Customer Officer ก่อนหน้านั้น Habal เป็นผู้นำประสบการณ์หลายอุปกรณ์สำหรับ Amazon Alexa, ดูแลผลิตภัณฑ์ที่ Reverb, และเป็นหนึ่งในพนักงานคนแรกของ Proofpoint ซึ่งเขาช่วยสร้างและทำการตลาดผลิตภัณฑ์ด้านความปลอดภัยขณะบริษัทเติบโตจากสตาร์ทอัพจนถึงการเปิด IPO อาชีพของเขายังรวมถึงประสบการณ์ในด้านทุนร่วม เทคโนโลยีมือถือ API และกลยุทธ์ผลิตภัณฑ์ ทำให้เขามีพื้นฐานกว้างที่จุดตัดของความปลอดภัยไซเบอร์ AI และซอฟต์แวร์องค์กร

Magnitude เป็นบริษัทความปลอดภัยไซเบอร์ที่สร้างบน AI โดยมุ่งเปลี่ยนการจัดการความเสี่ยงจากบุคคลที่สาม (TPRM) จากการตรวจสอบความสอดคล้องเป็นระยะเป็นฟังก์ชันความปลอดภัยต่อเนื่อง แพลตฟอร์มหลายเอเจนต์ของบริษัทใช้เอเจนต์ AI เฉพาะทางเพื่อประเมินผู้จำหน่ายและผลิตภัณฑ์ ตรวจสอบช่องโหว่และการเปลี่ยนแปลงความเสี่ยงอย่างต่อเนื่อง ทำแผนที่การพึ่งพาแบบที่สี่ ที่ห้า และลึกกว่า อัตโนมัติการสื่อสารกับผู้จำหน่าย และช่วยจัดการการแก้ไขข้อบกพร่อง แทนที่จะพึ่งพาแบบสอบถามและการประเมินในช่วงเวลาหนึ่งเป็นหลัก Magnitude ถูกออกแบบให้วิเคราะห์ตามนโยบายขององค์กรเองและให้การตัดสินใจที่อิงหลักฐานพร้อมแหล่งที่มาที่สามารถตรวจสอบได้และเหตุผลที่ชัดเจน เป้าหมายโดยรวมคือการให้ทีมความปลอดภัยมองเห็นอย่างต่อเนื่องทั่วระบบซอฟต์แวร์และซัพพลายเออร์ที่ซับซ้อนเพิ่มขึ้น ในขณะที่ให้ผู้วิเคราะห์มนุษย์มุ่งเน้นไปที่การตัดสินใจที่มีมูลค่าสูงกว่า

หลังจากช่วยสร้างผลิตภัณฑ์ที่ Proofpoint, Amazon Alexa, และ Abnormal Security, สิ่งใดทำให้คุณเชื่อว่าตอนนี้เป็นเวลาที่เหมาะสมในการก่อตั้ง Magnitude? มีการตระหนักหรือความเจ็บปวดของลูกค้าเฉพาะจุดใดที่ทำให้คุณเชื่อว่าการจัดการความเสี่ยงจากบุคคลที่สามแบบอัตโนมัติควรเป็นบริษัทแยกของตัวเองหรือไม่?

ฉันรู้ว่าหลังจากช่วงเวลาที่ Abnormal แล้ว ฉันต้องการก่อตั้งบริษัท. สิ่งที่ฉันไม่รู้คือปัญหาใดที่คุ้มค่าที่จะสร้างบริษัทรอบๆ มัน. ตลอดอาชีพของฉัน ฉันมักดึงดูดไปสู่ผลิตภัณฑ์การเรียนรู้ของเครื่องที่ประยุกต์ใช้เพื่อตอบสนองความต้องการที่กว้างและสากล เช่น ความปลอดภัยอีเมลที่ Proofpoint, การประมวลผลเสียงกับ Alexa, และความปลอดภัยเชิงพฤติกรรมที่ Abnormal. ฉันต้องการหาปัญหาอื่นที่มีขอบเขตเช่นเดียวกันเพื่อช่วยองค์กร

จากนั้นเอเจนต์ก็เข้ามา. หลังจากทำงานผ่านคลื่นการเรียนรู้ของเครื่องครั้งก่อน ฉันเห็นว่านี่ไม่ใช่แค่คุณลักษณะของผลิตภัณฑ์อีกอย่างหนึ่ง. มันเป็นการเปลี่ยนแปลงแพลตฟอร์ม, และสิ่งเช่นนั้นไม่ค่อยเกิดบ่อย

ขณะที่ฉันเป็น entrepreneur-in-residence ที่ Ballistic Ventures, ฉันเริ่มพูดคุยกับ CISO เกี่ยวกับว่าการเปลี่ยนแปลงนั้นจะมีผลกระทบสูงสุดที่ไหน. ความเสี่ยงจากบุคคลที่สามถูกพูดถึงบ่อยครั้ง. ในอดีต การวาง TPRM ไว้ในฟังก์ชัน GRC มีเหตุผลเนื่องจากความเสี่ยงของผู้จำหน่ายเคลื่อนที่ช้าเพียงพอให้การตรวจสอบเป็นระยะตามทัน. แต่สมมติฐานนั้นกำลังสลาย. ทุกคนเห็นว่ามันเป็นปัญหาใหญ่, แต่หลายองค์กรยังจัดการด้วยแบบสอบถามประจำปี, สเปรดชีต, การตรวจสอบเป็นระยะ, และงานมือที่กว้างขวาง. ปฏิกิริยาเป็นเช่นเดียวกัน: การจัดการความเสี่ยงจากบุคคลที่สามเป็นสิ่งสำคัญ, แต่เรายังไม่มีวิธีที่ดีในการแก้ไข

นั่นคือการตระหนักที่อยู่เบื้องหลัง Magnitude. ฉันรู้ว่ารูปแบบดั้งเดิมไม่ทำงานอีกต่อไป, และเราต้องการเทคโนโลยีที่สามารถเปลี่ยนโมเดลการดำเนินงานโดยสมบูรณ์, ไม่ใช่แค่ทำให้กระบวนการที่ขับเคลื่อนด้วยสเปรดชีตเก่าเร็วขึ้นเล็กน้อย. ตั้งแต่แรก, มุมมองของฉันคือผู้จำหน่ายทุกรายจะมีฝูงเอเจนต์ที่ประเมินความเสี่ยงอย่างต่อเนื่อง. Magnitude เติบโตจากความเชื่อนั้น

คุณอธิบายการมาถึงของ “ยุค Mythos” ที่ AI สามารถระบุและทำให้ช่องโหว่เป็นอาวุธได้เร็วกว่ามนุษย์จะตอบสนอง. การเปลี่ยนแปลงใดที่คุณสังเกตเห็นในปีที่ผ่านมา ที่ทำให้คุณเชื่อว่าการเปลี่ยนแปลงนี้กำลังเกิดขึ้นแล้ว ไม่ใช่แค่ความกังวลในอนาคต?

การเปลี่ยนแปลงที่ใหญ่ที่สุดที่ฉันเห็นคือความเร็วที่การโจมตีเหล่านี้เกิดขึ้นในปัจจุบัน. หนึ่งปีที่แล้ว การสนทนาส่วนใหญ่ยังคงเกี่ยวกับว่า AI อาจทำให้ผู้โจมตีทำอะไรได้ในอนาคต. ตอนนี้เราสามารถเห็นความสามารถเหล่านั้นกำลังก่อตัวในเวลาจริง. AI สามารถช่วยผู้โจมตีตรวจสอบระบบซอฟต์แวร์ที่ใหญ่ขึ้นอย่างมาก, ค้นหาจุดอ่อนที่อาจเคยไม่เป็นที่รู้จัก, และโจมตีจุดอ่อนเหล่านั้นในระดับที่ทีมมนุษย์จะทำได้ยาก

ในยุค Mythos, ระบบ AI ได้แสดงความสามารถในการเปิดเผยข้อบกพร่องที่ไม่เคยรู้จักมากกว่า 2,000 รายการทั่วระบบซอฟต์แวร์, และเวลาเฉลี่ยตั้งแต่การค้นพบช่องโหว่จนถึงการสร้างอาวุธจะลดลงเหลือใต้หนึ่งชั่วโมงภายในสิ้นปี 2026. แม้ว่าเวลาระหว่างการค้นพบและการทำให้เป็นอาวุธจะยังคงลดลง, สิ่งนี้สร้างช่องว่างระหว่างความเร็วที่การเปิดเผยอาจเกิดขึ้นและความเร็วที่รอบการตรวจสอบแบบดั้งเดิมสามารถตอบสนองได้

เรายังเห็นรูปแบบเหตุการณ์เคลื่อนที่ในทิศทางเดียวกัน. จากการวิเคราะห์ของเรา, ความถี่ของการโจมตีซัพพลายเชนเพิ่มขึ้นจากประมาณ 13 เหตุการณ์ต่อเดือนในปี 2024 เป็น 41 เหตุการณ์ต่อเดือนในปี 2026. เราสังเกตว่ากิจกรรมนี้เพิ่มขึ้นพร้อมกับการพัฒนาที่สำคัญของโมเดลแนวหน้า. ฉันไม่อ้างว่าแต่ละการปล่อยโมเดลจะทำให้เกิดการโจมตีเพิ่มขึ้นโดยตรง, แต่แนวโน้มนี้ยากที่จะละเลย. เครื่องมือกำลังมีความสามารถมากขึ้นเมื่อความเร็วของการโจมตีเร่งขึ้น

สิ่งที่ทำให้ฉันยืนยันการเปลี่ยนแปลงนี้คือการสนทนากับผู้นำด้านความปลอดภัย พวกเขาไม่ได้พูดถึงความเสี่ยงจากบุคคลที่สามอีกแล้วว่าเป็นเรื่องที่สามารถจัดการได้ผ่านการตรวจทานประจำปีและทบทวนเมื่อต่ออายุ พวกเขารู้สึกเสี่ยงในช่วงเดือนระหว่างการตรวจทานเหล่านั้น เพราะผู้ขาย ซอฟต์แวร์ที่พึ่งพา และซัพพลายเออร์ระดับล่างของพวกเขามีการเปลี่ยนแปลงอย่างต่อเนื่อง

นั่นคือสิ่งที่ยุค Mythos หมายถึงสำหรับฉัน หน้าต่างเวลาที่จะเข้าใจและตอบสนองต่อความเสี่ยงกำลังแคบลง ในขณะที่ผลกระทบที่อาจเกิดจากซัพพลายเออร์ที่ถูกทำลายหนึ่งรายกำลังขยายออกไป กระบวนการปฏิบัติตามแบบเป็นระยะ ๆ เพียงอย่างเดียวไม่ได้ถูกออกแบบมาสำหรับสภาพแวดล้อมนั้น

หลายองค์กรกำลังเร่งนำเอาเอเจนต์ AI ไปใช้ทั่วทั้งองค์กร เราควรคิดใหม่อย่างไรเกี่ยวกับการกำกับดูแลเมื่อเอเจนต์เหล่านั้นเริ่มโต้ตอบกับผู้ขายภายนอก API และการพึ่งพาระดับล่างที่เพิ่มขึ้น?

สิ่งแรกที่ผู้นำด้านความปลอดภัยต้องรับรู้คือ แม้ว่าเอเจนต์ AI ที่สร้างภายในบริษัทอาจไม่เป็นภายในทั้งหมดก็ได้ มันอาจพึ่งพาแพลตฟอร์มภายนอก ทักษะของบุคคลที่สามผ่าน MCP บริการเช่น Google Drive หรือเทคโนโลยีอื่นที่องค์กรไม่ได้ควบคุมโดยตรง และผู้ให้บริการแต่ละรายอาจมีซัพพลายเออร์ของตนเอง

การอนุมัติเอเจนต์เพียงอย่างเดียวไม่เพียงพอแล้ว ผู้นำต้องเข้าใจว่าเอเจนต์สามารถเข้าถึงข้อมูลอะไร ทำการอะไร บริการภายนอกใดที่มันพึ่งพา และเมื่อใดที่ต้องการการอนุมัติจากมนุษย์ พวกเขายังต้องเข้าใจว่าการพึ่งพาเหล่านั้นอาจเปลี่ยนแปลงตามเวลาเมื่อเอเจนต์ได้รับความสามารถใหม่ เชื่อมต่อกับระบบใหม่ หรือเริ่มพึ่งพาผู้ให้บริการระดับล่างเพิ่มเติม การควบคุมเหล่านี้ไม่สามารถตั้งค่าแล้วลืมได้ เมื่อเอเจนต์ได้รับความสามารถหรือการเชื่อมต่อใหม่ การกำกับดูแลต้องปรับตามไปด้วย

เป้าหมายไม่ควรเป็นการชะลอการนำ AI ไปใช้ แต่ควรให้บริษัทมีความมองเห็นเพียงพอเพื่อใช้เอเจนต์ได้อย่างมั่นใจ การกำกับดูแลต้องกลายเป็นการปฏิบัติด้านความปลอดภัยอย่างต่อเนื่อง ไม่ใช่การอนุมัติครั้งเดียวเมื่อมีเครื่องมือใหม่เข้ามา

การจัดการความเสี่ยงจากบุคคลที่สามโดยทั่วไปพึ่งพาแบบสอบถามและการตรวจทานเป็นระยะ ทำไมคุณเชื่อว่าโมเดลนั้นล่มสลายในสภาพแวดล้อมที่ขับเคลื่อนด้วย AI? 

ปัญหาของโมเดล TPRM แบบดั้งเดิมคือมันให้ภาพถ่ายของสิ่งที่ผู้ขายบอกว่าเป็นความจริงในช่วงเวลาหนึ่ง บริษัทอาจทำแบบสอบถามเมื่อได้รับการอนุมัติครั้งแรกแล้วไม่ตรวจทานอีกจนถึงการต่ออายุ ซึ่งอาจหลายปี ในระหว่างนั้น เทคโนโลยี แนวปฏิบัติด้านความปลอดภัย โมเดล AI การใช้ข้อมูล และซัพพลายเออร์ทั้งหมดอาจเปลี่ยนแปลง เราแทบจะคาดเดาไม่ได้ว่าจะมีอะไรเปลี่ยนแปลงในไม่กี่สัปดาห์ข้างหน้า ดังนั้นการพึ่งพาการประเมินหลายปีเก่าไม่สมเหตุผลอีกต่อไป

นอกจากนี้ยังมีคำถามเกี่ยวกับความน่าเชื่อถือของข้อมูล คำตอบที่รายงานโดยคนที่พยายามเร่งกระบวนการทำธุรกรรมนั้นไม่เท่ากับข้อเท็จจริงที่ได้รับการตรวจสอบจากการตรวจสอบอิสระ การยื่นเอกสารบริษัทที่ลงนาม หรือแหล่งข้อมูลที่ตรวจสอบได้อื่น ๆ ผู้นำด้านความปลอดภัยต้องรู้ไม่เพียงว่าคำตอบคืออะไร แต่ต้องรู้ว่ามาจากไหนและยังเป็นข้อมูลปัจจุบันหรือไม่

สุดท้ายแบบสอบถามมักหยุดที่ผู้ขายโดยตรง พวกมันมักไม่แสดงถึงฝ่ายที่ N‑th แม้ว่าความสัมพันธ์ของผู้ขายที่ซ่อนอยู่ระดับที่ 4 และ 5 จะสร้างความเสี่ยงจริง ผู้โจมตีตอนนี้รู้ว่าจุดอ่อนที่สุดขององค์กรไม่ใช่องค์กรเอง แต่เป็นหนึ่งในผู้ขายระดับล่างเหล่านี้ และการโจมตีผู้ขายเหล่านั้นสามารถให้เข้าถึงองค์กรได้ในที่สุด มันง่ายและถูกกว่ามาก

เพราะฉะนั้นฉันไม่คิดว่าคำตอบคือเพียงใช้ AI ทำแบบสอบถามให้เร็วขึ้น ในโมเดลนั้นจะยังคงมีช่องว่างอยู่เสมอ โมเดลเองต้องเปลี่ยนจากการเป็นภาพถ่ายที่รายงานด้วยตนเองเป็นระยะ ๆ ไปสู่การเข้าใจความเสี่ยงอย่างต่อเนื่องแบบเรียลไทม์โดยอิงหลักฐานลึกเท่าที่ห่วงโซ่อุปทานของบริษัทจะไปถึง

Magnitude แนะนำแนวคิดของแรงงาน AI อิสระสำหรับทีมความปลอดภัย คุณมองเห็นสมดุลระหว่างการตัดสินใจที่ขับเคลื่อนด้วย AI กับการควบคุมโดยมนุษย์ โดยเฉพาะสำหรับการตัดสินใจด้านความปลอดภัยที่มีผลกระทบสูง? 

อิสระไม่ได้หมายความว่าไม่มีความรับผิดชอบ วิธีที่ฉันคิดคือ AI ควรรับมือกับงานที่สำคัญแต่ทำซ้ำได้ซึ่งกินเวลาของทีมความปลอดภัยเป็นส่วนใหญ่ ในขณะที่คนยังคงมีส่วนร่วมเมื่อการตัดสินใจต้องอาศัยการพิจารณา บริบท หรือมีผลกระทบทางธุรกิจที่สำคัญ ความจริงคือไม่มีทีมความปลอดภัยใดมีทรัพยากรเพียงพอในวันนี้ที่จะรับภารกิจปัจจุบัน AI สามารถช่วยเติมเต็มช่องว่างนั้นได้

คุณภาพของ AI มีความสำคัญอย่างยิ่ง เมื่อทำได้ดี AI จะเป็นตัวขยายกำลัง มันให้ทีมมีความสามารถเพิ่มขึ้นและช่วยให้คนมุ่งเน้นงานที่มีคุณค่าสูงกว่า เมื่อทำได้แย่ จะมีผลตรงกันข้าม เพราะต้องมีคนตรวจสอบผลลัพธ์ทุกอย่าง สำหรับการตัดสินใจด้านความปลอดภัยที่มีผลกระทบสูง ระบบควรมีคุณภาพสูงและสามารถแสดงหลักฐานที่ใช้และวิธีที่ได้ข้อเสนอแนะนั้น สร้างบันทึกที่ตรวจสอบได้

ระดับการควบคุมที่เหมาะสมก็จะแตกต่างตามองค์กร บริษัทขนาดใหญ่ที่มีทีมความปลอดภัยที่ตั้งมั่นอาจใช้ AI คล้ายระบบอัตโนมัติ โดยให้คนดูแลงานและเข้ามาแก้ไขเมื่อมีข้อยกเว้น องค์กรขนาดเล็กอาจเลือกทำอัตโนมัติมากขึ้นเนื่องจากขาดบุคลากรหรืองบประมาณในการสร้างทีมใหญ่ ไม่ว่ากรณีใดก็ตาม ควรมีจุดชัดเจนที่ปัญหาจะถูกส่งต่อให้คนรับผิดชอบ

ในที่สุด องค์กรควรจะสามารถตัดสินใจได้ว่าต้องการการมีส่วนร่วมของมนุษย์มากแค่ไหนโดยอิงจากความสำคัญของการตัดสินใจ เป้าหมายไม่ใช่การตัดคนออกจากความปลอดภัย แต่เพื่อช่วยให้พวกเขาใช้เวลาได้อย่างมีประสิทธิภาพมากขึ้น ตัดสินใจทางธุรกิจได้เร็วขึ้น และสงวนความสนใจของมนุษย์ไว้สำหรับการตัดสินใจที่ให้คุณค่ามากที่สุด

ทีมของคุณรวมความเชี่ยวชาญจาก AI, ความปลอดภัยไซเบอร์, และแพลตฟอร์มระดับผู้บริโภคเข้าด้วยกัน การผสมผสานนี้ส่งผลต่อวิธีที่คุณออกแบบ Magnitude อย่างไรเมื่อเทียบกับผลิตภัณฑ์ความปลอดภัยไซเบอร์แบบดั้งเดิม? 

พื้นฐานของแต่ละคนสอนเราสิ่งที่แตกต่างกันเกี่ยวกับสิ่งที่ผลิตภัณฑ์ AI ด้านความปลอดภัยต้องทำได้ดี ในความปลอดภัยไซเบอร์ คำตอบจะมีประโยชน์ก็ต่อเมื่อคุณสามารถเชื่อถือได้ ติดตามแหล่งหลักฐานได้ และดำเนินการตามนั้น จากงานของเราใน AI และการเรียนรู้ของเครื่อง เราเรียนรู้ว่โอกาสที่แท้จริงไม่ได้เพียงสรุปข้อมูล แต่เป็นการเปลี่ยนงานของผู้เชี่ยวชาญให้เป็นระบบที่ทำงานนั้นได้อย่างสม่ำเสมอ การสร้างแพลตฟอร์มเช่น Alexa และ Pandora ทำให้เราใส่ใจเรื่องความน่าเชื่อถือและการใช้งานในระดับมหาศาล

บทเรียนเหล่านั้นทำให้เราออกจากโมเดลความปลอดภัยไซเบอร์แบบดั้งเดิมที่สร้างแดชบอร์ดหรือการแจ้งเตือนเพิ่มเติมสำหรับทีมที่กำลังทำงานหนักอยู่ เราออกแบบ Magnitude ให้ทำงานแทน: รวบรวมและตรวจสอบข้อมูล ประเมินผู้จำหน่าย ติดตามการเปลี่ยนแปลง เชื่อมโยงข้อมูลใหม่กับความเสี่ยงทางธุรกิจ และช่วยเคลื่อนย้ายปัญหาไปสู่การแก้ไข

เบื้องหลังทั้งหมดนั้นเกี่ยวข้องกับเอเจนต์ AI เชี่ยวชาญหลายตัวทำงานร่วมกัน แต่ประสบการณ์ของลูกค้าควรจะง่ายต่อการใช้งาน ทีมความปลอดภัยไม่ควรต้องกลายเป็นผู้เชี่ยวชาญ AI เพื่อเข้าใจว่าระบบพบอะไร ทำไมถึงสำคัญ หรือควรดำเนินการอย่างไร

ผลลัพธ์คือผลิตภัณฑ์ที่ออกแบบให้ทำงานต่อเนื่องกับผู้จำหน่ายหลายพันรายในขณะเดียวกันยังคงตอบสนองมาตรฐานที่จำเป็นสำหรับการตัดสินใจด้านความปลอดภัยที่มีผลกระทบสูง ไม่ใช่ AI ที่เพิ่มเข้าไปในกระบวนการเดิม แต่สร้างตั้งแต่แรกโดยอิงแนวคิดว่า AI สามารถทำส่วนใหญ่ของกระบวนการได้เอง พร้อมมอบหลักฐาน ความโปร่งใส และการควบคุมที่ผู้ใช้ต้องการ

หนึ่งในความกังวลใหญ่ที่สุดเกี่ยวกับ AI ในความปลอดภัยไซเบอร์คือการให้พลังแก่ทั้งผู้ป้องกันและผู้โจมตี คุณเชื่อว่าข้อได้เปรียบในปัจจุบันอยู่กับผู้ป้องกันหรือผู้ก่อการร้าย และอะไรจะเป็นตัวกำหนดว่าใครจะนำหน้าในอีกไม่กี่ปีข้างหน้า?

ผมคิดว่าข้อได้เปรียบในวันนี้โน้มไปทางผู้ก่อการร้าย โดยเฉพาะในการโจมตีห่วงโซ่อุปทาน ผมไม่ได้บอกว่าผู้ป้องกันล้าหลังอย่างสิ้นหวัง การกระตุ้นให้ผู้ป้องกันคือหยุดมองว่าเรื่องนี้เป็นปัญหาในอนาคตและเร่งดำเนินการเร็วขึ้น ทั้งสองฝ่ายเข้าถึงเครื่องมือ AI เดียวกันหลายอย่าง แต่เศรษฐศาสตร์และระยะเวลาการเข้าสู่ตลาดในขณะนี้เป็นประโยชน์ต่อผู้โจมตี

AI ทำให้การทดสอบเส้นทางการโจมตีมากขึ้น การเปิดตัวความพยายามหลายระดับ N‑level ง่ายและถูกลง และทำซ้ำกระบวนการนั้นในระดับใหญ่ เมื่อผู้โจมตีทำลายผู้จำหน่ายหรือส่วนประกอบซอฟต์แวร์ที่ใช้กันอย่างแพร่หลาย การโจมตีที่สำเร็จหนึ่งครั้งอาจกระจายไปยังหลายร้อยหรือแม้แต่หลายพันบริษัท

ผู้ป้องกันมีงานที่ยากกว่าเพราะต้องเข้าใจและปกป้องเครือข่ายขนาดใหญ่ของผู้จำหน่าย ส่วนประกอบซอฟต์แวร์ และผู้จำหน่ายระดับล่าง อีกทั้งยังต้องใช้เวลาให้บริษัทตอบสนอง ซื้อซอฟต์แวร์ที่ช่วยเหลือ และทำให้เครื่องมือเหล่านั้นทำงานได้จริง ซึ่งสร้างช่วงเวลาที่ผู้โจมตีสามารถใช้ประโยชน์ได้

สิ่งที่จะกำหนดว่าใครจะนำหน้าได้คือว่าผู้ป้องกันสามารถเปลี่ยนสมการนี้ได้หรือไม่ พวกเขาต้องก้าวข้ามการตรวจทานเป็นครั้งคราวและการติดตามด้วยมือ ไปสู่การเฝ้าติดตามอย่างต่อเนื่องและการดำเนินการที่เร็วขึ้น ระบบการกำกับและการป้องกันอัตโนมัติที่ตรวจสอบการเปลี่ยนแปลงอย่างต่อเนื่อง เชื่อมโยงกับความเสี่ยงทางธุรกิจ และตอบสนองได้อย่างรวดเร็ว จะทำให้การโจมตียากต่อการขยายและมีค่าใช้จ่ายสูงขึ้นในการทำซ้ำ

ความปลอดภัยไซเบอร์มักเป็นเกมจับแมวจับหนูเสมอ AI ไม่ได้เปลี่ยนแปลงสิ่งนั้น แต่เพิ่มความเร็วและความเสี่ยง ผู้ป้องกันต้องการระบบที่เรียนรู้ ปรับตัว และทำงานด้วยจังหวะเดียวกับที่ผู้โจมตีเริ่มดำเนินการ

ห่วงโซ่อุปทาน AI กำลังซับซ้อนมากขึ้นเรื่อย ๆ โดยองค์กรพึ่งพาโมเดลพื้นฐานหลายรุ่น ผู้ให้บริการ SaaS และเอเจนต์อัตโนมัติจำนวนมาก ความเสี่ยงใหม่ ๆ ที่คุณคิดว่าบริษัทต่าง ๆ ยังประเมินต่ำคืออะไร?

ความเสี่ยงที่ประเมินต่ำที่สุดคือเทคโนโลยีที่อยู่เบื้องหลังผลิตภัณฑ์ที่บริษัทเชื่อว่าได้อนุมัติ แม้แต่เอเจนต์ที่สร้างภายในอาจพึ่งพาแพลตฟอร์มภายนอก ปลั๊กอิน ผู้รับเหมา หรือส่วนประกอบซอฟต์แวร์ ความสัมพันธ์ที่ซ่อนเหล่านี้สร้างความเสี่ยงระดับ Nth‑party ผู้จำหน่ายที่อยู่เบื้องหลังผู้จำหน่ายโดยตรง

ส่วนใหญ่ขององค์กรยังมองเห็นชั้นลึกนี้ได้เพียงเล็กน้อย พวกเขาอาจรู้ว่าตนได้ทำสัญญากับใคร แต่ไม่รู้ทุกบริการภายนอก ส่วนประกอบซอฟต์แวร์ หรือผู้รับเหมาย่อยที่สนับสนุนผลิตภัณฑ์ในที่สุด

ประเด็นอื่นคือระดับการเชื่อมต่อของระบบเหล่านี้ ความอ่อนแอในปลั๊กอินหรือบริการสนับสนุนหนึ่งอาจไม่ถูกจำกัดไว้เฉพาะผู้ให้บริการนั้นเท่านั้น มันอาจสร้างเส้นทางเข้าสู่แพลตฟอร์มขนาดใหญ่และส่งผลต่อหลายองค์กรที่พึ่งพา นั่นหมายความว่าผู้จำหน่ายขนาดเล็กอาจกลายเป็นแหล่งความเสี่ยงที่ใหญ่กว่าอย่างมาก

ดังนั้นผู้นำด้านความเสี่ยงควรตั้งคำถามไม่ใช่แค่ “โมเดล AI ที่เราใช้คืออะไร?” แต่คือ “ระบบนี้พึ่งพาอะไร, ผู้ให้บริการเหล่านั้นพึ่งพาอะไร, และปัญหาใด ๆ ในห่วงโซ่นั้นจะส่งผลถึงเราอย่างไร?” จนกว่าบริษัทจะตอบคำถามเหล่านี้ได้ พวกเขาจะยังคงรับมรดกความเสี่ยงที่มองไม่เห็นต่อไป

มองไปไกลกว่ารุ่นภาษาใหญ่ในปัจจุบัน คุณคาดว่าการพัฒนาเทคโนโลยีใดในห้าปีข้างหน้าจะเปลี่ยนแปลงการรักษาความปลอดภัยไซเบอร์และการจัดการความเสี่ยงขององค์กรอย่างมีนัยสำคัญที่สุด? 

ฉันไม่คิดว่าการเปลี่ยนแปลงสำคัญจะเป็นเพียงโมเดลใหม่หนึ่งเดียว แต่จะเป็นการเปลี่ยนจาก AI ที่ตอบคำถามไปสู่ระบบ AI ที่สามารถสังเกตเหตุการณ์ได้อย่างต่อเนื่อง เชื่อมโยงข้อมูลจากแหล่งต่าง ๆ และดำเนินการได้

รุ่นต่อไปของโมเดลจะไม่เพียงแค่ดีขึ้นเล็กน้อย แต่จะมีความสามารถมากขึ้นอย่างมหาศาล อย่างไรก็ตามการเปลี่ยนแปลงที่ใหญ่กว่า จะมาจากเอเจนต์เฉพาะทางที่ทำงานร่วมกันทั่วการดำเนินงานด้านความปลอดภัย ปัจจุบัน การตรวจสอบผู้ขาย, ข้อมูลภัยคุกคาม, ความเสี่ยงทางธุรกิจและการแก้ไขมักถูกจัดการในเครื่องมือและทีมที่แยกกัน อย่างต่อเนื่อง ฟังก์ชันเหล่านี้จะเริ่มรวมกันตามเวลา

ฉันคาดว่าระบบความปลอดภัยจะเชื่อมต่อกันอย่างมากขึ้น นำข้อมูลภัยคุกคาม, บริบททางธุรกิจ, นโยบายของบริษัท และการตอบสนองมารวมกันแทนการจัดการแยกในเครื่องมือต่าง ๆ ระบบอาจรับรู้ว่าผู้จัดหามีการเผชิญกับภัยคุกคามใหม่, เข้าใจว่าฝ่ายใดของธุรกิจอาจได้รับผลกระทบ, และช่วยเริ่มการตอบสนองโดยไม่ต้องรอการส่งต่อด้วยมือหลายขั้นตอน

สิ่งนั้นจะเปลี่ยนการจัดการความเสี่ยงจากชุดของการฝึกซ้อมเป็นระยะเวลาเป็นความสามารถการดำเนินงานต่อเนื่อง โปรแกรมความเสี่ยงที่แข็งแกร่งที่สุดจะถูกสร้างขึ้นบนบริบทขององค์กร, หลักฐานที่เชื่อถือได้, และความสามารถในการแปลงข้อมูลเป็นการกระทำที่เชื่อถือได้

หากคุณสามารถให้คำแนะนำหนึ่งข้อแก่ CISOs และผู้นำองค์กรที่กำลังเตรียมตัวสำหรับยุคใหม่ของภัยคุกคามที่ขับเคลื่อนด้วย AI, คำแนะนำนั้นจะเป็นอะไรและควรให้ความสำคัญกับการกระทำใดในวันนี้?

คำแนะนำของฉันคือหยุดจัดการความเสี่ยงของห่วงโซ่อุปทานเป็นการฝึกซ้อมปีละครั้ง ความเสี่ยงเปลี่ยนแปลงอย่างต่อเนื่องและแนวทางของคุณต้องตามให้ทัน สภาพแวดล้อมมีชีวิตและหายใจ มันเชื่อมต่อกันมากเกินไปและเปลี่ยนแปลงเร็วเกินกว่าชุดของการตรวจสอบและเครื่องมือแยกต่างหากจะตามได้

วิธีที่คุณปกป้องพื้นผิวการโจมตีที่กำลังเกิดขึ้นนี้คือด้วยแผนควบคุม AI-native เดียวสำหรับการกำกับดูแลและการป้องกันอัตโนมัติอย่างต่อเนื่องสำหรับความเสี่ยงภายนอกทั้งหมดของคุณ

จุดเริ่มต้นคือส่วนของธุรกิจที่สำคัญที่สุด ระบุผู้จัดหาและบริการภายนอกที่สนับสนุนการดำเนินงานสำคัญเหล่านั้น, เข้าใจว่าการพึ่งพาที่ซ่อนอยู่คือที่ใด, และกำหนดความเป็นเจ้าของที่ชัดเจนสำหรับสิ่งที่จะเกิดขึ้นเมื่อพบความเสี่ยง จากนั้นทำให้การตรวจสอบต่อเนื่องและการตอบสนองประจำเป็นอัตโนมัติมากที่สุดเท่าที่จะทำได้ พร้อมให้คนเข้ามามีส่วนร่วมในการตัดสินใจที่มีผลกระทบต่อธุรกิจระดับใหญ่

เป้าหมายไม่ใช่เพียงการรวบรวมข้อมูลเพิ่มขึ้นเท่านั้น แต่เป็นการเชื่อมต่อสิ่งที่คุณรู้อย่างต่อเนื่อง, ตัดสินใจว่าอะไรสำคัญ, และดำเนินการก่อนที่ปัญหาผู้จัดหาจะกลายเป็นปัญหาระดับบริษัท

ขอขอบคุณสำหรับการสัมภาษณ์ที่ยอดเยี่ยม, ผู้อ่านที่ต้องการเรียนรู้เพิ่มเติมควรเยี่ยมชม Magnitude.