Mối đe dọa từ AI chỉ là sự xao lãng. Vấn đề thực sự của bạn nằm gần nhà hơn

Thành thật mà nói: Các cuộc tấn công mạng sử dụng AI là một viễn cảnh đáng sợ. Nhưng chúng không phải là mối đe dọa lớn nhất đối với doanh nghiệp của bạn.

Mối đe dọa lớn nhất là tiêu khiển họ tạo ra.

Trong hơn 15 năm qua, tôi đã chứng kiến ​​cùng một câu chuyện diễn ra. Ban lãnh đạo lo sợ trước "siêu mối đe dọa AI" mới nhất, trong khi đội ngũ bảo mật vẫn loay hoay tìm lời giải cho những câu hỏi cơ bản như "Dữ liệu khách hàng nhạy cảm nhất của chúng ta ở đâu?" hay "Ai sở hữu bản vá cho hệ thống quan trọng đó?". Chúng ta chạy theo những công cụ mới toanh trong khi các kỹ sư bị cuốn vào các cuộc diễn tập tuân thủ vào phút chót, và các lỗ hổng bảo mật nghiêm trọng bị hạ thấp mức độ ưu tiên.

Đây là cổ điển “khóa lạ mắt trên cửa lưới” Vấn đề là. Các tổ chức đang gấp rút triển khai các biện pháp phòng thủ dựa trên AI, nhưng kẻ tấn công lại đang sử dụng AI với ít quy tắc hơn và linh hoạt hơn để vượt qua những lỗ hổng cơ bản về quy trình, quyền sở hữu và văn hóa. Đặc biệt đối với các công ty tầm trung, việc bỏ qua những nguyên tắc cơ bản chính là lời mời gọi trở thành câu chuyện cảnh báo tiếp theo.

Tại sao phòng thủ tĩnh thất bại trong thế giới động

Khi tôi mới bắt đầu sự nghiệp, bảo mật chỉ là một danh sách kiểm tra: phần mềm diệt virus, bản vá lỗi và tường lửa mạnh mẽ. Thế giới đó đã qua lâu rồi. Ngày nay, phần mềm độc hại đa hình tự viết lại để tránh né chữ ký, và botnet phát động các cuộc tấn công nhanh hơn bất kỳ con người nào có thể phản ứng.

Lưu lượng được mã hóa đã trở thành nơi ẩn náu ưa thích của kẻ tấn công. Báo cáo ThreatLabz năm 2024 của Zscaler phát hiện ra rằng gần 90% phần mềm độc hại hiện được phân phối qua các kênh được mã hóa. Điều đó có nghĩa là chín trong số mười mối đe dọa là vô hình đối với các công cụ cũ không thể kiểm tra lưu lượng đó.

Tuy nhiên, nút thắt thực sự không chỉ là công nghệ; đó là xích mích về mặt tổ chứcTôi đã chứng kiến ​​các đội ngũ an ninh mạng xuất sắc dành hàng tuần chỉ để cố gắng đạt được sự đồng thuận nhằm thu hẹp khoảng cách đã biết. Trong thời gian lên lịch họp, kẻ tấn công tự động có thể đột nhập và thoát ra. Việc đứng yên không còn là lựa chọn khả thi nữa. Các chương trình an ninh mạng phải nhận thức được bối cảnh và tập trung vào những bộ phận hoạt động nhanh chóng của doanh nghiệp.

Sự công nghiệp hóa của tội phạm mạng

Điều này không có gì đáng ngạc nhiên. Kẻ tấn công là những doanh nhân đang điều hành một doanh nghiệp. Họ chỉ đơn giản là đang áp dụng công nghệ mới để cải thiện ROI (tỷ suất hoàn vốn đầu tư) — giống như chúng ta. AI đang giúp họ công nghiệp hóa hoạt động kinh doanh.

• Dịch vụ lừa đảo trực tuyến, được tăng cường: Lừa đảo trực tuyến vẫn là cách thức xâm nhập số 1. FBI và IBM báo cáo đây là phương thức truy cập ban đầu hàng đầu trong nhiều năm qua. Giờ đây, với các công cụ AI tạo sinh như "FraudGPT", tội phạm có thể tạo ra các chiến dịch lừa đảo được thiết kế hoàn hảo, không lỗi ngữ pháp ở quy mô chưa từng thấy.
• Giọng nói là lời nói dối: Lừa đảo qua giọng nói (“vishing”) đang bùng nổ. CrowdStrike đã chứng kiến ​​một 442% tăng khi những kẻ tấn công sử dụng giọng nói được nhân bản bằng AI để mạo danh các giám đốc điều hành và lừa nhân viên chuyển tiền. Một công ty năng lượng của Anh đã mất hơn $243,000 theo cách này chỉ với một cuộc gọi.
• Sự trỗi dậy của kẻ thù tự động: Những người săn tìm mối đe dọa của CrowdStrike hiện có thể thấy các chiến dịch tự động hóa toàn diện—từ sơ yếu lý lịch do AI tạo ra với các cuộc phỏng vấn video deepfake đến các cuộc xâm nhập không có phần mềm độc hại hoàn toàn trên đám mây.

Bên phòng thủ đang đối mặt với các mối đe dọa thích nghi và tồn tại mà không cần sự giám sát tối thiểu của con người. Kẻ tấn công đã tự động hóa trong nhiều năm; AI chỉ đưa quy trình làm việc của chúng lên mức siêu tốc.

Để theo kịp, đã đến lúc chúng ta nên từ bỏ những phương pháp tuân thủ và an ninh mạng lỗi thời, dựa trên danh sách kiểm tra. Việc tìm kiếm một giải pháp thần kỳ với công cụ mới nhất trên thị trường cũng không phải là giải pháp tối ưu. Tuy nhiên, đây là một cơ hội duy nhất để quay lại với những điều cơ bản.

Hãy ngừng hỏi "Chúng ta có tuân thủ không?" mà hãy bắt đầu hỏi "Chúng ta có kiên cường không?"

Ngay cả khi AI đang định hình lại toàn cảnh, hầu hết các vi phạm vẫn xảy ra do những nguyên tắc cơ bản bị bỏ qua. Đúng là giọng điệu của vị CEO kia đã bị sao chép, nhưng thất bại thực sự có lẽ là do quy trình phê duyệt tài chính bị lỗi. AI chỉ là bước cuối cùng trong một chuỗi những nguyên tắc cơ bản bị bỏ qua.

AI không cần phải tìm một khai thác không ngày khi nó có thể tìm ra một máy chủ chưa được vá lỗi đã năm năm tuổi hoặc một nhà phát triển có quyền quản trị mọi thứ. Việc mua thêm một công cụ bảo mật hỗ trợ AI sẽ không thể sửa chữa một nền văn hóa đã đổ vỡ. AI nên củng cố các quy trình mạnh mẽ chứ không phải thay thế chúng.

Đây là điểm mà lãnh đạo thường mắc sai lầm. Tôi đã từng tham gia các phòng họp mà câu hỏi đặt ra là: "Chúng ta có tuân thủ không?". Câu hỏi hay hơn là: “Chương trình bảo mật của chúng tôi có làm cho doanh nghiệp của chúng tôi mạnh hơn không?”

Việc tuân thủ trở thành một bài tập kiểm tra. Các nhóm sản phẩm chạy nước rút, các kỹ sư được giao nhiệm vụ bảo mật mà không có nguồn lực, và các nhà lãnh đạo cho rằng một cuộc kiểm toán minh bạch đồng nghĩa với việc doanh nghiệp an toàn. Nhưng thực tế không phải vậy. Giải pháp không phải là thêm công cụ; mà là một hệ thống khung vững chắc hơn từ trên xuống. Bảo mật phải gắn liền trực tiếp với tăng trưởng kinh doanh và tính toàn vẹn của sản phẩm.

Một cẩm nang thực dụng cho kỷ nguyên AI

Các công ty trong danh sách Fortune 500 có thể chi tiền để giải quyết vấn đề này. Các công ty tầm trung phải thông minh hơn. Vậy, bạn thực sự cần gì? do?

1. Đầu tiên hãy sửa chữa nền móng. Trước khi mua một công cụ khác, hãy đảm bảo bạn có một kho dữ liệu vững chắc, các biện pháp kiểm soát truy cập an toàn và một quy trình vá lỗi thực sự hiệu quả.
2. Đưa AI vào chương trình nghị sự. Thực hiện các bài tập thực hành dựa trên các cuộc tấn công do AI điều khiển. Đưa việc này vào báo cáo thường xuyên của hội đồng quản trị để được coi là rủi ro kinh doanh chứ không phải là vấn đề CNTT.
3. Tập trung vào hành vi, không chỉ là tín hiệu tĩnh. Ưu tiên các công cụ phát hiện hoạt động lạ—như tài khoản người dùng đột nhiên truy cập vào cơ sở dữ liệu mà nó chưa từng chạm đến—hơn là các công cụ chỉ săn lùng phần mềm độc hại đã biết.

AI không phải là kẻ thù—Sự tự mãn mới là kẻ thù

AI không phải là con dao hai lưỡi; nó là một chiếc kính lúp. Nó giúp các quy trình tốt trở nên hiệu quả hơn và các quy trình xấu trở nên thảm họa.

Kẻ tấn công sẽ luôn có những công cụ mới. Câu hỏi thực sự là liệu chiến lược bảo mật của bạn có được xây dựng trên nền tảng vững chắc về khả năng phục hồi hay chỉ là chạy theo những thứ hào nhoáng bên ngoài. Thời đại của bảo mật "cài đặt xong rồi quên" đã qua. Các tổ chức xây dựng văn hóa bảo mật và nắm vững những nguyên tắc cơ bản sẽ chiến thắng, ngay cả trong thời đại các mối đe dọa tự động.