Αν και η ασφάλεια χρειάζεται να επαναξιολογηθεί στο πλαίσιο του AI, δεν επιβάλλεται να αλλάξουμε τα πάντα μονομιάς. Εκείνοι οι οργανισμοί που θα ακολουθήσουν μία μετρημένη προσέγγιση θα είναι και εκείνοι που θα υπερέχουν, καθώς θα έχουν αποφύγει να παρασυρθούν από την υπερβολική προβολή (την «μόδα») του AI και παράλληλα θα έχουν αναγνωρίσει τους στρατηγικούς τρόπους που το AI μπορεί να «αλλάξει τα δεδομένα» -καθώς και τους τρόπους που οι τροχιές της ασφάλειας μπορούν να αλλάξουν προς το καλύτερο.
Το AI αποδυναμώνει τις άμυνες
Οι επιθέσεις που ενεργοποιούνται με τη χρήση του AI παρουσιάζουν έξαρση αποδυναμώνοντας κατά τη διαδικασία τις υφιστάμενες άμυνες. Και απέναντι σε αυτή τη διπλή επιθετική προσέγγιση, τα τρέχοντα εργαλεία ασφάλειας δυσκολεύονται να ανταποκριθούν.
Παρατηρούμε την αξιοποίηση του AI για τη δημιουργία εξαιρετικά πειστικών τεχνητών βίντεο (deepfakes) που οδηγούν σε απάτες κοινωνικής μηχανικής. Εργαλεία μηχανικής μάθησης (ML) να επιστρατεύονται για την τροφοδότηση ψηφιακών βοηθών (chatbots) που κλιμακώνουν την εξαπάτηση περαιτέρω. Το AI να παράγει πλέον κώδικα που μπορεί να μεταβάλλεται δυναμικά (πολυμορφικό κακόβουλο λογισμικό που έχει δημιουργηθεί από τεχνητή νοημοσύνη) και τις παραβιάσεις κωδικών πρόσβασης και τις τεχνικές παράκαμψης της αυθεντικοποίησης πολλαπλών παραγόντων (MFA) μέσω AI να αποτελούν περιστατικά που συναντώνται όλο και συχνότερα.
Καθώς οι οργανισμοί συνειδητοποιούν την ανεπάρκεια των τρεχόντων εργαλείων τους, βλέπουμε να αναδεικνύεται μία τάση άκριτης αποδοχής του AI όσον αφορά την κυβερνοασφάλεια.
Κύκλος υπερβολής του ΑΙ έναντι της Προστασίας Δεδομένων
Αν οι εταιρείες δεν επιδείξουν προσοχή, ενδέχεται να παρασυρθούν στην αντίληψη ότι τα εργαλεία ασφάλειας με ενσωματωμένη τεχνητή νοημοσύνη ισοδυναμούν με άμυνα. Η προστασία των ευαίσθητων δεδομένων ωστόσο είναι αυτό που αποτελεί βασικό κριτήριο και αν οι δυνατότητες του AI εισαχθούν χωρίς να ληφθεί υπόψη η προστασία των δεδομένων και της πρόσβασης, ενδέχεται να προκύψουν προβλήματα μελλοντικά.
Η συνέπεια της εισαγωγής υπερβολικά πολλών στοιχείων AI, και σε σύντομο χρονικό διάστημα, είναι ότι του AI διευρύνει την επιφάνεια επίθεσης, ενδέχεται να παρουσιάσει απρόβλεπτη συμπεριφορά ελλείψει κατάλληλων δικλείδων ασφαλείας -ιδιαίτερα στην περίπτωση του agentic AI– να καταναλώνει πολλούς υπολογιστικούς πόρους και να είναι δαπανηρό όταν εφαρμόζεται σε μεγάλη κλίμακα.
Ο Michael Siegel, διευθυντής Κυβερνοασφάλειας στο MIT Sloan δήλωσε ότι «τα εργαλεία κυβερνοασφάλειας που βασίζονται σε AI δεν επαρκούν από μόνα τους». Υποστήριξε ότι «μια προληπτική, πολυεπίπεδη προσέγγιση -που θα ενσωματώνει ανθρώπινη εποπτεία, πλαίσια διακυβέρνησης, προσομοιώσεις απειλών καθοδηγούμενων από AI και ανταλλαγή πληροφοριών σε πραγματικό χρόνο- είναι κρίσιμης σημασίας».
Ασφαλής εφαρμογή του AI για επιχειρήσεις
Όταν οι οργανισμοί επιδιώκουν να υϊοθετήσουν το AI, συχνά το πράττουν για να αποκτήσουν και να διατηρήσουν το προβάδισμα έναντι του ανταγωνισμού τους που έχει επίσης υιοθετήσει το AI.
Όσον αφορά την ασφάλεια της AI -δηλαδή, τη θωράκιση των εργαλείων AI που χρησιμοποιούνται σε συστήματα CRM, ψηφιακούς βοηθούς (chatbots), στην ανάπτυξη κώδικα, στην προγνωστική μοντελοποίηση και σε άλλες επιχειρηματικές εφαρμογές- υπάρχουν διάφορα βιομηχανικά πλαίσια που προσφέρουν βέλτιστες πρακτικές.
- Το «NIST AI Risk Management Framework» (AI RMF) υποστηρίζει ότι οι εταιρείες πρέπει να καθορίζουν πολιτικές, να χαρτογραφούν και να αξιολογούν το ρίσκο καθώς και να εφαρμόζουν στρατηγικές διαχείρισης κινδύνου παράλληλα με κάθε υιοθέτηση νέας τεχνολογίας.
- Το Google Secure AI Framework (SAIF) αποτελεί μία καθοδηγούμενη από την βιομηχανία πολιτική που δίνει έμφαση στη μεταφορά των υφιστάμενων θεμελιωδών αρχών της κυβερνοασφάλειας στα οικοσυστήματα AI επισημαίνοντας κινδύνους όπως η δηλητηρίαση δεδομένων, η έγχυση εντολών και η κλοπή μοντέλου.
- Και πρότυπα όπως τα ISO/IEC 42001, MITRE ATLAS (Adversarial Threat Landscape for Artificial-Intelligence Systems) και ο οδηγός OWASP AI Security and Privacy υφίστανται για την παροχή περαιτέρω καθοδήγησης.
Ασφαλής μετάβαση στο AI για την ενίσχυση της κυβερνοασφάλειας
Υπάρχουν κίνδυνοι με την εφαρμογή «υπερβολικής τεχνητής νοημοσύνης, υπερβολικά νωρίς» στην κυβερνοασφάλεια; Δυστυχώς, ναι. Η αποτελεσματική ενσωμάτωση της τεχνητής νοημοσύνης απαιτεί ακρίβεια πάνω από ισχύ. Και φυσικά υπάρχουν τομείς όπου το AI προσφέρει πραγματική αξία, αλλά υπάρχουν και άλλοι όπου δεν προσφέρει το παραμικρό.
Οι ειδοποιήσεις ασφαλείας αποτελούν έναν ακόμη τομέα όπου μεγάλες ποσότητες δεδομένων πρέπει να φιλτράρονται και να ταξινομούνται για χρήση. Η εφαρμογή δαπανηρών, υπερβολικά εξελιγμένων εργαλείων AI απλώς και μόνο για να υπάρχουν αυξάνει τα κόστη, δεσμεύει υπολογιστική ισχύ και απορροφά πολύτιμους πόρους όταν άλλα προηγμένα εργαλεία θα επαρκούσαν για αυτό το έργο. Για αυτήν την περίπτωση, προτιμώνται λύσεις όπως το Fortra Threat Brain, το οποίο συσχετίζει τους δείκτες παραβίασης (IOCs) κατά μήκος της αλυσίδας επίθεσης αξιοποιώντας κοινή πληροφόρηση και τηλεμετρία από πολλαπλά εργαλεία.
Ήμασταν πιο ασφαλείς πριν το AI;
Καθώς γεφυρώνουμε το χάσμα μεταξύ της φαντασίωσης και της πραγματικότητας του AI είναι σημαντικό να γνωρίζουμε σε ποιους τομείς είναι απαραίτητο και σε ποιους μετουσιώνεται σε πρόσθετο επιχειρησιακό βάρος. Όταν κάτι εξαντλεί τους πόρους, έχει επιπτώσεις και στους ήδη καταπονημένους πόρους ασφαλείας.
Παρόλο που το AI μπορεί να αντιμετωπίσει επιθέσεις υποστηριζόμενες από AI, η ασφάλεια ενός οργανισμού θα εξαρτηθεί από την ικανότητά του να χρησιμοποιεί το AI αποτελεσματικότερα από τους αντιπάλους που το εργαλειοποιούν. Η επίτευξη αυτού του στόχου απαιτεί μια πειθαρχημένη προσέγγιση για την ασφαλή και κατάλληλη υλοποίηση και εφαρμογή του AI.
Πηγή: Fortra – NSS
