A mesterséges intelligencia és a kiberbiztonság kapcsolata sokáig meglehetősen egyszerűnek tűnt. Az AI segíthet kiszűrni a gyanús hálózati forgalmat, gyorsabban feldolgozhatja a biztonsági riasztásokat, és olyan mintázatokat is felismerhet, amelyek egy ember figyelmét könnyen elkerülnék. A technológia fejlődésével azonban egyre nehezebb kizárólag védelmi eszközként tekinteni rá.
A legfejlettebb modellek már sérülékenységeket kereshetnek, támadási útvonalakat tesztelhetnek, kódokat vizsgálhatnak át, és több lépésből álló műveleteket hajthatnak végre viszonylag kevés emberi közreműködéssel. Ami az egyik oldalon rendkívül hatékony kiberbiztonsági eszköz, az a másikon ugyanilyen értékes fegyver lehet.
Különösen nagy jelentősége lehet ennek a pénzügyi szektorban. A bankok, fintech vállalatok és fizetési szolgáltatók ugyanis egymással szorosan összekapcsolt technológiai infrastruktúrára támaszkodnak. Egy széles körben használt rendszer sérülékenysége ezért nem feltétlenül egyetlen vállalat problémája marad.
Egyre közelebb kerülnek az autonóm kibertámadások
Jól mutatja a technológia fejlődésének irányát az OpenAI készülő Astra modellje. A vállalat előzetes tesztjei alapján már azt sem lehet kizárni, hogy a rendszer elérheti az OpenAI felkészültségi keretrendszerének legmagasabb, „kritikus” kiberbiztonsági küszöbét.
Ez nem egyszerűen azt jelentené, hogy a modell ügyesen ír programkódot. Ezen a szinten egy AI-rendszer már képes lehet önállóan valódi informatikai rendszerek korábban ismeretlen, úgynevezett zero-day sérülékenységeit felfedezni, majd működő exploitokat kidolgozni azok kihasználására. A definíció szerint akár arra is képes lehet, hogy egy magas szinten megfogalmazott célból kiindulva önálló kibertámadást hajtson végre.
Fontos különbség, hogy itt már nem egyszerűen egy ember által használt segédeszközről beszélünk. Minél nagyobb önállóságot kap egy modell, annál több feladatot tud emberi beavatkozás nélkül összekapcsolni. Felkutathat egy gyenge pontot, megvizsgálhatja a kihasználás lehetőségeit, elkészítheti a szükséges kódot, majd megpróbálhat továbblépni a rendszerben. Ezzel a kibertámadások egyik hagyományos korlátja kezdhet eltűnni: az emberi munkaigény.
Az AI egyszerre pajzs és fegyver
A probléma egyik legnehezebben kezelhető része, hogy nincs éles technológiai határvonal a támadó és a védekező képességek között.
Egy bank biztonsági csapata például AI segítségével átvizsgálhatja saját rendszereit, hogy még a támadók előtt megtalálja azok gyenge pontjait. Automatizálhatja a penetrációs tesztelés bizonyos részeit, ellenőrizheti a programkódot, rangsorolhatja a sérülékenységeket, és meghatározhatja, mely javításokat kell a legsürgősebben elvégezni.
Pontosan ugyanezek a képességek azonban egy támadó kezében is értékesek.
A Nemzetközi Valutaalap (IMF) ezért „dual-use”, vagyis kettős felhasználású problémaként kezeli a technológiát. Az AI-nak ráadásul nem feltétlenül kell új támadási módszereket feltalálnia ahhoz, hogy jelentősen növelje a kiberkockázatokat. Elég lehet, ha a már ismert folyamatokat nagyságrendekkel gyorsabban és nagyobb léptékben hajtja végre. Ez alapvetően megváltoztathatja a támadók és a védekezők közötti verseny tempóját.
Egyetlen sérülékenységből rendszerszintű probléma lehet
A pénzügyi szektor ebből a szempontból különösen érzékeny terület. Egy modern bank informatikai infrastruktúrája ugyanis rengeteg egymásra épülő rendszerből áll. Core banking megoldások, fizetési hálózatok, felhőszolgáltatások, identitáskezelési rendszerek, nyílt forráskódú szoftverkönyvtárak és külső szolgáltatók alkalmazásai kapcsolódnak egymáshoz. Ráadásul ezek közül számos technológiát egyszerre sok pénzügyi intézmény használ.
Az IMF szerint éppen ez jelentheti az egyik legnagyobb veszélyt. Ha az AI felgyorsítja a közösen használt technológiák sérülékenységeinek felfedezését és kihasználását, akkor egy biztonsági résből rövid idő alatt több intézményt érintő probléma válhat.
Korábban előfordulhatott, hogy egy támadó megtalált egy sérülékenységet, majd egyenként kezdte keresni az érintett célpontokat. Egy kellően fejlett automatizált rendszer ezzel szemben jóval gyorsabban felmérheti, hol használják ugyanazt a sebezhető komponenst, és hol érdemes támadást indítani.
A pénzügyi rendszer szempontjából ezért nemcsak az egyedi kibertámadások súlyossága számít. Legalább ennyire fontos kérdés, hogy ugyanaz a probléma egyszerre hány szereplőnél jelenhet meg.
Már nem elég megakadályozni a támadást
A védekezési stratégiának is alkalmazkodnia kell ehhez a tempóhoz. Sokáig természetes cél volt, hogy a biztonsági rendszerek lehetőség szerint minden támadást megakadályozzanak. Ez továbbra is fontos, de önmagában már kevés. Egy szervezetnek arra az esetre is fel kell készülnie, ha a támadó átjut az első védelmi vonalon.
Felértékelődik például a hálózatok megfelelő szegmentációja. Ha egy támadó hozzáfér egy rendszerhez, nem mindegy, hogy onnan szabadon mozoghat-e tovább, vagy újabb és újabb akadályokba ütközik. Hasonló szerepe van a zero-trust megközelítésnek, amelyben egy felhasználó vagy rendszer nem kap automatikusan bizalmat pusztán azért, mert már a vállalati hálózaton belül található.
A hozzáférési jogosultságok szigorú kezelése ugyancsak kulcskérdéssé válik. Különösen akkor, amikor AI-modellek is önálló hozzáférést kapnak különböző eszközökhöz és rendszerekhez. A cél egy sikeres incidens úgynevezett „blast radiusának”, vagyis hatókörének korlátozása. Ha valami mégis rosszul sül el, a probléma maradjon egy kis területre bezárva, és ne tudjon végigterjedni a teljes szervezeten.
Az AI úgy is bekerülhet a bankokba, hogy nem vásárolják meg
Van egy kevésbé látványos változás is. A pénzügyi intézményeknek nem feltétlenül kell közvetlenül beszerezniük egy fejlett kiberbiztonsági AI-modellt ahhoz, hogy az megjelenjen a működésükben.
Az ilyen technológia ugyanis fokozatosan beépülhet azokba a szoftverekbe, tanácsadási szolgáltatásokba és menedzselt biztonsági megoldásokba, amelyeket a bankok és fintech vállalatok már most is használnak.
Az OpenAI például arról számolt be, hogy Daybreak AI védelmi rendszerének terjesztésében olyan szereplők vesznek részt, mint az Accenture, az IBM, a Capgemini, az EY, a KPMG, a PwC, a Palo Alto Networks, a CrowdStrike, a Cisco, a Sophos, az Akamai, a Fortinet és a Cloudflare.
Egy bank tehát úgy is támaszkodhat AI-alapú kiberbiztonsági képességekre, hogy közben maga a modell soha nem jelenik meg külön technológiai beszerzésként. Ettől még meghatározhatja, hogyan keresik a sérülékenységeket, milyen sorrendben kezelik őket, vagy milyen biztonsági lépések történnek automatikusan. Ez pedig a beszállítói kockázatok kezelését is új megvilágításba helyezi.
A kiberbiztonság egyre inkább vezetői kérdés
Mindezek miatt az AI kiberbiztonsági kockázatait egyre nehezebb kizárólag az IT- vagy biztonsági csapatokra bízni. A döntések egy része ugyanis már vállalatirányítási kérdés.
Mekkora önállóságot kaphat egy modell? Milyen rendszerekhez férhet hozzá? Használhat-e valódi hozzáférési adatokat? Indíthat-e műveleteket emberi jóváhagyás nélkül? Mi történik, ha nem a várt módon viselkedik? És van-e olyan mechanizmus, amellyel azonnal megszakítható a hozzáférése? Minél fejlettebbé válnak ezek a rendszerek, annál fontosabb lesz pontos válaszokat adni ezekre a kérdésekre.
A következő időszak kiberbiztonsági versenye ezért nem feltétlenül arról szól majd, melyik vállalat rendelkezik a legerősebb AI-modellel. Sokkal fontosabb lehet, hogy ki tudja a legpontosabban meghatározni, mit tehet a modell, meddig érhet el, és milyen gyorsan lehet megállítani. Az AI képességeinek növekedését ugyanis jóval nehezebb lesz visszafordítani, mint a hozzáférési jogosultságait időben korlátozni.
(Forrás: PYMNTS)
(Címlapkép: Depositphotos)
