Üdvözöljük az AI fegyverkezési versenyben a vállalati kiberbiztonságban: Ki nyer?

A kiberbiztonsági tudatosság hónapja talán nem olyan vonzó, mint október más jelképei - a lombok bámulása vagy a halloweeni édességek zabálása -, de a vállalati vezetőket és a fogyasztókat egyaránt arra ösztönözheti, hogy egy fontos rituáléban vegyenek részt: a kiberbiztonsággal kapcsolatos megközelítésük átértékelésében.

És van min elgondolkodni az elmúlt év során. A vállalatoknak különösen ebben a hónapban (és minden hónapban) fel kell tenniük maguknak a kérdést: Hogyan változott az online fenyegetettségi környezet? És vajon az Ön vállalkozásának biztonsági gyakorlatai eléggé lépést tartanak-e ezekkel a változásokkal?

A mesterséges intelligencia kétségtelenül az idei év legnagyobb játékváltója volt. A mesterséges intelligencia eszközök, beleértve a nagy nyelvi modelleket (LLM), mint például a ChatGPT, felturbózták a támadók képességeit. Eközben egyre több vállalat építi be a mesterséges intelligenciát a mindennapi üzletmenetébe, ami a kiberbiztonsági szakembereket arra készteti, hogy új határokat őrizzenek, anélkül, hogy sok precedens lenne arra, hogy ezt hogyan tegyék. A fogyasztók eközben a gyorsan változó mesterséges intelligenciával kapcsolatos környezet kellős közepén találják magukat.

Az idei Las Vegas-i Black Hat Konferencia 20 000 résztvevője közül sokaknak pontosan ez a dinamika járt a fejében. Az üzleti csarnokok padlóján felállított standoktól kezdve az előadásokon bemutatott élvonalbeli kutatásokon át a közbeeső csendes beszélgetésekig a mesterséges intelligencia uralta a beszélgetéseket.

Az esemény nyitó előadásán Mikko Hyppönen, a kiberbiztonsági kutatóként régóta dolgozó Mikko Hyppönen az AI-t a "legnagyobb technikai forradalomnak" nevezte, amelyet életében látott, és megjegyezte, hogy az LLM-eket használó kutatók már felfedeztek néhány tucat nulladik napot - ez az iparági kifejezés a szoftver vagy kód észrevétlen gyengeségére utal.

"Amikor a kutatók biztonsági réseket találnak a mesterséges intelligenciával, az nagyszerű, mert ki tudjuk javítani őket" - mondta Hyppönen. "Amikor a támadók ugyanezt teszik, az szörnyű. Ez is meg fog történni."

Az online csalók már most is LLM-eket használnak arra, hogy meggyőzőbb és célzottabb adathalász e-maileket írjanak, és ezt sokkal nagyobb mértékben teszik, mint amire mesterséges intelligencia-eszközök nélkül valaha is képesek lettek volna.

Elmúltak a rosszul megírt általános e-mailek napjai, amelyeket még a legkevésbé műszaki ismeretekkel rendelkező személy is csalásnak vélhet. Az angolul nem anyanyelvi szinten beszélő csalók ma már profik abban, hogy LLM-ekkel csiszolják az üzeneteiket.

És még azok a csalók is, akik magányos, tengerentúlon állomásozó katonáknak adják ki magukat, és olyan üzleti lehetőséget kínálnak, amely túl jónak tűnik ahhoz, hogy igaz legyen (mert valójában az is), a mesterséges intelligencia által bányászott személyes adatokat is beleszórnak, hogy ezek az üzenetek sokkal hihetőbbek legyenek.

Az e-maileken is túlléptek, és a jól kidolgozott kommunikációjukat a közösségi médiában, szöveges üzenetekben, sőt telefonhívásokban is eljuttatják.

Ugyanakkor egyre több a hang- vagy videohamisítványokat tartalmazó csaló üzenetek száma. Tavaly egy hongkongi dolgozót 25 millió dollár kifizetésére csaptak be csalóknak, miután bejelentkezett egy olyan videohívásra, amelyet multinacionális vállalatának tisztviselőivel, köztük a pénzügyi igazgatóval folytatott videohívásnak hitt. De kiderült, hogy a híváson részt vevő többiek élő videós deepfake utánzatok voltak ezekről az emberekről.

A fogyasztókat is célba vették az audio deepfake csalások. Ilyenkor a kiberbűnözők mesterséges intelligenciával hamisítják az emberek - jellemzően fiatalabbak - hangját, majd az utánzott hangot arra használják, hogy felhívják a családtagokat, azt állítva, hogy elrabolták őket, vagy börtönben vannak, és pénzt zsarolnak ki tőlük.

Mindez érthető módon megrémítette a vállalatokat és a fogyasztókat. A Mastercard megbízásából nemrégiben készült tanulmány szerint, amelyben világszerte mintegy 13 000 fogyasztót kérdeztek meg, köztük körülbelül 1000-et az Egyesült Államokban, az AI által generált hamisított tartalmak jelentik a fogyasztók első számú, csalással kapcsolatos jövőbeli aggodalmát. A megkérdezettek közül azonban csak 13% mondta azt, hogy nagyon bízik abban, hogy felismeri a mesterséges intelligencia által generált fenyegetéseket vagy csalásokat, ha azok célpontjává válnak.

A megkérdezettek túlnyomó többsége kifejezetten a mesterséges intelligenciával feltört és rosszindulatúvá vált mesterséges intelligencia rendszerekből származó kifinomultabb támadásokkal, az automatizált nagyszabású kibertámadásokkal és a mesterséges intelligencia által létrehozott, meggyőzőbb adathalász e-mailekkel kapcsolatos aggodalmakra hivatkozott.

Az aggódó fogyasztók pedig nagy problémákat jelenthetnek az őket kiszolgáló vállalatok számára. Ha a fogyasztók nem bízhatnak abban, hogy törvényes céggel állnak kapcsolatban, vagy hogy személyes adataik biztonságban vannak, akkor máshová vihetik az ügyeiket.  

Legalábbis egyelőre úgy tűnik, hogy a védők előnyben vannak. Az üzleti ügyfeleik rendszereinek új AI-elemeinek biztosítása mellett a kiberbiztonsági vállalatok saját termékeikbe is beépítik az AI-t, azzal a céllal, hogy gyorsabban és hatékonyabban megállítsák az online fenyegetéseket.

Eközben a csalók és más kiberbűnözők még nem eléggé ösztönözve vannak arra, hogy ugyanígy újítsanak. Miközben a mesterséges intelligencia eszközeivel gyorsabban dolgoznak és nagyobb méreteket öltenek, a szakértők szerint nagyrészt ugyanazoknak a régi csalásoknak a továbbfejlesztett változataihoz ragaszkodnak.

Nicole Perlroth, egy korábbi kiberbiztonsági újságíró, aki jelenleg a Ballistic Ventures kockázati partnere, és saját kibermissziós alapját, a Silver Buckshotot vezeti, a Black Hat főelőadásában elmondta, hogy bátorítják az új és feltörekvő technológiák, amelyeket a kiberbiztonság területén lát.

Rámutatott a piacra kerülő új, mesterséges intelligenciával működő, mély hamisítványokat felismerő technológiákra, és megjegyezte, hogy a mesterséges intelligencia segített a "weboldalon demokratizálni a" kiberbiztonsági termékeket és szolgáltatásokat, így elérhetőbbé téve azokat a kisebb vállalatok számára, amelyek korábban nem engedhették meg maguknak ezeket.

Hyppönen megjegyezte, hogy a deepfake átverések jelenleg nagyon ritkák, de hozzátette, hogy várakozásai szerint az online átverések minden fajtája, valamint a zsarolóvírusok egyre rosszabbak lesznek, ahogy az AI-technológiák egyre jobbak és olcsóbbak lesznek.

A jó hír az, hogy a védők előnyben vannak, ha a mesterséges intelligenciáról van szó.

"A támadók is használják a mesterséges intelligenciát, de még csak most kezdik" - mondta. "Eddig csak meglehetősen egyszerű támadásokat láttunk a mesterséges intelligenciával. Ez változni fog, de most azt mondanám, hogy felkészültünk."