Selamat datang di perlombaan senjata AI dalam keamanan siber perusahaan: Siapa yang menang?

Bulan Kesadaran Keamanan Siber mungkin tidak memiliki daya tarik yang sama dengan ciri khas lainnya di bulan Oktober - memandangi dedaunan yang dihiasi warna-warni atau makan permen Halloween - tetapi dapat mendorong para pemimpin perusahaan dan konsumen untuk terlibat dalam ritual penting: mengevaluasi kembali pendekatan mereka terhadap keamanan siber.

Dan ada banyak hal yang bisa direfleksikan sepanjang tahun lalu. Perusahaan-perusahaan khususnya harus bertanya pada diri mereka sendiri bulan ini (dan setiap bulan): Bagaimana lanskap ancaman online berubah? Dan apakah praktik keamanan bisnis Anda sudah cukup untuk mengimbangi perubahan itu?

Kecerdasan buatan tidak dapat disangkal telah menjadi pengubah permainan terbesar tahun ini. Alat-alat AI, termasuk model bahasa besar (LLM) seperti ChatGPT, telah meningkatkan kemampuan para penyerang. Sementara itu, semakin banyak perusahaan yang menggabungkan AI ke dalam bisnis sehari-hari mereka, mendorong para profesional keamanan siber untuk menjaga batas-batas baru tanpa banyak preseden tentang cara melakukannya. Sementara itu, konsumen terjebak di tengah-tengah lingkungan AI yang berubah dengan cepat.

Dinamika yang tepat ini ada di benak banyak dari 20.000 peserta yang hadir di Konferensi Black Hat tahun ini di Las Vegas. Dari stan-stan yang meriah di lantai aula bisnis hingga penelitian mutakhir yang dipresentasikan dalam berbagai seminar hingga obrolan-obrolan yang tenang di sela-sela itu, AI mendominasi percakapan.

Pada pidato pembukaan acara tersebut, peneliti keamanan siber yang sudah lama berkecimpung di bidang ini, Mikko Hyppönen, menyebut AI sebagai "revolusi teknis terbesar" yang pernah ia lihat selama hidupnya, dan mencatat bahwa para peneliti yang menggunakan LLM telah menemukan beberapa lusin zero days - istilah industri untuk kelemahan yang tidak terdeteksi pada perangkat lunak atau kode.

"Ketika para peneliti menemukan kerentanan keamanan dengan AI, itu sangat bagus karena kita bisa memperbaikinya," kata Hyppönen. "Ketika para penyerang melakukan hal yang sama, itu sangat buruk. Itu juga akan terjadi."

Para penipu online sudah menggunakan LLM untuk menulis email phishing yang lebih meyakinkan dan tertarget, serta melakukannya dalam skala yang jauh lebih besar daripada yang dapat mereka lakukan tanpa alat bantu AI.

Lewatlah sudah hari-hari email umum yang ditulis dengan buruk yang bahkan orang yang paling tidak paham teknologi pun bisa mengenali sebagai penipuan. Para penipu yang tidak bisa berbahasa Inggris kini menjadi ahli dalam memoles pesan mereka dengan LLM.

Dan bahkan para penipu yang menyamar sebagai tentara kesepian yang ditempatkan di luar negeri, mendorong peluang bisnis yang terlihat terlalu bagus untuk menjadi kenyataan (karena memang benar), menaburkan detail pribadi yang ditambang oleh AI untuk membuat pesan-pesan itu jauh lebih dapat dipercaya.

Mereka juga telah beralih dari email, menyampaikan komunikasi mereka yang kini telah dibuat dengan baik ke media sosial, pesan singkat, dan bahkan panggilan telepon.

Pada saat yang sama, ada peningkatan pesan penipuan yang berisi audio atau video deepfakes. Tahun lalu, seorang pekerja di Hong Kong tertipu hingga membayar $25 juta kepada penipu setelah menyetujui apa yang ia kira sebagai panggilan video dengan para pejabat di perusahaan multinasionalnya, termasuk kepala bagian keuangan. Tetapi ternyata, orang lain yang menelepon adalah hasil rekayasa ulang video langsung dari orang-orang itu.

Konsumen juga menjadi sasaran penipuan audio deepfake. Di situlah penjahat siber menggunakan AI untuk memalsukan suara orang, biasanya yang lebih muda, kemudian menggunakan suara yang ditiru untuk menelepon anggota keluarga, mengatakan bahwa mereka telah diculik atau dipenjara, untuk memeras uang dari mereka.

Semua itu membuat perusahaan dan konsumen ketakutan. Sebuah studi baru-baru ini yang dilakukan untuk Mastercard mensurvei sekitar 13.000 konsumen di seluruh dunia, termasuk sekitar 1.000 di AS, dan menemukan konten palsu yang dihasilkan AI adalah kekhawatiran masa depan terkait penipuan nomor satu bagi konsumen di masa depan. Namun, hanya 13% dari mereka yang disurvei mengatakan bahwa mereka sangat percaya diri dengan kemampuan mereka untuk mengidentifikasi ancaman atau penipuan yang dihasilkan oleh AI jika mereka menjadi sasarannya.

Sebagian besar dari mereka yang disurvei secara khusus mengutip kekhawatiran tentang serangan yang lebih canggih dari sistem AI yang diretas dan berubah menjadi serangan siber berskala besar yang berbahaya, dan email phishing yang lebih meyakinkan yang dibuat oleh AI.

Dan konsumen yang khawatir bisa berarti masalah besar bagi perusahaan yang melayani mereka. Jika konsumen tidak percaya bahwa mereka berurusan dengan perusahaan yang sah atau bahwa informasi pribadi mereka aman, mereka dapat memilih untuk membawa bisnis mereka ke tempat lain.  

Untuk saat ini, setidaknya, terlihat bahwa para pemain bertahan memiliki keuntungan. Selain mengamankan elemen AI baru dalam sistem pelanggan bisnis mereka, perusahaan keamanan siber juga memasukkan AI ke dalam produk mereka sendiri, dengan tujuan untuk menghentikan ancaman online dengan lebih cepat dan lebih efisien.

Sementara itu, para penipu dan penjahat siber lainnya belum memiliki insentif yang cukup untuk berinovasi dengan cara yang sama. Meskipun mereka menggunakan alat bantu AI untuk bekerja lebih cepat dan menjadi lebih besar, para ahli mengatakan bahwa mereka sebagian besar tetap berpegang pada versi yang lebih baik dari penipuan lama yang sama.

Nicole Perlroth, mantan jurnalis keamanan siber yang kini menjabat sebagai mitra ventura di Ballistic Ventures dan memimpin dana misi siber miliknya sendiri, Silver Buckshot, mengatakan dalam pidato utama di Black Hat bahwa ia terdorong oleh teknologi baru yang sedang berkembang yang ia lihat di bidang keamanan siber.

Dia menunjuk pada teknologi pendeteksi deepfake bertenaga AI baru yang akan hadir di pasar dan mencatat bahwa AI telah membantu "mendemokratisasi" produk dan layanan keamanan siber, membuatnya lebih mudah diakses oleh perusahaan-perusahaan kecil yang tidak mampu membelinya di masa lalu.

Hyppönen mencatat bahwa penipuan deepfake saat ini sangat jarang terjadi, tetapi menambahkan bahwa ia memperkirakan semua jenis penipuan online, bersama dengan ransomware, akan semakin memburuk seiring dengan semakin baiknya dan murahnya teknologi AI.

Kabar baiknya adalah, para pemain bertahan memiliki keunggulan dalam hal AI.

"Para penyerang juga menggunakan AI, tetapi mereka baru saja mulai," katanya. "Sejauh ini kami hanya melihat serangan yang cukup sederhana dengan AI. Itu akan berubah, tetapi saat ini saya akan mengatakan bahwa kami sudah siap."