В това интервю за Help Net Security, Беки Палмър, вицепрезидент и CISO в National Life Group, отговаря на пет въпроса относно защитата срещу атаки, задвижвани от изкуствен интелект (AI). Дискусията обхваща причините, поради които циклите за инсталиране на корекции за сигурност, проектирани за човешка скорост, не могат да поддържат необходимото темпо, както и кои компенсиращи контроли спестяват време, когато незабавното отстраняване на уязвимост не е възможно. Споделени са и данни за прилагането на автономен AI (agentic AI) в операционния център за сигурност (SOC), където четири от всеки пет случая се разрешават без да е необходима ескалация към човек.

Останалата част разглежда въпросите, които разграничават работещия AI продукт от обикновена обвивка (wrapper), договорните условия при използване на AI от трети страни, както и три стъпки, които по-малките банки и застрахователи могат да предприемат в рамките на 90 дни.

Основите на управлението на уязвимости не са се променили, но скоростта и мащабът на тяхното откриване и експлоатиране се променят драстично. С навлизането на най-съвременните модели изкуствен интелект (Frontier AI) е много вероятно през следващите шест месеца да разкрием повече уязвимости, отколкото през последните тридесет години. Изкуственият интелект помага на киберпрестъпниците да откриват и превръщат уязвимостите в оръжие с машинна скорост, съкращавайки времето за извършване на атака от седмици до, в някои случаи, броени часове.

Когато атакуващите действат с машинна скорост, процесът по отстраняване на уязвимости, работещ с човешко темпо, просто не може да се справи. Разглеждаме възможностите да се борим с AI чрез AI, за да автоматизираме управлението на корекциите за сигурност. Трябва да използваме изкуствен интелект за съпоставяне на новите уязвимости спрямо нашата среда, за приоритетиране според нивото на експозиция и за управление на цикъла на тестване и внедряване, за да съкратим времето за реакция. Ползите от AI ще ни позволят да съкратим прозореца за тестване преди инсталирането на обновявания, а не да го заобиколим и да увеличим риска за бизнеса.

Реалността е такава, че организациите винаги ще разполагат с известни уязвимости. Много пробиви в сигурността произтичат от уязвимости, известни от години, а не само от дни или седмици. Важно е да се инсталират корекции за сигурност възможно най-бързо. Когато незабавно отстраняване на уязвимостта не е възможно, въвеждаме компенсиращи контроли, за да намалим експозицията, докато същественият проблем не бъде коригиран. Компенсиращите контроли не премахват уязвимостта, но ограничават възможността на атакуващия да достигне до нея.

Няколко примера, на които разчитаме, включват:

  • Виртуално прилагане на корекции (Virtual patching): използване на нашата стена за защита на уеб приложения (WAF), система за предотвратяване на пробиви (IPS) и защита на крайни точки за блокиране на конкретния зловреден трафик от експлойти.
  • Затягане на достъпа: ограничаване на това кой и какво има достъп до засегнатата система, както и прилагане на принципа на най-малките привилегии и по-строга автентификация около нея.
  • Засилен мониторинг: поставяне на целево откриване върху уязвимия ресурс, така че да виждаме опитите за експлоатация незабавно и да реагираме навреме.

Чрез автоматизация там, където е възможно, приоритетиране на базата на реалната експозиция и наслояване на компенсиращи контроли, когато незабавното отстраняване е невъзможно, можем да съкратим времето за реакция и да останем стъпка пред киберпрестъпниците, които се движат по-бързо от всякога. Целта не е перфектна среда с нула уязвимости — такава никога няма да съществува. Фокусирани сме върху дисциплинирана и устойчива програма, която стеснява прозореца от възможности за авторите на заплахи и отвръща на заплахите с машинна скорост чрез защита с машинна скорост.

Наскоро започнахме да използваме автономен AI в нашия SOC и той се превърна в истински мултипликатор на сили както по отношение на количеството, така и на качеството на разследванията за сигурност. Изкуственият интелект ни позволява да автоматизираме сложни разследвания и да преодолеем пропастта между засичането и човешкия контекст. За сценариите с внедрен AI, 4 от 5 случая се разрешават без ескалация към човек. Спестяваме часове всеки ден чрез автоматизирано търсене, обогатяване на контекста и задълбочено обобщаване, което освобождава екипа ни да фокусира своя опит върху рискове, изискващи човешка преценка.

Това е важна разлика в начина, по който разглеждам изкуствения интелект в киберсигурността. Целта не е задължително замяна на анализатора, а предоставяне на възможност той да работи по-бързо и да насочи времето си там, където то има най-голяма стойност.

Днес изглежда се появяват хиляди нови компании за AI сигурност, някои от които ще постигнат страхотни неща, докато други ще изчезнат почти толкова бързо, колкото са се появили. Трябва да направим своята проверка (due diligence), за да установим дали дадено решение носи стойност за нашата организация. Някои от първоначалните въпроси, които трябва да зададем, включват:

  • Мога ли да извърша проверка на стойността (proof-of-value) с мои собствени данни, за да потвърдя функционалността?
  • Използва ли се защитен инстанс или разчита на публични AI модели?
  • Какво може да прави самостоятелно, всяко действие ли се записва в логовете и какъв е аварийният прекъсвач (kill switch)?
  • Какви са общите ми разходи при реално използване?

Не е достатъчно доставчикът да ми каже какво може да прави един продукт за сигурност, базиран на AI. Всяко от техните твърдения за „интелигентност“, „адаптивност“ или „автономност“ трябва да се превръща в измерим тест или клауза в договора. В противен случай го разглеждайте просто като маркетинг. Също така искам да знам какво се случва, когато системата се държи неочаквано, бъде злоупотребено с нея или се сблъска със сценарий, за който не е била проектирана.

Ръководителите по киберсигурност трябва да гледат отвъд етикета „AI“, за да разберат какви точно възможности предоставя технологията и как нейната ефективност е била независимо потвърдена. Никога не пропускайте оценката на стойността с вашите собствени данни. В крайна сметка въпросът е дали решението съществено намалява риска или подобрява защитата.