Közös nyilatkozatban hívták fel a figyelmet az Öt Szem (Five Eyes) együttműködésben részt vevő hírszerző ügynökségek vezetői a mesterséges intelligencia veszélyeire. Nem annyira a mondanivaló újdonsága, sokkal inkább a gesztus teszi fontossá a dokumentumot. A szervezet tagjai ugyanis ritkán szólalnak meg közösen.
A titkosszolgálati vezetők most azonban látnak ilyen veszélyt, amely ezt indokolja: a mesterséges intelligenciát. Mint a nyilatkozat bevezetőjében írják, az MI alapvető változást hozott a kiberbiztonságban: mindaz a tudás, amit a kiberkockázatokkal kapcsolatos felhalmoztunk hónapok – és nem évek – alatt avulhatnak el.
Hamis biztonságérzetet adhat az a megközelítés, hogy az MI segíti a kibervédelmi fejlesztéseket, ugyanis a kiberfenyegetések sebességét, kiterjedtségét és kifinomultságát is jelentősen növeli. A hírszerzők a határmodellekben látják a legnagyobb veszélyt, azok hatása ugyanis valószínűleg meghaladja a jelenlegi iparági várakozásokat. (Az Nvidia meghatározása határmodelleknek nevezik azokat a legfejlettebb MI-modelleket, melyek jellemzően a kép- és szöveggenerálás mellett támogatják az érvelési és ágensalapú munkafolyamatokat.)
A védekezés négy sarokköve
A nyilatkozat négy alapelvet fogalmaz meg, melyeket figyelembe kell venni a hatékony védelem felépítéséhez: folyamatosan értékelni kell a felkészültséget és az elszámoltathatóságot, magas prioritást kell biztosítani a kiberbiztonsági gyakorlatoknak és ellenőrzéseknek, valós hatalmat és erőforrásokat kell adni a kiberbiztonsági vezetők kezébe, és nem utolsósorban le kell követni a fenyegetések és az iránymutatások változásait.
Mindennek van egy általános konklúziója. "A kiberkockázatot többé nem lehet pusztán technikai kérdésként kezelni." Alapvető üzleti kockázatként kell kezelni, és emiatt teljes mértékben vezetői felelősség az optimális kiberbiztonsági szint kialakítása és fenntartása.
A védelmi képességeket folyamatosan tesztelni kell, mert ma már a kontrollmechanizmusok megléte önmagában kevés. Arról is bizonyságot kell szerezni, hogy a kontrollmechanizmusok egy valós incidens során is beindulnak és hatékonyak.
Mindebben nagy segítség lehet az MI. A szervezetek, melyek MI-alapú eszközöket integrálnak a biztonsági műveleteikbe, korábban észlelhetik a sebezhetőségeket, gyorsabban javíthatják a szoftvereiket, felfedhetnek támadásra utaló anomáliákat, miáltal rövidül a reakcióidejük is.
Az alapelvek mentén több sürgetős teendőt is megfogalmaz a nyilatkozat. Csökkenteni kell a támadási felületet például a hozzáférések és külső kapcsolatok észszerű minimalizálásával. Fel kell gyorsítsa fel a hibajavítási folyamatokat (ebben sokat segíthet az MI). Nagy figyelmet kell fordítani a legacy rendszerek kezelésére, mert a nem támogatott rendszerek könnyű célpontok. Felül kell vizsgálni azonosítás- és a hozzáférés-menedzsmentet, és erős hitelesítést kell bevezetni.
És a legfőbb tanács: proaktívnak kell lenni. Biztonsági réseket voltak, vannak, és lesznek. A felkészültség azonban segít, hogy gyorsan lehessen lépni, ha baj van. Így megelőzhető, hogy súlyos működési (pénzügyi) válsággá terebélyesedjen egy kiberbiztonsági incidens.
Benne van a levegőben
Az Öt Szem javaslatai valóban közhelyek, kiberbiztonsági szakemberek mindennapi reggeli mantrája, de hogy mennyire aktuális, azt jól mutatja Anthropic Mythos modellje. Az MI-startup áprilisban tesztelési céllal nyitotta meg a modellt a ügyfelei előtt. A tesztek során kiderült: az MI korszakában alacsony kockázatú sérülékenység már nem létezik. A modell ugyanis képes azokat is úgy összekapcsolni, hogy az eredmény kritikus kockázat lesz. És olyan sincs, hogy egy cégnél heteket (hónapokat) várnak egy-egy friss patch telepítésével, mert lehet, hogy a nyilvánosságra hozatal után egy-két órával már támadásra kész a sérülékenységet kihasználó exploit.
Ugyanez volt a kicsengése Cyber Islands és a Mastercard múlt héten bemutatott közös kutatásának, amely alapján egy kiberbiztonsági útmutató is készült vállalatoknak. Mint a készítők elmondták, ma már a kiberbiztonság olyan alapvető üzleti problémává vált, amely csak technológiai szinten már nem kezelhető.
Projektek O-gyűrűje. Mit tanulhat egy projektvezető a Challenger tragédiájából?