Obvestilo o vplivih modelov umetne inteligence na kibernetsko varnost: primer modela Mythos
Slednje je izpostavljeno tudi v Nacionalni strategiji za umetno inteligenco do leta 2030 (NsUI 2030), ki jo je pripravilo Ministrstvo za digitalno preobrazbo.
Med aktualnimi razvoji izstopa model Claude Mythos Preview, ki predstavlja pomemben napredek na področju odkrivanja in odpravljanja ranljivosti v strojni in programski opremi. Model trenutno ni javno dostopen in ga ni mogoče neodvisno testirati. Na voljo je omejenemu krogu večjih tehnoloških podjetij v okviru nadzorovanega okolja, namenjenega izključno obrambnim nalogam na področju kibernetske varnosti. Takšen pristop omogoča odgovorno uvajanje zmogljivih tehnologij ob hkratnem obvladovanju tveganj.
Opisane zmogljivosti modela nakazujejo pomembno spremembo v načinu prepoznavanja in odpravljanja ranljivosti. Napredni modeli umetne inteligence lahko bistveno pospešijo procese, ki so ključni za varnost digitalnih sistemov, in vplivajo tako na obrambne kot tudi potencialno napadalne kibernetske aktivnosti.
Trenutno so prednosti predvsem na strani zagovornikov kibernetske varnosti. Takšna orodja se uporabljajo za hitrejše odkrivanje in odpravljanje ranljivosti v sistemih, ki podpirajo kritično infrastrukturo. Za zdaj ni znakov, da bi bile primerljive zmogljivosti za avtomatizirano odkrivanje ranljivosti široko dostopne zlonamernim akterjem.
Kljub temu lahko organizacije v prihodnjih mesecih pričakujejo pospešeno razkrivanje ranljivosti, saj se bodo takšna orodja uporabljala v večjem obsegu. To lahko poveča pritisk na procese upravljanja popravkov (patch management), zlasti pri organizacijah, ki uporabljajo zastarele ali nepodprte sisteme, kjer so možnosti za odpravo ranljivosti omejene.
Na URSIV ob tem opozarjamo, da napredni modeli umetne inteligence poleg koristi prinašajo tudi nova tveganja. V primeru zlorabe lahko omogočajo:
- generiranje prepričljivih phishing sporočil in izvajanje socialnega inženiringa,
- avtomatizirano iskanje ranljivosti,
- razvoj zlonamerne kode tudi z omejenim tehničnim znanjem,
- ustvarjanje lažnih vsebin (deepfake), ki lahko vplivajo na zaupanje v institucije.
Hkrati pa imajo takšni modeli pomembno vlogo tudi pri krepitvi kibernetske odpornosti, saj omogočajo:
- hitrejše zaznavanje groženj,
- napredno analizo varnostnih dogodkov,
- učinkovitejše odzivanje na incidente,
- izboljšano upravljanje ranljivosti.
Omejen in nadzorovan dostop do takšnih zmogljivosti ter sodelovanje z zaupanja vrednimi partnerji predstavljata odgovoren pristop k uvajanju naprednih UI tehnologij. Pri razvoju in uporabi teh sistemov je ključno zagotoviti ustrezne varovalke, nadzor nad razkritjem zmogljivosti ter sodelovanje z varnostno skupnostjo.
Organizacijam priporočamo:
- okrepitev osnovne varnosti informacijskih sistemov,
- pregled in redno posodabljanje inventarja informacijskih oz. digitalnih sredstev in storitev,
- dosledno izvajanje upravljanja ranljivosti in nameščanja varnostnih popravkov (zmanjšanje potrebnega časa za namestitev popravkov),
- omogočanje samodejnih posodobitev, kadar je to mogoče,
- priprava ocene tveganj povezanih z uporabo umetne inteligence,
- zmanjšanje števila izpostavljenih in iz interneta dostopnih sistemov, posebno pozornost namenite sistemom, ki niso več podprti oziroma nimajo več posodobitev,
- zagotavljanje 24/7 spremljanja in odzivanja (na primer prek storitev Management Detection and Response),
- premislek glede prehoda na zmogljivega ponudnika v oblaku za okolja, za katera ni zagotovljena ustrezna zaščita,
- uvedba večfaktorske avtentikacije z visoko stopnjo varnosti,
- uporaba in nameščanje varnostno pregledanih programskih komponent (varnost dobavne verige),
- preverjanje nivoja beleženja dnevniških zapisov, predvsem za sisteme, ki so dosegljivi iz interneta,
- spremljanje in pregledovanje dnevniških zapisov za morebitne poskuse izkoriščanja ranljivosti,
- spremljanje obvestil pristojnih nacionalnih in evropskih organov.
V kontekstu izvajanja Direktive NIS2 in nacionalne zakonodaje (konkretno Zakona o informacijski varnosti, ZInfV-1) je ključno, da zavezanci umetno inteligenco vključujejo premišljeno in odgovorno, ob ustreznem upravljanju tveganj.
URSIV bo še naprej spremljal razvoj umetne inteligence na področju kibernetske varnosti ter po potrebi posodabljal priporočila za zagotavljanje visoke ravni kibernetske odpornosti v Republiki Sloveniji.