Штучний інтелект змінює правила кібервійни – хто тепер має перевагу

Тривалий час масштаб складних кібероперацій безпосередньо залежав від кількості досвідчених фахівців. Щоб провести атаку на велику організацію або державну систему, потрібні були люди, здатні шукати вразливості, аналізувати інфраструктуру, будувати ланцюжки атак і змінювати тактику після невдачі. Про це пише Techradar.

Чому ШІ змінює економіку кібератак?

Тепер частину цієї роботи починають виконувати системи штучного інтелекту. За словами Кфіра Флейшера, віцепрезидента з продукту та кібердосліджень DreamGroup, саме це поступово руйнує старий зв'язок між кількістю експертів і масштабом операції.

ШІ не усуває талант – він змінює те, що цей талант може масштабувати.

Флейшер, який протягом 15 років працював як у наступальній, так і в оборонній кібербезпеці, вважає, що ключова зміна полягає не просто у використанні ШІ для автоматизації окремих завдань. Йдеться про можливість багаторазово масштабувати експертні рішення.

Якщо раніше збільшення кількості складних атак вимагало залучення нових спеціалістів, то тепер одна команда може використовувати ШІ-агентів для одночасного виконання великої кількості розслідувань і пошуку шляхів проникнення.

Експеримент, який показує нову реальність

У липні команда дослідників DreamGroup виявила робоче середовище автономної мультиагентної системи, яка проводила кампанії з проникнення в державні структури в Азії.

Приблизно за чотири дні система провела 12 хвиль атак, одночасно використовуючи до восьми ШІ-агентів. У результаті було скомпрометовано 85 облікових записів державних службовців. 84 з них система використала для подальшого переміщення через державне середовище єдиного входу.

Система була побудована на загальнодоступних фреймворках Hermes та OpenClaw. Особливо важливим дослідники вважають не сам факт автоматизації, а спосіб, у який система ухвалювала рішення.

Кожне виявлення оцінювалося за допомогою байєсівського показника впевненості. На його основі система визначала, який із потенційних шляхів варто перевірити далі.

Якщо певний напрямок не спрацьовував, система переходила до так званого циклу навчання. Вона шукала відповідні бази даних вразливостей та дослідження з кібербезпеки, орієнтуючись на технології конкретної державної структури, після чого повторювала спробу. Таким чином формувався замкнений цикл: дослідження, перевірка, дія, аналіз результату, оновлення оперативних знань і нова спроба.

Водночас Флейшер наголошує, що ця система не була моделлю, яка самостійно вдосконалює себе. Точніше її називати самоадаптивним кіберзловмисником, у якому ШІ виконує роль системи, що реалізує експертні рішення людини. При цьому технічні основи операції не були особливо новими чи революційними. Найбільше занепокоєння викликає інше – масштаб, якого можна досягти за допомогою автоматизації.

Чому державні мережі особливо вразливі?

ІТ-інфраструктура сучасної держави формувалася десятиліттями. Вона включає міністерства, муніципалітети, застарілі програми, хмарні сервіси, операційні технології, підрядників, постачальників та величезну кількість зв'язків між різними системами.

Більшість таких з'єднань створювалися з цілком легітимних операційних причин. Однак кожен зв'язок одночасно може стати потенційною точкою для атаки. Сучасний злам великої державної системи не обов'язково починається з пошуку однієї критичної вразливості. Значно небезпечнішим може бути послідовне поєднання багатьох звичайних слабких місць.

Раніше це створювало проблему і для нападників. Навіть дуже досвідчені команди фізично не могли постійно аналізувати кожен актив, обліковий запис, налаштування, вразливість і довірчий зв'язок у масштабах цілої держави.

ШІ-атакувальнику не потрібно одразу знати всю архітектуру державної мережі. Він може досліджувати її поступово: виявити зв'язок, сформувати гіпотезу, перевірити її, проаналізувати результат і перейти до наступного варіанта. Це створює нову ситуацію, за якої противник потенційно може аналізувати інфраструктуру на національному рівні швидше, ніж установи, які відповідають за її захист.

Атаки стають дешевшими та швидшими

Однією з найважливіших змін Флейшер називає різке падіння вартості використання кіберекспертизи в наступальних операціях.

Раніше пошук вразливостей, визначення їхнього значення та побудова з них реального шляху атаки вимагали значної кількості людського часу й досвіду. Тепер ці процеси можна повторювати з машинною швидкістю. Це означає, що наступальні можливості стають дешевшими, швидшими та простішими для відтворення.

Причому зі зростанням можливостей ШІ ця тенденція, ймовірно, посилюється. Чим більше інтелектуальних операцій можна делегувати агентам, тим менше масштаб кібероперації залежить від кількості людей, які безпосередньо виконують кожне завдання. Але з цього не випливає, що ШІ автоматично дає перевагу нападникам.

У чому захисники все ще мають перевагу?

У кіберзахисту є принципова перевага, якої немає у більшості атакувальників – власна організація вже знає свою інфраструктуру.

Захисники мають доступ до телеметрії, конфігурацій, інформації про облікові записи, внутрішні зв'язки між системами та інших даних, які нападнику спочатку потрібно отримати.

Тобто атакувальник повинен створити карту чужого середовища самостійно. Захисник таку карту вже має. Проблема полягає в іншому. Людина не здатна безперервно аналізувати всі ці дані одночасно. Жодна команда не може постійно відстежувати кожен актив, кожну ідентичність, конфігурацію, вразливість і зв'язок.

Саме тут ШІ може працювати на користь захисту. Замість того щоб використовувати штучний інтелект лише для аналізу окремих сигналів, захисники можуть масштабувати роботу експертів на тисячі паралельних перевірок. Система може постійно шукати потенційні шляхи атаки, визначати найбільш небезпечні з них і допомагати спрямовувати ресурси туди, де ризик найбільший.

Отже, обидві сторони отримують приблизно той самий механізм масштабування. Але стартові позиції у них різні. Атакувальник отримує можливість швидше досліджувати чужу систему. Захисник отримує можливість значно ефективніше використовувати вже наявне знання про власну систему.

Чому швидкість реакції може бути важливішою за саме виявлення?

Одного виявлення загрози недостатньо. Уявімо, що система безпеки за кілька секунд визначила скомпрометований обліковий запис. Якщо при цьому облікові дані залишаються активними ще шість годин, нападник фактично отримує шість годин для продовження операції.

Аналогічна ситуація з вразливістю критичної системи. Якщо ШІ миттєво визначив можливий шлях до неї, але виправлення проблеми займає три тижні, весь цей час шлях залишається потенційно доступним для атакувальника.

Тому головним показником стає не лише якість аналізу, а час до ефективної дії – період між виявленням ризику та реальною зміною ситуації.

Причому дія повинна мати перевірений результат. Вимкнути обліковий запис, змінити правило брандмауера або встановити оновлення недостатньо. Система має переконатися, що після цього нападник справді більше не може досягнути своєї мети.

Саме тому оборонний цикл, на думку автора, не повинен завершуватися аналітикою або навіть виконанням певної дії. Він має завершуватися підтвердженим результатом безпеки.

Головна боротьба відбуватиметься за масштабування експертизи

Поява автономних ШІ-систем не означає, що люди більше не потрібні у кібербезпеці. Навпаки, якість рішень усе ще значною мірою залежить від рівня експертних знань, закладених у систему.

Змінюється інше – кількість разів, коли ці знання можна застосувати одночасно. Для нападників це означає можливість проводити більше розвідки, перевіряти більше гіпотез і швидше адаптуватися до невдач.

Для захисників – можливість постійно аналізувати значно більший обсяг власної інфраструктури, знаходити потенційні шляхи атаки та швидше реагувати на них. Тому головне питання майбутньої кібербезпеки полягає не просто в тому, у кого більше експертів або хто має потужнішу модель штучного інтелекту.

Вирішальним може стати те, наскільки ефективно організація здатна масштабувати експертні знання та перетворювати їх на конкретний результат швидше за противника.

Якщо атакувальники використовують ШІ для того, щоб дешевше і швидше знаходити нові шляхи проникнення, захисники можуть використати ту саму технологію для постійного аналізу власного середовища. І в цьому змаганні вони мають важливу перевагу – їм не потрібно спочатку відкривати карту власної інфраструктури.

Зрештою, боротьба переходить від питання "хто знає більше" до питання "хто швидше масштабує свої знання і першим змінює результат".