Искусственный интеллект меняет экономику кибератак и киберзащиты.

Ограничения, которые когда-то препятствовали проведению сложных киберопераций, направленных против целых государств, начинают исчезать. Ранее для осуществления крупномасштабной кибератаки требовалась мобилизация огромного количества экспертов. Кибератаки с использованием искусственного интеллекта набирают обороты.

Когда стоимость привлечения квалифицированного злоумышленника приближается к стоимости вычислительных мощностей, уравнение атаки кардинально меняется.

Это уже стало реальностью на практике: исследование угроз, проведенное компанией Dream, выявило автономную многоагентную структуру, которая запускала хакерские кампании против государственных учреждений в Азии, выполнив двенадцать волн атак за четыре дня с помощью восьми параллельных агентов, скомпрометировав 85 государственных учетных записей и используя замкнутый цикл обучения для адаптации после каждой неудачи.

В настоящее время акцент смещается с количества экспертов на то, насколько эффективно они расширяют свои знания и навыки.

Искусственный интеллект приносит пользу как нападающим, так и защитникам, но у защитников есть уникальное преимущество: у них уже есть карта, которую нападающим предстоит обнаружить.

Вооруженные силы, понимающие окружающую среду, могут использовать искусственный интеллект для преобразования этих знаний в широкие оперативные возможности. Интеграция оборонительных возможностей.

независимый правительственный хакер, использующий искусственный интеллект

В июле прошлого года нашей группе по исследованию угроз удалось восстановить рабочее пространство независимой от множества агентов системы, проводившей хакерские атаки на государственные структуры в Азии.

Примерно за четыре дня эта система осуществила двенадцать волн атак и одновременно запустила до восьми агентов искусственного интеллекта. Используя общедоступные фреймворки Hermes и OpenClaw, она взломала 85 учетных записей государственных служащих и использовала 84 из них для проникновения в систему единого входа в систему правительства.

Что действительно интересно, так это его способность самостоятельно принимать оперативные решения. Вот пределы возможностей искусственного интеллекта.

Определение уровней доверия

Каждому открытию присваивался байесовский показатель достоверности для оценки различных путей, после чего выбирался один из способов дальнейших действий, как в реальной команде.

Аналогичным образом, когда попытка атаки терпела неудачу, система автоматически переходила в так называемый «цикл обучения», осуществляя поиск в базах данных уязвимостей и используя соответствующие методы исследования безопасности в рамках технологического стека соответствующего правительства, а затем повторяя попытку. По сути, система проводила самооценку, создавая замкнутый цикл обучения: исследование, проверка, выполнение, мониторинг результата, обновление оперативных знаний и повторная попытка.

Это была не самосовершенствующаяся модель. Это была самоадаптирующаяся кибератака, поддержанная настоящим экспертом и встроенная в систему искусственного интеллекта. Основные принципы этой атаки не были особенно впечатляющими или новыми. Но её масштаб — и почти бесконечная масштабируемость — вот что вызывает тревогу. Мышление хакера.

До недавнего времени ключевым ограничивающим фактором в масштабировании сложных наступательных операций было необходимость экспертного мышления для определения того, что нужно исследовать, проверки результатов, сопоставления их с жизнеспособными путями атаки и адаптации в случае сбоя этих путей. Эти операции были дорогостоящими как с точки зрения финансовых ресурсов, так и человеческого капитала. Этот дефицит, естественно, ограничивал масштаб атак, поскольку масштабирование сложной операции означало увеличение числа квалифицированных специалистов, времени и необходимой координации.

Искусственный интеллект начал автоматизировать этот дорогостоящий слой процессов с высокой точностью: определение того, что необходимо исследовать, проверка гипотез, извлечение уроков из ошибок и выбор следующего шага. Хотя качество этих решений по-прежнему определяется талантливыми людьми, количество талантливых специалистов больше не является единственным фактором, определяющим, как часто эти решения могут приниматься параллельно.

Что происходит, когда расширение наступательной операции не требует увеличения числа специалистов, выполняющих её с той же скоростью?

Как человек, проработавший 15 лет в сфере наступательной и оборонительной кибербезопасности, я с каждым днем ​​все яснее понимаю, что искусственный интеллект изменил эту ситуацию; историческая взаимосвязь между количеством экспертов, которыми располагает организация, и масштабом выполняемых ею операций начинает исчезать.

Искусственный интеллект не устраняет талант, а скорее меняет то, чего талант может достичь в более широком масштабе.

Нападение масштабов целой страны.

Информационная инфраструктура правительства представляет собой взаимосвязанную экосистему, создававшуюся на протяжении десятилетий. Она включает в себя министерства, муниципалитеты, операционные технологии, устаревшие приложения, облачные сервисы, подрядчиков, поставщиков и бесчисленные доверительные отношения, которые связывают их воедино.

Эти контакты обычно существуют по законным оперативным причинам (или, по крайней мере, по причинам, которые исторически были законными).

Естественно, каждое соединение представляет собой потенциальное слабое место.

Именно так распространяются современные правительственные атаки: не обязательно за счет использования одной критической уязвимости, а путем объединения нескольких распространенных уязвимостей. Мышление хакера стало жизненно важной стратегией для понимания этих механизмов.

Исторически это представляло собой проблему для обеих сторон. Ни одна команда защиты не могла непрерывно анализировать каждый актив, личность, состав, уязвимость и отношения доверия в масштабах всей страны. Но злоумышленники сталкивались с аналогичным ограничением: их экспертам также приходилось определять, куда направить свое время, чтобы найти жизнеспособный путь от проникновения к наиболее ценным активам. Поэтому интеграция средств защиты стала крайне важной.

Автономные системы меняют эту реальность.

Независимому злоумышленнику не нужно заранее понимать всю правительственную среду. Вместо этого он может непрерывно исследовать её: выявлять взаимосвязи, формулировать гипотезы, проверять их, извлекать уроки из результатов, а затем переходить к следующему шагу.

Впервые правительства могут столкнуться с противниками, способными анализировать потенциальные угрозы в национальном масштабе быстрее, чем институты, ответственные за их защиту.

Гонка за изменением счета

Резкое снижение стоимости услуг специалистов по кибербезопасности, достигнутое за счет использования и разработки агентов в качестве оружия, представляет собой радикальный сдвиг. До недавнего времени эти навыки были доступны лишь избранным и обходились непомерно дорого. Этот всплеск кибератак с использованием искусственного интеллекта побудил OpenAI и более 100 других компаний предупредить о его последствиях.

Сегодня обнаружение, определение приоритетов и интеграция этих технологий в жизнеспособные наступательные стратегии стали недорогими, и этот процесс можно быстро воспроизвести автоматически.

С развитием искусственного интеллекта эта реальность становится все более очевидной с каждым днем.

Наступательные возможности постоянно расширяются, становясь дешевле, быстрее и проще в воспроизведении.

Но есть и другая сторона медали.

Системы защиты всегда обладали структурными преимуществами: телеметрическими данными, более глубоким контекстом, постоянным доступом к своей инфраструктуре, знанием ее конфигураций, идентификаторов и взаимосвязей, а также гораздо большей способностью к действиям. Для обеспечения оперативного превосходства необходимо интегрировать эти оборонительные возможности.

Но и они были ограничены человеческими возможностями. Ни одна команда не могла непрерывно анализировать всю эту информацию, охватывающую все ресурсы и взаимосвязи, постоянно. Тот же искусственный интеллект, который приносит пользу злоумышленникам, может также позволить защитникам получить историческое преимущество в больших масштабах.

В данном случае время имеет решающее значение. Анализ всего — это не то же самое, что защита всего. Если ИИ обнаруживает скомпрометированную учетную запись за секунды, но учетные данные остаются активными в течение шести часов, у злоумышленника все еще есть шесть часов. И если он обнаруживает уязвимый путь к критически важной системе, но обработка запроса занимает три недели, этот путь останется открытым в течение этих трех недель.

Таким образом, реальная возможность заключается не просто в улучшении анализа. Речь идёт о сокращении «времени для принятия эффективных мер»: времени между пониманием риска и изменением результата. Зачастую этот пробел в прозрачности является проблемой, препятствующей принятию обоснованных решений.

Здесь решающее значение имеет эффективность; блокировка учетной записи, изменение правила брандмауэра или устранение уязвимости недостаточно. Система должна убедиться, что злоумышленник больше не может достичь своей цели.

Оборонительный цикл не может ограничиваться лишь сбором разведывательной информации или даже принятием мер. Он должен завершаться доказанным и поддающимся проверке результатом в области безопасности.

Критический разрыв

Искусственный интеллект не обязательно дает преимущество злоумышленнику.

Обнаруженная система должна была собирать информацию об окружающей среде шаг за шагом. В отличие от неё, у защитников эта карта уже была. На обнаружение каждой настройки, учетных данных, потока телеметрии и доверительных отношений злоумышленнику — даже при поддержке ИИ — могли потребоваться дни или недели. Однако защитники никогда не могли непрерывно анализировать все имеющиеся у них ресурсы из-за отсутствия экспертных знаний — пробел в прозрачности, препятствующий принятию обоснованных решений.

Искусственный интеллект начинает снимать это ограничение, связанное с вниманием человека. Он позволяет специалистам по защите расширять возможности экспертов в тысячах параллельных расследований, постоянно выявлять пути атак, расставлять приоритеты для тех, которые представляют наибольший риск, и концентрировать действия там, где они наиболее важны.

Нападающие получают то же преимущество, но начинают с разных точек. Защитники же обладают преимуществом контроля над территорией: они уже знают и контролируют окружение, которое должен исследовать нападающий.

Ключевым фактором разрыва является уже не просто количество экспертов с каждой стороны, а то, насколько эффективно каждая сторона расширяет этот опыт и направляет его в первую очередь на выявление и устранение правильных рисков.

В конечном счете, суть гонки не в том, кто сможет узнать о Plus.

Скорее, речь идет о том, кто сможет правильно расширить спектр талантов и сначала превратить это расширение в ощутимые результаты.