Истинската промяна в киберзаплахите не е появата на изцяло нови техники, а оптимизирането на добре познатите атаки

Изкуственият интелект все по-често е в центъра на разговорите за бъдещето на киберсигурността. Обикновено вниманието е насочено към най-видимите сценарии – генериран от ИИ зловреден код, deepfake измами, автономни атаки и появата на изцяло нови категории заплахи.

Тези рискове безспорно са важни. Но подобен фокус може да прикрие далеч по-съществена промяна, която вече се случва.

Най-голямото въздействие на ИИ върху киберпрестъпността не е непременно в създаването на нови оръжия, а в оптимизирането на съществуващите.

Фишингът, кражбата на идентификационни данни, разузнаването, зловредният софтуер и многоетапните атаки не са нови явления. Това, което се променя, е икономиката зад тях – необходимото време, човешки ресурс, експертиза и усилия за извършването им.

ИИ позволява на нападателите да автоматизират повтарящи се задачи, да анализират огромни обеми информация и да персонализират действията си с невиждана досега скорост.

Атаката вече не е просто последователност от действия

Всяка успешна кибератака има определен оперативен процес. Нападателят трябва да открие потенциалната жертва, да събере информация, да идентифицира слабости, да получи първоначален достъп и след това да адаптира действията си според реакцията на защитата.

В миналото значителна част от тази работа изискваше човешко участие.

Трябваше да бъде проучена организацията, да бъдат открити подходящи служители, да бъдат избрани конкретни техники и да се прецени как да се действа, когато определен подход не даде резултат.

ИИ съкращава този цикъл.

Той може да подпомага анализа на информация, да ускорява повтарящи се операции, да персонализира комуникацията и да подпомага адаптирането на атаката.

Затова по-важният въпрос вече не е „Създадена ли е тази атака от ИИ?“.

По-същественият въпрос е:

„Използва ли нападателят ИИ, за да извърши атаката по-ефективно?“

Тази промяна е фундаментална, защото дори когато използваната техника е напълно позната, нейното изпълнение може да бъде значително по-бързо.

Разузнаването се превръща в непрекъснат процес

Разузнаването винаги е било основа на успешната атака. Колкото повече информация има нападателят за дадена организация, толкова по-добре може да подбере подхода си.

Традиционно разузнаването се разглеждаше като подготвителна фаза – първо се събира информация, след това започва атаката.

ИИ променя тази логика.

Вместо еднократен процес разузнаването може да се превърне в непрекъсната оптимизация. Информацията може да бъде анализирана постоянно, а новите данни да се използват за промяна на следващите действия.

Това позволява на нападателите да не разчитат единствено на предварително подготвен сценарий.

Атаката може да се адаптира към средата.

Това е важна промяна и от гледна точка на защитниците. Сигналът, който изглежда незначителен в един момент, може да придобие съвсем различно значение, когато бъде свързан с други действия, извършени по-късно.

Социалното инженерство става по-трудно за разпознаване

Човешкият фактор остава един от най-атакуваните елементи в корпоративната сигурност.

Фишингът и социалното инженерство работят, защото атакуващите не се опитват непременно да пробият техническа защита. Те се опитват да убедят човек да направи нещо вместо тях.

ИИ увеличава възможностите за персонализация.

Нападателите могат да анализират публично достъпна информация, да изграждат по-добър контекст за конкретна организация и да създават съобщения, които изглеждат по-близки до нормалната бизнес комуникация.

Това засяга особено измамите с бизнес кореспонденция, опитите за представяне за ръководители и други атаки, базирани на доверие.

Основният механизъм не се е променил.

Променила се е ефективността.

А когато персонализираната атака може да бъде генерирана и адаптирана автоматично, мащабът на проблема се увеличава.

Атаките срещу идентичности стават по-координирани

Идентичността е сред най-ценните цели за киберпрестъпниците. Компрометиран акаунт може да даде достъп до електронна поща, облачни услуги, бизнес приложения и други ресурси.

Класическите атаки с голям брой опити често оставят очевидни следи. Множество заявки от един източник или необичайна активност за кратък период могат да задействат защитни механизми.

Тук отново се появява предимството на оптимизацията.

ИИ може да подпомага промяната на времето на атаките, разпределянето на активността и адаптирането на поведението според резултатите.

Това означава, че проблемът вече не е само колко голяма е атаката.

Проблемът е колко добре е координирана.

Защитниците не се сблъскват единствено с повече заявки или повече опити. Те се сблъскват с атаки, които могат да бъдат оптимизирани спрямо реакцията на защитните системи.

Зловредният софтуер също се адаптира

Зловредният софтуер отдавна се променя, за да избегне откриването.

ИИ може да ускори този процес, като подпомага създаването на различни варианти, анализа на резултатите и промяната на конкретни характеристики, без да се променя основната цел на атаката.

Това създава ново предизвикателство.

Вместо защитата да се концентрира само върху разпознаването на конкретен файл, тя трябва да разбира поведението и последователността на действията.

Това е съществено разграничение.

Ако защитата разчита прекалено силно на идентифицирането на конкретен образец, адаптивната атака може да промени формата си. Ако защитата анализира поведението, връзките между събитията и контекста, възможността за откриване остава по-голяма.

Най-опасна е комбинацията от познати техники

Вероятно най-съществената промяна няма да бъде свързана с една конкретна ИИ техника.

Тя ще произтича от координацията между вече съществуващите техники.

Съвременната атака може да обхваща идентичности, крайни устройства, електронна поща, облачни услуги, приложения и данни. Отделните събития могат да изглеждат несвързани.

В комбинация обаче те могат да представляват единна операция.

ИИ прави възможно по-бързото обработване на тази информация и по-бързото адаптиране към резултатите.

Така традиционните техники получават нова оперативна ефективност.

ИИ не премахва необходимостта от фишинг, разузнаване или кражба на идентичности – той може да ги превърне в по-добре организирана и мащабируема операция.

Това променя и работата на защитниците

Ако атакуващите ускоряват своите операции, защитниците не могат да разчитат на процеси, основани изцяло на ръчен анализ.

Повече сигнали не означават автоматично по-добра защита.

Напротив – огромният поток от предупреждения може да затрудни екипите, ако липсва възможност за автоматизирано свързване на събитията и приоритизиране на реалния риск.

Затова следващият етап от развитието на киберсигурността ще бъде свързан не само с това колко данни може да събере една организация, а с това колко бързо може да превърне данните в разбиране и след това в действие.

Тук ИИ може да има ролята на защитен инструмент.

Технологията може да подпомага анализирането на големи обеми телеметрия, откриването на аномалии, търсенето на зависимости между отделни сигнали и ускоряването на разследванията.

Но това изисква правилна архитектура и качествени данни.

ИИ не компенсира липсата на основни защитни контроли. Той увеличава стойността на добре организираните процеси, но може да увеличи и последствията от лошо структурирана среда.

Новата битка е за оперативния капацитет

Традиционният подход към киберсигурността често е свързан с натрупването на повече инструменти и повече хора.

Но ако скоростта на атаките продължи да се увеличава, този модел има естествено ограничение.

Организацията не може безкрайно да добавя анализатори, за да обработва все по-голям обем сигнали.

Точно затова оперативният капацитет се превръща в ключов фактор за киберсигурността.

Въпросът е дали защитният екип може достатъчно бързо да премине от информация към разбиране и от разбиране към реакция.

Това е особено важно при многоетапни атаки, при които отделните сигнали могат да изглеждат маловажни, докато не бъдат разгледани в общ контекст.

Киберсигурността навлиза в надпревара по скорост

ИИ променя икономиката на кибератаките.

Той намалява времето и усилията, необходими за извършването на редица познати операции. Позволява по-голяма персонализация, автоматизация и адаптивност.

Това означава, че киберсигурността навлиза в нова фаза, в която скоростта на реакцията се превръща в толкова важен фактор, колкото и качеството на самата защита.

Организациите трябва да се подготвят не просто за „атаки с ИИ“, а за противник, който използва ИИ като инструмент за оптимизиране на целия процес – от разузнаването до изпълнението и адаптирането.

Това е по-важният урок.

Не е необходимо следващата атака да бъде напълно нова, за да бъде по-опасна.

Достатъчно е познатата атака да бъде извършена по-бързо, по-точно и в по-голям мащаб.

Именно тази промяна превръща ИИ в своеобразен мултипликатор на киберриска – не защото автоматично създава невиждани заплахи, а защото прави вече работещите методи значително по-ефективни.

Защитата трябва да отговори със същата логика – повече автоматизация, по-добър анализ на контекста, по-бързо разследване и способност за действие в реално време.

В противен случай разликата между скоростта на нападателя и скоростта на защитника ще продължи да се увеличава.