Vlade moraju osigurati da oni koji štite digitalne sustave raspolažu naprednijim alatima od onih koji ih napadaju.
Ono što je trebalo biti obilježavanje Mjeseca podizanja svijesti o kibernetičkoj sigurnosti, stručnjaci sada nazivaju „Crnim listopadom”. Posljednjih tjedana uobičajeni valovi hakerskih napada i sigurnosnih propusta, s kojima se informatički stručnjaci svakodnevno bore, prerasli su u pravu poplavu. Glavni razlog je umjetna inteligencija (AI), koja je kibernetički kriminal podigla na potpuno novu razinu.
Otvoreni AI modeli omogućili su napadačima da djeluju nevjerojatnom brzinom, učinkovitošću i upornošću. Posljedica je da su sigurnosni propusti, za čije bi otkrivanje inače bile potrebne godine, pronađeni u svega nekoliko dana.
Razmjeri otkrivenih propusta kreću se od šokantnih do gotovo nevjerojatnih. Informatički stručnjaci morali su hitno reagirati na ranjivost u programskom jeziku PHP, koji se široko koristi, a koja je napadačima omogućavala preuzimanje kontrole nad bilo kojim računalom koje ga koristi.
U nekoliko europskih supermarketa zamrzivači su se isključili nakon naredbi kibernetičkih kriminalaca. Otkriveno je i da je privatni ključ jednog od ključnih internetskih sigurnosnih certifikata imao vrijednost „4”, iako bi trebao sadržavati stotinu znamenki. Pritom nitko ne zna koliko je drugih sigurnosnih propusta pronađeno i iskorišteno, a da javnost za njih nikada nije saznala.
Umjetna inteligencija mijenja odnos snaga između hakera i stručnjaka za sigurnost
Ovi događaji ozbiljno su uzdrmali uvjerenje brojnih stručnjaka i analitičara, uključujući i one koji su smatrali da će poremećaji koje umjetna inteligencija izaziva u području kibernetičke sigurnosti biti kratkotrajni te da će ista tehnologija više pomoći onima koji štite digitalne sustave nego kriminalcima koji ih napadaju.
Takva očekivanja sve se više pokazuju pogrešnima. Umjesto toga, digitalna infrastruktura o kojoj ovisi suvremeni život postaje sve ranjivija na napade potpomognute umjetnom inteligencijom. Zbog toga je potrebno hitno poduzeti mjere zaštite.
Zašto se oni koji brane digitalne sustave sve teže nose s prijetnjama? Jedan od glavnih razloga jest činjenica da mnogi nemaju pristup najnaprednijim tehnološkim alatima.
Američka tehnološka tvrtka Anthropic u travnju je pokrenula projekt „Project Glasswing”, zatvoreni program koji odabranim sudionicima omogućuje pristup punim kibernetičkim mogućnostima svojih najnaprednijih AI modela. Prvotna je namjera bila postupno proširiti članstvo na veći broj organizacija. Sličan program pokrenuo je i OpenAI, uz obećanje da će pristup svojim alatima učiniti dostupnijim.
Međutim, pristup moćnim modelima umjetne inteligencije postao je i pitanje geopolitike. Obje tehnološke kompanije sada moraju dobiti odobrenje američke savezne vlade prije nego što u svoje programe prime nove članove. Zbog toga je njihovo proširenje postalo spor i politički zahtjevan proces.
U međuvremenu, organizacije koje nemaju pristup tim alatima moraju se braniti istim otvorenim AI modelima koje koriste i napadači. Neke su se tako našle u nezavidnom položaju: ne mogu koristiti američku tehnologiju, ali istodobno zaziru od kineskih alternativa.
Sigurnosne zakrpe mogu pomoći i hakerima
Drugi veliki problem proizlazi iz činjenice da čak i dobronamjerna uporaba umjetne inteligencije može izazvati neželjene posljedice.
Čim se objavi sigurnosna zakrpa za novootkrivenu ranjivost, hakeri mogu analizirati njezin sadržaj pomoću vlastitih AI modela. Na taj način mogu otkriti što je točno bilo ranjivo i kako iskoristiti taj propust u sustavima koji još nisu ažurirani.
Situacija može biti još gora ako sigurnosna zakrpa procuri prije nego što bude službeno objavljena i dostupna onima koji trebaju zaštititi svoje sustave. Upravo se takav scenarij dogodio u slučaju PHP-a, čime su napadači dobili dodatnu prednost nad nezaštićenim sustavima.
Treći problem odnosi se na brzinu i razmjere napada. Umjetna inteligencija omogućuje kriminalcima da u vrlo kratkom vremenu pronađu i iskoriste velik broj uobičajenih sigurnosnih propusta.
Kibernetička sigurnost ne ovisi samo o tome postoje li kvalitetni sigurnosni sustavi, nego i o tome primjenjuju li se oni pravilno u praksi. Nažalost, umjetna inteligencija olakšala je iskorištavanje ljudske nepažnje, ali nije istodobno učinila korisnike računala opreznijima.
Primjerice, hladnjak povezan s internetom koji koristi zastarjeli softver ili tvornički zadanu lozinku već je desetljećima poznat sigurnosni rizik. No napadačima je tek sada postalo toliko jednostavno automatizirati potragu za takvim slabostima i istodobno pokrenuti tisuće napada.
Vlade i kompanije moraju ojačati digitalnu obranu
Kompanije i vlade moraju odlučnije reagirati na ove prijetnje. Ključno je stvoriti neravnotežu u kibernetičkim sposobnostima u korist onih koji brane sustave.
Kada obje strane raspolažu jednakom tehnologijom, branitelji imaju određenu prirodnu prednost: za zaštitu sustava dovoljno je pronaći i ukloniti pojedinačne sigurnosne propuste. Napadači, s druge strane, najčešće moraju pronaći čitav niz međusobno povezanih ranjivosti kako bi uspješno provalili u neki sustav.
Međutim, s porastom napada potpomognutih umjetnom inteligencijom ta prednost više nije dovoljna. Oni koji štite digitalnu infrastrukturu trebaju znatno snažnije alate.
Američka vlada trebala bi zauzeti fleksibilniji pristup uključivanju novih članova u programe kibernetičke obrane ili barem ubrzati postupak njihova odobravanja.
Istodobno bi trebalo dodatno ograničiti mogućnosti napadača. Kineska vlada prepoznala je opasnost nekontroliranog širenja moćnih kibernetičkih alata te od laboratorija zahtijeva ograničavanje razornog potencijala novih sustava prije njihova javnog objavljivanja.
Organizacije koje još ne koriste umjetnu inteligenciju za kontinuirano pronalaženje i uklanjanje sigurnosnih propusta već zaostaju i moraju što prije nadoknaditi taj zaostatak.
Pojedinim organizacijama potrebna je i dodatna pomoć. U Sjedinjenim Američkim Državama inicijative poput teksaškog projekta „Project Watershed 250” usmjeravaju sredstva prema pružateljima infrastrukturnih usluga kako bi im pomogle u uspostavljanju osnovnih sigurnosnih standarda. Takve programe trebalo bi dodatno proširiti.
Dugoročno gledano, softverska industrija mogla bi razviti metode kojima bi se određeni programski kod mogao matematički provjeriti i dokazati da ne sadrži sigurnosne ranjivosti. Takav bi pristup bio sličan matematičkom dokazivanju teorema.
Velika kibernetička katastrofa mogla bi ugroziti cijelo društvo
Trgovina, infrastruktura, komunikacija i međuljudski odnosi danas uvelike ovise o pretpostavci da je internet sigurno okruženje.
Zbog toga bi iznenadni gubitak kibernetičke sigurnosti predstavljao ozbiljnu prijetnju čitavom društvu. Posljedice ne bi bile ograničene samo na krađu podataka ili financijske prijevare, nego bi mogle zahvatiti ključne sustave o kojima svakodnevno ovise građani, gospodarstvo i državne institucije.
Svijet je tijekom posljednjih mjesec dana postao svjesniji razmjera kibernetičkih prijetnji. No sama svijest nije dovoljna.
Vlade, tehnološke kompanije i organizacije moraju djelovati odmah. U suprotnom bi umjetna inteligencija, umjesto alata za napredak, mogla postati jedno od najvećih sigurnosnih oružja protiv suvremenog društva.