Krótka odpowiedź: Sztuczna inteligencja nie zastąpi cyberbezpieczeństwa od początku do końca, ale przejmie znaczną część powtarzalnych zadań SOC i inżynierii bezpieczeństwa. Używana jako reduktor szumów i narzędzie podsumowujące – z nadrzędnym zadaniem człowieka – przyspiesza selekcję i priorytetyzację; traktowana jako wyrocznia, może wprowadzać ryzykowne, fałszywe poczucie pewności.
Najważniejsze wnioski:
Zakres : Sztuczna inteligencja zastępuje zadania i przepływy pracy, a nie sam zawód czy odpowiedzialność.
Zmniejszenie wysiłku : użyj sztucznej inteligencji do grupowania alertów, zwięzłych podsumowań i selekcji wzorców logarytmicznych.
Odpowiedzialność za podejmowanie decyzji : Zachowaj ludzi ze względu na ich apetyt na ryzyko, dowodzenie incydentami i trudne kompromisy.
Odporność na niewłaściwe użycie : zaprojektowana w celu umożliwienia szybkich wstrzyknięć, zatruć i prób uniknięcia ataku przeciwnika.
Zarządzanie : egzekwowanie granic danych, możliwości audytu i kwestionowalnych zmian wprowadzanych przez człowieka w narzędziach.
Artykuły, które mogą Ci się spodobać po przeczytaniu tego:
🔗 Jak sztuczna inteligencja generatywna jest wykorzystywana w cyberbezpieczeństwie
Praktyczne sposoby wykorzystania sztucznej inteligencji do usprawniania wykrywania, reagowania i zapobiegania zagrożeniom.
🔗 Narzędzia do testów penetracyjnych AI dla cyberbezpieczeństwa
Najlepsze rozwiązania oparte na sztucznej inteligencji, umożliwiające automatyzację testów i wyszukiwanie luk w zabezpieczeniach.
🔗 Czy sztuczna inteligencja jest niebezpieczna? Zagrożenia i realia
Jasny obraz zagrożeń, mitów i odpowiedzialnych zabezpieczeń sztucznej inteligencji.
🔗 Przewodnik po najlepszych narzędziach bezpieczeństwa AI
Najlepsze narzędzia bezpieczeństwa wykorzystujące sztuczną inteligencję do ochrony systemów i danych.
Pułapką jest określenie „zastąpić” 😅
Kiedy ludzie pytają „Czy sztuczna inteligencja może zastąpić cyberbezpieczeństwo?” , mają zazwyczaj na myśli jedną z trzech rzeczy:
-
Zastąp analityków (nie potrzeba ludzi)
-
Zastąp narzędzia (jedna platforma AI robi wszystko)
-
Zastąp wyniki (mniej naruszeń, mniejsze ryzyko)
Sztuczna inteligencja najlepiej radzi sobie z zastępowaniem powtarzalnych działań i skracaniem czasu podejmowania decyzji. Najsłabiej radzi sobie z zastępowaniem odpowiedzialności, kontekstu i osądu. Bezpieczeństwo to nie tylko wykrywanie – to także trudne kompromisy, ograniczenia biznesowe, polityka (och) i ludzkie zachowania.
Wiesz, jak to jest – naruszenie nie wynikało z „braku alertów”. Chodziło o to, że ktoś nie uwierzył, że alert ma znaczenie. 🙃
Gdzie sztuczna inteligencja już „zastępuje” pracę w obszarze cyberbezpieczeństwa (w praktyce) ⚙️
Sztuczna inteligencja już przejmuje pewne kategorie prac, nawet jeśli struktura organizacyjna firm nadal wygląda tak samo.
1) Triaż i grupowanie alertów
-
Grupowanie podobnych alertów w pojedynczy incydent
-
Usuwanie duplikatów zaszumionych sygnałów
-
Ranking według prawdopodobnego wpływu
To ważne, bo triaż to moment, w którym ludzie tracą wolę życia. Jeśli sztuczna inteligencja choć trochę wyciszy hałas, to jak ściszenie alarmu przeciwpożarowego, który wyje od tygodni 🔥🔕
2) Analiza logów i wykrywanie anomalii
-
Wykrywanie podejrzanych wzorców z prędkością maszyny
-
Oznaczenie „jest to nietypowe w porównaniu z wartością bazową”
Nie jest idealne, ale może być cenne. Sztuczna inteligencja jest jak wykrywacz metalu na plaży – głośno piszczy, a czasami jest kapslem od butelki, ale czasami dzwonkiem 💍… albo skompromitowanym tokenem administratora.
3) Klasyfikacja złośliwego oprogramowania i phishingu
-
Klasyfikowanie załączników, adresów URL, domen
-
Wykrywanie podobnych marek i wzorców podrabiania
-
Automatyzacja podsumowań werdyktów w piaskownicy
4) Priorytetyzacja zarządzania podatnościami
Nie chodzi o to, „które CVE istnieją” – wszyscy wiemy, że jest ich zbyt wiele. Sztuczna inteligencja pomaga odpowiedzieć na:
-
Które prawdopodobnie nadają się do wykorzystania. EPSS (PIERWSZE)
-
Które są wystawione na zewnątrz
-
Która mapa wskazuje na cenne aktywa. Katalog CISA KEV
-
Które należy załatać w pierwszej kolejności, nie powodując zagrożenia dla organizacji. NIST SP 800-40 Rev. 4 (Zarządzanie poprawkami w przedsiębiorstwie)
I owszem, ludzie też mogliby to zrobić, gdyby czas był nieskończony i nikt nie brał urlopu.
Co sprawia, że sztuczna inteligencja w cyberbezpieczeństwie jest dobra?
To jest ta część, którą ludzie pomijają, a potem obwiniają „sztuczną inteligencję”, jakby to był pojedynczy produkt z emocjami.
Dobra wersja sztucznej inteligencji w cyberbezpieczeństwie charakteryzuje się następującymi cechami:
-
Wysoka dyscyplina sygnału do szumu
-
Chodzi o redukcję szumu, a nie o dodawanie dodatkowego szumu za pomocą wyszukanych fraz.
-
-
Wyjaśnialność, która pomaga w praktyce
-
To nie powieść. To nie wibracje. Prawdziwe wskazówki: co zobaczył, dlaczego mu zależy, co się zmieniło.
-
-
Ścisła integracja ze środowiskiem
-
IAM, telemetria punktów końcowych, postawa chmury, system zgłoszeń, inwentaryzacja zasobów... te mało efektowne rzeczy.
-
-
Wbudowana funkcja nadpisywania przez człowieka
-
Analitycy muszą to korygować, dostrajać, a czasem ignorować. Jak początkujący analityk, który nigdy nie śpi, ale od czasu do czasu wpada w panikę.
-
-
Bezpieczne przetwarzanie danych
-
Jasno określ granice dotyczące tego, co jest przechowywane, trenowane lub zachowywane. NIST AI RMF 1.0
-
-
Odporność na manipulację
-
Atakujący będą próbować natychmiastowego wstrzyknięcia, zatrucia i oszustwa. Zawsze tak robią. OWASP LLM01: Kodeks postępowania w zakresie cyberbezpieczeństwa w Wielkiej Brytanii dotyczący natychmiastowego wstrzyknięcia AI
-
Bądźmy szczerzy – wiele „zabezpieczeń AI” zawodzi, ponieważ jest wytrenowana tak, by brzmiała pewnie, a nie poprawnie. Pewność siebie to nie kontrola. 😵💫
Części, które AI ma problem z zastąpieniem - i ma to większe znaczenie, niż się wydaje 🧩
Oto niewygodna prawda: cyberbezpieczeństwo to nie tylko kwestia techniczna. To kwestia socjotechniczna. To ludzie, systemy i bodźce.
Sztuczna inteligencja zmaga się z:
1) Kontekst biznesowy i apetyt na ryzyko
Decyzje dotyczące bezpieczeństwa rzadko sprowadzają się do odpowiedzi „czy to złe”. Raczej brzmią one następująco:
-
Czy jest to na tyle poważne, że może zatrzymać przychody
-
Czy warto przerwać proces wdrażania?
-
Czy zespół kierowniczy zaakceptuje przestoje w tym zakresie?
Sztuczna inteligencja może pomóc, ale nie może tego zrobić sama. Ktoś podpisuje się pod decyzją. Ktoś odbiera telefon o 2 w nocy 📞
2) Dowodzenie incydentem i koordynacja międzyzespołowa
Podczas rzeczywistych incydentów „praca” polega na:
-
Znalezienie odpowiednich osób w pomieszczeniu
-
Uzgadnianie faktów bez paniki
-
Zarządzanie komunikacją, dowodami, problemami prawnymi, komunikatami dla klientów NIST SP 800-61 (Przewodnik po obsłudze incydentów)
Sztuczna inteligencja potrafi stworzyć oś czasu lub podsumować dzienniki, jasne. Zmiana przywództwa pod presją to… optymizm. To jak proszenie kalkulatora o przeprowadzenie ćwiczeń przeciwpożarowych.
3) Modelowanie zagrożeń i architektura
Modelowanie zagrożeń to po części logika, po części kreatywność i po części paranoja (przeważnie zdrowa paranoja).
-
Wyliczenie tego, co może pójść nie tak
-
Przewidywanie działań napastnika
-
Wybór najtańszej kontroli, która zmienia obliczenia atakującego
Sztuczna inteligencja może sugerować wzorce, ale prawdziwa wartość wynika ze znajomości swoich systemów, swoich ludzi, swoich skrótów i specyficznych zależności od starszej generacji.
4) Czynniki ludzkie i kultura
Phishing, ponowne wykorzystywanie danych uwierzytelniających, ukryta inteligencja, niedbałe kontrole dostępu – to wszystko problemy ludzkie, przebrane za osoby o technicznych obliczach.
Sztuczna inteligencja potrafi wykryć, dlaczego organizacja zachowuje się tak, a nie inaczej, ale nie potrafi tego naprawić.
Atakujący również korzystają ze sztucznej inteligencji, więc pole gry jest przechylone na bok 😈🤖
Każda dyskusja na temat zastąpienia cyberbezpieczeństwa musi uwzględniać oczywisty fakt: atakujący nie pozostają bierni.
Sztuczna inteligencja pomaga atakującym:
-
Napisz bardziej przekonujące wiadomości phishingowe (mniej błędów gramatycznych, więcej kontekstu) Ostrzeżenie FBI dotyczące phishingu z wykorzystaniem sztucznej inteligencji Ogłoszenie publiczne IC3 dotyczące generatywnego oszustwa/phishingu z wykorzystaniem sztucznej inteligencji
-
Szybciej generuj polimorficzne warianty złośliwego oprogramowania Raporty dotyczące zagrożeń OpenAI (przykłady złośliwego użycia)
-
Automatyzacja rozpoznania i inżynierii społecznej Europolu „Raport ChatGPT” (przegląd nadużyć)
-
Próby skalowania są tanie
Zatem wdrożenie sztucznej inteligencji przez obrońców nie jest opcjonalne w dłuższej perspektywie. To raczej tak… że zabierasz ze sobą latarkę, bo druga strona właśnie dostała gogle noktowizyjne. Niezgrabna metafora. Mimo wszystko całkiem prawdziwa.
Ponadto atakujący będą celować w same systemy sztucznej inteligencji:
-
Natychmiastowe wstrzyknięcie do kopilotów bezpieczeństwa OWASP LLM01: Natychmiastowe wstrzyknięcie
-
Zatruwanie danych w celu zniekształcenia modeli Kodeks postępowania w zakresie cyberbezpieczeństwa sztucznej inteligencji w Wielkiej Brytanii
-
Przykłady działań antagonistycznych w celu uniknięcia wykrycia MITRE ATLAS
-
Próby ekstrakcji modelu MITRE ATLAS
Bezpieczeństwo zawsze było zabawą w kotka i myszkę. Sztuczna inteligencja sprawia, że koty są szybsze, a myszy bardziej pomysłowe 🐭
Prawdziwa odpowiedź: sztuczna inteligencja zastępuje zadania, a nie odpowiedzialność ✅
To jest ta „niewygodna pozycja środkowa”, w której ląduje większość drużyn:
-
Sztuczna inteligencja radzi sobie ze skalą
-
Ludzie zajmują się stawkami
-
Razem zarządzają prędkością i osądem
W moich własnych testach obejmujących różne procesy związane z bezpieczeństwem zauważyłem, że sztuczna inteligencja sprawdza się najlepiej, gdy jest traktowana w następujący sposób:
-
Asystent triażowy
-
Podsumowanie
-
Silnik korelacji
-
Pomocnik polityczny
-
Towarzysz do przeglądu kodu w przypadku ryzykownych wzorców
Sztuczna inteligencja jest najgorsza, gdy traktuje się ją w następujący sposób:
-
Wyrocznia
-
Pojedynczy punkt prawdy
-
System obronny „ustaw i zapomnij”
-
Powód, dla którego zespół ma za mało personelu (to daje o sobie znać później… boleśnie)
To jak zatrudnienie psa stróżującego, który też pisze maile. Super. Ale czasami szczeka na odkurzacz i nie zauważa gościa przeskakującego przez płot. 🐶🧹
Tabela porównawcza (najczęściej wybierane przez zespoły opcje na co dzień) 📊
Poniżej zamieszczono praktyczną tabelę porównawczą – nie jest idealna, jest trochę nierówna, jak w prawdziwym życiu.
| Narzędzie / Platforma | Najlepsze dla (publiczności) | Atmosfera cenowa | Dlaczego to działa (i jego dziwactwa) |
|---|---|---|---|
| Microsoft Sentinel Microsoft Learn | Zespoły SOC działające w ekosystemach Microsoft | $$ - $$$ | Solidne wzorce SIEM oparte na chmurze; wiele łączników, mogą powodować zakłócenia, jeśli nie są dostrojone… |
| Splunk Splunk Enterprise Security | Większe organizacje z intensywnym rejestrowaniem i niestandardowymi potrzebami | $$$ (szczerze mówiąc, często $$$$) | Potężne wyszukiwanie + pulpity nawigacyjne; niesamowite, gdy są starannie dobrane, irytujące, gdy nikt nie dba o higienę danych |
| Operacje bezpieczeństwa Google Google Cloud | Zespoły chcące korzystać z telemetrii na skalę zarządzaną | $$ - $$$ | Dobre dla dużych zbiorów danych; jak wiele rzeczy, zależy od dojrzałości integracji |
| CrowdStrike Falcon CrowdStrike | Organizacje z dużą liczbą punktów końcowych, zespoły IR | $$$ | Dobra widoczność punktów końcowych; duża głębokość wykrywania, ale nadal potrzeba ludzi, którzy będą odpowiadać za reakcję |
| Microsoft Defender dla punktów końcowych Microsoft Learn | Organizacje z dużym udziałem M365 | $$ - $$$ | Ścisła integracja z systemem Microsoft; może być świetna, ale w przypadku nieprawidłowej konfiguracji może pojawić się „700 alertów w kolejce” |
| Palo Alto Cortex XSOAR Palo Alto Networks | SOC skoncentrowane na automatyzacji | $$$ | Podręczniki zmniejszają wysiłek; wymagają opieki, inaczej automatyzujesz nieporządek (tak, to jest możliwe) |
| Platforma Wiz Wiz | Zespoły ds. bezpieczeństwa w chmurze | $$$ | Dobra widoczność w chmurze; pomaga szybko ustalać priorytety ryzyka, ale nadal wymaga zarządzania |
| Platforma Snyk | Organizacje stawiające na rozwój, AppSec | $$ - $$$ | Przyjazne dla programistów przepływy pracy; sukces zależy od akceptacji przez programistów, a nie tylko od skanowania |
Mała uwaga: żadne narzędzie nie „wygrywa” samo w sobie. Najlepsze narzędzie to takie, którego twój zespół używa codziennie, nie czując do niego urazy. To nie nauka, to przetrwanie 😅
Realistyczny model operacyjny: jak zespoły wygrywają dzięki sztucznej inteligencji 🤝
Jeśli chcesz, aby sztuczna inteligencja znacząco poprawiła bezpieczeństwo, podręcznik zazwyczaj wygląda następująco:
Krok 1: Wykorzystaj sztuczną inteligencję, aby zmniejszyć wysiłek
-
Podsumowania wzbogacania alertów
-
Sporządzanie biletów
-
Listy kontrolne gromadzenia dowodów
-
Sugestie dotyczące zapytań dziennika
-
„Co się zmieniło” różni się w zależności od konfiguracji
Krok 2: Skorzystaj z pomocy ludzi w celu weryfikacji i podjęcia decyzji
-
Potwierdź wpływ i zakres
-
Wybierz działania powstrzymujące
-
Koordynuj poprawki międzyzespołowe
Krok 3: Zautomatyzuj bezpieczne rzeczy
Dobre cele automatyzacji:
-
Poddawanie kwarantannie znanych plików z dużym prawdopodobieństwem
-
Resetowanie poświadczeń po zweryfikowaniu naruszenia
-
Blokowanie ewidentnie złośliwych domen
-
Egzekwowanie korekty dryfu polityki (ostrożnie)
Ryzykowne cele automatyzacji:
-
Automatyczne izolowanie serwerów produkcyjnych bez zabezpieczeń
-
Usuwanie zasobów na podstawie niepewnych sygnałów
-
Blokowanie dużych zakresów adresów IP, bo „model tak chciał” 😬
Krok 4: Przekaż lekcje z powrotem do elementów sterujących
-
Strojenie po incydencie
-
Ulepszone wykrywanie
-
Lepszy stan zasobów (wieczny ból)
-
Węższe uprawnienia
W tym miejscu sztuczna inteligencja bardzo pomaga: podsumowuje analizy postmortem, mapuje luki w wykryciu błędów, przekształca nieporządek w powtarzalne ulepszenia.
Ukryte zagrożenia związane z bezpieczeństwem opartym na sztucznej inteligencji (tak, jest ich kilka) ⚠️
Jeśli zamierzasz intensywnie wdrażać sztuczną inteligencję, musisz wziąć pod uwagę potencjalne pułapki:
-
Wynaleziona pewność
-
Zespoły bezpieczeństwa potrzebują dowodów, a nie opowieści. Sztuczna inteligencja lubi opowieści. NIST AI RMF 1.0
-
-
Wyciek danych
-
Monity mogą przypadkowo zawierać poufne informacje. Logi są pełne sekretów, jeśli się dobrze przyjrzysz. 10 najlepszych OWASP dla aplikacji LLM
-
-
Nadmierne poleganie
-
Ludzie przestają uczyć się podstaw, bo drugi pilot „zawsze wie”… aż do momentu, w którym przestaje wiedzieć.
-
-
Dryf modelu
-
Środowiska się zmieniają. Wzorce ataków ulegają zmianom. Wykrycia gniją po cichu. NIST AI RMF 1.0
-
-
Nadużycia wrogie
-
Atakujący będą próbowali sterować, dezorientować lub wykorzystywać przepływy pracy oparte na sztucznej inteligencji. Wytyczne dotyczące bezpiecznego rozwoju systemów sztucznej inteligencji (NSA/CISA/NCSC-UK)
-
To tak, jakby zbudować bardzo inteligentny zamek, a potem zostawić klucz pod wycieraczką. Zamek to nie jedyny problem.
Czy zatem sztuczna inteligencja może zastąpić cyberbezpieczeństwo: jasna odpowiedź 🧼
Czy sztuczna inteligencja może zastąpić cyberbezpieczeństwo?
Może zastąpić wiele powtarzalnych zadań w cyberbezpieczeństwie. Może przyspieszyć wykrywanie, selekcję, analizę, a nawet etapy reagowania. Nie może jednak w pełni zastąpić tej dyscypliny, ponieważ cyberbezpieczeństwo to nie tylko jedno zadanie – to zarządzanie, architektura, zachowania ludzkie, zarządzanie incydentami i ciągła adaptacja.
Jeśli zależy Ci na najbardziej szczerym ujęciu (przepraszam, trochę bezpośrednim):
-
Sztuczna inteligencja zastępuje pracę biurową
-
Sztuczna inteligencja wzmacnia dobre zespoły
-
Sztuczna inteligencja ujawnia złe procesy
-
Ludzie pozostają odpowiedzialni za ryzyko i rzeczywistość
I tak, niektóre role ulegną zmianie. Zadania podstawowe będą się zmieniać najszybciej. Ale pojawią się też nowe zadania: bezpieczne przepływy pracy, walidacja modeli, inżynieria automatyzacji zabezpieczeń, inżynieria wykrywania z wykorzystaniem narzędzi wspomaganych przez sztuczną inteligencję… praca nie znika, ona mutuje 🧬
Podsumowanie i krótkie podsumowanie 🧾✨
Jeśli zastanawiasz się, co zrobić ze sztuczną inteligencją w dziedzinie bezpieczeństwa, oto praktyczne wskazówki:
-
Wykorzystaj sztuczną inteligencję do kompresji czasu — szybsza selekcja, szybsze podsumowania, szybsza korelacja.
-
Oceniaj ludzi pod kątem kontekstu, kompromisów, przywództwa, odpowiedzialności.
-
Załóżmy, że atakujący również używają sztucznej inteligencji – zaprojektuj ją z myślą o oszustwie i manipulacji. MITRE ATLAS dotyczące bezpiecznego rozwoju systemów sztucznej inteligencji (NSA/CISA/NCSC-UK)
-
Nie kupuj „magii” – kupuj przepływy pracy, które mierzalnie zmniejszają ryzyko i trud.
Tak, sztuczna inteligencja może zastąpić część pracy, i często robi to w sposób, który na pierwszy rzut oka wydaje się subtelny. Zwycięskim posunięciem jest uczynienie ze sztucznej inteligencji narzędzia, a nie zastępstwa.
A jeśli martwisz się o swoją karierę, skup się na aspektach, z którymi AI ma problemy: myśleniu systemowym, zarządzaniu incydentami, architekturze i byciu osobą, która potrafi odróżnić „ciekawy alert” od „zaraz będziemy mieli bardzo zły dzień”. 😄🔐
Często zadawane pytania
Czy sztuczna inteligencja może całkowicie zastąpić zespoły zajmujące się cyberbezpieczeństwem?
Sztuczna inteligencja może przejąć znaczną część zadań związanych z cyberbezpieczeństwem, ale nie całą dyscyplinę. Doskonale radzi sobie z powtarzalnymi zadaniami o dużej przepustowości, takimi jak grupowanie alertów, wykrywanie anomalii i tworzenie podsumowań wstępnych. Nie zastępuje jednak odpowiedzialności, kontekstu biznesowego i osądu, gdy stawka jest wysoka. W praktyce zespoły znajdują się w „niewygodnym punkcie pośrednim”, gdzie sztuczna inteligencja zapewnia skalę i szybkość, a ludzie zachowują kontrolę nad istotnymi decyzjami.
Gdzie sztuczna inteligencja zastępuje już codzienną pracę SOC?
W wielu centrach operacyjnych (SOC) sztuczna inteligencja (AI) przejmuje już czasochłonne zadania, takie jak triaż, usuwanie duplikatów i klasyfikowanie alertów według prawdopodobnego wpływu. Może również przyspieszyć analizę logów, sygnalizując wzorce odbiegające od zachowania bazowego. Rezultatem nie jest magicznie mniejsza liczba incydentów, ale mniej godzin spędzonych na przedzieraniu się przez szum informacyjny, dzięki czemu analitycy mogą skupić się na istotnych dochodzeniach.
W jaki sposób narzędzia AI pomagają w zarządzaniu lukami w zabezpieczeniach i ustalaniu priorytetów poprawek?
Sztuczna inteligencja pomaga przenieść zarządzanie lukami z podejścia „zbyt wiele luk bezpieczeństwa (CVE)” na „co powinniśmy najpierw naprawić”. Powszechne podejście łączy sygnały prawdopodobieństwa wykorzystania luk (takie jak EPSS), znane listy luk (takie jak katalog KEV CISA) oraz kontekst środowiska (narażenie na atak z internetu i krytyczność zasobów). Dobrze wdrożone rozwiązanie ogranicza domysły i ułatwia łatanie luk bez zakłócania działalności firmy.
Co odróżnia sztuczną inteligencję w cyberbezpieczeństwie od „dobrej” sztucznej inteligencji?
Dobra sztuczna inteligencja w cyberbezpieczeństwie redukuje szum informacyjny, zamiast tworzyć wiarygodnie brzmiący bałagan. Oferuje praktyczną możliwość wyjaśnienia – konkretne wskazówki, takie jak to, co się zmieniło, co zaobserwowano i dlaczego jest to ważne – zamiast długich, niejasnych narracji. Integruje się również z systemami bazowymi (IAM, punktami końcowymi, chmurą, systemem zgłoszeń) i obsługuje ręczne nadpisywanie, dzięki czemu analitycy mogą je korygować, dostosowywać lub ignorować w razie potrzeby.
Które elementy cyberbezpieczeństwa trudno zastąpić sztuczną inteligencją?
Sztuczna inteligencja ma największe trudności z zadaniami socjotechnicznymi: akceptacją ryzyka, zarządzaniem incydentami i koordynacją międzyzespołową. Podczas incydentów praca często sprowadza się do komunikacji, gromadzenia dowodów, kwestii prawnych i podejmowania decyzji w warunkach niepewności – obszarów, w których przywództwo ma pierwszeństwo przed dopasowywaniem wzorców. Sztuczna inteligencja może pomóc w podsumowaniu logów lub opracowaniu harmonogramów, ale nie zastępuje w pełni odpowiedzialności za sytuację pod presją.
W jaki sposób atakujący wykorzystują sztuczną inteligencję i czy zmienia to pracę osoby broniącej się?
Atakujący wykorzystują sztuczną inteligencję do skalowania phishingu, generowania bardziej przekonujących ataków socjotechnicznych i szybszego iterowania wariantów złośliwego oprogramowania. To zmienia zasady gry: obrońcy wdrażający sztuczną inteligencję z czasem stają się mniej opcjonalni. Wiąże się to również z nowym ryzykiem, ponieważ atakujący mogą atakować procesy AI poprzez szybkie wstrzyknięcie, próby zatrucia lub unikanie ataków przeciwnika – co oznacza, że systemy AI również potrzebują kontroli bezpieczeństwa, a nie ślepego zaufania.
Jakie są największe zagrożenia wynikające z wykorzystywania sztucznej inteligencji w decyzjach dotyczących bezpieczeństwa?
Istotnym ryzykiem jest wymyślona pewność: sztuczna inteligencja może sprawiać wrażenie pewnej siebie, nawet gdy się myli, a pewność siebie nie jest kwestią kontroli. Wyciek danych to kolejna częsta pułapka – komunikaty bezpieczeństwa mogą nieumyślnie zawierać poufne informacje, a logi często zawierają poufne informacje. Nadmierne poleganie na systemie może również podważyć fundamenty, a dryf modelu dyskretnie pogarsza skuteczność detekcji, gdy zmieniają się warunki środowiskowe i zachowanie atakujących.
Jaki jest realistyczny model operacyjny wykorzystania sztucznej inteligencji w cyberbezpieczeństwie?
Praktyczny model wygląda następująco: wykorzystanie sztucznej inteligencji do zmniejszenia nakładu pracy, pozostawienie ludzi do walidacji i podejmowania decyzji oraz automatyzacja tylko bezpiecznych działań. Sztuczna inteligencja sprawdza się w przypadku podsumowań wzbogacania, tworzenia zgłoszeń, list kontrolnych dowodów i różnic „co się zmieniło”. Automatyzacja najlepiej sprawdza się w przypadku działań o wysokim poziomie bezpieczeństwa, takich jak blokowanie znanych, złych domen lub resetowanie danych uwierzytelniających po zweryfikowanym naruszeniu, z zabezpieczeniami zapobiegającymi nadużyciom.
Czy sztuczna inteligencja zastąpi podstawowe role związane z cyberbezpieczeństwem i jakie umiejętności staną się cenniejsze?
Stosy zadań na poziomie podstawowym prawdopodobnie będą się zmieniać najszybciej, ponieważ sztuczna inteligencja może absorbować powtarzalne zadania związane z selekcją, podsumowywaniem i klasyfikacją. Pojawiają się jednak również nowe zadania, takie jak budowanie bezpiecznych dla użytkownika przepływów pracy, walidacja wyników modeli i automatyzacja bezpieczeństwa. Odporność zawodowa zazwyczaj wynika z umiejętności, z którymi sztuczna inteligencja ma problemy: myślenia systemowego, architektury, zarządzania incydentami oraz przekładania sygnałów technicznych na decyzje biznesowe.
Odniesienia
-
PIERWSZY - EPSS (PIERWSZY) - first.org
-
Agencja Bezpieczeństwa Cybernetycznego i Infrastruktury (CISA) – Katalog znanych luk w zabezpieczeniach – cisa.gov
-
Narodowy Instytut Norm i Technologii (NIST) – SP 800-40 Rev. 4 (Zarządzanie poprawkami w przedsiębiorstwie) – csrc.nist.gov
-
Narodowy Instytut Norm i Technologii (NIST) – AI RMF 1.0 – nvlpubs.nist.gov
-
OWASP - LLM01: Wstrzyknięcie natychmiastowe - genai.owasp.org
-
Rząd Wielkiej Brytanii – Kodeks postępowania w zakresie cyberbezpieczeństwa sztucznej inteligencji – gov.uk
-
Narodowy Instytut Norm i Technologii (NIST) – SP 800-61 (Przewodnik po obsłudze incydentów) – csrc.nist.gov
-
Federalne Biuro Śledcze (FBI) – FBI ostrzega przed rosnącym zagrożeniem ze strony cyberprzestępców wykorzystujących sztuczną inteligencję – fbi.gov
-
Centrum Skarg na Przestępstwa Internetowe FBI (IC3) – Ogłoszenie publiczne IC3 dotyczące oszustw/phishingu z wykorzystaniem sztucznej inteligencji – ic3.gov
-
OpenAI – Raporty dotyczące zagrożeń OpenAI (przykłady złośliwego użycia) – openai.com
-
Europol - Europol „Raport ChatGPT” (przegląd nadużyć) - europol.europa.eu
-
MITRE - ATLAS MITRE - mitre.org
-
OWASP – OWASP Top 10 dla aplikacji LLM – owasp.org
-
Agencja Bezpieczeństwa Narodowego (NSA) – Wytyczne dotyczące zabezpieczania rozwoju systemu sztucznej inteligencji (NSA/CISA/NCSC-UK i partnerzy) – nsa.gov
-
Microsoft Learn – omówienie usługi Microsoft Sentinel – learn.microsoft.com
-
Splunk - Splunk Enterprise Security - splunk.com
-
Google Cloud – Operacje bezpieczeństwa Google – cloud.google.com
-
CrowdStrike - platforma CrowdStrike Falcon - crowdstrike.com
-
Microsoft Learn — Microsoft Defender dla punktów końcowych — learn.microsoft.com
-
Palo Alto Networks - Cortex XSOAR - paloaltonetworks.com
-
Wiz - Platforma Wiz - wiz.io
-
Snyk – Platforma Snyk – snyk.io