'Vulnpocalypse': Ce se întâmplă când AI-ul oferă hackerilor o superarmă
Pe măsură ce AI-ul devine mai capabil în identificarea vulnerabilităților software, experții avertizează tot mai des cu privire la un potențial scenariu de dezastru: așa-numita „Vulnpocalypse”. Hackerii ar putea să își accelereze rapid atacurile folosind tehnologia AI, menționează cercetătorii în securitate, conform nbcnews.com.
👉 Anthropic limitează accesul la modelul AI cu potențial de hacking
Săptămâna aceasta, acest scenariu a început să pară mai puțin teoretic. Anthropic, o companie de AI de top, a anunțat că va reține modelul său, Mythos Preview, de la public, invocând capacități fără precedent de descoperire a vulnerabilităților care ar putea provoca daune semnificative în mâini greșite. Compania își va împărtăși modelul cu un grup limitat de giganți tehnologici și parteneri pentru a ajuta la consolidarea apărării lor.
Îngrijorarea a ajuns la cele mai înalte niveluri guvernamentale. După anunțul Anthropic privind Mythos Preview, secretarul Trezoreriei, Scott Bessent, a convocat o întâlnire cu instituții financiare majore pentru a discuta despre „dezvoltările rapide care au loc în AI,” a declarat un purtător de cuvânt al agenției. Unii teoretizează că AI-ul ar putea ajuta hackerii să ducă la colaps sistemele financiare sau să blocheze spitalele și fabricile. Ar putea ajuta țări precum Iranul să întrerupă infrastructura critică americană sau ar putea fi folosit pentru a provoca întreruperi masive ale sistemelor care afectează călătorii sau utilizatorii de internet.
👉 Impactul AI asupra vulnerabilităților și securității cibernetice
„Avem cu mult mai multe vulnerabilități decât îi place majorității să admită; repararea lor era deja dificilă, iar acum sunt mult mai ușor de exploatat de o varietate mult mai largă de potențiali adversari,” a declarat Casey Ellis, fondatorul Bugcrowd, o platformă pentru cercetători în securitate cibernetică care caută vulnerabilități. „AI-ul pune instrumentele necesare în mâinile mult mai multor oameni.”
Hackeri intră adesea în sistemele informatice descoperind modalități de a exploata defectele din software, ceea ce duce la un perpetuu ping-pong în care atacatorii caută noi oportunități iar apărătorii încearcă să își actualizeze codul pentru a-i opri. Unele modele AI, în special cele care sunt la fel de bune sau mai bune decât un om în programare, s-au dovedit a fi extrem de abile în descoperirea rapidă a acestor vulnerabilități.
Îngrijorările privind capacitatea AI-ului de a oferi hackerilor o superarmă care copleșește apărările cibernetice au atins un nou apogeu săptămâna aceasta, când Anthropic a anunțat că nu va lansa încă Mythos publicului. Dar, indiferent dacă Mythos se ridică la așteptările create, experții din industrie sunt, în mare parte, de acord că o perioadă de conștientizare este probabil să vină în curând, când hackerii vor putea utiliza AI-ul pentru a avea un avantaj mai mare asupra victimelor ca niciodată.
„Un apărător trebuie să fie corect tot timpul, în timp ce un atacator trebuie să fie corect o singură dată,” a spus Ellis. Logan Graham, care conduce cercetarea ofensivă cibernetică la Anthropic, a spus că, chiar dacă Mythos nu ar deveni niciodată public, se așteaptă ca concurenții companiei, inclusiv cei din China, să lanseze modele cu capacități similare de hacking în lunile și anii următori. „Ar trebui să ne pregătim pentru o lume în care, în termen de șase până la doisprezece luni, capacități precum acestea ar putea fi distribuite pe scară largă sau făcute pe scară largă, nu doar de către companii din Statele Unite,” a spus Graham pentru NBC News. „Dacă te retragi, acesta este un interval de timp destul de nebunesc, unde pregătirile pentru astfel de lucruri durează, de obicei, mulți ani,” a spus el.
Mythos nu este doar bun la găsirea vulnerabilităților, a spus Graham, ci și la conectarea acestora într-o explozie complicată care poate deveni un instrument de hacking devastator. Katie Moussouris, CEO și co-fondator al Luta Security, o companie care conectează cercetătorii de vulnerabilitate cu dezvoltatorii de software, a spus că se așteaptă la scenarii similare cu cele în care mari furnizori de cloud se blochează din cauza defecțiunilor și afectează semnificativ părți din internet. „Cu siguranță vom începe să vedem întreruperi mari care au efecte secundare asupra altor industrii, cum ar fi industria aeriană a suferit în incidentul CrowdStrike. Diverse alte lucruri suferă atunci când Cloudflare este căzut, când Amazon Web Services este căzut,” a spus ea.
Cynthia Kaiser, fost oficial superior în domeniul cibernetic pentru FBI și vicepreședinte senior la Halcyon, o companie care lucrează pentru prevenirea atacurilor ransomware, a declarat că este îngrijorată de modul în care AI-ul va ajuta hackerii mediocri, a căror singură limitare în atacarea spitalelor pentru a le ține la răscumpărare este lipsa de abilități. „Cei dornici, această curentă de oameni care nu au fost capabili să efectueze aceste operațiuni acum un an, au acum unele dintre cele mai puternice instrumente cunoscute de omenire în mâinile lor,” a declarat pentru NBC News. „Sectorul sănătății și fabricarea critică au fost cele mai vizate de atacurile ransomware anul trecut. Cred că acest tipar va urma. Vor merge după zone unde există puțină toleranță pentru întreruperi.”
AI-ul ar putea, de asemenea, avea un impact semnificativ asupra războaielor cibernetice și a atacurilor asupra infrastructurii critice din SUA, oferind un avantaj hackerilor al căror scop este distrugerea simplă. De când a început războiul între SUA și Iran, hackerii din Teheran au atacat multiple ținte americane, dar au exagerat repetat capabilitățile lor. Au realizat doar un singur atac public semnificativ distrugător - asupra unei companii de tehnologie medicală din Michigan numită Stryker. Agențiile federale au spus săptămâna aceasta că Iranul a avut un oarecare succes în hackuirea companiilor de infrastructură critică, inclusiv servicii de apă și apă uzată și sectorul energetic, cu intenția de a provoca perturbări. Nu este clar dacă vreun atac a fost semnificativ, iar victimele nu au fost identificate public. Dar AI-ul ar putea face ca această muncă să fie mai ușoară. Unele sisteme de control industrial au apărare cibernetică semnificativă, deși altele - cum ar fi unele stații de tratare a apei din zone sărăcite ale țării - nu dispun de aceste măsuri. Astfel de sisteme sunt adesea notoriu provocatoare pentru hackeri deoarece se bazează pe sisteme mai obscure.
Jason Healey, un cercetător senior la Universitatea Columbia specializat în conflicte cibernetice, a declarat că, deși Iranul nu a reușit până acum să conducă un atac cibernetic sofisticat împotriva SUA, AI-ul ar putea face unul mai fezabil. „În loc să trebuiască să pregătească o generație de hackeri care înțeleg cum funcționează rețelele de apă, AI-ul ar trebui să ajute la înțelegerea acestor sisteme și să automatizeze procesul de intruziune,” a spus el. Bryson Bort, fondatorul Scythe, o platformă care ajută sistemele industriale să își imagineze atacuri cibernetice potențiale, a spus că infrastructura critică este adesea deconectată de internet, ceea ce face puțin probabil un scenariu apocaliptic. „Nu toate aceste lucruri duc imediat la, ca, toată lumea începe să moară ca în filmele de Hollywood,” a spus el. Dar este fezabil ca hackerii persistenți cu accesul corect să continue să atace sisteme precum stațiile de tratare a apei și să le forțeze să se oprească temporar până când ar putea recâștiga controlul, a declarat el. „Dacă continuă să fie compromise, trebuie să funcționeze pentru a produce apă la un moment dat,” a spus el.
