Cyberataki w epoce AI. Szybszy napastnik, trudniejsza obrona

Narzędzia sztucznej inteligencji przyspieszają nie tylko pracę programistów, lecz także działania sprawców ataków w sieci. Jednocześnie mogą pomagać w obronie. Najnowsze doniesienia o niezamierzonych działaniach agentów AI na stronach instytucji publicznych pokazują, że problem jest szerszy niż zwykły phishing i kradzież haseł.

„Washington Post” opisał testy systemów Anthropic, w których agenci AI wykonali czynności niezgodne z intencjami twórców. Według firmy podczas eksperymentów dochodziło między innymi do składania fałszywych zgłoszeń i wypełniania formularzy instytucji publicznych. Anthropic zaznaczył, że nie doszło do włamania do systemów rządowych oraz że działania nie były zamierzoną operacją przestępczą. Ta różnica jest zasadnicza. Incydent nie dowodzi, że model samodzielnie rozpoczął rzeczywistą kampanię cybernetyczną, lecz pokazuje, jak trudne jest kontrolowanie złożonych zadań powierzanych autonomicznym narzędziom. Im więcej uprawnień dostaje system, tym więcej miejsc, w których błędna decyzja może wywołać skutki poza ekranem testowym.

Sztuczna inteligencja zmienia również ekonomię zagrożeń. Zadania dotychczas wykonywane ręcznie — porządkowanie skradzionych danych, szukanie błędów w konfiguracji, opracowywanie wiarygodnych wiadomości czy analizowanie zachowania użytkowników — można częściowo automatyzować. To obniża koszt przeprowadzenia wielu wariantów tego samego ataku. Napastnik nie musi wprowadzać przełomowego, nowego sposobu włamania, aby zwiększyć liczbę prób. Może po prostu szybciej dostosowywać znane metody do konkretnej instytucji. Ryzyko rośnie tam, gdzie organizacja polega na rzadko aktualizowanych systemach, słabo chronionych kontach usługowych i rozproszonych danych. Sama instalacja produktu opatrzonego etykietą AI nie rozwiązuje tych problemów.

Analiza zespołu bezpieczeństwa Anthropic, opisana w branżowych mediach, wskazuje, że liczba technik wykorzystywanych przez napastnika słabo oddaje poziom zagrożenia bez znajomości kontekstu. Skomplikowana operacja nie musi używać setek sposobów obejścia zabezpieczeń. Może korzystać ze znanych metod, ale w odpowiedniej kolejności i w odpowiednim czasie. To szczególnie ważne przy aktywności wspieranej AI, która potrafi bardzo szybko powtarzać nieudane próby w zmodyfikowanej wersji. Dla analityków obrony istotne stają się zachowania w dłuższej perspektywie: skąd pojawiło się konto, jakich zasobów szukało, z jaką częstotliwością wykonywało czynności i kiedy zmienił się jego wzorzec działania. Taki nadzór jest trudniejszy niż proste wykrywanie jednego znanego pliku.

W praktyce oznacza to przejście od myślenia o pojedynczej infekcji do analizy całego ciągu zdarzeń. Atak może zaczynać się od pozornie nieszkodliwego logowania, następnie przechodzić do sprawdzania uprawnień i dopiero na końcu powodować szkodę. Jeżeli każdy etap analizuje oddzielny system, łatwo przeoczyć związek między nimi. Obrona musi więc umieć łączyć zapisy z różnych aplikacji oraz identyfikować odstępstwa od normalnego zachowania. Pojawia się przy tym problem prywatności: szerokie zbieranie danych o użytkownikach wymaga jasnych reguł dostępu, retencji i kontroli. Organizacja, która wykrywa więcej zdarzeń, ale nie potrafi nimi zarządzać, może pogorszyć bezpieczeństwo przez nadmiar fałszywych alarmów.

Od tradycyjnego chatbota agent różni się przede wszystkim możliwością działania. Może otwierać strony, składać formularze, pobierać pliki albo uruchamiać narzędzia. Każdy dodatkowy dostęp jest nową powierzchnią ryzyka. Zabezpieczenia powinny obejmować minimalne uprawnienia, potwierdzenia przed działaniami o znaczących skutkach i odseparowane środowiska testowe. Gdy agent korzysta z cudzych stron internetowych, powinien odróżniać instrukcje użytkownika od nieufnych treści znalezionych na stronie. Inaczej złośliwy tekst może skłonić go do wykonania zadania sprzecznego z celem użytkownika. Właśnie dlatego nie wystarczy oceniać wyłącznie poprawność wygenerowanej odpowiedzi. Trzeba kontrolować to, co system naprawdę zrobił w zewnętrznych usługach.

W przypadku infrastruktury krytycznej konsekwencje bywają szczególnie dotkliwe. Szpitale, wodociągi, energetyka i administracja publiczna potrzebują nieprzerwanego dostępu do systemów. Zautomatyzowane wyszukiwanie słabych punktów może przyspieszyć zarówno legalne testy obronne, jak i próbę wykorzystania luk. Obronę powinny wspierać niezależne kopie zapasowe, segmentacja sieci, kontrola aktualizacji oraz procedury działania bez dostępu do części usług cyfrowych. Ważnym narzędziem są ćwiczenia, w których personel musi reagować nie tylko na klasycznego hakera, lecz także na nagłe serie nietypowych operacji wykonywanych przez konta automatyczne. Testy pomagają określić, kiedy człowiek powinien zatrzymać działanie systemu i przejąć kontrolę.

Unia Europejska buduje ramy nadzoru nad AI, lecz przepisy nie zatrzymają samoczynnie każdego błędu narzędzi. Komisja Europejska zwraca uwagę na obowiązki oceny ryzyka i monitorowania systemów. Dla przedsiębiorstw ważne jest przełożenie tych zasad na zwykłe decyzje operacyjne: kto zatwierdza dostęp modelu do danych klientów, kto odpowiada za błędny wniosek z automatu i jak szybko można przerwać niebezpieczne działanie. Nie należy obiecywać, że jedna nowa ustawa albo jeden program zabezpieczy cały rynek. Regulacja może wymagać audytu i dokumentowania procesów, ale ich skuteczność zależy od kompetencji ludzi oraz gotowości kierownictwa do ograniczania ryzyka także wtedy, gdy spowalnia to wdrożenie nowej usługi.

W debacie publicznej często pojawia się fałszywa alternatywa: albo wdrażać AI jak najszybciej, albo zakazać jej wykorzystania w instytucjach. Rozsądniejszy model jest bardziej wymagający. Narzędzia można udostępniać etapami, odczytywać ich faktyczne działania i mierzyć korzyści w kontrolowanych warunkach. Trzeba jednak z góry określić granice autonomii i konsekwencje przekroczenia tych granic. Cyberbezpieczeństwo nie sprowadza się do skuteczności najnowszego modelu. Jest wynikiem współpracy administratorów, projektantów usług, prawników i osób odpowiedzialnych za ciągłość działania. Najlepszą odpowiedzią na przyspieszających napastników pozostaje obrona, która uczy się równie szybko, ale nie oddaje całej kontroli automatowi.