Infrastruktūros apsauga nuo ginklų, kurie mąsto patys

Kokia jūsų reagavimo į incidentus plano dalis remiasi prielaida, kad užpuolikas yra žmogus, darantis klaidų? Dešimtmečius mūsų saugumo pozicija rėmėsi tuo, kad užpuolikas yra žmogus. Žmonės pavargsta. Jie praranda dėmesį. Jie turi ribotus pajėgumus vienu metu valdyti kelias sudėtingas užduotis. Šis žmogaus ribotumas buvo tylus mūsų gynybos strategijų partneris. Agentinis DI (angl. Agentic AI) pašalino šį apribojimą. Mes žengiame į erą, kurioje ginklui nebereikia kario, kad jis būtų panaudotas. Tai perėjimas nuo įrankių, kurie padeda, prie įrankių, kurie veikia.

Stebėjau šią evoliuciją iš pirmųjų linijų. 2023 m. paskelbiau baltąją knygą SANS technologijų institute. Joje buvo parodyta, kaip net neįgudę vartotojai gali priversti pokalbių robotus kurti veikiantį kenkėjišką kodą. Tuo metu DI buvo sudėtingas rašiklis. Jis padėjo parengti kodą, tačiau žmogus vis tiek turėjo nukopijuoti, įklijuoti ir įvykdyti ataką. Iki 2025 m. ši dinamika pasikeitė atsiradus autonominiams agentams. Šiandien, 2026 m., pavadėlio nebėra. Agentas yra operatorius.

Pavadėlis nutrauktas

Pagrindinis skirtumas tarp prieš trejus metus buvusio DI ir šiandieninių agentinių modelių yra grįžtamojo ryšio kilpa. Ankstesnės puolamojo DI iteracijos buvo reaktyvios. Jūs pateikdavote užklausą, o jis pateikdavo atsakymą. Agentinis DI yra proaktyvus. Jis gauna tikslą ir tada pasirenka, kokius įrankius naudoti jam pasiekti. Jis gali naršyti internete, vykdyti terminalo komandas, skenuoti prievadus ir perrašyti savo kodą, kai susiduria su klaida. Tai kilpa, kuriai nereikia žmogaus įsikišimo.

Šis pokytis keičia puolamąsias operacijas dviem kryptimis. Jis suteikia galimybių užpuolikams, neturintiems jokių techninių įgūdžių, ir suteikia greitį tiems, kurie jau yra pavojingi. Jei jūsų darbas yra puolamoji veikla, turite suprasti, kad įrankiai, kuriuos priešininkas nukreipia prieš jus, yra tie patys įrankiai, kuriuos privalote naudoti gindamiesi. Padėtis pasikeitė. Mes nebesiginame nuo atskirų įvykių sekos. Mes ginamės nuo nuolatinio, mąstančio proceso, esančio tinkle.

Tyli fišingo požymių mirtis

Vienas iš tiesioginių poveikių yra visiškas socialinės inžinerijos automatizavimas. Tipiniu atveju užpuolikas pasitelkia agentą, kad surinktų viešai prieinamą informaciją apie konkretų taikinį. Agentas nuskaito „LinkedIn“ profilius, stebi konferencijų įrašus, kad pamėgdžiotų kalbos manierą, ir skaito naujausius pranešimus spaudai. Jis naudoja šią informaciją personai sukurti. Antrasis agentas tada valdo pokalbį. Jis siunčia žinutes, apdoroja atsakymus ir nukreipia taikinį link kenkėjiškos nuorodos arba prašymo pateikti prisijungimo duomenis.

Tai yra signalų, kuriais anksčiau pasitikėjome, mirtis. Metų metus mūsų fišingo (sukčiavimo) mokymai buvo sutelkti į akivaizdžius požymius. Ieškojome gremėzdiškos gramatikos, bendrinių šablonų ir skubos pojūčio. Agentinis DI ištrina šiuos rodiklius. Kiekviena žinutė yra sklandi ir unikali. Ji pagrįsta tikrais faktais apie gavėją. Mūsų aptikimas dabar turi visiškai pasikliauti infrastruktūros signalais, tokiais kaip siuntėjo reputacija ir autentifikavimas. Mes stebime, kaip griūva lingvistinė ugniasienė. Fišingas yra skaitmeninis Trojos arklys, kuris dabar atrodo identiškai teisėtam pristatymui.

„Script kiddie“ kaip paslaugos iškilimas

Šią dabartinę būseną dažnai vadinu „script kiddie kaip paslauga“. Istoriškai neįgudęs veikėjas buvo ribojamas savo paties kompetencijos stokos. Jis turėjo laukti, kol kas nors kitas išleis išnaudojimo programą (angl. exploit). Dabar apribojimus apibrėžia DI modelio galimybės. Kadangi daugelis neapmokytų veikėjų naudoja tuos pačius pažangiausius modelius, matome elgsenos monokultūrą. Atakos yra kompetentingos, tačiau jos atitinka atpažįstamus modelius.

Tai retas pranašumas gynėjui. Kai tūkstančiai užpuolikų naudoja tą patį pagrindinį modelį išnaudojimo grandinei sukurti, jie palieka panašius pėdsakus. Galime sukurti šios numatytosios elgsenos aptikimo mechanizmus. Tačiau tai veikia tik daugumai. Patyrę priešininkai prisitaiko už šių standartų ribų. Jie naudoja agentus kampanijoms vykdyti lygiagrečiai. Užduotis, kuriai anksčiau reikėjo trijų žmonių komandos dviem savaitėms, dabar užima vieną žmogų ir agentą keturias valandas. Aukštos kokybės atakų kiekis yra naujas atskaitos taškas.

Automatizacija išnaudojimo grandinėje

Automatizacija persikėlė giliai į išnaudojimo fazę. Modeliams vis geriau sekantis jungti įrankių kvietimus į grandines, veikiančio eksploito sukūrimo kartelė nukrito. Tai aiškiai pamatėme, kai federalinė vyriausybė įsikišo, kad „Anthropic Fable 5“ būtų pašalintas iš rinkos. Baimės dėl jo galimybių nebuvo nepagrįstos. Kai susiejate pajėgų modelį su žinomų pažeidžiamumų duomenų baze, jis pats atlieka žvalgybą. Jis įvertina, kam taikinys tikriausiai yra pažeidžiamas, ir iš savo bibliotekos ištraukia atitinkamą eksploitą.

Jis veikia kaip skalikas, užuodęs pėdsakus. Jis praneša operatoriui tik tada, kai yra pasiruošęs šūviui. Kenkėjiška programinė įranga taip pat tampa agentinė. Matome atmainas, kurios perrašo savo parašus, kad praslystų pro kontrolės priemones, atpažinusias ankstesnę versiją. Tai natūrali Valdomo tinklo prieigos ginklo (angl. Guided Network Access Weapon, GNAW) koncepcijų, kurias pirmą kartą aptariau prieš kelerius metus, evoliucija. Kenkėjiška programa nebėra statinis failas. Tai programinė įranga, kuri gali mąstyti apie savo aplinką ir keisti elgseną, kad išliktų nepastebėta.

Klaidingos pranašystės pasitikėjimas

Yra pavojus per stipriai pasikliauti šiais agentais. Jie kalba su nepalaužiamu autoritetu, tačiau jie neieško tiesos. Agentas siekia užbaigtos užduoties. Jis nori pateikti atsakymą, kuris atrodo teisingas. Jis neturi privilegijuoto vaizdo, ar hostas tikrai yra pažeidžiamas. Jis derina rodiklius su išvada. Jei susiesite agentą su pažeidžiamumų saugykla, jis iškels tai, kas susiję, o ne tai, kas tiesa. Jis dažnai ignoruoja versijų numerius ar konfigūracijos specifiką.

Tai klaidingos pranašystės problema. Agentas nurodys taikinį, kurio ten nėra, ir paprašys leidimo smogti. Profesionalui tai reiškia, kad sprendimų priėmimas dabar yra pagrindinis įgūdis. Mechaninės amato dalys dabar yra mašinų užduotys. Gebėjimas atskirti tikrą radinį nuo užtikrinto melo yra ten, kur slypi vertė. Kiekvieną kartą, kai agentas pasiūlo kelią, žmogus vis tiek turi patikrinti logiką. Jei aklai seksite agentu, jis galiausiai nuves jus nuo uolos.

Gynybos įrodymas per naudingumą

„SANS Secure AI Blueprint“, sukurtas Rob T. Lee, pateikia pagrindą šiai naujai realybei. Jis suskirsto iššūkį į tris kryptis: DI apsauga (Protect AI), DI panaudojimas (Utilize AI) ir DI valdymas (Govern AI). Valdymas yra apie politiką ir priežiūrą. Apsauga yra apie sistemų stiprinimą. Panaudojimas yra ten, kur mes įdarbiname DI abiejose pusėse. Puolamosios operacijos priklauso panaudojimo krypčiai.

Daugelis vadovų mano, kad DI saugumas yra tik politikos dokumentų rinkiniai. Jie klysta. Panaudojimas yra vienintelė kryptis, teikianti įrodymus. Organizacija gali rašyti visas norimas gaires, bet kol kas nors nenukreips agentinio įrankio prieš tinklą, tos gairės yra tik teorijos. Gynyba yra svarbi tik tada, kai ji susiduria su ataka. Puolimo praktiko vaidmuo yra iškelti tą kontaktą į paviršių. Mes esame tie, kurie įrodo, ar politika ir stiprinimas iš tikrųjų veikia.

Jei norite suprasti savo tikrąją riziką, privalote atlikti rizikos vertinimą, apimantį autonominį atakų modeliavimą. Tradicinis skverbimosi testavimas nebeatspindi šiandieninio grėsmių kraštovaizdžio. Turite pamatyti, kaip jūsų saugumo operacijų centras (SOC) susidoroja su priešininku, kuris nemiega ir nesilaiko žmogaus tvarkaraščio. Audituokite savo trečiųjų šalių tiekėjus dėl jų pačių naudojamų agentinių įrankių. Ginklas pasikeitė. Ranka ant ginklo atsitraukė, tačiau pasirinkimas šauti lieka mūsų. Mūsų sprendimų priėmimas yra vienintelis dalykas, kurio mašina negali pakeisti.

Šaltiniai

• SANS Technology Institute: Whitepaper on Generative AI and Malware (2023)
• SANS Secure AI Blueprint: Developed by Rob T. Lee
• MITRE ATT&CK Framework: For AI-specific adversary tactics and techniques
• NIST AI Risk Management Framework (AI RMF 1.0)

Atsakomybės apribojimas: Šis straipsnis yra skirtas tik informaciniams ir edukaciniams tikslams. Pateikta informacija nepakeičia profesionalaus kibernetinio saugumo audito ar reagavimo į incidentus paslaugų. Autorius nepateikia instrukcijų neteisėtai veiklai vykdyti.