Zabezpieczanie infrastruktury przed bronią, która myśli samodzielnie

Jak duża część Twojego planu reagowania na incydenty zakłada, że przeciwnik jest osobą, która popełnia błędy? Przez dziesięciolecia nasza postawa w zakresie bezpieczeństwa opierała się na fakcie, że atakujący jest człowiekiem. Ludzie się męczą. Tracą koncentrację. Mają ograniczoną przepustowość, by zarządzać wieloma złożonymi zadaniami naraz. To ludzkie ograniczenie było cichym partnerem w naszych strategiach obronnych. Agentowa AI (Agentic AI) usunęła to ograniczenie. Wchodzimy teraz w erę, w której broń nie potrzebuje już wojownika, by nią wywijał. To przejście od narzędzi, które pomagają, do narzędzi, które działają.

Obserwowałem tę ewolucję z pierwszej linii frontu. W 2023 roku opublikowałem białą księgę w SANS Technology Institute. Wykazała ona, jak nawet niewykwalifikowani użytkownicy mogą nakłonić chatboty do generowania funkcjonalnego złośliwego oprogramowania. W tamtym czasie AI była wyrafinowanym piórem. Pomagała pisać kod, ale człowiek wciąż musiał kopiować, wklejać i przeprowadzać atak. Do 2025 roku ta dynamika uległa zmianie wraz z wprowadzeniem autonomicznych agentów. Dziś, w 2026 roku, smycz zniknęła. Agent jest operatorem.

Smycz została zerwana

Fundamentalną różnicą między AI sprzed trzech lat a dzisiejszymi modelami agentowymi jest pętla sprzężenia zwrotnego. Poprzednie iteracje ofensywnej AI były reaktywne. Dawałeś polecenie, a ona dawała odpowiedź. Agentowa AI jest proaktywna. Otrzymuje cel, a następnie wybiera narzędzia, których użyje, aby go osiągnąć. Może przeglądać sieć, uruchamiać komendy w terminalu, skanować porty i przepisywać własny kod, gdy napotka błąd. Jest to pętla, która nie wymaga interwencji człowieka.

Ta zmiana kształtuje operacje ofensywne w dwóch kierunkach. Daje możliwości atakującym, którzy nie posiadają umiejętności technicznych, oraz nadaje prędkość tym, którzy już są zabójczo skuteczni. Jeśli Twoim zajęciem jest praca ofensywna, musisz zdać sobie sprawę, że narzędzia, które przeciwnik obraca przeciwko Tobie, są tymi samymi narzędziami, których musisz użyć do obrony. Grunt się przesunął. Nie bronimy się już przed serią odrębnych zdarzeń. Bronimy się przed ciągłym, myślącym procesem, który rezyduje w sieci.

Cicha śmierć wskazówek phishingowych

Jednym z najbardziej bezpośrednich skutków jest całkowita automatyzacja inżynierii społecznej. W typowym scenariuszu atakujący wysyła agenta, aby zebrał publicznie dostępne informacje o konkretnym celu. Agent przeszukuje profile na LinkedIn, ogląda nagrania z konferencji, aby naśladować wzorce mowy, i czyta ostatnie komunikaty prasowe. Używa tej inteligencji do zbudowania persony. Drugi agent zarządza następnie rozmową. Wysyła wiadomość, obsługuje odpowiedzi i kieruje cel w stronę złośliwego linku lub prośby o dane uwierzytelniające.

To śmierć sygnałów, którym zwykliśmy ufać. Przez lata nasze szkolenia z phishingu skupiały się na oczywistych błędach. Szukaliśmy niezdarnej gramatyki, ogólnych szablonów i poczucia pilności. Agentowa AI wymazuje te wskaźniki. Każda wiadomość jest płynna i unikalna. Opiera się na prawdziwych faktach dotyczących odbiorcy. Nasza detekcja musi teraz opierać się całkowicie na sygnałach infrastrukturalnych, takich jak reputacja nadawcy i uwierzytelnianie. Obserwujemy, jak lingwistyczny firewall się kruszy. Phishing to cyfrowy koń trojański, który teraz wygląda identycznie jak legalna przesyłka.

Rozkwit modelu "script kiddie jako usługa"

Często określam ten obecny stan jako "script kiddie jako usługa". Historycznie, niewykwalifikowany aktor był ograniczony własnym brakiem wiedzy specjalistycznej. Musiał czekać, aż ktoś inny opublikuje exploita. Teraz ograniczenia są definiowane przez możliwości modelu AI. Ponieważ wielu nieprzeszkolonych aktorów korzysta z tych samych wiodących modeli, widzimy behawioralną monokulturę. Ataki są kompetentne, ale podążają za rozpoznawalnymi wzorcami.

Jest to rzadka przewaga dla obrońcy. Gdy tysiące atakujących używają tego samego bazowego modelu do wygenerowania łańcucha exploitów, zostawiają podobne ślady. Możemy budować systemy detekcji dla tych domyślnych zachowań. Jednak działa to tylko w przypadku większości. Doświadczeni przeciwnicy adaptują się poza te domyślne ustawienia. Używają agentów do prowadzenia kampanii równolegle. Zadanie, które niegdyś wymagało zespołu trzech osób przez dwa tygodnie, teraz zajmuje jednej osobie i agentowi cztery godziny. Wolumen wysokiej jakości ataków to nowa norma.

Automatyzacja w łańcuchu exploitów

Automatyzacja przeniosła się głęboko w fazę eksploatacji. W miarę jak modele stawały się lepsze w łączeniu wywołań narzędzi, poprzeczka dla stworzenia działającego exploita obniżyła się. Widzieliśmy to wyraźnie, gdy rząd federalny interweniował, aby wycofać Anthropic Fable 5 z rynku. Obawy dotyczące jego możliwości nie były bezpodstawne. Kiedy powiążesz zdolny model z bazą danych znanych podatności, przeprowadza on własny rekonesans. Ocenia, na co cel jest prawdopodobnie narażony, i wyciąga pasujący exploit ze swojej biblioteki.

Działa jak ogar, który złapał trop. Raportuje do operatora dopiero wtedy, gdy jest gotowy do strzału. Złośliwe oprogramowanie również staje się agentowe. Widzimy szczepy, które przepisują własne sygnatury, aby prześlizgnąć się obok zabezpieczeń, które rozpoznały poprzednią wersję. Jest to naturalna ewolucja koncepcji Guided Network Access Weapon (GNAW), które omawiałem po raz pierwszy lata temu. Malware nie jest już statycznym plikiem. To oprogramowanie, które potrafi rozumować na temat swojego środowiska i zmieniać zachowanie, aby pozostać w ukryciu.

Pewność fałszywej wyroczni

Istnieje niebezpieczeństwo w zbyt silnym poleganiu na tych agentach. Mówią oni z niezmąconym autorytetem, ale nie szukają prawdy. Agent szuka ukończonego zadania. Chce dostarczyć odpowiedź, która wygląda na poprawną. Nie ma uprzywilejowanego wglądu w to, czy host jest naprawdę podatny. Dopasowuje wskaźniki do wniosku. Jeśli połączysz agenta z magazynem wyszukiwania podatności, wykaże on to, co jest powiązane, a nie to, co jest prawdziwe. Często ignoruje numery wersji lub specyfikę konfiguracji.

To jest problem fałszywej wyroczni. Agent wskaże cel, którego tam nie ma, i poprosi o pozwolenie na uderzenie. Dla profesjonalisty oznacza to, że ocena sytuacji jest teraz kluczową umiejętnością. Mechaniczne części rzemiosła są teraz zadaniami maszynowymi. Zdolność do odróżnienia prawdziwego znaleziska od pewnego siebie kłamstwa jest tym, gdzie leży wartość. Za każdym razem, gdy agent sugeruje ścieżkę, człowiek wciąż musi zweryfikować logikę. Jeśli będziesz ślepo podążać za agentem, w końcu sprowadzi Cię nad przepaść.

Udowadnianie obrony poprzez użyteczność

SANS Secure AI Blueprint, opracowany przez Roba T. Lee, zapewnia ramy dla tej nowej rzeczywistości. Dzieli wyzwanie na trzy ścieżki: Chroń AI (Protect AI), Wykorzystuj AI (Utilize AI) i Zarządzaj AI (Govern AI). Zarządzanie dotyczy polityki i nadzoru. Ochrona dotyczy utwardzania systemów. Wykorzystanie to miejsce, w którym zaprzęgamy AI do pracy dla obu stron. Operacje ofensywne żyją w ścieżce Wykorzystania.

Wielu liderów myśli, że bezpieczeństwo AI to tylko segregatory z politykami. Są w błędzie. Wykorzystanie to jedyna ścieżka, która dostarcza dowodów. Organizacja może napisać każdą wytyczną, jaką chce, ale dopóki ktoś nie skieruje agentowego narzędzia przeciwko sieci, te wytyczne są tylko teoriami. Obrona ma znaczenie tylko wtedy, gdy styka się z atakiem. Rolą praktyka ofensywnego jest wydobycie tego styku na powierzchnię. To my udowadniamy, czy polityka i utwardzanie systemów faktycznie działają.

Jeśli chcesz zrozumieć swoje prawdziwe ryzyko, musisz przeprowadzić ocenę ryzyka, która obejmuje autonomiczną symulację ataku. Tradycyjne testy penetracyjne nie są już wystarczającym odzwierciedleniem krajobrazu zagrożeń. Musisz zobaczyć, jak Twoje SOC radzi sobie z przeciwnikiem, który nie śpi i nie przestrzega ludzkiego harmonogramu. Przeprowadź audyt swoich zewnętrznych dostawców pod kątem ich własnego wykorzystania narzędzi agentowych. Broń się zmieniła. Ręka na broni cofnęła się, ale wybór, by strzelić, pozostaje nasz. Nasz osąd jest jedyną rzeczą, której maszyna nie może zastąpić.

Źródła

• SANS Technology Institute: Whitepaper on Generative AI and Malware (2023)
• SANS Secure AI Blueprint: Developed by Rob T. Lee
• MITRE ATT&CK Framework: For AI-specific adversary tactics and techniques
• NIST AI Risk Management Framework (AI RMF 1.0)

Zastrzeżenie: Ten artykuł służy wyłącznie celom informacyjnym i edukacyjnym. Podane informacje nie zastępują profesjonalnego audytu cyberbezpieczeństwa ani usługi reagowania na incydenty. Autor nie udostępnia instrukcji dotyczących nielegalnych działań.