Intresset för generativ artificiell intelligens (AI) har nått sin topp tillsammans med en bredare oro för artificiell intelligens, vilket framgår av ett öppet brev där man vädjar om att stoppa AI-forskningen. Men hur verkligt är hotet från AI? Och vilket hot, om något, utgör generativ AI, särskilt när det gäller cybersäkerhet?
Det allmänna AI-hotet - förstå AI för att tillämpa det på lämpligt sätt
Brigitte Elwes, Senior Manager, Cybersecurity Solutions, Verizon Business, Norden och Benelux
AI driver redan förändring inom många branscher och dess ökande sofistikering tyder på en potential att rita om kartan helt. Det är ett perspektiv som väcker rädslan för att bli “ersatt av en dator eller robot”, en rädsla som vi sett flera gånger tidigare i och med införandet av nya tekniska innovationer. Den största skillnaden i detta fall är den inneboende förmågan hos AI att anpassa sig. Detta introducerar ett element av obekväm oförutsägbarhet.
Den generativa AI som finns idag har t.ex. redan visat upp förmågan att klara Turing-testet, bedömningen av en AI:s förmåga att lura en människa till att tro att den faktiskt är människa.
Vad gör du när du inte kan skilja människan från den artificiella versionen? Hur kan du lita på identiteter, data eller korrespondens? Detta kommer att kräva en zero trust-inställning, där alla användare måste autentiseras, auktoriseras och kontinuerligt valideras.
Hur och i vilken takt AI kommer att utvecklas återstår att se, men det finns några aktuella och potentiella cybersäkerhetsimplikationer att överväga under tiden.
Skala cyberattacker
AI är bra på att utföra enkla repetitiva uppgifter snabbt, något som kan utnyttjas av en kriminell aktör för att skala upp cyberattacker.
Hackning sker främst manuellt, vilket innebär att storskaliga cyberattacker kräver att många människor är delaktiga. Hotaktörer kan använda AI för att minska de enformiga, tidskrävande momenten av hackning, som t.ex. att samla in data om ett tilltänkt mål. Nationella aktörer, som utgör några av största cybersäkerhetshoten, kommer sannolikt att skaffa sig resurser att investera i sofistikerad AI för att skala upp sina cyberintrång. Detta skulle möjliggöra för hotaktörer att attackera fler mål, vilket potentiellt ökar deras chanser att hitta och utnyttja sårbarheter.
Hotaktörer och generativ AI
Användare kan be generativ AI att skapa skadlig kod eller material för nätfiske, men utvecklare hävdar att generativ AI inte kommer att svara på inmatning med skadliga intentioner. Ändå kan hotaktörer kanske hitta indirekta metoder för att frambringa skadlig kod från generativ AI. Därför måste utvecklare ständigt säkerställa att inga nya sårbarheter har utnyttjats, då AI är så pass dynamiskt.
Hotaktörer kan också använda generativ AI för att utnyttja mänskliga fel, vilket i hög grad påverkar säkerhetssårbarheter, genom social ingenjörskonst. Det finns ett brett spektrum av skadliga aktiviteter som utnyttjar psykologisk manipulation via mänskliga interaktioner för att tvinga fram säkerhetsöverträdelser. Den betydande bearbetningsförmågan för naturligt språk med hjälp av generativ AI kan vara mycket effektiv för att effektivisera sådana sociala manipulationsförsök.
AI kan användas som försvar mot generativ AI
Även om det finns potentiella risker med AI, kan en cyberförsvarare likväl använda det här verktyget som en försvarsmekanism, precis så som en hotaktör kan använda det till att inleda en attack.
En av de viktigaste aspekterna ur Verizons Data Breach Investigations Report (DBIR) är den betydande roll som det mänskliga elementet spelar när det kommer till cybersäkerhetsbrott. Människor är mottagliga för social ingenjörsteknik, något som underlättas med generativ AI som regisseras av hotaktörer och är även implementerbar i stor skala. Hotet förvärras av den komplexa hanteringen av inloggningsuppgifter, eftersom vi idag ofta växlar mellan arbete och hem, samt mellan professionella och personliga enheter.
Tanken på ett utbrett hot stärker argumentet för ‘zero trust’, med en "aldrig lita på, alltid verifiera"-inställning till cybersäkerhet. En modell som arbetar efter verkligheten att säkerhetshot kan komma varifrån som helst, inklusive inifrån en organisation. Detta kräver inte bara strikt autentisering av användare, utan också samma grad av tillgångsbegränsningar till applikationer och infrastruktur, inklusive leveranskedja, moln, switchar och routrar.
Även om det krävs en stor ansträngning för att bygga zero trust-arkitekturer och tillämpningsteknik, kan AI förenkla processen avsevärt. Tekniken som har potential att skapa ett expansivt hot kan med andra ord även effektivisera implementeringen av de säkerhetsprotokoll som behövs för att hålla sådana attacker borta.
AI är här för att stanna
Verkligheten är att det inte går att lägga tillbaka AI i lådan. AI är ett verktyg och precis som alla verktyg kan det användas produktivt eller destruktivt. Vi måste använda det till vår fördel, samtidigt som vi förutser hur dåliga aktörer kan utnyttja tekniken.
Brigitte Elwes, Senior Manager, Cybersecurity Solutions, Verizon Business, Norden och Benelux
