OpenAI, Google a Microsoft varujú pred vlnou kyberútokov poháňaných AI

Viac ako stovka firiem z technologického, finančného a bezpečnostného sektora podpísala otvorený list, v ktorom žiada výrazné posilnenie kybernetickej obrany.

Medzi signatármi sú OpenAI, Google, Microsoft, Anthropic, AWS, Cisco, Cloudflare, CrowdStrike, IBM, Oracle, Perplexity, Palo Alto Networks či Mastercard.

Firmy očakávajú, že už v najbližších mesiacoch budú útoky využívajúce umelú inteligenciu podstatne rozšírenejšie a sofistikovanejšie. Riziko podľa nich rastie spolu so schopnosťami nových modelov a týka sa aj kritickej infraštruktúry, od nemocníc a vodární až po systémy zabezpečujúce fungovanie internetu.

Otvorený list s názvom „Výzva na spoločný postup v kybernetickej obrane“ stojí na troch základných princípoch. Súčasná úroveň zabezpečenia podľa signatárov nebude postačovať, nástroje využívajúce AI treba dostať k väčšiemu počtu obrancov a na rastúce riziko musí reagovať technologický sektor spolu s vládami a ďalšími organizáciami.

Za jeden z hlavných problémov firmy označujú dlhoročný technologický dlh. V systémoch zostávajú neopravené chyby, nesprávne konfigurácie, príliš široké oprávnenia, slabé mechanizmy autentifikácie či zastaraný a nezaplátaný softvér. Bezpečnostné tímy, najmä v kritickej infraštruktúre, navyše často nemajú dostatok ľudí a financií na riešenie všetkých problémov.

AI má podľa signatárov pomôcť práve s touto nerovnováhou. Bezpečnostným tímom môže urýchliť vyhľadávanie slabín, analýzu incidentov a ďalšie úlohy, na ktoré boli doteraz potrební špecialisti. Firmy preto chcú, aby sa overené nástroje, postupy a opravy zdieľali vo väčšom rozsahu a výsledky jednej organizácie mohli využiť aj ďalšie.

Výzva rozdeľuje konkrétne úlohy medzi štyri skupiny. Bežné organizácie majú kybernetickú bezpečnosť posunúť medzi priority vedenia, opraviť najrizikovejšie slabiny a dôslednejšie kontrolovať softvér, ktorý nakupujú, vyvíjajú alebo nasadzujú. Výslovne sem patrí aj kód vytvorený pomocou AI.

Bezpečnostné a technologické firmy majú priebežne testovať svoju ochranu proti najpokročilejším kybernetickým schopnostiam AI, integrovať AI do obranných nástrojov a sprístupniť tieto technológie prevádzkovateľom kritickej infraštruktúry. Súčasťou má byť zdieľanie informácií o hrozbách, overených postupov pri incidentoch a pomoc s nasadením opráv.

Od vlád signatári žiadajú lepšiu koordináciu medzi štátmi a súkromným sektorom, financovanie ochrany základných služieb a jednoduchší prístup k pokročilým obranným nástrojom. Nemocnice, vodárenské spoločnosti či miestne samosprávy by podľa výzvy mali dostať prístup k schopnej AI určenej na obranu, autorizovanému bezpečnostnému testovaniu a technickej podpore.

Samostatná časť sa týka firiem vyvíjajúcich najpokročilejšie AI modely. Tie majú poskytovať zodpovedný prístup k modelom, financovanie a školenia pre bezpečnostné tímy, budovať nástroje na monitorovanie ich používania a zabezpečiť, aby bolo možné identifikovať a spätne dohľadať aktivity AI agentov. Počíta sa tiež s investíciami do autorizovaného testovania, súkromného nahlasovania zraniteľností a overovania opráv.

Výzva je pozoruhodná aj zložením signatárov. Vedľa výrobcov AI modelov ako OpenAI, Anthropic či Google ju podpísali bezpečnostné spoločnosti CrowdStrike, Fortinet, Check Point, Sophos a Zscaler, technologické firmy AMD, Dell, GitHub, Red Hat, SAP či ServiceNow, ale aj banky, poisťovne a platobné spoločnosti vrátane Citi, U.S. Bank, Visa a PayPal.

Autori listu hovoria o obmedzenom časovom okne, počas ktorého môže AI poskytovať výraznú výhodu aj obrancom. Ich cieľom je využiť rastúce schopnosti modelov na odstránenie existujúcich slabín skôr, než sa rovnaké schopnosti vo veľkom rozšíria medzi útočníkov. Praktickým výsledkom výzvy tak má byť najmä rýchlejšie opravovanie zraniteľností, lepšie zabezpečenie kritickej infraštruktúry a širší prístup bezpečnostných tímov k nástrojom využívajúcim AI.