За последние несколько дней я общался с членами советов директоров, генеральными директорами и технологическими руководителями, которые, что вполне понятно, глубоко обеспокоены тем, что новые возможности Anthropic в сфере кибербезопасности означают для их организаций. Хотя у каждой команды руководителей будут свои обстоятельства и свой уровень киберзрелости, есть несколько вопросов, которые на этой неделе должны быть в повестке дня каждого совета директоров, чтобы помочь выработать взвешенную и эффективную реакцию.
Итак, что изменилось?
Если обобщить, заявление Anthropic о новейших возможностях Claude Mythos указывает на качественный скачок в ландшафте киберрисков. Мы увидели четкие доказательства того, что ИИ способен находить, объединять и эксплуатировать уязвимости нулевого дня в основных операционных системах и браузерах. Современные модели ИИ теперь могут анализировать исходный код, рассуждать о сложных взаимодействиях и с высокой скоростью выявлять уязвимости, пригодные для эксплуатации.
Это важно, поскольку ставит под сомнение несколько давних предположений:
- Код, написанный десятилетия назад и считавшийся стабильным или «достаточно безопасным», теперь потенциально уязвим для атак ИИ
Код, написанный десятилетия назад и считавшийся стабильным или «достаточно безопасным», теперь потенциально уязвим для атак ИИ
- Обнаружение уязвимостей больше не ограничено циклами проверки человеком
Обнаружение уязвимостей больше не ограничено циклами проверки человеком
- Сроки ответственного раскрытия информации и устранения уязвимостей, рассчитанные на исследования человеком, больше не отражают реальность
Сроки ответственного раскрытия информации и устранения уязвимостей, рассчитанные на исследования человеком, больше не отражают реальность
- Допустимое окно риска для устранения уязвимостей сократилось, а периодические циклы установки патчей перестанут быть подходящим решением
Допустимое окно риска для устранения уязвимостей сократилось, а периодические циклы установки патчей перестанут быть подходящим решением
Mythos пока что строго контролируется в рамках Project Glasswing, но направление движения очевидно. Обнаружение уязвимостей ускоряется, поверхности атак становятся шире и заметнее, а руководителям по безопасности будет гораздо сложнее производить массовое патчезарное обновление. Это затрагивает проектирование систем, организационную устойчивость, разработку программного обеспечения и, следовательно, управление рисками. Вероятно, эта проблема особенно остро стоит в критически важных объектах национальной инфраструктуры, где стабильность и доступность традиционно были главными приоритетами.
Какие вопросы мы слышим от генеральных директоров?
Наши клиенты задают практические вопросы: Что это меняет в моей среде? Где я уязвим из-за устаревшего кода и технического долга? Как получить гарантии в отношении программного обеспечения, которое я покупаю и создаю? Как сократить время между обнаружением и устранением уязвимостей? И как объяснить свою защищенность советам директоров, регуляторам и страховщикам в мире, ускоренном искусственным интеллектом?
Приоритетные меры для советов директоров по непосредственному решению этих проблем
Инвестируйте в киберустойчивость для эпохи ИИ. Это гонка вооружений, которая развивается с огромной скоростью: инструменты, которые защитники получают сегодня, завтра окажутся у злоумышленников. Вашей организации необходимо перейти от «точечного» тестирования к более непрерывным подходам к обеспечению безопасности на базе ИИ, сочетающим автоматизированное обнаружение и все более автоматизированное устранение угроз.
Переосмыслите обеспечение безопасности цепочки поставок, выйдя за рамки «комплаенса». Как мы неоднократно видели на примере атак за последние 18 месяцев, риск не заканчивается у вашего порога. Нет никакой границы между вашим риском и риском третьих лиц. Поставьте перед своей командой задачу выйти за рамки описей и контрольных списков, сосредоточившись вместо этого на понимании уровня подверженности угрозам и того, что может выйти из строя в первую очередь при анализе противниками, использующими ИИ.
Опережайте ожидания регулирующих органов и страховщиков. ИИ стремительно вписывается в существующее киберрегулирование, а это означает, что если вы создаете, покупаете или развертываете ИИ, регуляторы могут потребовать не столько соблюдения норм ИИ как таковых, сколько кибербезопасности, проверок безопасности поставщиков, режимов закупок и цифровой безопасности, что вскоре станет обязательным. Уровень гарантий, которого вчера было достаточно для страхования, больше не годится. Это возлагает на советы директоров огромную ответственность за обеспечение видимости и надежной защиты в качестве ответа на угрозы.
Оцените свою подверженность рискам цифрового суверенитета. ИИ и геополитика доминируют в заголовках новостей, стимулируя цифровой суверенитет таким образом, что свод правил не сокращается, а множится. Правительства и регулирующие органы уделяют особое внимание рискам и уязвимостям суверенной и критической инфраструктуры. Обнаружение уязвимостей с помощью ИИ повышает срочность обеспечения национальной устойчивости. Для этого вам нужны надежные и независимые консультанты, обладающие глубоким пониманием и связями с государственным сектором.
Начните проводить ред-тестирование с использованием имитации противника на базе ИИ. Атаки на основе ИИ — это не научная фантастика и не проблемы завтрашнего дня. Вам нужно разобраться со своими рисками уже сегодня. Как указано выше, некоторые базовые предположения кибербезопасности рушатся, поэтому результаты симуляций даже шести- или двенадцатимесячной давности могут уже не иметь значения. Опережайте эту новую реальность прямо сейчас.
Переосмысление понятия доверия
Это период стремительных перемен. Чтобы процветать, вы должны противостоять искушению действовать реактивно и урывками. Инвестируйте в партнерство с технической властью, экспертизой и глубиной. Универсального средства от всех проблем не существует. В мире, ускоренном ИИ, задача состоит в том, чтобы заглянуть за рамки шумихи и доверять советам и действиям, за которые вы можете поручиться. ИИ — это огромная возможность для всех нас, в каждой организации и в каждой отрасли. Тот, кто стоит на месте, останется позади; действовать нужно прямо сейчас, чтобы стать частью перемен, а не их жертвой.
Реалистичное замечание в заключение
Важно относиться к этому потенциальному «смене парадигмы» серьезно, но в то же время не поддаваться излишней шумихе. Также важно помнить, что даже при анализе организаций, изначально созданных на базе ИИ, человек по-прежнему играет ключевую роль. ИИ действительно галлюцинирует, для принятия взвешенных решений и проведения необходимых преобразований необходима экспертиза. Также важно помнить, что многие крупные утечки последних лет часто были связаны с компрометацией людей через социальную инженерию, а не с поиском уязвимостей нулевого дня. Выполнение базовых требований безопасности — это самая важная защита, которую можно внедрить прямо сейчас.
Чтобы узнать больше о Claude Mythos и последствиях для киберотрасли, присоединяйтесь к нашему вебинару здесь:
Об авторе: Майк Мэддисон
Майк — бывший директор по информационной безопасности (CISO), ставший генеральным директором, который консультирует руководителей и советы директоров по вопросам стратегии киберустойчивости и преодоления технологических сбоев. Майк является доверенным советником мировых технологических компаний, производителей, финансовых институтов, объектов критической национальной инфраструктуры, ритейлеров и правительств. Он возглавляет NCC Group с 2022 года и руководил преобразованием группы в лидера в сфере чисто цифровых услуг кибербезопасности.
Об NCC Group
NCC Group — это глобальная компания в области киберустойчивости, опирающаяся на экспертный потенциал людей и технологические возможности, которая консультирует организации и государственный сектор уже более 25 лет. NCC Group работает на переднем крае этой реальности. Крупнейшие облачные провайдеры и передовые лаборатории искусственного интеллекта доверяют нам оценку высокорисковых технологий, преобразуя этот опыт и аналитические данные в надежные и практические гарантии для клиентов. Наше наследие и глубокая техническая экспертиза в сочетании с мощной специализированной вычислительной инфраструктурой искусственного интеллекта означают, что мы обладаем возможностями ИИ корпоративного уровня — полностью собственными, безопасными и созданными для кибербезопасности, чтобы помочь организациям расставлять приоритеты в отношении рисков, быстрее устранять уязвимости и безопасно и ответственно внедрять искусственный интеллект на основе доверия.
