За последние несколько дней я общался с советами директоров, генеральными директорами и технологическими лидерами, которые, что вполне понятно, очень обеспокоены тем, что новые возможности ИИ от Anthropic значат для их организаций. Хотя у каждой команды руководителей будут свои обстоятельства и уровень киберзрелости, есть несколько моментов, которые на этой неделе должны быть в повестке дня каждого совета директоров, чтобы помочь выработать взвешенную и эффективную реакцию.
Итак, что изменилось?
Если кратко, то анонс Anthropic о новейших возможностях Claude Mythos сигнализирует о качественном изменении ландшафта киберрисков. Мы увидели четкие свидетельства того, что ИИ может выявлять, объединять в цепочки и эксплуатировать уязвимости нулевого дня в основных операционных системах и браузерах. Современные модели ИИ теперь могут анализировать исходный код, рассуждать о сложных взаимодействиях и с высокой скоростью находить уязвимости, пригодные для эксплуатации.
Это важно, поскольку ставит под сомнение ряд давних предположений:
- Код, написанный десятилетиями ранее и считавшийся стабильным или «достаточно безопасным», теперь потенциально уязвим для атак ИИ
Код, написанный десятилетиями ранее и считавшийся стабильным или «достаточно безопасным», теперь потенциально уязвим для атак ИИ
- Обнаружение уязвимостей больше не ограничено циклами проверки человеком
Обнаружение уязвимостей больше не ограничено циклами проверки человеком
- Сроки ответственного раскрытия информации и устранения уязвимостей, рассчитанные на исследования человека, больше не отражают реальность
Сроки ответственного раскрытия информации и устранения уязвимостей, рассчитанные на исследования человека, больше не отражают реальность
- Допустимое окно риска для устранения уязвимостей сузилось, и периодические циклы установки патчей больше не будут эффективными
Допустимое окно риска для устранения уязвимостей сузилось, и периодические циклы установки патчей больше не будут эффективными
Mythos пока строго контролируется в рамках Project Glasswing, но направление очевидно. Обнаружение уязвимостей ускоряется, поверхности атак становятся шире и заметнее, а для руководителей служб безопасности массовая установка патчей станет намного сложнее. Это имеет последствия для проектирования систем, организационной устойчивости, разработки программного обеспечения и, следовательно, управления рисками. Вероятно, ситуация особенно остра в критической национальной инфраструктуре, где стабильность и доступность были доминирующим соображением.
Какие вопросы мы слышим от генеральных директоров?
Наши клиенты задают практические вопросы: Что это меняет в моей среде? Где я уязвим из-за устаревшего кода и технического долга? Как получить уверенность в программном обеспечении, которое я покупаю и создаю? Как сократить время между обнаружением и устранением уязвимостей? И как объяснить обоснованность защиты советам директоров, регуляторам и страховщикам в мире, ускоренном искусственным интеллектом?
Приоритетные меры для советов директоров по непосредственному решению этих проблем
Инвестируйте в киберустойчивость для эпохи ИИ. Это гонка вооружений, которая происходит с огромной скоростью: инструменты, которые защитники получают сегодня, злоумышленники получат завтра. Ваша организация должна перейти от «точечного» тестирования к более непрерывным, дополненным ИИ подходам к обеспечению безопасности, сочетающим автоматизированное обнаружение и все более автоматизированное устранение уязвимостей.
Переосмыслите обеспечение безопасности цепочки поставок за рамки «комплаенса». Как мы раз за разом видели из атак за последние 18 месяцев, риск не останавливается у вашей собственной двери. Между вашими рисками и рисками третьих лиц нет границ. Поставьте перед своей командой задачу выйти за рамки описей и контрольных списков и вместо этого сосредоточиться на понимании подверженности рискам и того, что может выйти из строя в первую очередь при анализе противниками, использующими ИИ.
Опережайте ожидания регулирующих органов и страховщиков. ИИ стремительно вписывается в существующее киберрегулирование, а это означает, что если вы создаете, покупаете или внедряете ИИ, помните: регуляторы могут не потребовать комплаенс по ИИ сам по себе, но он скоро станет необходим в рамках кибербезопасности, проверок безопасности поставщиков, закупок и режимов цифровой безопасности. Гарантии, которых вчера могло быть достаточно для страховки, больше не сработают. Это возлагает огромную ответственность на советы директоров по обеспечению видимости и возможности защиты своих решений.
Понимайте свою подверженность рискам цифрового суверенитета. ИИ и геополитика доминируют в заголовках новостей, стимулируя цифровой суверенитет таким образом, что свод правил не сокращается, а разрастается. Правительства и регулирующие органы уделяют особое внимание рискам и уязвимостям суверенной и критической инфраструктуры. Обнаружение уязвимостей с помощью ИИ повышает актуальность национальной устойчивости. Для этого вам нужны надежные и независимые консультанты, обладающие глубоким пониманием ситуации и связями с государственным сектором.
Начните проводить ред-тестирование с имитацией противника, усиленной ИИ. Атаки на базе ИИ — это не научная фантастика и не проблема завтрашнего дня. Вам нужно разобраться со своими рисками уже сегодня. Как указано выше, некоторые из базовых предположений кибербезопасности разрушаются, поэтому симуляции даже шести- или двенадцатимесячной давности могут уже не иметь значения. Подготовьтесь к этой новой реальности прямо сейчас.
Переоцените доверие
Это период быстрых перемен. Чтобы преуспеть, вы должны противостоять стремлению действовать реакционно и урывками. Инвестируйте в партнерские отношения с техническими авторитетами, обладающими опытом и глубиной. Универсального решения не существует. В мире, ускоренном ИИ, задача состоит в том, чтобы смотреть сквозь шумиху и доверять советам и действиям, за которыми вы можете стоять. ИИ — это огромная возможность для всех нас, в каждой организации и в каждой отрасли. Те, кто стоит на месте, останутся позади, действовать нужно прямо сейчас, чтобы стать частью перемен, а не их жертвой.
Реалистичная заметка в завершение
Важно воспринимать этот потенциальный «сдвиг парадигмы» всерьез, но в то же время не поддаваться излишней шумихе. Также важно отметить, что даже при взгляде на организации, изначально созданные с использованием ИИ, участие человека остается ключевым фактором. ИИ галлюцинирует, необходимо принимать сбалансированные решения и обладать экспертными знаниями для осуществления требуемого сдвига. Также важно помнить, что многие крупные утечки последних лет часто были связаны с компрометацией людей через социальную инженерию, а не с поиском уязвимостей нулевого дня. Выполнение базовых требований — это самая важная защита, которую можно реализовать прямо сейчас.
Чтобы узнать больше о Claude Mythos и последствиях для индустрии кибербезопасности, присоединяйтесь к нашему вебинару здесь:
Об авторе: Майк Мэддисон
Майк — бывший директор по информационной безопасности (CISO), ставший генеральным директором, который консультирует руководителей высшего звена и советы директоров по стратегии киберустойчивости и преодолению технологических сбоев. Майк является доверенным советником глобальных технологических компаний, производителей, финансовых институтов, объектов критической национальной инфраструктуры, ритейлеров и правительств. Он возглавляет NCC Group с 2022 года и руководил трансформацией группы в лидера в области чисто услуг кибербезопасности.
Об NCC Group
NCC Group — это глобальная компания в сфере киберустойчивости, опирающаяся на экспертный потенциал людей и технологические возможности, которая консультирует организации и государственный сектор уже более 25 лет. NCC Group находится на передовой этой реальности. Крупнейшие облачные провайдеры и передовые лаборатории искусственного интеллекта доверяют нам оценку высокорисковых технологий, преобразуя этот опыт и аналитические данные в надежные практические гарантии для клиентов. Наше наследие и глубокая техническая экспертиза в сочетании с мощной специализированной вычислительной инфраструктурой для ИИ означают, что мы обладаем возможностями искусственного интеллекта корпоративного уровня — полностью собственными, безопасными и созданными для кибербезопасности, чтобы помогать организациям расставлять приоритеты рисков, быстрее устранять уязвимости и внедрять ИИ безопасно и ответственно, полагаясь на доверие как на основу.
