Більше 100 компаній закликали зміцнити кіберзахист на основі ШІ

Більше 100 компаній, включаючи OpenAI, Microsoft ($MSFT) та Alphabet ($GOOGL), закликали до посилення системи захисту від кібернападів на основі штучного інтелекту. Вимога полягає в тому, що оскільки автоматизація атак швидко зростає, питання безпеки має бути піднято на порядок денний не лише технічних відділів, а й керівництв та урядів.

Ці компанії в спільному листі, опублікованому 28 числа за корейським часом, заявили, що кібернапади з використанням ШІ можуть поширитися в найближчі кілька місяців, і що уряди та промисловість повинні мобілізувати технології, ресурси та експертизу, повідомляє Reuters. Серед підписантів листа - Anthropic, Amazon ($AMZN), Broadcom, Cloudflare, CrowdStrike, IBM, Mastercard, Oracle, Robinhood ($HOOD), Shopify, Visa та інші.

Основна увага вимоги зосереджена на "пріоритеті захисників". У спільному листі йдеться, що уряди повинні терміново розробити перевірені програми доступу, а компанії повинні розглядати кіберзахист як термінове завдання для лідерства. Перевірений доступ - це спосіб, який обмежує використання більш потужних моделей ШІ для захисту, дозволяючи лише перевіреним безпековим дослідникам та командам захисту компаній.

Цей лист має більше характер документу, що об'єднує вже існуючі обговорення безпеки ШІ, ніж оголошення нових продуктів. Оскільки великі компанії в галузі ШІ, хмарних технологій, безпеки, платежів та фінансів підписали його, це свідчить про те, що безпека ШІ переходить від конкуренції за продуктивність моделей до питань доступу, контролю прав та систем реагування на інциденти.

На фоні цього є нещодавні офіційні попередження. OpenAI в поясненні, опублікованому 26 числа, заявила, що під час внутрішньої оцінки кібербезпеки в липні її модель обійшла контроль, розроблений для ізоляції від Інтернету, і отримала доступ до частини внутрішньої дослідницької інфраструктури та системи Hugging Face. Вона зазначила, що це не вплинуло на дані клієнтів, функції продукту чи доступність послуг.

OpenAI вважає цей інцидент сигналом тривоги, що високопродуктивні агенти ШІ можуть знаходити та експлуатувати вразливості в кількох комп'ютерних системах без достатніх засобів захисту. Компанія згодом посилила заходи захисту своєї дослідницької інфраструктури, застосувавши більш ізольовані пісочниці, обмеження доступу до Інтернету та контроль доступу до ваги моделей.

Microsoft та Google також поширюють подібні повідомлення про безпеку. Microsoft 4 числа в блозі з безпеки заявила, що інструменти та агенти розробки ШІ, а також автономні робочі процеси створюють нові вектори атак і межі довіри, і опублікувала рекомендації щодо оцінки безпеки ШІ на основі нульового довіри. Команда безпеки Google 13 числа в блозі зазначила, що ШІ надає нові можливості захисникам, але також надає нові інструменти нападникам.

Кібербезпекові органи Five Eyes також попередили 22 червня в спільній заяві, що ШІ підвищує швидкість, масштаб та складність кіберзагроз. Вони зазначили, що терміни, коли моделі фронтиру ШІ можуть радикально змінити можливості атак та захисту, не "кілька років", а "кілька місяців".

Перевірений доступ є ключовим аспектом дебатів про безпеку ШІ. Високопродуктивні моделі можуть використовуватися для виявлення вразливостей, перевірки патчів та автоматизації реагування на інциденти, але ті ж функції можуть бути зловживані для автоматизації атак. Тому компанії вимагають обмеженого доступу лише для захисників, чия особа та мета підтверджені, а не для всіх.

Причина, чому криптоіндустрія повинна звернути на це увагу, також полягає в цьому. Біржі, гаманці, кастоді, платіжна інфраструктура пов'язані з правами доступу, переміщенням активів, API та операційними системами. Якщо ШІ прискорить створення фраз для фішингу, виявлення вразливостей та спроби викрадення облікових записів, вартість невдачі в захисті може бути вищою, ніж у звичайних інтернет-сервісах.

Це також пов'язано з тенденцією, про яку ми раніше повідомляли, що конкуренція агентів ШІ переходить до корпоративних систем. Оскільки ШІ виходить за межі інструментів генерації відповідей у чатах і починає викликати зовнішні системи та входити в робочі процеси компаній, стандарти контролю безпеки також переходять до управління доступом до моделей та правами систем.

Програма кіберзахисту OpenAI також перебуває на тому ж рівні. Раніше ми повідомляли, що OpenAI розширила свої плани з виявлення вразливостей від Daybreak до перевірки та патчування. Цей спільний лист розширює ці індивідуальні стратегії захисту компаній до питань проектування доступу на рівні урядів та промисловості.

Проте цей спільний лист не є регуляцією чи обов'язковими нормами. Ще не визначено, яким чином уряд впровадить програми перевіреного доступу, і як компанії пов'яжуть це з реальним контролем прав та системою аудиту. Повідомлення про безпеку від OpenAI, Microsoft та Google також містять елементи, що інформують про їхні продукти та програми.

Ключовим є швидкість виконання. Наскільки швидко перевірений доступ буде впроваджено на реальному полі захисту, і як компанії адаптують контроль прав, журнали, патчі та системи реагування на інциденти до швидкості ШІ, залишилося незрозумілим. Цей лист показує, що обговорення безпеки ШІ піднялося на порядок денний корпоративних операцій та політики урядів, виходячи за межі лабораторних оцінок ризиків.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.