هوش مصنوعی داره قواعد بازیِ عملیات امنیتی رو عوض میکنه
هوش مصنوعیخلاصهٔ کاملتر
تو این مقاله که تو وبلاگ شرکت Wiz منتشر شده، نویسنده میگه هوش مصنوعی داره اقتصاد هم توسعهٔ نرمافزار و هم حملههای سایبری رو تغییر میده. شرکتها سریعتر از همیشه و با کمک ابزارهای هوش مصنوعی کد منتشر میکنن، ولی همون قابلیتها دست مهاجمها هم هست؛ هوش مصنوعی میتونه کد ناآشنا رو تحلیل کنه، ضعفها رو پیدا کنه و ساخت اکسپلویت رو سریعتر کنه. نتیجه اینه که فاصلهٔ بین افشای یه آسیبپذیری تا سوءاستفاده ازش خیلی کوتاه میشه.
به گفتهٔ نویسنده، بزرگترین تغییری که هوش مصنوعی به عملیات امنیتی تحمیل میکنه اینه که دیگه نمیشه «کانتکست» یا شناخت محیط رو موقع بررسی یه حادثه جمع کرد؛ این شناخت باید از قبل وجود داشته باشه. تیم امنیتی باید همیشه بدونه چه سرویسهایی در حال اجرا هستن، از چه هویتهایی استفاده میکنن، به چه دادههایی دسترسی دارن و چه ربطی به هم دارن. با زیادشدن اپلیکیشنهای مبتنیبر هوش مصنوعی، نگهداشتن این شناخت بهصورت دستی تقریباً غیرممکن میشه.
دومین تغییر تو چیزیه که تیمها باید رصد کنن. نویسنده میگه Wiz به دید امنیتی تو سه لایه نگاه میکنه: لایهٔ مدل، لایهٔ workload و لایهٔ ابر. تو لایهٔ مدل باید ورودی و خروجیها رصد بشن تا مواردی مثل تلاش برای prompt injection یا لورفتن دادهٔ حساس دیده بشه. تو لایهٔ workload، پایش زمان اجرا مهمه و یه سیگنال مشکوک وقتی کنار نشونههای دستکاری مدل قرار بگیره، تازه معنی پیدا میکنه.
تو لایهٔ ابر، عاملهای (agent) هوش مصنوعی با هویتهای ماشینی و دسترسیهای واگذارشده با پایگاههای داده، APIها و زیرساخت ابری کار میکنن، برای همین خیلی از مهمترین سیگنالها نه تو خود مدل، بلکه تو کارهاییه که از طرفش انجام میشه. نکتهٔ اصلی نویسنده اینه که این سه لایه باید بههم وصل بشن؛ یه رخداد prompt injection، یه اجرای مشکوک و یه تغییر غیرمنتظره تو دیتابیس وقتی جدا دیده بشن بیربط به نظر میرسن، ولی وقتی تو یه گراف بههم وصل بشن، یه داستان منسجم میسازن.
به گفتهٔ نویسنده، الان بیشتر وقت تحلیلگرها صرف جمعکردن اطلاعاته، نه تصمیمگرفتن. اینجا همونجاییه که هوش مصنوعی میتونه به نفع مدافعها تموم بشه: مهاجم از بیرون به درون کار میکنه و فقط به چیزی که کشف میکنه دسترسی داره، ولی مدافع از درون به بیرون دید داره و به کل محیط، از فهرست داراییها تا کد و روابط هویتی، دسترسی داره. سؤال هم از «آیا چیز غیرعادیای اتفاق افتاد؟» به «آیا کاری شد که این workload اصلاً برای انجامش ساخته نشده بود؟» تغییر میکنه.
نویسنده میگه این قابلیتها دیگه آیندهٔ دور نیستن؛ عاملهای هوش مصنوعی همین الان هم موقع بررسیهای زنده، شواهد رو جمع میکنن. اون به Blue Agent شرکت Wiz بهعنوان یه نمونهٔ عملی اشاره میکنه که وقتی تهدیدی شناسایی میشه، خودش بهصورت خودکار تحقیق میکنه، شواهد جرمشناسی جمع میکنه و قبل از اینکه تحلیلگر انسانی حتی هشدار رو باز کنه، یه نتیجه با توضیح شفاف ارائه میده. جمعبندی نویسنده اینه که SOC آینده با تعداد هشدارها تعریف نمیشه، بلکه با میزان شناختش از محیط.
نکات کلیدی:
- هوش مصنوعی فاصلهٔ بین افشای آسیبپذیری تا سوءاستفاده رو کوتاه کرده و فرض «مدافعها وقت دارن» رو باطل میکنه
- کانتکست یا شناخت کامل محیط باید قبل از حادثه آماده باشه، نه اینکه موقع بررسی جمع بشه
- رصد باید تو سه لایه انجام بشه — مدل، workload و ابر — و این لایهها بههم وصل بشن تا تصویر کامل ساخته بشه
- مدافعها برگ برندهٔ «دید از درون به بیرون» رو دارن؛ چیزی که مهاجم بهش دسترسی نداره
