Inteligența artificială accelerează atacurile cibernetice, iar Google avertizează că este deja folosită de grupări criminale și de actori statali în mai multe etape ale operațiunilor informatice. Modelele AI nu desfășoară, în mod obișnuit, singure un atac complet, însă pot reduce timpul necesar pentru cercetare, generarea de cod, identificarea vulnerabilităților și automatizarea unor sarcini repetitive.
Pentru utilizatori și companii, schimbarea importantă nu este apariția unui atacator complet autonom, ci creșterea vitezei și a volumului operațiunilor realizate de persoane care dispun deja de obiective, acces și infrastructură.
AI-ul este folosit în mai multe etape ale unui atac
Google Threat Intelligence Group descrie utilizarea inteligenței artificiale în activități precum documentarea țintelor, dezvoltarea și adaptarea codului, analiza sistemelor, cercetarea vulnerabilităților și automatizarea unor pași operaționali. Compania prezintă aceste utilizări ca pe o evoluție a metodelor de lucru ale atacatorilor, nu ca pe dovada unor atacuri complet autonome.
În practică, un model AI poate accelera activități care necesitau anterior intervenție manuală repetată. Acest lucru le permite operatorilor să analizeze mai multe ținte, să pregătească mesaje mai convingătoare și să testeze mai rapid diferite variante tehnice.
generarea și adaptarea unor fragmente de cod;
analizarea sistemelor și a vulnerabilităților;
crearea unor mesaje de phishing mai naturale și mai bine adaptate victimei;
automatizarea unor sarcini repetitive din cadrul unei operațiuni;
producerea de conținut fals pentru manipulare și influență online.
Folosirea AI-ului nu elimină însă cerințele esențiale ale unui atac: alegerea țintei, obținerea accesului, configurarea infrastructurii și luarea deciziilor operaționale rămân factori importanți.
Ce înseamnă, de fapt, o vulnerabilitate zero-day
Termenul „zero-day” se referă la o vulnerabilitate exploatată înainte ca dezvoltatorul să fi avut la dispoziție o perioadă reală pentru remediere. În funcție de caz, problema poate fi necunoscută public, poate fi cunoscută doar unui grup restrâns sau poate să nu aibă încă un patch disponibil. Expresia nu desemnează orice vulnerabilitate reparată cu întârziere și nu înseamnă automat că exploatarea a fost creată autonom de AI.
În documentul său tehnic despre exploatarea vulnerabilităților și obținerea accesului inițial, Google Cloud descrie un caz în care un atacator ar fi folosit AI pentru dezvoltarea unui exploit destinat unei vulnerabilități zero-day dintr-un instrument open-source de administrare web.
Potrivit relatării Reuters, Google a evaluat că metoda putea fi folosită într-o operațiune de exploatare în masă. Compania a intervenit înainte ca atacul să fie folosit pe scară largă, astfel încât cazul indică o tentativă și o capacitate tehnică observată, nu dovada unei campanii globale desfășurate cu succes.
Importanța cazului constă în natura activității. AI-ul nu a fost asociat doar cu phishing, spam sau redactarea de mesaje frauduloase, ci și cu o etapă tehnică avansată: pregătirea unui exploit pentru obținerea accesului inițial. Totuși, rolul exact al modelului trebuie separat de restul operațiunii. Identificarea vulnerabilității, transformarea informațiilor într-un exploit funcțional și folosirea acestuia împotriva unei ținte implică mai mult decât generarea automată de text sau cod.
De ce mesajele frauduloase pot deveni mai greu de recunoscut
Pentru utilizatorii obișnuiți, efectul cel mai vizibil al AI-ului este îmbunătățirea tentativelor de fraudă. Un e-mail sau un mesaj generat ori revizuit cu ajutorul unui model poate avea o exprimare naturală, poate imita stilul unei organizații și poate fi adaptat mai bine contextului victimei.
Regulile de bază ale protecției rămân însă aceleași. Linkurile pot duce la pagini false, parolele pot fi reutilizate, iar solicitările urgente de bani sau date pot proveni de la atacatori. AI-ul face aceste tactici mai convingătoare, dar nu schimbă mecanismul prin care utilizatorul este determinat să divulge informații sau să execute o acțiune riscantă.
Presiunea suplimentară asupra companiilor
Pentru organizații, accelerarea atacurilor reduce timpul disponibil pentru identificarea și remedierea problemelor. O vulnerabilitate nouă trebuie evaluată rapid, iar sistemele expuse trebuie inventariate înainte ca atacatorii să poată automatiza căutarea țintelor vulnerabile.
Companiile trebuie să limiteze și efectele unui acces inițial reușit. Compromiterea unui cont nu ar trebui să ofere automat control asupra întregii infrastructuri, iar activitățile neobișnuite trebuie detectate prin monitorizare și jurnalizare adecvate.
Ce spune Google despre grupările asociate Chinei și Coreei de Nord
Google menționează activități asociate unor grupări despre care compania afirmă că au legături cu China și Coreea de Nord. Evaluarea se referă la utilizarea AI-ului pentru cercetare tehnică și pentru activități legate de exploatarea vulnerabilităților.
Această atribuire trebuie citită exact în limitele afirmației companiei: faptul că o grupare este asociată unei anumite țări și că a experimentat cu AI nu înseamnă că fiecare operațiune a sa este autonomă sau că toate atacurile atribuite acelei țări folosesc inteligență artificială.
Riscul potențial depășește fraudele individuale. Instrumentele AI pot susține operațiuni împotriva organizațiilor, campanii de influență și atacuri asupra unor infrastructuri importante, dacă sunt integrate într-o infrastructură și într-un proces operațional controlate de atacatori.
Măsuri esențiale pentru utilizatori
Într-un context în care mesajele frauduloase pot fi redactate mai convingător, verificarea independentă a solicitărilor devine mai importantă decât greșelile de exprimare sau aspectul vizual al mesajului.
folosiți parole unice pentru conturile importante;
activați autentificarea în doi pași;
instalați rapid actualizările pentru aplicații și sisteme;
verificați adresa reală a unui link înainte de accesare;
confirmați printr-un canal separat solicitările neobișnuite de bani sau date;
păstrați copii de siguranță pentru documentele importante.
Măsuri necesare în organizații
Companiile au nevoie de o evidență actualizată a sistemelor, de prioritizarea vulnerabilităților expuse la internet și de proceduri clare pentru instalarea rapidă a patch-urilor. Autentificarea rezistentă la phishing poate reduce riscul preluării conturilor, iar segmentarea accesului limitează deplasarea atacatorilor în rețea.
Monitorizarea autentificărilor, a modificărilor neobișnuite și a accesului la resurse sensibile poate scurta timpul dintre compromitere și detectare. Aceste măsuri nu elimină riscul, dar reduc probabilitatea ca un cont compromis sau o vulnerabilitate exploatată să producă efecte extinse.
Mesajul central al analizei Google este că AI-ul funcționează deja ca un accelerator pentru atacatori. Tehnologia nu transformă automat un utilizator fără experiență într-un atacator capabil, însă poate amplifica eficiența celor care au deja un obiectiv, acces și infrastructură.
