Кибербезопасность в эпоху ИИ: новые угрозы и защита

Кибербезопасность представляет собой интеллектуальное противостояние, — отмечает Ами Луттвак, технический директор компании Wiz. — С появлением новых технологических волн злоумышленники немедленно начинают их использовать.

Стремление предприятий внедрить искусственный интеллект в рабочие процессы расширяет поверхность для атак. ИИ ускоряет разработку программного обеспечения, но эта скорость часто достигается за счет безопасности, создавая уязвимости.

Недавние исследования Wiz выявили распространенную проблему в приложениях, созданных с помощью виб-кодинга — ненадежную реализацию систем аутентификации. Это происходит потому, что такой подход проще в реализации, — объясняет эксперт. — Агенты виб-кодинга выполняют указания, и если не требовать от них максимальной безопасности, они ее не обеспечат.

Сегодня компании постоянно сталкиваются с выбором между скоростью разработки и безопасностью. При этом злоумышленники также используют ИИ для своих целей, применяя виб-кодинг, промпт-техники и собственных ИИ-агентов для проведения атак.

Злоумышленники активно ищут уязвимости в новых ИИ-инструментах, которые компании внедряют для повышения эффективности. Луттвак предупреждает о рисках цепочечных атак через компрометацию сторонних сервисов, имеющих доступ к корпоративной инфраструктуре.

Недавний инцидент со стартапом Drift, специализирующимся на ИИ-чатах для продаж, продемонстрировал серьезность угроз. Атака привела к утечке данных Salesforce сотен корпоративных клиентов, включая Cloudflare, Palo Alto Networks и Google. Код для этой атаки также был создан с использованием виб-кодинга.

Несмотря на то, что внедрение ИИ-инструментов предприятиями пока минимально, компания Wiz еженедельно фиксирует атаки, затрагивающие тысячи корпоративных клиентов. Искусственный интеллект присутствует на каждом этапе современных кибератак.

Еще одним примером масштабной цепочечной атаки стал инцидент «s1ingularity» в августе, направленный на популярную систему сборки Nx для JavaScript-разработчиков. Злоумышленники внедрили вредоносное ПО, которое обнаруживало ИИ-инструменты разработки и использовало их для автономного сканирования систем в поисках ценных данных.

В ответ на растущие угрозы Wiz расширила свои возможности для противодействия ИИ-атакам. В сентябре прошлого года компания запустила Wiz Code для обеспечения безопасности на ранних этапах разработки, а в апреле представила Wiz Defend для защиты в реальном времени.

Для эффективной безопасности необходимо глубокое понимание приложений клиентов, — подчеркивает Луттвак. — Мы создаем инструменты безопасности, которые понимают потребности пользователей.

Эксперт обращает особое внимание на необходимость обеспечения безопасности с самого начала работы стартапов. С первого дня необходимо иметь руководителя по информационной безопасности, даже если в компании всего пять сотрудников.

До написания первой строки кода стартапы должны продумать корпоративные функции безопасности, аудит, аутентификацию, доступ к производству и практики разработки. Такой подход позволяет избежать накопления «долга по безопасности» и быть готовым к защите данных предприятий.

Получение сертификата SOC2 для пяти сотрудников значительно проще, чем для пятисот, — делится опытом технический директор.

Ключевым моментом для ИИ-стартапов, ориентированных на корпоративный сектор, является разработка архитектуры, позволяющей данным клиента оставаться в их среде. Для кибербезопасностных стартапов сейчас открываются широкие возможности для инноваций в защите от фишинга, безопасности электронной почты, защите от вредоносных программ и многом другом.

Современная безопасность требует переосмысления всех подходов, — заключает Луттвак. — Игра только начинается.