AI w cyberbezpieczeństwie to bardziej asystent niż rewolucja. Eksperci studzą entuzjazm i ostrzegają: bez ludzkiego nadzoru technologia może tworzyć “szybszy chaos”.
W skrócie:
- AI pomaga przyspieszyć analizę zagrożeń i skrócić czas reakcji, ale jego skuteczność zależy od jakości danych telemetrycznych, na których pracuje.
- Badania Microsoftu pokazały, że w najtrudniejszych testach prototypowy system AI wykrył zaledwie 26% złośliwego oprogramowania, co budzi obawy o fałszywe poczucie bezpieczeństwa.
- Eksperci podkreślają, że AI powinno pełnić rolę “drugiego pilota”, wspierając analityków, a nie ich zastępować, ponieważ często brakuje mu kontekstu branżowego.
Sztuczna inteligencja miała być lekiem na całe zło w cyberbezpieczeństwie. Branżowy hype napędził agendę, a menedżerowie na całym świecie zaczęli dopytywać swoich dyrektorów ds. bezpieczeństwa (CISO), kiedy wreszcie wdrożą tę magiczną technologię. AI obiecuje przecież szybkość, skalowalność i adaptację, o jakich tradycyjne narzędzia mogą tylko pomarzyć. Pierwsze wdrożenia pokazują jednak obraz daleki od marketingowych folderów. To nie rewolucja, a raczej ewolucja. I to taka, która bez człowieka za sterami prowadzi donikąd.
AI jako turbodoładowanie? Jak firmy wykorzystują sztuczną inteligencję?
Nie da się ukryć, że AI ma swoje mocne strony. Myke Lyons, CISO w firmie Cribl, dostrzega wartość sztucznej inteligencji i automatyzacji w skracaniu czasu, jaki hakerzy spędzają niezauważeni w systemie (tzw. dwell time) oraz w przyspieszaniu wstępnej analizy i izolowania zagrożeń. Klucz tkwi jednak w danych. Jakość i priorytetyzacja telemetrii – czyli informacji zbieranych ze wszystkich systemów – decydują o sukcesie lub porażce. “W moim zespole stosujemy ustrukturyzowane podejście: dane o wysokim priorytecie, takie jak logi tożsamości i uwierzytelniania, trafiają do systemów o wysokiej pewności w celu wykrywania w czasie rzeczywistym” – wyjaśnia Lyons. Mniej krytyczne dane lądują w tańszych repozytoriach, tzw. data lakes, gdzie czekają na ewentualną analizę powłamaniową.
Podobne doświadczenia ma sektor finansowy, który często jako pierwszy adoptuje nowe technologie. Erin Rogers z BOK Financial potwierdza, że ulepszenia oparte na AI pomagają autonomicznym systemom analizować zagrożenia, podejmować decyzje i adaptować reakcje w czasie rzeczywistym. “W BOK Financial wdrożyliśmy rozwiązania, które wykorzystują agentową AI do identyfikowania i blokowania prób phishingu typu Business Email Compromise, stale poprawiając dokładność w miarę ewolucji zagrożeń” – mówi Rogers. To właśnie agenci AI, czyli autonomiczne programy, mają stanowić kolejny krok po dobrze już znanych systemach SOAR czy EDR.
Zderzenie z rzeczywistością, czyli kubeł zimnej wody od Microsoftu
Brzmi dobrze? Owszem, ale nie wszyscy eksperci podzielają ten optymizm. Shaila Rana, starsza członkini IEEE, ostrzega przed nadmiernym zaufaniem. “Jeszcze nie doszliśmy do tego etapu, jeśli chodzi o wykrywanie przez AI, a to niebezpieczne, bo możemy dać się uśpić fałszywemu poczuciu bezpieczeństwa” – twierdzi. Jej obawy potwierdzają twarde dane. W ramach projektu badawczego Project Ire Microsoft przetestował prototypowy system AI do klasyfikacji złośliwego oprogramowania. Wyniki były, delikatnie mówiąc, rozczarowujące. W najtrudniejszym teście, na próbie 4000 plików zakwalifikowanych do ręcznej analizy, AI poprawnie zidentyfikowało zaledwie 26% rzeczywistego malware.
Te liczby dają do myślenia. Pokazują, że sztuczna inteligencja, choć potrafi poprawnie oflagować 89% znanych zagrożeń, kompletnie gubi się w obliczu nowych, nieoczywistych wyzwań. “Wiele organizacji odkrywa, że automatyzacja bez odpowiedniej integracji tworzy szybszy chaos, a nie szybsze rozwiązania” – dodaje Rana. “Prawdziwą wygraną nie jest tu tylko szybkość, ale odciążenie ekspertów od rutynowych zadań, by mogli skupić się na strategicznym rozwiązywaniu problemów, z którymi maszyny wciąż sobie nie radzą”.
Dlaczego AI potrzebuje ludzkiego niańczenia?
Wniosek jest prosty: sztuczna inteligencja w obecnej formie to bardziej “drugi pilot” niż autopilot. Potwierdza to Anar Israfilov, CTO w Cyberoon Enterprise, który na własnej skórze przekonał się o niedoskonałościach technologii. “W jednym z naszych projektów system wykrywania anomalii zaczął generować różne ‘widmowe alerty’, ponieważ źródła danych nie były odpowiednio skonfigurowane” – wspomina. “Nagle analitycy znowu ganiali za szumem”. Ta lekcja była bolesna, ale cenna. Bez ładu, nadzoru i ludzkiej weryfikacji AI potrafi narobić więcej szkody niż pożytku.
Głównym problemem, na który zwraca uwagę Denida Grow z firmy konsultingowej LeMareschal, jest notoryczny brak kontekstu. AI potrafi podsumować logi z incydentów, wyciągnąć wzorce z danych czy przyspieszyć tworzenie raportów. Ale na tym jego samodzielność się kończy. “W obszarze analityki zagrożeń (threat intelligence) AI dostarcza ogólnych wniosków, ale pomija krytyczne szczegóły regionalne czy branżowe” – wyjaśnia Grow. “W reagowaniu na incydenty może zasugerować plan działania, ale nie uwzględni on realnych zmiennych, takich jak obsada kadrowa, lokalne przepisy czy tolerancja klienta na ryzyko”. Każdy wynik wygenerowany przez maszynę wciąż wymaga korekty i nadania kontekstu przez doświadczonego profesjonalistę.
Klucz do sukcesu: AI plus wiedza instytucjonalna
Zamiast rewolucji, firmy powinny więc skupić się na stopniowych usprawnieniach. Jonathan Garini, CEO w fifthelement.ai, uważa, że największe korzyści przynosi wykorzystanie AI do automatyzacji powtarzalnych, prostych zadań, takich jak analiza logów czy wstępna weryfikacja alertów. “Dzięki takiemu podejściu zespoły bezpieczeństwa mogą zredukować czas poświęcany na fałszywe alarmy i pozwolić analitykom skupić się na bardziej wartościowych dochodzeniach” – mówi Garini. Jednak nawet to nie zadziała, jeśli AI nie zostanie zintegrowane z unikalną wiedzą organizacji. Dopiero połączenie surowych danych z firmowymi raportami o incydentach, specyficznymi przepływami pracy i zewnętrznymi źródłami analityki zagrożeń daje realne rezultaty. Wtedy AI przestaje być tylko modnym hasłem, a staje się realnym wzmocnieniem ludzkiego zespołu. I tylko tyle, i aż tyle.