„Veikleikarnir voru alltaf þarna“
Gervigreind býr ekki til nýja veikleika. Hún gefur þeim sem leita að þeim meiri tíma. Þetta segir Jóhann Þór Kristþórsson stofnandi, framkvæmdastjóri og netöryggissérfræðingur hjá Ambaga í nýjasta þætti hlaðvarpsins Tæknitals.
Þar ræðir hann hvernig gervigreind hefur gjörbreytt sóknarmiðuðu netöryggi (e. offensive security), áhættuna sem fylgir vibe-kóðun og hvers vegna öflugustu líkönin eru ekki aðgengileg öllum. Gunnar Smári Agnarsson netöryggisráðgjafi stýrir þættinum að þessu sinni.
Jóhann byrjaði sem forritari áður en hann færði sig yfir í öryggismál og sérhæfir sig nú í innbrotsprófunum á innviðum, netkerfum og búnaði. Starfið snýst um að beita aðferðum árásaraðila til að finna veikleikana áður en þeir gera það.
Innbrotsprófanir hafa alltaf takmarkast af tíma. Áður þurfti að velja hvaða hlutar kerfisins voru skoðaðir vandlega. Nú getur gervigreind skrifað prófanir á allt forritunarviðmótið í einu og sent agenta ofan í hverja einustu kanínuholu. Í nýlegri úttekt leysti hann á hálfum degi forritunarvinnu sem hefði áður tekið vikur. Hann leggur þó áherslu á að aldrei megi treysta öllu sem gervigreindin skilar.
„Maður getur togað í miklu, miklu fleiri spotta heldur en maður gat fyrir sex mánuðum.“
Fleiri leita nú til öryggisfyrirtækja með hugbúnað sem smíðaður var án nokkurrar þjálfunar í hugbúnaðargerð. [Jón] segir það valdeflandi, en líkir því við heimilisföður sem er kominn með öflug verkfæri og farinn út í raflagnir.
„Um að gera að gera þetta sjálfur. En þegar þú ert kominn með ábyrgð á gögnum annarra er þetta orðið annar pakki.“
Hinum megin á skalanum eru stór hugbúnaðarhús þar sem þróunin er orðin svo hröð að hugbúnaðurinn getur verið nánast úreltur þegar úttekt lýkur. Í innviðum og iðnstýrikerfum gerast breytingarnar hægar og þar er erfiðara að beita gervigreind, því óútreiknanlegt verkfæri getur sett lifandi kerfi á hliðina. Svarið þar er það sama og áður: lágmarksaðgangur, aðskilnaður kerfa og grunnreglur öryggis, bara hraðar.
Hann nefnir veikleikana sem fundust nýverið í PHP sem dæmi. Margir af stærstu öryggisaðilum heims fundu þá á svipuðum tíma, án þess að nokkuð hefði breyst í PHP sjálfu. Einhver gaf sér einfaldlega tíma til að banka í veggina.
„Þessir veikleikar eru þarna. Það þarf bara einhver að eyða tíma í að finna þá, og nú er bara meiri tími.“
Öflugustu netöryggislíkönin eru aðeins aðgengileg völdum hópi og jafnvel sérfræðingar sem prófa kerfi með fullu leyfi lenda í því að líkönin neita að aðstoða. Jóhann segir það raunverulega klemmu: markmiðið er að hjálpa viðskiptavinum að verjast, en enginn vill koma verkfærunum í hendur þeirra sem vilja ráðast á þá. Hann telur þó að það tímabil muni ekki vara lengi, þar sem opin líkön, meðal annars frá Kína, séu ekki langt undan að getu.
Hann hefur líka áhyggjur af nýliðum. Einföldu verkefnin sem fólk lærði áður á, bæði í forritun og öryggismálum, eru að leysast sjálfkrafa. Eðli greinarinnar breytist þó ekki, að hans mati. Hún hefur alltaf snúist um að halda í við tækni árásaraðila. Það gerist bara hraðar.
Tæknital á Spotify„Þetta er langt frá því að vera búið.“