Balance Act: The Value of Human Expertise in Age of Generative AI - DATAVERSITY

Balance Act: Value of Human Expertise in Age of Generative AI – DATAVERSITY

Tidsstempel: 9. januar 2024 3:25
Kilde node: 3052574

Mennesker regnes som det svakeste leddet i virksomheten når det gjelder sikkerhet. Med rette, som oppover 95% av cybersikkerhetshendelser er forårsaket av menneskelige feil. Mennesker er ustadige, feilbarlige og uforutsigbare, noe som gjør dem til enkle mål for nettkriminelle som ønsker å få tilgang til organisasjoners systemer.  

Dette gjør vår avhengighet av maskiner så mye viktigere. Frem til dette punktet har vi vært i stand til å stole på at maskiner fungerer med kode som sannheten. Selv om de kan bli kompromittert gjennom sårbarheter i koden eller gjennom de sosiale feilene til deres menneskelige operatører, blir problemene vanligvis møtt med en klar løsning. 

Men med fremveksten av generativ AI (GenAI) og store språkmodeller (LLMs), organisasjoner står nå overfor sosiale ingeniørangrep som lurer AI til å gjøre ting den ikke var ment å gjøre. Etter hvert som vi overfører mer til AI, vil det være interessant å se disse nye angrepsmønstrene spille ut.

I møte med dette dilemmaet er det igjen opp til mennesker å navigere i dette komplekse og utviklende AI-sikkerhetslandskapet. Dette oppfordrer CISOer til å tydelig kommunisere fordelene så vel som manglene ved AI og å anerkjenne den lange listen over sikkerhetshensyn knyttet til AI-drevne produkter og funksjoner. 

Hastende implementering av generativ AI gir nye utfordringer innen cybersikkerhet

Til å begynne med er et vanlig problem når det kommer til GenAI og LLMs en bred overavhengighet av AI-generert innhold. Å stole på AI-generert innhold uten å verifisere eller sjekke for villedende eller feilinformasjon uten menneskelig innspill eller tilsyn kan føre til spredning av feilaktige data som informerer om dårlig beslutningstaking og redusert kritisk tenkning. LLM-er er kjent for å hallusinere, så noe av desinformasjonen er kanskje ikke engang et resultat av ondsinnet hensikt.

På samme måte vil mengden usikker kode som introduseres etter utviklingen av GenAI også bli en betydelig utfordring for CISO-er, hvis ikke proaktivt forutsett. AI-motorer er kjent for å skrive buggy-kode med sikkerhetssårbarheter. Uten riktig menneskelig tilsyn gir GenAI mennesker uten det riktige tekniske grunnlaget for å sende kode. Dette fører til økt sikkerhetsrisiko gjennom hele programvareutviklingens livssyklus for organisasjoner som bruker disse verktøyene på feil måte.

Datalekkasje er et annet utbredt problem. I noen tilfeller kan angripere bruke umiddelbar injeksjon for å trekke ut sensitiv informasjon som AI-modellen har lært fra en annen bruker. Mange ganger kan dette være ufarlig, men ondsinnet bruk er absolutt ikke utelukket. Dårlige aktører kan med vilje undersøke AI-verktøyet med omhyggelig utformede spørsmål, med sikte på å trekke ut sensitiv informasjon som verktøyet har lagret, noe som fører til lekkasje av sensitiv eller konfidensiell informasjon.

AI kan øke noen cybersikkerhetshull, men har betydelig potensial til å lukke andre

Til slutt er det forstått at utbredelsen av GenAI og LLM-er vil regressere noe av industriens angrepsoverflatereduksjon av noen grunner. For det første senker muligheten til å generere kode med GenAI baren for hvem som kan være programvareingeniør, noe som resulterer i svakere kode og enda svakere sikkerhetsstandarder. For det andre krever GenAI enorme mengder data, noe som betyr at omfanget og virkningen av datainnbrudd vil vokse eksponentielt. For det tredje, som med all fremvoksende teknologi, kan utviklere ikke være fullt klar over hvordan implementeringen deres kan utnyttes eller misbrukes. 

Likevel er det viktig å ha et balansert perspektiv. Selv om Gen AIs tilrettelegging for kodegenerering kan vekke bekymringer, gir det også positive egenskaper til nettsikkerhetslandskapet. For eksempel kan den effektivt identifisere sikkerhetssårbarheter som Cross-Site Scripting (XSS) eller SQL-injeksjon. Denne doble naturen understreker viktigheten av en nyansert forståelse. I stedet for å se på AI som utelukkende skadelig, understreker den det komplementære forholdet mellom kunstig intelligens og menneskelig involvering i cybersikkerhet. CISOer må forstå de tilknyttede risikoene ved GenAI og LLMs mens de samtidig utforsker menneskesentriske tilnærminger for å implementere GenAI og styrke organisasjonene deres.

Mennesker plukker opp det AI etterlater seg

CISOer har ikke bare i oppgave å avdekke kompleksiteten til GenAI. De må bane en vei fremover for sin organisasjon og demonstrere for ledelsen hvordan deres organisasjon kan fortsette å trives i en GenAI-dominert verden. 

Mens sluttbrukere ofte er ansvarlige for mange sikkerhetssårbarheter, finnes det ikke noe bedre forsvar mot nettkriminalitet enn et godt trent og sikkerhetsinnstilt menneske. Uansett hvilke trusseldeteksjonsverktøy en organisasjon har på plass, er det rett og slett ingen erstatning for personen bak skjermen når det kommer til testing av programvare. 

Organisasjoner kan overgå nettkriminelle ved å bruke kraften til etisk hacking. Mens noen er nølende med å invitere hackere inn i nettverket deres på grunn av utdaterte misoppfatninger, er disse lovlydige cybersikkerhetsekspertene den beste matchen for å ta på seg dårlige skuespillere – fordi, i motsetning til AI, kan de komme inn i hodene til cyberangriperne.

Faktisk supplerer hackere allerede automatiserte verktøy i kampen mot nettkriminelle, med 92% av etiske hackere sier at de kan finne sårbarheter som skannere ikke kan. Ved å trekke tilbake sløret for hacking for godt, kan bedriftsledere omfavne etisk hacking og menneskelig støtte for å finne en mer effektiv balanse mellom AI og menneskelige eksperter i kampen mot moderne nettkriminalitet. Vår siste Hackerdrevet sikkerhetsrapport fremhever dette, med 91 % av kundene våre som sier at hackere gir mer effektive og verdifulle sårbarhetsrapporter enn AI eller skanneløsninger. Ettersom AI fortsetter å forme fremtiden vår, vil det etiske hackersamfunnet forbli forpliktet til å sikre sikker integrering.

Kombinasjonen av automatisering med et nettverk av dyktige hackere betyr at selskaper kan finne kritiske applikasjonsfeil før de blir utnyttet. Når organisasjoner effektivt blander automatiserte sikkerhetsverktøy med etisk hacking, tetter de hull i den stadig utviklende digitale angrepsoverflaten. 

Dette er fordi mennesker og AI kan jobbe sammen for å forbedre sikkerhetsteamets produktivitet: 

  1. Angrepsoverflate-rekognosering: Moderne organisasjoner kan utvikle en omfattende og kompleks IT-infrastruktur som omfatter en rekke både autorisert og ikke-godkjent maskinvare og programvare. Å utvikle en altomfattende indeks over IT-ressurser som programvare og maskinvare er viktig for å redusere sårbarheter, strømlinjeforme patchadministrasjon og hjelpe til med å overholde industrimandater. Det hjelper også med å identifisere og analysere punktene som en angriper kan målrette mot en organisasjon.
  2. Løpende vurderinger: Ved å gå utover punkt-i-tidssikkerhet kan organisasjoner kombinere oppfinnsomheten til menneskelige sikkerhetseksperter med sanntidsinnsikt i angrepsoverflaten for å oppnå kontinuerlig testing av det digitale landskapet. Kontinuerlig penetrasjonstesting gjør det mulig for IT-team å se resultatene av konstante simuleringer som viser hvordan et brudd vil se ut i det nåværende miljøet og potensielle svake punkter der teamene kan tilpasse seg i sanntid.
  3. Prosessforbedringer: Pålitelige menneskelige hackere kan gi sikkerhetsteam verdifull informasjon om sårbarheter og eiendeler for å hjelpe prosessforbedringer.

konklusjonen

Ettersom generativ AI fortsetter å utvikle seg i et så raskt tempo, må CISO-er utnytte sin forståelse av hvordan mennesker kan samarbeide for å forbedre AI-sikkerheten og få støtte fra styret og lederteamet. Som et resultat kan organisasjoner ha tilstrekkelig bemanning og ressurser til å takle disse utfordringene effektivt. Å finne den rette balansen mellom rask AI-implementering og omfattende sikkerhet gjennom samarbeid med etiske hackere styrker argumentet for å investere i passende AI-drevne løsninger.

Tidstempel:

Mer fra DATAVERSITET