כשה-AI מאיצה את קצב הסייבר, ארגונים צריכים לנעול נעלי ריצה

במשך שנים היה לעולם הסייבר קצב עבודה מוכר. חולשות אבטחה התגלו בקצב לינארי, ועדכוני התוכנה פותחו גם הם בקצב יחסית לינארי. מדי שנה נקבעו שיאים חדשים בתחום גילוי חולשות אבטחה, אבל הקצבים היו נסבלים ואפשרו לנהל מחזוריות צפויה מראש של תהליכי גילוי ותיקון לחולשות במערכות המחשוב הארגוניות.

ארגונים שלא ישקיעו באוטומציה של תהליכי עדכון, במיפוי מלא של הנכסים הדיגיטליים ובצמצום התלות במערכות הישנות, פשוט יתקשו לעמוד בקצב החדש

הבינה המלאכותית עומדת לשנות גם את התחום הזה ולהפוך עולם לינארי למעריכי – כזה שבו הקצבים של גילוי החולשות והצורך לטפל בהן עולים על היכולת האנושית לנהל את התהליכים הללו ללא אוטומציה.

הבינה המלאכותית בליבה של פעילות לגילוי חולשות

אזהרה שפרסם לאחרונה המרכז הלאומי הבריטי לאבטחת סייבר, ה-NCSC (ר"ת National Cyber Security Centre) מצביעה על כך שהמציאות הזו כבר קורמת עור וגידים. הסיבה אינה מתקפת סייבר חדשה או חולשה יוצאת דופן, אלא השילוב של הבינה המלאכותית בליבה של פעילות לגילוי חולשות אבטחה חדשות.

ב-NCSC מזהירים מפני תרחיש שהם מכנים Patch Wave, או בעברית – גל של עדכוני תוכנה, שיגיע בעקבות קפיצה דרמטית בקצבים של גילוי חולשות. להערכתם, כלי AI מאפשרים לנתח כמויות עצומות של קוד, לזהות במהירות חולשות שהיו חבויות בליבת המערכות במשך שנים, ולהאיץ את כל מחזור החיים של פגיעויות תוכנה.

כאן בדיוק נמצא השינוי האמיתי. במשך שנים דיברנו על מירוץ חימוש בין תוקפים למגינים. כל צד פיתח כלים מתוחכמים יותר, אך קצב המשחק נשאר פחות או יותר זהה. כעת הבינה המלאכותית משנה לא רק את איכות הכלים, אלא גם את קצב הפעולה שלהם. אם בעבר חלפו שבועות ולעיתים חודשים בין גילוי חולשה לבין ניצולה בהיקף רחב, הרי שבעתיד ייתכן שחלון הזמן הזה יצטרך להתקצר לימים בודדים.

היתרון של ארגון יקבע לפי המהירות שבה הוא מעדכן את המערכות שלו

המשמעות היא שהיתרון של ארגון כבר לא יימדד רק באיכות מוצרי ההגנה שלו, אלא גם במהירות שבה הוא מסוגל לעדכן את המערכות שברשותו.

החשש של ה-NCSC נשען גם על מציאות נוספת. כמעט כל ארגון סוחב עימו "חוב טכנולוגי". לאורך עשרות שנים נכתבו מיליוני שורות קוד, שולבו רכיבי קוד פתוח, נשמרו מערכות ישנות ונבנו תשתיות שלא תוכננו להתמודד עם האיומים של היום. כל עוד קצב גילוי החולשות היה איטי יחסית, ניתן היה להתמודד עם המצב באמצעות מחזורי עדכון תקופתיים. אולם, אם כלי AI יחשפו חולשות בקצב מהיר בהרבה, הרי שאותו חוב טכנולוגי עלול להפוך מרקע למקור של סיכון משמעותי.

חשוב להבין שהאיום אינו נובע רק מהתוקפים. גם ספקיות התוכנה משתמשות בבינה מלאכותית כדי למצוא חולשות ולפרסם תיקונים בקצב חסר תקדים. התוצאה תהיה שטף של עדכוני אבטחה ממספר רב של ספקיות במקביל. עבור ארגון ממוצע, שמפעיל מאות ואף אלפי שרתים, יישומים, שירותי ענן ומערכות תפעוליות, זו תהיה משימה מורכבת בהרבה מאשר התקנה של "עוד עדכון".

לכן, ניהול עדכוני אבטחה צפוי להפוך בשנים הקרובות מסוגיה טכנולוגית גרידא גם לסוגיה עסקית. הנהלות יצטרכו לתת את דעתן לנושא, לתעדף אילו מערכות לעדכן ראשונות, כיצד לצמצם את זמן החשיפה ואיך לבצע את כל אלה מבלי לפגוע ברציפות העסקית. ארגונים שלא ישקיעו באוטומציה של תהליכי עדכון, במיפוי מלא של הנכסים הדיגיטליים ובצמצום התלות במערכות הישנות, פשוט יתקשו לעמוד בקצב החדש.

המסר של מרכז הסייבר הבריטי אינו רק קריאה לביצוע של תהליכי עדכון תוכנה מהירים יותר. המסר הוא קריאה לארגונים להפנים שהבינה המלאכותית משנה את קצב המשחק כולו. בעולם שבו גם המגינים וגם התוקפים משתמשים באותם כלים, היתרון כבר לא יהיה בהכרח למי שמגלה ראשון את החולשה, אלא למי שמצליח לסגור אותה לפני שגורם זדוני יספיק לנצל אותה. זהו שינוי תפישתי, והוא צפוי להשפיע על כל ארגון – לא רק על גופי ה-IT או ה-CISO, אלא גם על הדרך שבה הנהלות מנהלות סיכונים בעידן הבינה המלאכותית.

כותב המאמר הוא מנכ"ל ומייסד חברת פרולוג'יק (Prologic), משווקת פלטפורמת סקפוד (SecPod) לניהול חולשות אבטחה והתקנת עדכוני תוכנה אוטומטיים