מארק טווין פעם אמר, ״כולם מדברים על מזג האוויר, אבל אף לא עושה שום דבר בנידון״. האמת, הוא צודק. בזמנו אפשר היה להגיד בדיוק את אותו הדבר על AI, אבל היום התמונה שונה.
מהפכת ה-AI הפכה לעובדה קיימת גם בעולם התאגידי וארגונים "רצים" לאמץ AI לטובת האצת תהליכים, התייעלות והגדלת הכנסות. בסקר שערכה EY ביולי האחרון מסרו לא פחות מ-95% מהבכירים כי הארגונים שלהם "משקיעים ב-AI" אם זה בפיתוחים פנימיים או ברכישה של מוצרי מדף. הכניסה של ארגונים לעולם ה-AI פתחה בפניהם הזדמנות עצומה דרך אוטומציה של תהליכים עסקיים, ניתוח נתונים, קבלת החלטות מושכלות על בסיס מידע ועוד.
מאז ומעולם טכנולוגיות חדשות הביאו קדמה והזדמנות אך לרוב – הדבר היה כרוך גם בסיכון. זה היה נכון במהפכת המובייל, התפתחות ה-Cloud ואפילו כניסת הרכבים החכמים שהפכו את הרכב ״למחשב על גלגלים״ שמתקשר עם שרתים ורכיבים וחושף לאיומים של דליפת מידע ואף השתלטות זדונית. כל התפתחות טכנולוגית יוצרת גם "משטח תקיפה" חדש לניצול ע״י גורמים עוינים, וכך גם במהפכה הנוכחית. עולם הסייבר מושפע באופן מובהק ממהפכת ה-AI ולמטבע הזה יש שני צדדים.
מגיני סייבר עושים מגוון שימושים ביכולות הטכנולוגיות החדשות, לדוגמה:
- הבינה המלאכותית מאפשרת זיהוי התנהגות חריגה (Anomaly Detection) ברשת או בתחנות הקצה על פי ניתוח של דפוסי פעילות משתמשים וחריגה מהנורמל. למעשה, ענף הסייבר אימץ מוקדם מאד את ה-AI בתור אמצעי לזיהוי נוזקות כתחליף למגנון ה"חתימות" המסורתי וכך צמחו חברות כמו Crowdstrike ו-SentinelOne.
- מנועי ה-AI יודעים להפיק תובנות והקשרים מכמות גדולה של אירועים ולוגים, מה שמאפשר לאתר בעיית שורש (Root Cause Analysis) באופן מהיר ומדוייק.
מול זאת, מהפכת ה-AI יצרה איומים חדשים עבור ארגונים:
- חלק מהשימושים הכי מתבקשים ב-ChatGPT ודומיו הוא בתמצות מסמכים, התייעצות, קבלת מידע נוסף ובניה של תוכניות ומסמכים. הדבר מצויין עבור המשתמש הפרטי, אך האם זה נכון גם עבור ארגון? הדאטה שאותו רוצים לסכם עשוי לכלול מידע אישי מזהה (PII) ואף מידע מסווג ומוגן. ה-LLM-ים יוצרים חשש לדלף מידע מסוג חדש.
- יתכנו מניפולציות על מערכות AI – פרקטיקה המכונה "הרעלה" (Poisoning) וקורית בשלב אימון המערכות עם דאטה שגוי או מוטה. דבר שמעלה שאלה: האם המידע שמתקבל מהכלים הללו אמין או עבר שינוי?
- תוקפים משתמשים ב-AI כדי לבצע "הנדסה חברתית" יותר אמינה. לפני כשנה ה-FBI פרסם אזהרה בנושא GenAI ובה הוא כתב על טקסטים שנוצרים באמצעות בינה מלאכותית, עמודי סושיאל, צ'אטבוט מבוססי AI באתרי הונאה, ואף הונאות המשלבות תמונות, אודיו ווידאו – מג'ונרט. מחקר חדש מראה כי פישינג מבוסס AI יעיל פי כמה וכמה מפישינג "מסורתי".
לסיכום, הסייבר ו-AI יוצרים ריקוד חדש של הזדמנות וסיכון. מצד אחד ניתן לומר שהבינה המלאכותית מסייעת למגנים ומשפרת את כלי ההגנה, מצד שני, הבינה המלאכותית מאפשר לתוקפים יכולות הטעיה מתוחכמות, אוטומציה של מתקפות, פריצת סיסמאות יעילה, זיהוי חולשות, יצירת זהויות מזויפות, ועוד.
בעולם הארגוני נושא הגנת המידע תמיד היה אתגר מהותי ולא מעט אסטרטגיות, כלים, טכנולוגיות, ותוכניות הדרכה נוצרו על מנת לסייע בהגנה על ה-IT המסורתי. עידן ה-AI יוצר מורכבות חדשה ושאלות חדשות: האם עובדים מוציאים מידע החוצה בצורה לא מודעת? האם המידע שמתקבל מהכלים הללו אמין או עבר שינוי? ומה יקרה עם גורם עוין ישתמש בחולשה בספק ה-AI ודרך חולשה זאת ייחשף למידע ואולי אפילו יקבל גישה לארגון שלנו?
בסופו של יום השימוש ב-AI בארגונים חוצה תחומים ומשפיע רבות על כלל היבטי הפעילות. זאת למעשה מהפכה של ממש, אך יחד עם זאת, צריכה להיות אסטרטגיה ברורה להבנת המורכבות החדשה ומשטחי התקיפה החדשים בעולם ה-AI וכן בחינת הסיכונים ודרכי הפעולה להפחיתם.
האסטרטגיה תצטרך לכלול בין היתר:
- אימות וניטור מתמיד של המודל.
- מניעת גישה לא מורשית.
- זיהוי אנומליות בפעילות משתמשים או בפעולת המערכת עצמה.
- תקיפה יזומה של מערכות AI על מנת לזהות פרצות היכולות להטעות את המודלים.
את הקידמה כאמור, אי אפשר ואסור לעצור, אך אפשר להתכונן אליה בצורה נכונה ולהנות מכל הפירות שהיא מביאה. אם מארק טווין היה כאן, הוא כנראה היה מרוצה.
לקריאה נוספת:
דו"ח מבצעי ההשפעה וקמפיינים במרחב הסייבר באמצעות בינה מלאכותית, Open AI.
טקסונומיה של מתקפות GenAI, גוגל.
