Reduzcamos la prisa por integrar la IA en la ciberseguridad

Parece que todo el mundo tiene prisa por integrar la inteligencia artificial en sus soluciones, y las ofertas de seguridad se encuentran entre las últimas en obtener esta novedad brillante. Como muchos otros, veo el potencial de la IA para generar un cambio positivo, pero también su potencial como vector de amenazas.

Para algunos, los desarrollos recientes de IA son un asunto ridículo. El 1 de abril de 2023, el día tradicional en que a los sitios de tecnología y redes sociales les encanta emboscarnos y realizar bromas a menudo elaboradas, se lanzó la cuenta de Twitter para la plataforma MITRE ATT&CK. #attackgpt Bot de Twitter, que incitó a los usuarios a usar el hashtag #attackgpt, que generaría una respuesta de «IA» a las preguntas de la base de conocimientos anti-hacker. En realidad, fue una broma de April Fool, con el equipo de redes sociales de MITRE lanzando respuestas divertidas bajo la apariencia de un chatbot.

Para muchos, el auge de los chatbots de IA no es una broma. Los riesgos de abuso asociados con el uso de la inteligencia artificial son nada nuevo para los CISO: las empresas han comenzado a establecerse como un todo departamentos esta promesa para garantizar que AI siga principios éticos.

Tengo una preocupación más profunda: ¿qué sucede si la información proporcionada por un bot de seguridad es simplemente incorrecta? En ciberseguridad, a menudo se necesitan múltiples recursos e investigadores para llegar a una conclusión sobre el riesgo de una vulnerabilidad. Si una IA no está al tanto de las últimas amenazas o vulnerabilidades, su contribución a la seguridad es defectuosa y podría dejar al usuario desprotegido.

La primera valoración muchas veces no es la correcta

Con demasiada frecuencia en esta era de periodismo clickbait, veo artículos de seguridad exagerados o completamente falsos que sugieren que un problema está más extendido de lo que es, o que un ataque está más extendido de lo que resulta ser. Es más probable que los ataques actuales alcancen objetivos específicos en lugar de industrias enteras, pero no lo sabría por los titulares. Si una IA obtiene su entrada allí, la salida también será incorrecta.

Al tomar decisiones tecnológicas, el primer hallazgo de un problema de seguridad a menudo no es el correcto. Un ejemplo típico fueron los titulares de 2021 sobre un ciberataque a una planta de tratamiento de agua en Florida Muchos atacantes temidos podrían controlar de forma remota los sistemas de agua y dañar o envenenar los sistemas de agua con demasiados productos químicos. Los ataques llevaron a conferencias de prensa e incluso Advertencias de CISA en cuanto al potencial de ataque. Resulta que esa fue la causa principal Comportamiento humano y mala higiene de seguridad.. En lugar de un ataque cibernético remoto, los atacantes lograron «explotar las vulnerabilidades de seguridad cibernética, incluida la seguridad de contraseña deficiente y un sistema operativo obsoleto».