13 posto organizacija prijavilo sigurnosne proboje AI modela ili aplikacija

IBM-ovo izvješće „Cost of a Data Breach“ otkrilo je da usvajanje umjetne inteligencije značajno nadmašuje razinu sigurnosti i upravljanja AI sustavima. Iako je ukupan broj organizacija koje su doživjele proboj povezan s AI-jem mali udio u istraživanoj populaciji, ovo je prvi put da se u izvješću detaljno proučavaju sigurnost, upravljanje i kontrola pristupa za AI, što upućuje na to da je AI već laka i vrlo vrijedna meta. Prema izvješću, 13 posto organizacija prijavilo je sigurnosne proboje AI modela ili aplikacija, dok 8 posto organizacija ne zna jesu li na ovaj način bile kompromitirane. Od onih koje su bile kompromitirane, 97 posto nije imalo implementirane AI kontrole pristupa. Posljedica je da je 60 posto AI povezanih sigurnosnih incidenata dovelo do kompromitacije podataka, a 31 posto do operativnih poremećaja. Ovogodišnji rezultati pokazuju da organizacije često zanemaruju sigurnost i upravljanje AI-jem u korist brzog usvajanja tehnologije, pri čemu su neuređeni sustavi skloniji probojima i skuplji kada do njih dođe.

„Podaci pokazuju da već postoji jaz između usvajanja AI-ja i nadzora te da kibernetički napadači počinju to iskorištavati“, izjavila je Suja Viswesan, potpredsjednica odjela za sigurnost i runtime proizvode u IBM-u. „Izvješće otkriva nedostatak osnovnih kontrola pristupa AI sustavima, zbog čega su osjetljivi podaci izloženi, a modeli ranjivi na manipulaciju. Kako AI sve dublje ulazi u poslovne procese, sigurnost AI-ja mora postati temeljna. Cijena nečinjenja nije samo financijska, nego i gubitak povjerenja, transparentnosti i kontrole.“

Izvješće je pokazalo da su organizacije koje su intenzivno koristile AI i automatizaciju u svojim sigurnosnim operacijama u prosjeku uštedjele 1,9 milijuna dolara na troškovima proboja i smanjile životni ciklus proboja za prosječno 80 dana. Istraživanje za 2025. provedeno je u suradnji s Ponemon Instituteom i obuhvatilo je 600 organizacija diljem svijeta koje su doživjele proboj između ožujka 2024. i veljače 2025. Pokazalo je da 63 posto kompromitiranih organizacija ili nema politiku upravljanja AI-jem ili ju tek razvija, dok samo 34 posto onih s postojećom politikom provodi redovite revizije radi otkrivanja neodobrenog AI-ja.

Svaka peta organizacija prijavila je proboj uzrokovan tzv. shadow AI-jem, a samo 37 posto ima politiku za upravljanje ili otkrivanje shadow AI-ja. Organizacije s visokom razinom shadow AI-ja zabilježile su prosječno 670 tisuća dolara veće troškove proboja od onih s niskom razinom ili bez njega. Sigurnosni incidenti povezani sa shadow AI-jem češće su uključivali kompromitaciju osobnih podataka (65 posto) i intelektualnog vlasništva (40 posto) u odnosu na globalni prosjek (53 posto i 33 posto). Šesnaest posto proučenih proboja uključivalo je napadače koji koriste AI alate, najčešće za phishing ili deepfake napade lažnog predstavljanja.

Globalni prosječni trošak proboja podataka pao je na 4,44 milijuna dolara, prvi put u posljednjih pet godina, dok je prosječni trošak proboja u SAD-u dosegnuo rekordnih 10,22 milijuna dolara. Globalni prosječni životni ciklus proboja smanjen je na 241 dan, što je 17 dana manje nego godinu ranije, ponajviše zahvaljujući većem udjelu organizacija koje su same otkrile proboj. One koje su to učinile zabilježile su prosječnu uštedu od 900 tisuća dolara u odnosu na proboje otkrivene od strane napadača. Prosječni trošak proboja u zdravstvenom sektoru iznosio je 7,42 milijuna dolara, što ga čini najskupljim među svim sektorima, unatoč padu od 2,35 milijuna dolara u odnosu na 2024. Proboji u zdravstvu i dalje traju najduže, u prosjeku 279 dana, što je više od pet tjedana dulje od globalnog prosjeka.

Prošle godine više je organizacija odbilo platiti otkupninu (63 posto) nego godinu ranije (59 posto). Unatoč tome, prosječni trošak iznude ili ransomware napada ostao je visok, posebno kada ga je otkrio napadač (5,08 milijuna dolara). Zabilježen je i pad broja organizacija koje planiraju ulagati u sigurnost nakon proboja – 49 posto u 2025. u odnosu na 63 posto u 2024., a manje od polovice njih planira fokusirati ulaganja na AI sigurnosna rješenja ili usluge. Gotovo sve organizacije koje su pretrpjele proboj zabilježile su operativne poremećaje, pri čemu je većini za oporavak trebalo više od 100 dana. Posljedice proboja često se protežu i nakon njegovog zaustavljanja, a gotovo polovica organizacija planira povećati cijene svojih proizvoda ili usluga, dok je trećina prijavila povećanja od 15 posto ili više.

Analitičari upozoravaju da će sigurnost AI sustava postati jedno od ključnih područja kibernetičke obrane u idućim godinama, s obzirom na to da se tehnologija sve brže integrira u kritične poslovne i državne sustave. Povećat će se potreba za razvojem međunarodnih standarda za AI sigurnost, uključujući obvezne revizije, testiranje otpornosti modela na napade i zaštitu podataka koji se koriste za treniranje modela. Regulatorna tijela u EU, SAD-u i Aziji već raspravljaju o uvođenju pravila koja bi ograničila shadow AI i obvezala kompanije na transparentno praćenje svih AI sustava u uporabi. Očekuje se i rast tržišta AI sigurnosnih rješenja, posebno onih koja koriste AI za obranu od napada temeljenih na AI-ju, što bi moglo dovesti do formiranja potpuno novog segmenta unutar industrije kibernetičke sigurnosti.