Japan osniva tim za AI sigurnosna testiranja

Japan će osnovati tim koji će uz pomoć umjetne inteligencije simulirati kibernetičke napade i tražiti slabosti u tehnološkim sustavima, objavio je ministar industrije Ryosei Akazawa. Potez dolazi nakon poremećaja izazvanih kritičnim PHP ranjivostima, kada su tvrtke i državne službe gasile internetske funkcije kako bi uvele zakrpe prije mogućeg iskorištavanja grešaka.

Najvidljivija posljedica u Japanu bila je odluka SoftBanka da tijekom održavanja privremeno obustavi mobilni sustav za rana upozorenja. Operator ima više od 30 milijuna korisnika, a poruke obuhvaćaju potrese, tsunami, katastrofe i evakuaciju. Korisnici su upozorenja mogli primati preko alternativne aplikacije Yahooa, ali prekid osnovnog kanala pokazao je koliko sigurnosna zakrpa može utjecati na fizičku sigurnost.

Dio usluga obustavili su Nomura, Mitsubishi UFJ Financial Group, ANA i East Japan Railway, kao i Ministarstvo financija, porezna i meteorološka agencija. JR East postupno je vraćao funkcije tek nakon sigurnosnih provjera. Operatori su birali kontrolirani prekid umjesto rizika da napadač preuzme sustav prije instalacije popravka.

PHP održavatelji objavili su zakrpe i pozvali korisnike na hitno ažuriranje. Problem je posebno zahtjevan jer se PHP nalazi u velikom broju web-aplikacija, dodataka i zastarjelih poslovnih sustava. Organizacija može zakrpati osnovni poslužitelj, a ipak ostaviti ranjiv dodatak, kopiju aplikacije ili razvojno okruženje dostupno s interneta.

Novi tim trebao bi razmišljati iz perspektive napadača. AI može kontinuirano pregledavati kod, kombinirati slabosti i simulirati načine prodora brže od ručnog tima. Takva sposobnost koristi obrani samo ako se nalazi odmah pretvore u prioritete, zakrpe i zaštitna pravila. Popis tisuća teorijskih grešaka bez procjene izloženosti može dodatno zatrpati sigurnosne operacije.

Vrijeme za reakciju već se skraćuje. Stručnjaci upozoravaju da modeli mogu pronaći grešku i pomoći izradi programa za iskorištavanje ranjivosti u satima, dok su prije napadaču često trebali tjedni. Branitelj zato ne može čekati redovni mjesečni ciklus ako je ranjiva usluga javno dostupna. Potrebni su inventar imovine, mogućnost hitne promjene i unaprijed dogovoreni postupak privremenog gašenja.

Simulacija mora obuhvatiti cijeli lanac, a ne samo tehnički prodor. U slučaju sustava upozorenja treba provjeriti alternativni kanal, postupak obavještavanja stanovništva, rad pozivnog centra i povrat usluge. U bankama i prometu isti test treba uključiti ručne procedure i usklađivanje podataka nakon ponovnog pokretanja.

Japanska odluka stvara tržište za alate koji mogu dokazivo odvojiti legitimno sigurnosno testiranje od autonomnog napada. Državni tim morat će ograničiti ovlasti modela, izolirati testno okruženje i zapisati svaku radnju. Bez tih kontrola alat namijenjen obrani mogao bi nenamjerno oštetiti proizvodni sustav ili izložiti osjetljivu ranjivost.

Za europske operatore pouka je praktična: sigurnosni plan mora sadržavati i kontinuitet javnih upozorenja, plaćanja, recepata i prijevoza. Zakrpa nije završetak posla dok se ne potvrde funkcionalnost i podaci. Sljedeći japanski koraci bit će sastav tima, opseg sustava koje će testirati i pravila prema kojima će ranjivosti predavati vlasnicima na popravak.