Žmogiškojo saugumo sluoksnio evoliucija: kritinė gynyba prieš dirbtinio intelekto valdomas apgaules

Sparčiai tobulėjant generatyviniam dirbtiniam intelektui (DI), kibernetiniai nusikaltėliai iš esmės pakeitė socialinės inžinerijos mastą ir kokybę. Tradicinės perimetro apsaugos priemonės nebesugeba sulaikyti personalizuotų, realiuoju laiku kuriamų sukčiavimo kampanijų, nes užpuolikai vis dažniau renkasi ne techninių spragų paiešką, o manipuliaciją darbuotojų pasitikėjimu. Dėl šios priežasties pasaulinėje rinkoje formuojasi strateginis lūžis, kuriame žmogiškojo saugumo sluoksnis (angl. Human Layer Security) tampa pagrindine organizacijų gynybos ašimi.

Šių metų rinkos analizė rodo, kad DI įrankiai leido automatizuoti aukštos kokybės apgaulingo turinio gamybą, panaikinant bet kokius kalbinius ar techninius barjerus nusikaltėliams. Kaip pastebi Fortune, įmonės susiduria su situacija, kai tradiciniai apsaugos metodai nebespėja reaguoti į DI generuojamų atakų tempą, todėl būtina iš esmės peržiūrėti žmogiškosios rizikos valdymo principus. Kibernetinio saugumo vadovai (CISO) yra priversti transformuoti pasenusias periodinio mokymo programas į dinaminius, elgsena grįstus gynybos mechanizmus.

DI sukčiavimų bumas ir tradicinės gynybos žlugimas

Tradiciniai saugumo mokymai, orientuoti į rašybos klaidų ar įtartinų el. pašto adresų atpažinimą, prarado savo efektyvumą, kadangi DI kuriami tekstai, vaizdo ir garso suklastojimai (angl. deepfakes) idealiai imituoja realių asmenų komunikaciją. Remiantis KnowBe4 ataskaita, nusikaltėliai vis dažniau taikosi tiesiogiai į žmones, išnaudodami skubos jausmą ir kontekstinę informaciją, surinktą iš viešų šaltinių. Tai patvirtina ir Mimecast tyrimas, atskleidžiantis omnikanalį grėsmių pobūdį – atakos jau persikėlė iš el. pašto dėžučių į tokias platformas kaip „Microsoft Teams“, „Slack“ ar „Zoom“, kur darbuotojų budrumas natūraliai yra mažesnis.

Strateginis posūkis link elgsenos valdymo platformų

Siekdamos atremti šias grėsmes, organizacijos masiniu būdu investuoja į saugumo elgsenos valdymo platformas (angl. Security Behavior and Culture Programs). Šios sistemos analizuoja realius darbuotojų veiksmus skaitmeninėje erdvėje ir teikia kontekstines intervencijas būtent tuo momentu, kai atliekama rizikinga operacija. Ekspertai pabrėžia, kad tikslas nebėra tik teorinis darbuotojų informuotumas, o realus įpročių keitimas, apimantis ir specifines giliųjų klastočių simuliacijas, kurios leidžia komandoms praktiškai pasiruošti sudėtingiems tapatybės klastojimo scenarijams.

Ką nutyli oficialios ataskaitos: tikroji kova vyksta darbuotojų psichologijos lygmenyje

Už uždarų durų: kol saugumo technologijų tiekėjai skuba pristatyti naujus, dirbtiniu intelektu grįstus el. pašto filtrus, patyrę saugumo vadovai pripažįsta, kad didžiausia techninė spraga išlieka nepakitusi – tai žmogaus kognityviniai šališkumai. Šiuolaikiniai DI sukčiavimo įrankiai nebėra tik programinis kodas, jie veikia kaip automatizuotos taikomosios psichologijos sistemos. Užpuolikai naudoja didžiuosius kalbos modelius (LLM), kad akimirksniu išanalizuotų aukos profesinį profilį socialiniuose tinkluose ir sukurtų tokį emocinį spaudimą, kuriam pasipriešinti vien loginiu mąstymu tampa beveik neįmanoma.

Ši tendencija keičia ir pačių kibernetinio saugumo specialistų vaidmenį įmonėse. Ilgą laiką dominavęs požiūris, kad dėl saugumo incidentų kalti „neatsargūs darbuotojai“, užleidžia vietą empatiškesniam ir efektyvesniam valdymui. Organizacijos pradeda suprasti, kad nuolatinis darbuotojų testavimas primityviomis simuliacijomis tik didina vidinį nepasitikėjimą ir vadinamąjį „saugumo nuovargį“, kai žmonės tiesiog ignoruoja įspėjimus dėl informacijos pertekliaus. Pažangios įmonės šį procesą transformuoja kurdamos pozityvią pranešimų kultūrą, kurioje darbuotojas jaučiasi saugumo komandos partneriu, o ne potencialiu pažeidėju.

Žvelgiant iš istorinės perspektyvos, ši transformacija primena pramonės saugumo evoliuciją, kai nuo griežtų baudų buvo pereita prie saugios aplinkos architektūros (angl. Safety by Design). Skaitmeninėje erdvėje tai reiškia sistemų pritaikymą prie žmogaus elgsenos, o ne bandymą priversti žmogų veikti kaip kompiuteris. Finansų ir technologijų sektorių lyderiai jau diegia sprendimus, kurie automatiškai sustabdo įtartinus pinigų pervedimus ar duomenų atsisiuntimus, jei prieš tai buvo užfiksuotas neįprastas vaizdo skambutis, taip sukuriant dvigubą technologinį ir žmogiškąjį barjerą.

Galiausiai, ilgalaikė rinkos sėkmė priklausys nuo to, kaip greitai žmogiškojo saugumo sluoksnio strategijos taps integralia bendros įmonės rizikos valdymo dalimi. Investicijos į šią sritį nebėra traktuojamos tik kaip formalus atitikties reikalavimų vykdymas prieš auditą. Tai tampa esminiu verslo atsparumo elementu, tiesiogiai lemiančiu įmonės reputaciją ir operacinį stabilumą geopolitinių ir technologinių pokyčių fone.

Skeptiko žvilgsnis: technologijų mitas ir žmogiškojo faktoriaus paradoksas

Žvelgiant giliau į detales: dabartinė saugumo pramonės retorika, primygtinai reikalaujanti visą dėmesį perkelti ant žmogiškojo saugumo sluoksnio, slepia tam tikrą loginį prieštaravimą. Technologijų tiekėjai, ilgus metus žadėję, kad dirbtinis intelektas ir automatizuoti filtrai visiškai apsaugos korporatyvinius tinklus, dabar perkelia atsakomybės naštą galutiniam vartotojui. Šis naratyvo pokytis patogiai apsaugo programinės įrangos kūrėjus nuo kritikos dėl jų pačių produktų architektūrinių spragų, paversdamas eilinį darbuotoją paskutiniu ir vieninteliu gynybos bastionu prieš valstybės remiamas kibernetinių nusikaltėlių grupuotes.

Kitas esminis paradoksas yra tas, kad įmonės bando išspręsti DI sukeltą problemą naudodamos dar daugiau to paties DI. Rinkai siūlomi elgsenos analizės įrankiai, kurie stebi kiekvieną darbuotojo pelės spustelėjimą ir rašymo ritmą, siekdami nustatyti anomalijas. Tai sukuria nuolatinio sekimo atmosferą, kuri, psichologų teigimu, drastiškai padidina darbuotojų stresą ir mažina jų kognityvinius gebėjimus. Rezultatas yra priešingas lauktam – perdegę ir nuolat kontroliuojami darbuotojai tampa dar labiau pažeidžiami manipuliacijoms ir dažniau daro kritines klaidas skubėdami.

Galiausiai, rinkoje stebimas didžiulis atotrūkis tarp teorinių saugumo biudžetų didinimo deklaracijų ir realaus jų įgyvendinimo. Nors konferencijose sutartinai linksniuojama žmogiškosios rizikos svarba, praktikoje finansavimas vis dar plaukia į infrastruktūros pirkimus, o ne į kokybišką kultūrinį pokytį. Kol įmonių valdybos vertins kibernetinį saugumą tik per techninių įrankių sąrašų (angl. checkboxes) užpildymo prizmę, žmogiškasis sluoksnis išliks labiau skambia rinkodaros fraze, o ne realia gynybine siena.

Kibernetinis saugumas pasiekė įdomią stadiją: mes sukūrėme sistemas, kurios yra per daug sudėtingos žmonėms, kad jas suprastų, ir dirbtinį intelektą, kuris yra per daug protingas, kad jį apgautų kiti kompiuteriai. Galiausiai viskas susiveda į tai, ar penktadienio popietę pavargęs buhalteris sugebės atskirti savo vadovo balsą nuo labai talentingo algoritmo – linkiu mums visiems sėkmės šiame evoliuciniame žaidime.

Vyr. redaktorius Artūras Malašauskas, DI sistemų integratorius, sukaupęs daugiau nei 20 metų patirties kuriant gamybinio lygio žiniatinklio inžinerijos sprendimus. Jis projektavo, diegė ir plėtė verslo klasės „Python“/„PHP“ sistemas logistikos, SaaS bei viešojo sektoriaus klientams. Pastaruosius metus jis specializuojasi išskirtinai DI integracijų srityje: diegia atvirojo kodo didžiuosius kalbos modelius (LLM), kuria generatyvinių medijų (vaizdo, garso, video) srautus bei projektuoja daugiagentines darbo eigas realioms gamybinėms aplinkoms. Jo standartas: atkuriamumas, saugumas ir ekonomiškai efektyvi išvestis – jokio „vaporware“. Artūras dokumentuoja bei vertina naujus DI įrankius, atskirdamas patvirtintas galimybes nuo rinkodarinio triukšmo. Techninis redaktorius svetainėse: ai-naujienos.lt, ai-verslas.lt, muza-ai.eu. Susisiekite per „LinkedIn“.