Cybersikkerhed er på vej ind i en ny og mere urolig fase. Det siger Alex Stamos, sikkerhedschef hos Cognition og underviser ved Stanford University Cyber Policy Center, i et interview med The Verge.
Hans hovedpointe er enkel: AI har gjort det markant lettere at finde sårbarheder og udnytte dem hurtigt. Derfor er det gamle sikkerhedsregime, hvor virksomheder lappede fejl løbende og holdt angribere stangen, ifølge ham under pres.
Stamos beskriver udviklingen som begyndelsen på en “dark age” for cybersikkerhed – altså en mørk periode, hvor angrebene bliver værre, før forsvaret når at tilpasse sig.
Angreb kan nu kædes sammen i stor skala
I interviewet peger han på flere konkrete hændelser fra den seneste tid. Blandt andet nævner han brud hos AI-selskaber, et hack mod Binance og et forløb omkring Cursor, hvor et angreb ifølge ham bredte sig videre via stjålne API-nøgler og et ondsindet plugin.
API-nøgler er digitale adgangsnøgler, som systemer bruger til at tale sammen. Hvis de bliver stjålet, kan angribere i praksis få adgang til andre tjenester uden at skulle bryde ind på klassisk vis.
Det særlige nu er ifølge Stamos, at AI ikke kun hjælper med enkelte dele af et angreb. Den kan i stigende grad bruges gennem hele processen – fra at finde fejl til at skrive den kode, der udnytter dem.
Billige værktøjer kan ændre magtbalancen
Stamos siger til The Verge, at åbne AI-modeller er nået så langt, at store dele af det, sikkerhedsfolk kalder “kill chain”, kan automatiseres. Udtrykket dækker over de trin, der skal til for at gennemføre et digitalt angreb.
Hvor det tidligere krævede sjældne specialister at finde fejl og bygge angrebsværktøjer, kan mindre erfarne aktører nu komme langt hurtigere. Det ændrer økonomien i cyberkriminalitet, fordi omkostningen ved at angribe falder.
Han fremhæver blandt andet værktøjet ARTEX, som han beskriver som et kinesisk open source-værktøj. Ifølge Stamos er det et eksempel på, at værktøjer, som kan downloades frit, nu kan bruges mod meget store virksomheder.
Forsvaret er stadig for dyrt og for langsomt
Problemet er ikke kun, at angrebene bliver bedre. Det er også, at forsvar stadig er dyrt. Stamos siger, at angribernes omkostning per AI-forespørgsel bevæger sig mod nul, mens virksomheder stadig bruger mange ressourcer på at overvåge systemer, undersøge alarmer og rette fejl.
Han peger især på arbejdet i et SOC – et security operations center, altså den del af en virksomhed, der overvåger logs, opdager mistænkelig aktivitet og reagerer på angreb. Her mener han, at virksomheder bliver nødt til at bruge mere AI, hvis de skal følge med.
Samtidig advarer han mod at tro, at alt kan løses ved bare at finde flere fejl i kode. En del gamle systemer er ifølge ham så belastede af sårbarheder, at det i nogle tilfælde kan være billigere at skrive dem om end at lappe videre.
Store virksomheder bør tænke større, mener han
Stamos bruger Linux-kernen som eksempel på et fundamentalt stykke software, der ifølge ham burde genopbygges mere sikkert i stedet for at blive lappet igen og igen. Det er hans forslag – ikke noget, der er besluttet.
Han nævner Google og Amazon som selskaber, der efter hans vurdering har ressourcerne til at tage den slags store greb. Pointen er, at branchen ikke kan nøjes med små rettelser, hvis AI bliver ved med at gøre angribere stærkere.
Det er samtidig vigtigt at understrege, at interviewet er en vurdering fra én central sikkerhedsprofil. Flere af hans beskrivelser handler om en udvikling, der stadig er i gang, og ikke om en endelig konklusion på, hvordan cybersikkerhed kommer til at se ud.
Det næste skridt kan blive mere offensivt forsvar
Et af de mest markante budskaber i interviewet er, at virksomheder i højere grad bør teste sig selv med AI-drevne angrebsværktøjer, før kriminelle gør det. Det kaldes red teaming – altså kontrollerede angreb, der skal afsløre svagheder.
Hans advarsel er kontant: “If you do not, you will get breached.”
Men han siger også, at virksomheder må acceptere en ny type risiko. Hvis de vil bruge AI til at forsvare sig, kræver det både automatisering og faste grænser for, hvad systemerne selv må gøre, så de ikke lukker hele virksomheden ned ved en fejl.
Også misinformation og falsk indhold bliver et sikkerhedsproblem
Interviewet handler ikke kun om klassiske hackerangreb. Stamos peger også på, at AI gør det sværere at skelne mellem ægte og falsk indhold på sociale medier.
Her mener han, at det på sigt kan være lettere at bevise, hvad der er ægte, end at opdage alt det falske. Hans pointe er, at verificering af rigtigt indhold kan være mere realistisk end at forsøge at fange enhver AI-forfalskning.
Om udsigterne siger han til The Verge: “The metaphor I’ve been using is that we are entering a dark age.”