ШІ змінює економіку кібератак: що це означає для ринку

Кібербезпека переживає структурний зсув: вартість і швидкість проведення складних атак більше не визначаються лише кількістю залучених фахівців. За словами Кфіра Флейшера, віцепрезидента з продукту та кібердосліджень компанії DreamGroup, ключова зміна полягає не в автоматизації окремих завдань, а в можливості багаторазово масштабувати експертні рішення. ШІ не замінює талант, але дозволяє одній команді одночасно вести велику кількість розслідувань і пошуків шляхів проникнення.

Показовим є експеримент, проведений дослідниками DreamGroup у липні. Вони виявили автономну мультиагентну систему, яка атакувала державні структури в Азії. За чотири дні система, використовуючи до восьми ШІ-агентів одночасно, провела 12 хвиль атак і скомпрометувала 85 облікових записів державних службовців. Побудована на загальнодоступних фреймворках Hermes та OpenClaw, вона ухвалювала рішення на основі байєсівського показника впевненості. Якщо напрямок не спрацьовував, система шукала відповідні бази даних вразливостей і повторювала спробу, формуючи замкнений цикл: дослідження, перевірка, дія, аналіз, оновлення знань.

Флейшер наголошує, що цю систему слід називати самоадаптивним кіберзловмисником, а не моделлю, яка самостійно вдосконалюється. Технічні основи операції не були революційними, але масштаб, досягнутий завдяки автоматизації, викликає занепокоєння. Особливо вразливими є державні мережі: вони формувалися десятиліттями, містять застарілі системи, хмарні сервіси та численні зв'язки між міністерствами й підрядниками. Кожен такий зв'язок може стати точкою атаки, а ШІ здатен поступово досліджувати інфраструктуру, не знаючи її заздалегідь.

Для захисників ситуація не є безнадійною. Вони мають принципову перевагу — знання власної інфраструктури, телеметрії та конфігурацій. Атакувальник мусить створювати карту чужого середовища з нуля, тоді як захисник уже має її. Проблема в тому, що людина не здатна безперервно аналізувати всі ці дані. Тут ШІ може працювати на користь захисту, масштабуючи роботу експертів на тисячі паралельних перевірок і визначаючи найбільш небезпечні шляхи атаки.

Критичним стає не лише виявлення загрози, а час до ефективної дії. Якщо скомпрометований обліковий запис залишається активним шість годин, нападник отримує шість годин для продовження операції. Оборонний цикл має завершуватися підтвердженим результатом безпеки, а не просто аналітикою чи виконанням дії. Головне питання майбутньої кібербезпеки — не кількість експертів чи потужність моделей ШІ, а здатність організації масштабувати знання та перетворювати їх на результат швидше за противника.