“V dveh letih ne bomo vedeli, kaj je napisal človek in kaj umetna inteligenca”

Ko strokovnjak za kibernetsko varnost Gregor Spagnolo pride v podjetje, ki se je soočilo s kibernetskim napadom ali se pred njim želi zaščititi, vse prepogosto ugotovi, da tam še niso razmišljali veliko o varnostnih kopijah svojih podatkov, geslo je poleti nastavljeno na “poletje2026!”, čas članov uprave pa je “preveč dragocen”, da bi tudi oni uporabljali dvofaktorsko avtentikacijo.

To so osnove kibernetske varnosti, o katerih je zavedanje splošnega prebivalstva še vedno precej pomanjkljivo, opozarja. Medtem pa živimo v času, ko umetna inteligenca že na lastno pest izvaja kibernetske napade, kot je pokazal nedavni vdor OpenAI-jevih modelov v platformo Hugging Face ali zadržanje Anthropicovega modela mythos, ki je med testiranjem pobegnil iz tako imenovanega peskovnika, v katerega so ga zaprli razvijalci.

Grožnja umetne inteligence kibernetski varnosti je resna, morebitne zlonamerne uporabe nove tehnologije pa široke: ne vključujejo le apokaliptičnih scenarijev o vdorih v infrastrukturne sisteme – kjer je bil Rubikon prestopljen že leta 2010 z izraelskim napadom na iranski jedrski program z virusom Stuxnet -, ampak tudi ponoven vzpon že skoraj pozabljenih spletnih prevar, kot je sila preprosta prevara nigerijskih princev, je za Forbes Slovenija pojasnil Spagnolo. “Menim, da v roku dveh let ne bomo več vedeli, kaj je napisal človek in kaj je napisala umetna inteligenca,” pravi. Njegovo podjetje za kibernetsko varnost SSRD sodeluje večinoma s tujimi naročniki, v Sloveniji pa ga pokličejo predvsem, ko se jim zgodijo napadi.

Kot pravi, je umetna inteligenca v bistvu tehnologija z dvojno rabo, torej ima poleg komercialnih tudi vojaške aplikacije, ki jih ZDA, Kitajska in Rusija v geopolitični bitki že s pridom izkoriščajo in tudi ščitijo. Spagnolo, ki s SSRD sodeluje na Natovih vajah kibernetske varnosti Locked Shields, raje kot zaprte ameriške uporablja odprto-utežne kitajske modele umetne inteligence, kjer podatke lahko procesira lokalno namesto v ameriških podatkovnih centrih. SSRD svetuje organizacijam, kako vzpostaviti kibernetsko zaščito ali jim pomaga, ko se soočijo z napadom.

Pobeg iz peskovnika

V primeru Hugging Face, ko so še neizdani modeli OpenAI ušli iz kontroliranega testirnega okolja oziroma peskovnika in vdrli v platformo za razvijalce umetne inteligence, je po besedah Spagnola šlo za slabo konfiguriran peskovnik in slabo premišljena navodila. Naloga modela je bila postati najboljši agent umetne inteligence za kibernetsko varnost, model je nato samodejno ugotovil, da je na platformi Hugging Face test za ta namen, in ušel iz peskovnika. Agenti so na spletu našli poverilnice, s katerimi so vstopili v Hugging Face, da bi se dokopali do pravilnih odgovorov in z odliko opravili test. Spotoma so vdrli v več spletnih mest, s pomočjo katerih so izdelali kodo za vdor v Hugging Face.

To so storili hitreje, kot bi lahko človek. “Predstavljajte si neutrudnega človeka, ki ima znanje. Ampak človek bo neko stvar poskusil enkrat, dvakrat, trikrat, potem mu bo postalo dolgočasno, po uri ali dveh bo želel kavico in potem že malo pozabil, kaj je delal. Medtem ko umetna inteligenca ima čas in ji ni težko tisočkrat nečesa ponoviti. Poskuša to in ono, poskuša isto na drugačen način in tako najde ranljivosti,” pravi Spagnolo.

Vdor v Hugging Face ni bil narejen v minuti. Trajal je domnevno šest dni. V človeških delovnih urah, če za izračun vzamemo osem ur dela na dan, je to 18 polnih delovnih dni brez premorov. V tem času bi morda tudi človek z ustreznim znanjem našel pot v sistem.

“Kar je tu zanimivo, je širitev konteksta in logično razmišljanje. Da je dejansko znal povezati: našel je vstopne podatke za Hugging Face in ugotovil, da jih lahko preizkusi na tej spletni strani. Kontekst znanja se mu širi in to po mojem mnenju pomeni potencialno nevarnost: da mu bomo dali eno nalogo, pri njenem izvajanju pa bo naredil še korake, ki niso bili predvideni,” pove Spagnolo.

Pandorino skrinjico odprl Stuxnet

Po besedah Spagnola so velesile na področju umetne inteligence ZDA, Rusija in Kitajska. Ožje gledano zlasti ZDA in Kitajska, vsekakor pa Rusija izstopa na področju kibernetskih napadov, saj država ne preganja hekerskih skupin, če pustijo pri miru z Rusijo povezane tarče.

Vse tri države uporabljajo umetno inteligenco kot vojaško orodje, pojasni Spagnolo. Zato ga tudi ne preseneča, da je ameriški predsednik Donald Trump v imenu nacionalne varnosti prepovedal uporabo mythosa tujim državljanom – dokler se niso pojavili primerljivo zmogljivi kitajski tekmeci, kot sta z.ai in kimi K3, in je moral na tehtnico postaviti tudi komercialne interese.

Tuji mediji so poročali, da je ameriška vojska Anthropicov model claude uporabila tako v napadih na Venezuelo kot Iran – vključno z raketnim napadom na dekliško osnovno šolo v Iranu. Države pogosto delujejo tudi kot napredne vztrajne grožnje (advanced persistent threats – APT), kjer se v sistemih svojih tarč potuhnejo in v daljšem časovnem obdobju pridobivajo podatke. Leta 2023 je bil takšen primer vdor kitajske hekerske skupine Vixen Panda v sisteme več evropskih zunanjih ministrstev, tudi slovenskega.

Pandorino skrinjico za državne intervencije z digitalno tehnologijo je odprl Izrael, ko je leta 2010 z virusom Stuxnet okužil iranske jedrske objekte v Natancu. Čeprav ni šlo za napad s pomočjo umetne inteligence, je incident pokazal potencialno zmogljivost kibernetskih napadov. Z ustavitvijo centrifug za bogatenje urana je iranski jedrski program nazadoval za vsaj desetletje.

Kot pravi Spagnolo, je bil pri tej operaciji – podobno kot velja za vdore umetne inteligence – ključen čas. “Oni so imeli devet mesecev ali nekaj takega. Če bi to želeli jutri narediti, ne bi bili sposobni. Ampak ker so si vzeli toliko časa, toliko truda, je bil takšen rezultat.” Podobno velja tudi za nedavno izraelsko operacijo proti libanonskemu gibanju Hezbolah, v kateri so prek pozivnikov, opremljenih z eksplozivom, eliminirali praktično celoten vrh organizacije.

Kako kriminalci obidejo varovalke

Umetno inteligenco lahko uporabijo tudi nedržavni akterji, na primer kriminalne združbe. Čeprav so vodilni modeli opremljeni z varovalkami, ki naj bi preprečevale zlonamerne uporabe, kot so vdori ali prevare, so te lahko pomanjkljive ali pa zlikovci najdejo obvode – tako imenovan jailbreak (angl.).

Za nekatere bolj preproste kibernetske prevare, ki ciljajo na posameznike, jailbreak sploh ni potreben. Kot pove Spagnolo, danes znova opažamo vrnitev znanih prevar, v katerih nigerijski princ ponuja milijone v zameno za manjše nakazilo. Takšne prevare sicer ne potrebujejo umetne inteligence, lahko pa ta avtomatizira proces za prevarante.

“Če rečem umetni inteligenci, naj napiše elektronsko sporočilo od recimo Mimovrste, v katerem piše ‘klikni tukaj za vračilo denarja’, bo umetna inteligenca to naredila. Potem v drugem oknu rečem, naj mi naredi spletno stran, kjer bo možno vpisati kreditno kartico, zato ker moram vrniti denar nekomu. Ali bi to varovalke zaznale?” proces opiše Spagnolo.

Pogosto jailbreak ni potreben niti v prevarah, ki ciljajo na podjetja, saj s premišljeno formulacijo navodil lahko prepričaš umetno inteligenco, da ne počneš ničesar prepovedanega. “Rečeš: delam testni laboratorijski primer in želim pregledati ranljivosti v lastnem podjetju. Mi lahko napišeš, kako poskeniram ranljivosti? In jih imam.”

Ko so ZDA Anthropicu prepovedale lansiranje mythosa tujim državljanom, je podjetje dejalo, da ima model zadostne varovalke, da do zlorab ne bi moglo priti. Spagnolo pokaže na drobni tisk: Anthropic navaja, da se en mesec shranjujejo in preverjajo vse poizvedbe pri mythosu. “Jaz bi rekel, da imajo varovalko, da neka druga umetna inteligenca preveri, če odgovor modela dejansko pomeni ranljivost. Mislim, da niso modela toliko spremenili, da tega ne bi bil sposoben, ampak so dali neko plast vmes, da take stvari filtrira.”

Podatki naj ostanejo v organizaciji

Pri SSRD, ki ga vodi Spagnolo, dajejo prednost modelom umetne inteligence, ki jih je mogoče poganjati lokalno znotraj organizacije. Ključna razlika zanje ni država izvora modela, temveč način obdelave podatkov. Najzmogljivejši komercialni modeli praviloma delujejo kot storitev v oblaku, zato se podatki obdelujejo v podatkovnih centrih ponudnika. “V svoje omrežje ne bom spustil rešitev, ki za svoje delovanje zahtevajo dostop do naših internih podatkov zunaj organizacije,” pravi Spagnolo.

Po njegovih besedah so danes na voljo tudi odprtokodni modeli oziroma modeli z odprtimi obtežitvami, ki jih je mogoče namestiti in uporabljati v lastni infrastrukturi. “Če sistem zapreš znotraj svojega okolja in tam analiziraš lastne dokumente, pripravljaš povzetke ali izvajaš druge naloge, je to idealna rešitev.”

Spagnolo meni, da bo pri razvoju umetne inteligence uspešnejše okolje, ki spodbuja razvoj domačih digitalnih rešitev in zmanjšuje odvisnost od tujih ponudnikov. Kot primer navaja kitajske javne razpise za razvoj domačih alternativ pisarniški programski opremi. Po njegovem mnenju je Evropa na številnih področjih še vedno močno odvisna od zunanjih ponudnikov – od družbenih omrežij do pisarniške programske opreme in spletnih iskalnikov.

Kako varna je Slovenija

V Sloveniji, tako kot po svetu, število kibernetskih napadov raste. Zaradi umetne inteligence jih bo samo še več, ker bo napade lažje avtomatizirati. Obenem pa podjetja pri nas pogosto ne vlagajo dovolj v kibernetsko varnost, saj ne gre za področje z jasnim donosom naložbe (ROI).

Spagnolo omeni primer podjetja, kjer so sicer imeli varnostne kopije podatkov, a niso nikoli restavrirali sistema na podlagi kopij, saj da bi tak proces trajal dva tedna. To pomeni, da bi v primeru kibernetskega napada lahko za dva tedna zaprli podjetje, medtem ko bi iz varnostnih kopij obnavljali sistem.

Želi si tudi bolj realistične ocene stroškov kibernetskih napadov: ko je oktobra 2024 prišlo do vdora v mariborsko univerzo, je rektor Zdravko Kačič za medije stroške ocenil na 140 tisoč evrov. Toda to so le izplačila zunanjim izvajalcem in ne vključujejo tudi stroškov samega izpada sistema, pravi Spagnolo. Če bi bili to resnični stroški kibernetskega napada, bi svetoval, naj nihče ne vlaga v kibernetsko varnost in pač sprejme stroške napada vsake toliko časa.

Spagnolo omenja tudi zakonodajno šibkost, ki tehnične strokovnjake odvrača od tega, da bi sporočali odkrite kibernetske ranljivosti. Če namreč nekdo odkrije ranljivost in pride do nejavnih podatkov ter to sporoči, ga čaka kazen zaradi nepooblaščenega vstopa v informacijski sistem, grozi pa mu do dve leti zaporne kazni. Poleg tega večina strokovnjakov, ki sodeluje na vajah Locked Shields, dela za tuje korporacije in niso del slovenskega ekosistema, je ob Natovih vajah opazil Spagnolo.

Kako se zaščititi

Glavna ranljivost kibernetskih sistemov je, da imamo ljudje nizko zavedanje in znanje o kibernetski varnosti, kar vpliva na varnost posameznikov, podjetij in ne nazadnje državnih sistemov. “Vedno smo varni toliko, kolikor je varen naš najšibkejši člen,” pravi Spagnolo.

Še vedno pa se po njegovih besedah najbolje zaščitimo pred kibernetskimi napadi – navadnimi ali umetnointeligenčnimi – prav z osnovami: varnostne kopije podatkov, redno posodabljanje opreme, uporaba aplikacije za upravljanje gesel (password manager), generiranje dolgih in kompleksnih gesel, morda hramba gesla za to aplikacijo v sefu namesto na samolepilnem listku na ekranu računalnika.

Potem je tu še dvofaktorska avtentikacija, pri čemer Spagnolo svetuje, da nimamo dvofaktorske avtentikacije shranjene v isti aplikaciji kot naša uporabniška imena in gesla, temveč na neki drugi napravi – četudi menedžerji omogočajo tudi 2FA. Če je vse shranjeno na istem mestu, pravi, to ni zares dvofaktorska avtentikacija.

Pojav umetne inteligence v kibernetski varnosti je vplival tudi na poslovni model mariborskega SSRD, saj so se morali prilagoditi. Med drugim zdaj varnosti ne preverjajo samo ljudje, ampak si pri tem pomagajo tudi z umetno inteligenco. To je podjetju, ki je lani v Sloveniji ustvarilo 711 tisoč evrov prihodkov, v prihodnjih nekaj letih pa še ne pričakujejo, da bodo prečkali milijon, tudi zmanjšalo potrebe po dodatnem kadru za vsaj tretjino. Trenutno zaposlujejo devet ljudi v Mariboru in šest v Ljubljani, 85 odstotkov prihodkov pa ustvarijo na tujih trgih.