NCSC: atak ransomware z użyciem AI na brytyjską infrastrukturę krytyczną bardzo prawdopodobny do 2028 roku

Brytyjska infrastruktura krytyczna powinna być gotowa na atak ransomware z wykorzystaniem złośliwego oprogramowania opartego na AI przed końcem 2028 roku – ostrzegło we wtorek National Cyber Security Centre (NCSC), część wywiadu elektronicznego GCHQ. Informację podał Decrypt, a stanowisko agencji opisano też na stronie NCSC.

Ostrzeżenie pochodzi z rocznego raportu „State of the Cyber Nation”. NCSC ocenia jako „highly likely”, czyli bardzo prawdopodobne, że do 2028 roku w ataku ransomware na brytyjską infrastrukturę krytyczną zostanie użyte złośliwe oprogramowanie oparte na AI. Według agencji w ciągu najbliższych dwóch lat wykorzystanie AI przez wrogie podmioty również „highly likely” zwiększy skalę i skuteczność ich operacji. Chodzi o ransomware, socjotechnikę i wykorzystywanie luk w oprogramowaniu. Agencja opublikowała też osobny raport „Artificial intelligence and cyber intrusion”.

Stare luki, nowa skala

Szef NCSC Richard Horne w przygotowanym przemówieniu nie mówił o rewolucji w metodach ataku. „W nadchodzących miesiącach stajemy przed realną perspektywą bezprecedensowego wzrostu liczby incydentów”, powiedział. Od razu dodał, że nie dlatego, iż AI wymyśliła nowe sposoby ataku, ale dlatego, że podatności tolerowane „zbyt długo” można teraz znajdować i wykorzystywać na skalę, która wcześniej była nie do wyobrażenia.

„Przez dziesięciolecia uchodziło nam na sucho robienie technologii po taniości”, mówił Horne. Wezwał organizacje, by realnie inwestowały w swoje systemy, nie podłączały ich niepotrzebnie do internetu i traktowały rządowy certyfikat Cyber Essentials jako punkt wyjścia, a nie cel. Liderom, którzy nie zareagują, zapowiedział niewygodne rozmowy z inwestorami, pracownikami i klientami o tym, dlaczego „na półkach nie ma jedzenia, nie świeci się światło, a firmy zbankrutowały”.

Pieniądze na obronę

Rząd w ubiegłym tygodniu ogłosił 60 mln funtów (ok. 80 mln dolarów) na pierwszą fazę krajowej tarczy Cyber Shield oraz 70 mln funtów (ok. 93 mln dolarów) na nowe National Exposure and Real-Time Vulnerability Centre, które ma wskazywać słabe punkty w infrastrukturze krytycznej. Powstanie też AI Cyber Security Centre of Excellence w Manchesterze, prowadzone przez NCSC.

Dowody, że atakujący już korzystają z AI, rosną. W maju Google Threat Intelligence Group poinformowała, że cyberprzestępcy użyli modelu AI do znalezienia i wykorzystania nieznanej wcześniej luki, która pozwalała obejść uwierzytelnianie dwuskładnikowe w popularnym narzędziu administracyjnym open source. Według Google był to pierwszy potwierdzony przypadek rozwijania zero-day z pomocą AI w realnych atakach.

Obraz jest jednak niejednolity. Badanie Uniwersytetu w Cambridge, oparte na ponad 90 tys. wątków z forów cyberprzestępczych i opublikowane w tym samym miesiącu, wykazało, że większość przestępców używa AI głównie do spamu i phishingu, a nie do wyrafinowanych ataków. O rosnącym zapleczu takich usług pisaliśmy w październiku, opisując podziemny rynek narzędzi AI.

Brytyjscy urzędnicy alarmują nie po raz pierwszy. W lipcu szefowa dyplomacji Yvette Cooper pisała, że rządy muszą uzgodnić zabezpieczenia dla AI, zanim najnowsze systemy zmienią wojnę, przestępczość i społeczeństwo. „Nie możemy czekać na odpowiednik Hiroszimy w świecie AI”, napisała. Już w czerwcu pisaliśmy zaś o ostrzeżeniu sojuszu Five Eyes, że autonomiczna cyberwojna to kwestia miesięcy, nie lat.