В разговоре рассматриваются практические трудности, с которыми сталкиваются команды безопасности, поскольку ИИ ускоряет поиск уязвимостей, разведку и эксплуатацию уязвимостей. С помощью подкаста Terra Security стремится объединить руководителей служб безопасности. Они обсуждают практические выводы из внедрения ИИ, отделяют шумиху от реальности и готовятся к следующему этапу киберзащиты.
Промежуток между обнаружением уязвимости и её эксплуатацией сокращается
Один из самых ярких примеров, приведённых Мозесом, связан с инфраструктурой honeypot-систем MadPot компании Amazon, которая отслеживает поведение злоумышленников. В одном из зафиксированных инцидентов атакующий прошёл путь от полного отсутствия доступа до захвата скомпрометированной системы и дальнейшего распространения с использованием доступных ему возможностей. На это ушли 12 минут 42 секунды.
«Раньше это была бы целая кампания злоумышленника. Всё тянулось бы неделями, иногда месяцами. Здесь же всё заняло 12 минут — чуть меньше 13». Си Джей Мозес, директор по информационной безопасности Amazon
Этот пример показывает, насколько изменились исходные предпосылки управления уязвимостями. Раньше команды безопасности обычно рассчитывали сроки установки исправлений днями или месяцами. Теперь же атакующие могут пройти этапы разведки, эксплуатации и перемещения по сети за считаные минуты. В таких условиях времени на обнаружение и локализацию угрозы становится гораздо меньше.
По словам Мозеса, ключевую роль играет скорость. ИИ позволяет злоумышленникам сделать больше за меньшее время. Поэтому скорость реагирования становится не менее важной, чем количество обнаруженных уязвимостей.
Почему одних дополнительных инструментов безопасности может быть недостаточно
Традиционно программы безопасности опирались на несколько уровней защитных средств, призванных предотвращать вторжения или замедлять атакующих. Мозес считает, что такая стратегия по-прежнему полезна. Однако злоумышленники, использующие ИИ, всё чаще способны объединять отдельные слабые места в длинные цепочки атак.
Это меняет роль наступательной кибербезопасности. Организациям необходимо не только полагаться на защитные средства, но и непрерывно тестировать свои среды, чтобы выяснять, какие уязвимости действительно можно эксплуатировать.
Говоря о проверках безопасности на этапе разработки программного обеспечения, Мозес предостерёг от замедления процессов.
«Реальность такова: если вы замедлитесь, то сыграете на руку именно тому, о чём мы говорили в самом начале». Си Джей Мозес
В Amazon сканирование на предмет угроз встраивают в конвейеры непрерывной интеграции и непрерывной доставки. Сканирование с помощью ИИ позволяет обнаруживать проблемы по мере написания кода, а дополнительные проверки помогают оценить готовый продукт. Благодаря этому команды безопасности могут устранять слабые места, не задерживая выпуск программного обеспечения без необходимости.
Мозес также рассказал, как Amazon использует данные разведки, полученные благодаря инфраструктуре MadPot, чтобы определять приоритеты установки исправлений. Понимание того, на что нацеливаются злоумышленники, помогает командам решать, какие слабые места требуют немедленного внимания.
ИИ расширяет угрозы за пределы программного обеспечения
Риски не ограничиваются уязвимостями приложений и инфраструктуры. Мозес рассказал об операциях Северной Кореи, в которых ИИ используют для создания легенд и поддельных личностей. Цель — устроиться на работу в компании.
По словам Мозеса, в ходе найма Amazon удалось выявить и остановить не менее 2 900 граждан Северной Кореи. Этот пример показывает, как ИИ может усиливать угрозы, связанные с подменой личности, и усложнять работу как специалистов по безопасности, так и команд по подбору персонала.
Интегрированная модель безопасности Amazon объединяет киберразведку, кадровую безопасность, расследования и другие направления. Цель состоит в том, чтобы объединять информацию из разных подразделений и не допускать, чтобы тревожные сигналы оставались изолированными в отдельных организационных структурах.
По мере того как ИИ упрощает масштабирование обманных операций, способность объединять информацию становится всё важнее.
Оценка рисков вместо подсчёта уязвимостей
В завершение выпуска ставится под сомнение один из самых привычных показателей в кибербезопасности — количество уязвимостей, обнаруженных или устранённых командой.
«Думаю, качество программы безопасности будут оценивать не по тому, сколько уязвимостей вы обнаружили». Си Джей Мозес
По его мнению, отрасль будет уделять больше внимания времени, которое проходит между обнаружением уязвимости и установкой исправления или применением другого способа снизить риск. В некоторых случаях правильным решением будет ограничить доступ, изолировать систему или применить другое эффективное средство защиты, а не ждать стандартного исправления.
Такой подход позволит оценивать эффективность безопасности по тому, насколько быстро организация снижает подверженность реальным атакам, а не по количеству слабых мест на панели мониторинга.
По мере того как ИИ ускоряет и нападение, и защиту, перед руководителями служб безопасности всё реже встаёт вопрос о том, сколько уязвимостей они могут обнаружить. Гораздо важнее понять, успеют ли они закрыть окно возможностей до того, как атакующий нанесёт удар.
Опубликовано 20 октября 2026 - 07:45 Наверх
