La burocràcia és un gran hàndicap. Des del Centre Nacional de Ciberseguretat del Regne Unit creuen que els atacs augmentaran a mesura que les defenses automatitzades tinguin dificultats per estar actualitzades.

La intel·ligència artificial ja la fan servir nombrosos ciberdelinqüents com una arma formidable que no requereix coneixements massa avançats per produir efectes devastadors. I també és una eina útil per als que es dediquen a protegir les empreses i les institucions… però no en la mateixa mesura. 

Això és el que creu Dave Chismon, director de tecnologia d’arquitectura del Centre Nacional de Ciberseguretat del Regne Unit (NCSC). El responsable ha comentat en una publicació que els defensors encara no poden fer servir la IA amb la mateixa llibertat que els atacants i que aquest desequilibri suposarà que les defenses automatitzades ho passin malament per mantenir-se al dia. 

El director ha fet una asseveració en referència a la màxima de Halvar Flake que diu que «tots els problemes ofensius són problemes tècnics i tots els problemes defensius són problemes polítics». 

Segons Chismon, entre aquestes dificultats hi ha coses com si es pot demanar un pressupost per reemplaçar un sistema obsolet o una inversió més segura, si es pot aconseguir que el departament de TI dediqui més temps a l’aplicació de pedaços o si és possible que s’aprovi una sol·licitud de canvi per incloure regles de tallafocs. 

És a dir, la burocràcia frena la velocitat per aconseguir una defensa correcta i actualitzada. «En altres paraules, els defensors es veuen més limitats per les polítiques organitzatives, mentre que la majoria dels atacants es veuen limitats per obstacles tècnics. La raó d’aquesta diferència es fa evident en comparar els objectius principals dels atacants i dels defensors», explica l’alt comandament. 

«Per als atacants, el seu objectiu principal és cometre ciberdelictes, i l’èxit es tradueix en guanys per al seu organitzador. Ja sigui robant diners a organitzacions, extorsionant víctimes o extraient informació, els ciberdelictes són la seva raó de ser», aclareix. «Però per als defensors, la seva missió és ajudar la seva organització a evitar pèrdues. La missió de l’organització no és la ciberdefensa; dependrà de l’activitat que dugui a terme», assenyala. 

Chismon posa de manifest que la ciberdefensa és un cost inherent a l’activitat empresarial que s’ha d’avaluar rigorosament perquè no perjudiqui les prioritats contraposades de l’organització en qüestió. 

«Alguns membres del consell directiu poden veure poca diferència entre un atac DoS que paralitza els sistemes informàtics de l’organització i una acció mal implementada per l’equip de ciberseguretat que produeix el mateix efecte», exposa. 

Tot i això, el cap d’arquitectura del cibercomandament britànic veu llum al final del túnel. Creu que hi ha diverses coses que es poden canviar per tal que els defensors treguin un millor profit de la IA. 

Actualment, la IA pot ajudar especialment en tasques com ara detectar vulnerabilitats, analitzar sistemes i gestionar grans quantitats d’informació. La idea de Chismon és que la tecnologia s’encarregui principalment de detectar i analitzar problemes, mentre que les persones prenen les decisions i executen les accions. Quan la IA intervé directament sobre els sistemes, la seva actuació ha d’estar limitada i controlada.

Per decidir quines tasques cal automatitzar cal valorar cinc aspectes: la potència de l’acció, és a dir, quant pot modificar la IA; el seu abast; la importància dels sistemes afectats; la confiança que existeix que l’acció serà segura; i la facilitat per recuperar el sistema si alguna cosa surt malament. Com més baix sigui el risc en aquests aspectes, més adequada serà una tasca per a l’automatització, segons el responsable de l’NCSC.

Altres advertiments similars

No és la primera vegada que un alt càrrec fa una afirmació semblant. De fet, l’aliança d’intel·ligència Five Eyes, de la qual forma part el GHQC (organisme al qual pertany l’NCSC), va advertir recentment que la IA d’avantguarda podria transformar les ciberoperacions ofensives i defensives en pocs mesos, en lloc d’anys. 

D’altra banda, el màxim responsable d’intel·ligència del Partit Comunista Xinès va expressar una preocupació semblant durant el Consell d’Estabilitat Financera del G20. 

L’avís de Chismon arriba poc després que models de Google, Anthropic, OpenAI i Meta hagin aconseguit infiltrar-se en sistemes reals durant avaluacions de seguretat, mitjançant mètodes bàsics com ara la reutilització de credencials exposades.