网络安全行业准备好迎接人工智能了吗?

5月6日，在美国旧金山莫斯科尼中心举行的RSA大会上，网络安全专家走进会场。

人工智能对网络安全来说并不新鲜——大多数自动化安全工具在某种程度上依赖于人工智能和机器学习——但生成式人工智能让每个人都在谈论和担心。

如果网络安全专业人士还没有解决围绕生成式人工智能的安全问题，那么他们已经落后了。

SlashNext首席执行官帕特里克•哈尔在旧金山举行的2024年RSA大会上表示:“火车已经离开了车站。”

根据Darktrace进行的一项研究，人工智能产生的威胁已经影响了四分之三的组织，但60%的组织承认他们还没有准备好应对基于人工智能的攻击。

人工智能驱动的网络攻击暴露了网络安全人才供应的缺口。组织已经开始关注技能差距，特别是在云计算、零信任实施和AI/ML功能等领域。

ISC2首席执行官Clar Rosso在RSAC上表示，随着人工智能带来的威胁越来越大，网络安全团队不再能够等待几年时间来填补这些人才缺口。

根据ISC2的研究，目前41%的网络安全专业人员在保护人工智能方面几乎没有经验，21%的人表示他们对人工智能的了解不够，无法减轻担忧。

难怪这些专业人士说，到2025年，人工智能将成为该行业最大的挑战。

为什么安全行业还没有准备好

多年来，企业一直在使用人工智能来检测网络威胁。但真正改变话题的是生成式人工智能。

有史以来第一次，对人工智能的思考超越了企业网络和威胁行为者;它现在包含了客户。

随着企业依靠人工智能通过聊天机器人等工具与消费者进行交互，安全团队必须重新考虑他们的安全检测和事件响应方法，这些方法以人工智能与第三方最终用户之间的交互为中心。

问题在于围绕生成式人工智能的治理。网络安全团队——以及整个组织——并不清楚哪些数据正在接受人工智能培训，谁可以访问这些培训模块，以及人工智能如何符合合规性。

在过去，如果第三方要求提供可能被视为敏感的公司信息，没有人会提供;这将是一个潜在的安全风险。现在，这些信息被构建到人工智能响应模型中，但是谁负责管理这些信息是不明确的。

当网络安全团队专注于如何阻止威胁行为者时，他们忽略了他们愿意分享的数据周围的风险。

“从安全的角度来看，为了安全地采用一项技术，我们需要了解机器学习模型是什么，它是如何与数据连接的，它是预先训练的，它是持续学习的，你如何提高重要性?Darktrace战略网络人工智能副总裁Nicole Carignan在RSAC的一次谈话中说。

构建安全团队的专业知识

重要的是要记住，生成AI只是一种类型的AI，是的，它的用例是有限的。了解人工智能工具擅长什么，将有助于安全团队开始构建技能和工具，以应对人工智能威胁。

然而，组织需要现实一点。技能差距不会因为需求的存在而在两到五年内神奇地缩小。

随着安全团队掌握了所需的技能，托管服务提供商可以介入。使用托管服务提供商管理人工智能安全的好处是能够超越单个组织的网络。他们可以观察到人工智能威胁是如何在不同的环境中被操纵的。

但是组织仍然希望培训他们的内部人工智能系统。Zendata首席执行官Narayana Pappu表示，在这种情况下，安全团队最好从使用合成数据的沙盒开始。这将允许安全从业者使用安全数据测试他们的人工智能系统。

无论内部的技能如何，最终，管理人工智能威胁将归结为如何在安全工具包中使用人工智能。安全专业人员将需要依靠人工智能来帮助实施基本的安全卫生实践，并增加治理层，以确保符合合规性法规。

“关于人工智能，我们还有很多东西要学。教育自己是我们的工作。”罗索说道。