Išpirkos reikalaujančių virusų atakos, farmacijos ir medicinos milžinių jautrių duomenų vagystės, dirbtinio intelekto pokalbių robotų spragos – tai vien pastarųjų mėnesių naujienos, liudijančios, kad dirbtinio intelekto (DI) veikiamas IT saugumo pasaulis galutinai peržengė ribą tarp teorinių pasvarstymų ir realybės. Šiandien DI ne tik padeda apsisaugoti, bet ir tampa vienu pagrindinių įrankių programišių rankose, o „šešėliniai agentai“ geba vykdyti atakas beveik be žmogaus įsikišimo.
Kartu daugėja incidentų, kurie atskleidžia kitą problemos pusę – skubotas DI sprendimų diegimas, neįvertinus saugumo, gali atverti milijonų vartotojų duomenis, o reguliuotojai visame pasaulyje skuba vytis technologijų tempą griežtindami taisykles.
Kaip kinta saugumo žemėlapis, kai kodas vis dažniau kovoja prieš kodą, o žmogui tenka iš naujo apibrėžti savo vaidmenį šiame sparčiai besikeičiančiame žaidime, kalbamės su IT saugumo ekspertu, VILNIUS TECH profesoriumi ir dirbtinio intelekto kompetencijų centro „SustAInLivWork“ nariu dr. Antanu Čeniu.
Pradėkime nuo pagrindinio klausimo: kaip šiandien reikėtų apsibrėžti saugumą?
„Man atrodo, kad pirmas ir vienas sunkiausių klausimų, kurį turime sau užduoti, yra kiek kitas: ką mes apskritai saugome? Dažnai sakome „informacijos saugumas“, „privatumas“, bet realiai šios sąvokos pasako labai mažai, nes skirtingose situacijose saugome skirtingus dalykus ir skirtingu intensyvumu.
Labai lengva sakyti „informacijos saugumas“, bet konkrečiai tai reiškia labai skirtingus dalykus. Vienais atvejais norime apsaugoti banko sąskaitą, kitais – savo asmeninį gyvenimą. Tačiau tarp šių kraštutinumų yra daug pilkųjų zonų. Saugoma informacija šiandien nebėra vertinama klasikiniu svogūno sluoksnių principu – tai panašiau į daugybę skirtingų burbulų, kuriuos saugome nevienodai.
Paklauskite bet kurio žmogaus, ar jo privatumus yra svarbus – ir gausite tą patį atsakymą: taip, žinoma. Tačiau perklausus kitaip – kokią kainą esate pasiruošę mokėti už tą privatumą – atsakymai gali būti labai įvairūs. Ir kalbame ne tik apie pinigus, kalbame apie patogumą.
Vienas tokių pavyzdžių – atsiskaitymas banko kortele: iš esmės tai yra visiškas ir savanoriškas institucijos įsileidimas į savo finansinę erdvę. Mes atiduodame informaciją apie savo pirkimus, bet vis tiek tą darome, nes taip patogu. Ir tai tik vienas pavyzdžių, labai gerai parodančių, kad privatumas dažnai pralaimi patogumui.“
Kaip šiandieninę saugumo situaciją keičia dirbtinis intelektas?
„Aš kartais sakau, kad yra era iki „ChatGPT“ ir po „ChatGPT“. Nes iki tol dirbtinis intelektas buvo įdomus siauram ratui žmonių, o dabar jis tapo visų reikalu. Šiuolaikinėje DI ekosistemoje ryškėja dvi pagrindinės rizikų kryptys, kurios iš esmės keičia saugumo sampratą.
Pirmoji – tai mūsų pačių elgesys. Mes vis dažniau ir vis drąsiau dalijamės informacija su dirbtinio intelekto sistemomis: įkeliame dokumentus, generuojame tekstus, analizuojame duomenis, tačiau ne visada susimąstome, kur ši informacija atsiduria ir kaip ji gali būti panaudota. Nors technologijų kūrėjai dažnai pabrėžia saugumo aspektus, realybėje vartotojas dažnai praranda kontrolę vos tik pateikęs duomenis.
Antroji kryptis – dar sudėtingesnė. Tai vadinamosios agentinės technologijos, kai dirbtinis intelektas ne tik analizuoja informaciją, bet ir pradeda veikti mūsų vardu: rezervuoja bilietus, atlieka mokėjimus, priima sprendimus, kurie anksčiau buvo tik žmogaus prerogatyva. Tokiu atveju DI gauna prieigą ne tik prie informacijos, bet ir prie veiksmų, o tai iš esmės keičia rizikos pobūdį.
Šios dvi kryptys susilieja į vieną pavojingą kombinaciją – mes perduodame jautrią informaciją, suteikiame prieigas ir kartu ne visada galime atskirti, kur baigiasi duomenys, o kur prasideda veiksmai. Tokia situacija sukuria naujo tipo grėsmes, kurių anksčiau tiesiog nebuvo.“
Ar tai reiškia, kad keičiasi saugumo žaidimo taisyklės?
„Taip, ir gana stipriai. Dirbtinis intelektas keičia ne tik tai, ką darome, bet ir tai, kaip vyksta atakos bei gynyba. Vienas iš svarbiausių pokyčių – vadinamojo „atakos paviršiaus“ didėjimas, kuris reiškia, kad atsiranda vis daugiau vietų, per kurias galima bandyti pažeisti sistemas.
Tačiau dar svarbesnis yra greitis. DI leidžia analizuoti milžiniškus informacijos kiekius realiu laiku, o tai reiškia, kad tiek atakos, tiek gynybos procesai tampa gerokai dinamiškesni. Atakos gali prisitaikyti, keistis, reaguoti į gynybos priemones, o laiko langas, per kurį galima jas aptikti ir sustabdyti, nuolat mažėja.
Šiame kontekste saugumas tampa nuolatiniu sparčiu procesu, kuriame technologijos naudojamos tiek puolimui, tiek gynybai. Tai sukuria savotiškas ginklavimosi varžybas, kuriose abi pusės nuolat ieško pranašumo.“
Ką tai reiškia organizacijoms, kurios pradeda aktyviai naudoti DI?
„Nepaisant vis didesnio automatizavimo, vienas dalykas išlieka nepakitęs – atsakomybė galiausiai vis tiek tenka žmogui. Dirbtinis intelektas gali generuoti sprendimus, tačiau jis nėra neklystantis, todėl gebėjimas juos kritiškai vertinti tampa viena svarbiausių kompetencijų.
Tai reiškia, kad keičiasi ir IT specialistų vaidmuo: jie vis dažniau tampa ne tiek kūrėjais, kiek vertintojais, kurių užduotis – suprasti, kaip veikia technologijos, ir gebėti įvertinti jų rezultatus.
O kalbant apie įmones, organizacijas, verslus: man atrodo, kad pirmas dalykas – turi atsirasti bent jau bazinė DI naudojimo politika, kuri nustato tam tikras ribas. (Tiesa, kiek tie žmonės tokius dokumentus skaitys – čia kitas klausimas, bet svarbu, kad jie bent jau būtų girdėję, kas galima, kas ne, kokios yra vienokio ar kitokio DI naudojamo įrankio rizikos.)
Ir dar svarbiau: ta politika negali būti statiška. Ji turi būti nuolat peržiūrima, nes pokyčiai šioje srityje vyksta labai greitai.“
O kokios yra paprasčiausios higienos taisyklės, kurias verta prisiminti kiekvienam?
„Pirmas dalykas – viskas, ką įvedi į viešą dirbtinį intelektą, nebėra tavo kontroliuojama. Tu nežinai, kur ir kaip ta informacija bus panaudota.
Antras: dirbtinio intelekto atsakymai nėra garantuotai teisingi. Juos reikia tikrinti.
Aišku, jei tai nereikšmingas tekstas – gal ir nieko tokio. Bet jei sprendimas turi pasekmes, tada tikrinti yra būtina.“
Jūs dirbate su studentais. Kaip juos ruošiate tokiam dinamiškam, praktiškai kas savaitę kintančiam IT pasauliui?
„Aš kartais save vadinu kunigu, kuris bando juos įtikinti, kad IT sauga yra įdomu. Nes jeigu ši sritis būtų statiška ir nekintanti – aš pats jos nedėstyčiau.O čia visą laiką atsiranda ir naujų grėsmių, ir naujų būdų gintis – tai labai gyva sistema.
Ir dar: skatinu juos naudoti dirbtinį intelektą jau dabar – nes tai bus jų kasdienybės dalis.
Apskritai mano rožinė svajonė yra toks švietimas, kuriame kiekvienas studentas turėtų savo asmeninį DI mokytoją ar diskusijų partnerį. Todėl savo studentams sakau: diskutuokite su DI! Jūs turite neaprėpiamas galimybes – naudokitės jomis!“
Pabaigai: kaip, jūsų manymu, atrodys IT saugumo pasaulis po kelerių metų? Kur šiame kontekste matote tokių projektų kaip „SustAInLivWork“ vaidmenį?
„Dėl IT saugumo pasaulio ateities – aš nežinau. Ir tai nėra bandymas išsisukti. Tiesiog pokyčiai vyksta taip greitai, kad prognozuoti labai sunku. Galima klausytis kitų prognozių – kaip smagaus intelektinio žaidimo. Bet ne daugiau.
O tokie projektai kaip „SustAInLivWork“ svarbūs tuo, kad leidžia ne tik kurti technologijas, bet ir suprasti, kaip jas naudoti. Nes technologijos pačios savaime nėra nei geros, nei blogos – viskas priklauso nuo to, kaip jas taikome.“
About the Author
