Sztuczna inteligencja w obronie: gdzie AI realnie pomaga
·W poprzednich tekstach pisaliśmy, jak atakujący wykorzystują AI do phishingu, deepfake’ów, rekonesansu OSINT i szukania podatności. To jednak tylko połowa obrazu – sztuczna inteligencja nie jest wyłącznie zagrożeniem.
AI w obronie liczy się dziś tak samo jak ataki wspierane sztuczną inteligencją. To narzędzie. W rękach obrońców potrafi realnie podnieść poziom cyberbezpieczeństwa: wyłapuje podejrzane wiadomości, przerabia ogromne ilości danych, skraca czas reakcji na incydent i zdejmuje z zespołu część ręcznej roboty.
Perspektywę atakującego opisujemy w tekstach AI jako narzędzie atakującego oraz Mythos, Aardvark i AI w wyszukiwaniu podatności.
Stronę socjotechniczną znajdziesz w praktycznych poradnikach o phishingu z AI, deepfake’ach i vishingu oraz OSINT i AI.
Dlaczego zespoły bezpieczeństwa potrzebują wsparcia
Cyfrowy ślad firmy to poczta, logowania, zdarzenia w chmurze, ruch sieciowy, aktywność aplikacji i endpointów, nadania uprawnień, nieudane próby logowania i alerty z narzędzi bezpieczeństwa.
Mniejsza firma generuje tysiące zdarzeń dziennie, duża organizacja – miliony. Ręcznie nikt tego nie przejrzy. Tu zaczyna się realna rola AI w cyberbezpieczeństwie: wzorce, anomalie i powiązania, których w takiej masie danych człowiek po prostu nie zobaczy.
AI w wykrywaniu phishingu
Phishing to jeden z tych obszarów, w których AI po stronie obrony sprawdza się najlepiej. Dobry filtr antyphishingowy nie ogranicza się już do listy znanych złośliwych linków. Analizuje język wiadomości, reputację nadawcy, podobieństwo domeny, typ załącznika, zachowanie odnośnika i inne sygnały.
Wykrywanie phishingu przez AI oznaczy wiadomość, w której nie ma żadnego znanego wirusa, a mimo to coś się nie zgadza: presja czasu, prośba o dane logowania, nietypowy odnośnik, udawanie korespondencji wewnętrznej.
Żaden filtr nie zatrzyma wszystkiego. Najlepiej działa połączenie technologii z przeszkolonymi ludźmi: filtr zbija skalę ataku, a to, co się przez niego przedostanie, musi rozpoznać człowiek.
AI w monitoringu bezpieczeństwa
Monitoring bezpieczeństwa pilnuje tego, co dzieje się w systemach. AI pomaga wyłapać nietypowe zachowania i wspiera wykrywanie zagrożeń.
Na przykład:
- użytkownik loguje się z kraju, z którym nigdy wcześniej nie było ruchu,
- konto nagle pobiera nietypowo dużo danych,
- pracownik próbuje wejść do systemów, z których na co dzień nie korzysta,
- urządzenie łączy się z podejrzaną domeną,
- w nocy pojawia się seria nieudanych logowań,
- konto administratora wprowadza nietypowe zmiany.
Pojedyncze zdarzenie samo w sobie nie musi oznaczać incydentu. Dopiero kilka sygnałów naraz pokazuje, że coś nie pasuje, a takie powiązania potrafi wychwycić AI. W praktyce działa to razem z systemem SIEM, rozwiązaniami EDR i narzędziami do ochrony chmury.
AI w reagowaniu na incydenty
Przy incydencie liczy się czas. Zespół musi szybko ustalić, co się stało, kogo to dotyczy, które systemy są objęte incydentem i co teraz zrobić.
AI streści przebieg zdarzeń, zaproponuje kolejne kroki, ustawi priorytety i przygotuje krótkie podsumowanie dla osób decyzyjnych. W reagowaniu na incydenty skraca analitykom czas przekopywania się przez logi i alerty.
Takie podsumowanie może wyglądać tak: „Przejęto konto użytkownika. Najpierw logowanie z nietypowej lokalizacji, potem nowa reguła przekazywania poczty, na końcu próba dostępu do dokumentów współdzielonych”.
To realnie oszczędza czas. Wynik i tak musi sprawdzić człowiek.
AI w wyszukiwaniu podatności
AI przydaje się też programistom. Przejrzy kod, wskaże ryzykowne wzorce, podpowie bezpieczniejszą implementację i wytłumaczy problem prostszym językiem.
Ma to znaczenie, bo specjalistów od bezpieczeństwa jest za mało. Programiści pracują pod presją, a bezpieczeństwo bywa dla nich hamulcem. Błąd, który AI wyłapie w trakcie pisania kodu, kosztuje mniej i zajmuje mniej czasu niż ten sam błąd naprawiany po incydencie.
AI to jednak nie wymówka dla słabego procesu. Przeglądy kodu, testy, reguły bezpieczeństwa i jasno przypisana odpowiedzialność nadal muszą działać.
AI w szkoleniach pracowników
Dobre szkolenie security awareness to nie jest nudna prezentacja raz do roku. AI pomaga przygotować scenariusze realistyczne, ale bezpieczne.
Symulowane wiadomości phishingowe da się napisać pod konkretne role: inne dla finansów, inne dla handlowców, inne dla HR. Pracownik uczy się wtedy na sytuacji, którą zna z własnej pracy.
Gdzie AI ma granice
AI się myli. Gubi kontekst, uznaje normalną aktywność za incydent albo nie docenia realnego ryzyka.
Największe ryzyka po stronie obrony wspieranej przez AI to:
- ślepe zaufanie do rekomendacji,
- źle skonfigurowane narzędzia,
- brak nadzoru człowieka,
- wrażliwe dane wyciekające do nieodpowiednich narzędzi AI,
- fałszywe alarmy,
- rozmyta odpowiedzialność.
Zasada jest prosta: AI podpowiada i pomaga, decyduje człowiek.
Co warto wdrożyć w firmie
1. Ustal, jakie dane mogą trafić do narzędzi AI.
Wrażliwe informacje nie mają czego szukać w losowych publicznych narzędziach.
2. Spisz zasady korzystania z AI.
Pracownik ma wiedzieć, co wolno, a czego nie.
3. Wykorzystuj AI tam, gdzie zmniejsza ryzyko.
Czyli: filtry antyphishingowe, monitoring, podsumowania incydentów, przegląd kodu i automatyzacja SOC.
4. Zostaw ostatnie słowo człowiekowi.
Zwłaszcza przy incydentach, blokowaniu kont i decyzjach, które uderzają w biznes.
5. Mierz efekty.
Sprawdzaj, czy AI faktycznie zmniejsza liczbę incydentów, czy tylko produkuje więcej alertów.
6. Łącz AI z klasycznymi zabezpieczeniami.
MFA, kopie zapasowe, aktualizacje, zasada minimalnych uprawnień i zero trust to nadal fundament.
AI nie zastąpi kultury bezpieczeństwa
Można mieć świetne narzędzia, ale jeżeli nikt nie wie, komu zgłosić podejrzanego maila, płatności zatwierdza się byle jak, a konta nie mają MFA – AI tego nie uratuje.
Cyberbezpieczeństwo to ludzie, procesy i technologia naraz. AI należy do technologii, ale dopóki nie wepnie się jej w proces i nie zrozumieją jej ludzie, niewiele zmieni.
AI to nie autopilot bez kierowcy
Największy błąd to założenie, że AI załatwi wszystko za nas. Bezpieczeństwo wymaga kontekstu: które systemy są krytyczne, kto ma do nich dostęp, co jest normalnym zachowaniem, a co wyjątkiem.
Dlatego liczy się zasada human-in-the-loop. AI rekomenduje, alarmuje, porządkuje priorytety i tłumaczy. Człowiek potwierdza, odrzuca albo dokłada kontekst.
Podsumowanie
Rola sztucznej inteligencji w obronie będzie rosła: filtrowanie phishingu, wykrywanie anomalii, analiza incydentów, szukanie podatności i szkolenia pracowników.
To nie jest magiczna tarcza, tylko wzmacniacz. Dobre procesy bezpieczeństwa AI przyspieszy i poprawi. Bałagan przyspieszy dokładnie tak samo.
Wniosek jest prosty: korzystaj z AI, ale nie oddawaj jej decyzji. Traktuj ją jak asystenta, nie jak autopilota.
