Generatywna AI we wsparciu analityków bezpieczeństwa
Sztuczna inteligencja zmienia cyberbezpieczeństwo, a jednym z ciekawszych kierunków jest wykorzystanie modeli generatywnych do wsparcia analityków. W naszym najnowszym badaniu Using Generative AI Models to Support Cybersecurity Analysts sprawdzaliśmy, jak wpiąć duże modele językowe (LLM) w codzienną pracę zespołu bezpieczeństwa: w wykrywanie zagrożeń, analizę podatności i przeglądanie logów. Szerszy obraz tego, gdzie AI pomaga obrońcom, opisujemy w tekście AI w obronie cyberbezpieczeństwa – tutaj chodzi o wyniki jednego konkretnego badania.
Po co generatywna AI w cyberbezpieczeństwie?
Analityk tonie w danych: logi zdarzeń, konfiguracje zabezpieczeń, raporty o podatnościach, wyniki analizy szkodliwego oprogramowania (ang. malware). Klasyczne narzędzia zbiorą to i wstępnie przetworzą, ale wyłapanie realnego zagrożenia i ocena ryzyka wciąż zajmują człowiekowi godziny.
Generatywna AI może to zmienić, bo:
- automatyzuje analizę logów bezpieczeństwa, więc anomalie widać szybciej,
- sprawniej wskazuje podatności w aplikacjach,
- wspiera testy penetracyjne, analizując możliwe ścieżki wykorzystania błędu,
- dokłada kontekst z uznanych frameworków bezpieczeństwa, takich jak OWASP Mobile Top 10 i MITRE ATT&CK.
Nasze badanie: dwa studia przypadków
Wzięliśmy pod lupę dwa scenariusze z praktyki, w których modele językowe mogą odciążyć specjalistów:
1. Wykrywanie podatności w aplikacjach na Androida
Zbudowaliśmy system, który łączy modele językowe z narzędziami MobSF (Mobile Security Framework) i Semgrep. Sama analiza statyczna nie wystarcza, więc dołożyliśmy do niej analizę kontekstową opartą na AI:
- skanowanie kodu źródłowego aplikacji,
- wykrywanie błędów bezpieczeństwa według wcześniej zdefiniowanych reguł,
- klasyfikacja problemów zgodnie z OWASP Mobile Top 10.
💡 Najważniejszy wniosek: modele językowe przyspieszyły wykrywanie podatności i podniosły jego trafność, ale generowały też fałszywe alarmy (ang. false positives), które musiał zweryfikować człowiek.
2. Analiza logów bezpieczeństwa i wykrywanie incydentów
Sprawdziliśmy, jak modele językowe radzą sobie z sieciowymi logami bezpieczeństwa z narzędzi takich jak Suricata (IDS/IPS) czy Sysmon, czyli narzędzie do monitorowania systemu Windows. Chodziło o to, żeby powiązać alerty z realnymi zagrożeniami, odsiać fałszywe alarmy i przypisać incydenty do technik z MITRE ATT&CK.
💡 Najważniejszy wniosek: z pomocą AI czas identyfikacji i klasyfikacji zagrożeń wyraźnie się skrócił, ale modele gubiły się przy atakach mocno zaciemnionych albo złożonych.
Ograniczenia i ryzyka
Badanie pokazało duży potencjał, ale modele językowe w bezpieczeństwie niosą też ryzyka:
- Fałszywe alarmy: model może źle odczytać log albo fragment kodu i zgłosić zagrożenie, którego nie ma.
- Koszty: przetwarzanie dużych zbiorów danych modelem językowym potrafi być drogie.
- Bezpieczeństwo samego rozwiązania: analiza z użyciem AI rodzi pytania o prywatność danych i o ataki wymierzone w same modele.
Co sprawdzić, zanim taki model trafi na produkcję, rozpisujemy w artykule Testy penetracyjne integracji LLM.
Przyszłość AI w cyberbezpieczeństwie
Mimo tych ograniczeń rozwój idzie szybko. Modele dostrajane pod konkretne zadania, własne modele bezpieczeństwa i uczenie adaptacyjne w czasie rzeczywistym mogą zmienić sposób, w jaki wykrywamy zagrożenia, analizujemy je i na nie reagujemy.
Jeśli AI pracuje już w Twoich systemach, ten obszar trzeba przetestować osobno – robimy to w ramach testów bezpieczeństwa integracji AI i LLM.
Pełne wyniki opisaliśmy w publikacji:
Im więcej AI w pracy zespołu bezpieczeństwa, tym więcej zależy od podziału ról: automat przerabia dane, człowiek podejmuje decyzję. Na tym stoi skuteczność obrony i jej precyzja.
🔐 Czujność, aktualna wiedza i AI używana z głową – w takiej kolejności.
