Fortinet: ‘Artificial intelligence is een mes dat aan twee kanten snijdt’

8 april 2024 15:21

• Persbericht

Organisaties hebben te maken met nieuwe beveiligingsuitdagingen door het toenemende gebruik van artificial intelligence, en generatieve AI (GenAI) in het bijzonder. GenAI genereert bijvoorbeeld teksten en e-mails, maar ook afbeeldingen, video’s en audio. ChatGPT en Bard zijn een vorm van generatieve AI, en maken gebruik van het  ‘large language model’ (LLM).  Artificial intelligence biedt heel veel voordelen, maar brengt ook problemen met zich mee. 

Wat cybersecurity betreft is AI een mes dat aan twee kanten snijdt. Enerzijds heeft deze technologie de drempel voor beginnende cybercriminelen verlaagd. Die kunnen nu ook zonder programmeerkennis malware produceren. De meer gevorderde hackers hebben de beschikking over mogelijkheden waarmee cyberaanvallen sneller, efficiënter en schadelijker worden. Anderzijds kunnen security-professionals AI inzetten voor de ontwikkeling van slimme automatiserings- en beveiligingsstrategieën. Deze technologie kan in potentie voor een gelijk speelveld zorgen, ondanks de voortdurende bedreiging van aanvallen die gebruik maken van AI.

Slimme, op maat gemaakte aanvallen

Een cybercrimineel in-de-dop heeft dankzij GenAI heeft geen programmeerkennis meer nodig om malware te produceren. AI-tools op basis van Language Models (LLM’s) kunnen die taak van hen overnemen.  GenAI kan ook bijdragen aan listigere spear phishing-aanvallen. Dankzij deze techniek wordt een einde gemaakt aan mailtjes die wemelen van de grammaticale en spelfouten. Daar zijn de meeste werknemers inmiddels wel beducht op. Als cybercriminelen er nu in slagen om toegang te krijgen tot het adresboek van een slachtoffer, kunnen ze de inhoud van al diens e-mailberichten raadplegen. Vervolgens kunnen ze berichten opstellen die het typische woordgebruik en de standaardonderwerpen van de persoon in kwestie exact kopieert. De ontvanger zal dus geen onraad ruiken, en dan is de kans groot dat hij ingaat op het verzoek van de hacker.

Criminele deepfakes

De meeste organisaties trainen hun werknemers op het spotten van vormen van business email compromise (BEC). Dit zijn berichten die hen verzoeken om de normale processen te omzeilen en bijvoorbeeld financiële transacties te doen naar derden. De bedoeling is dat werknemers vervolgens telefonisch of via een videochat contact opnemen met de persoon in kwestie om zowel de afzender als het verzoek te verifiëren. Dat klinkt heel veilig. Maar het probleem is dat cybercriminelen deepfakes gebruiken, oftewel door AI gegenereerde kopieën van de stem en fysieke verschijning van mensen. Deepfake techniek zorgt er in dit geval voordat de validatie van een échte financiële opdracht bemoeilijkt wordt. Deepfakes worden vaak gebruikt om social engineering-aanvallen uit te voeren. Op deze manier  ondermijnen ze het vertrouwen in digitale technologie en bedreigen ze de samenleving.

Best practices voor het gebruik van AI

Veel organisaties maken met de nodige voorzorg gebruik van GenAI. Het probleem is dat werknemers vaak de reden voor dit voorzichtige tempo niet begrijpen of geen oog hebben voor de digitale vangrails die de IT-afdeling aan het implementeren is. Werknemers beginnen eraan gewend te raken om GenAI in hun privéleven te gebruiken en gaan er op het werk op eigen houtje mee experimenteren. GenAI is daarmee uitgegroeid tot de zoveelste vorm van schaduw-IT waarop CISO’s en CIO’s beducht moeten zijn.

Het is zonder meer een goede zaak om op zoek te gaan naar manieren om voordelen uit AI te halen. Maar dat vraagt wel om een doordachte aanpak. Probeer voor de implementatie van GenAI gebruik te maken van de volgende opties:

• Praat met je GenAI-leverancier om toepassingen op maat te ontwikkelen met de informatiebeveiliging in het achterhoofd. Kijk aandachtig naar de privacy- en beveiligingsinstellingen. Kun je voorkomen dat je data wordt opgeslagen? Is het mogelijk om query’s uit te voeren op basis van geanonimiseerde data?
• Als je gebruikmaakt van applicaties of SaaS-oplossingen waarin GenAI is geïntegreerd, moet je de leverancier daarvan dezelfde vragen stellen. Ga na wat die doet om je input en output te beschermen. Best practices zijn onder meer:
  • Hanteer strenge maatregelen voor toegangsbeheer en beperkt het gebruik van specifieke datasets tot bevoegde gebruikers.
  • Maak gebruik van technieken die de privacy bevorderen. Voorbeelden zijn data obfuscation (het toevoegen van ‘ruis’ aan data of het verwijderen van herleidbare informatie oftewel anonimisering), gegevensencryptie (homomorfische encryptie of multiparty computation), federated/gedistribueerde gegevensanalyse van op een centrale locatie opgeslagen data (zodat processors de inhoud niet te zien krijgen) en tools voor data accountability (door de gebruiker definieerbare controlemechanismen).
  • Kijk met kritische ogen naar het datavolume. Hoe meer data je aanlevert, hoe groter de kans op een datalek.
  • Bied de gebruikers van het model training in best practices, compliance en bedreigingen.

Artificial intelligence spoort op alle technologische fronten innovatie aan. Het is aan organisaties om te beslissen of ze daar wel of niet gebruik van maken. Hoe de beslissing ook uitvalt, realiseer je dat AI een mes is dat aan twee kanten snijdt. Naast alle voordelen zorgt AI ook voor een toename van cybergevaren, waar je maar beter op voorbereid kan zijn.

Meer weten over AI en cybersecurity? Kijk hier voor meer informatie.

Interessant artikel? Deel het: