La inteligencia artificial está usándose ya por numerosos ciberdelincuentes como un arma formidable que no requiere de conocimientos demasiado avanzados para producir efectos devastadores. Y también es una herramienta útil para los que se dedican a proteger a las empresas e instituciones… pero no en la misma medida.
Así lo cree Dave Chismon, director de tecnología de arquitectura del Centro Nacional de Ciberseguridad de Reino Unido (NCSC). El responsable ha comentado en un post que los defensores todavía no pueden usar la IA con la misma libertad que los atacantes y ese desequilibrio supondrá que las defensas automatizadas van a pasarlas canutas para mantenerse al día.
Según Chismon, entre estas dificultades están cosas como si se puede pedir un presupuesto para reemplazar un sistema obsoleto o una inversión más segura, si se puede conseguir que el departamento de TI dedique más tiempo a la aplicación de parches o si es posible que se apruebe una solicitud de cambio para incluir reglas de firewall.
Es decir, la burocracia lastra la velocidad para conseguir una defensa correcta y contemporánea. «En otras palabras, los defensores se ven más limitados por sus políticas organizativas, mientras que la mayoría de los atacantes se ven limitados por obstáculos técnicos. La razón de esta diferencia se hace evidente al comparar los objetivos principales de atacantes y defensores», explica el alto mando.
«Para los atacantes, su objetivo principal es cometer ciberdelitos, y el éxito se traduce en ganancias para su empleador. Ya sea robando dinero a organizaciones, extorsionando a víctimas o extrayendo información, los ciberdelitos son su razón de ser», aclara. «Pero para los defensores, su misión es ayudar a su organización a evitar pérdidas. La misión de su empleador no es la ciberdefensa; dependerá de la actividad que realice dicha organización», señala.
Chismon pone de manifiesto que la ciberdefensa es un coste inherente a la actividad empresarial que debe evaluarse rigurosamente para que no perjudique a las prioridades contrapuestas de la organización en cuestión.
«Algunos miembros del consejo directivo pueden ver poca diferencia entre un ataque DoS que paraliza los sistemas informáticos de la organización y una acción mal implementada por el equipo de ciberseguridad que produce el mismo efecto», expone.
Sin embargo, el jefe de arquitectura del cibercomando británico ve luz al final del túnel. Cree que para que los defensores saquen un mejor provecho de la IA hay varias cosas que se pueden cambiar.
Actualmente, la IA puede ayudar especialmente en tareas como detectar vulnerabilidades, analizar sistemas y gestionar grandes cantidades de información. La idea de Chismon es que la tecnología se encargue principalmente de detectar y analizar problemas, mientras que las personas toman las decisiones y ejecutan las acciones. Cuando la IA interviene directamente sobre los sistemas, su actuación debe estar limitada y controlada.
Para decidir qué tareas hay que automatizarse se deberían valorar cinco aspectos: la potencia de la acción, es decir, cuánto puede modificar la IA; su alcance; la importancia de los sistemas afectados; la confianza que existe en que la acción será segura; y la facilidad para recuperar el sistema si algo sale mal. Cuanto menor sea el riesgo en estos aspectos, más adecuada será una tarea para la automatización, según el responsable del NCSC.
Otras advertencias similares
No es la primera vez que un alto cargo hace una afirmación similar. De hecho, la alianza de inteligencia Five Eyes, de la que forma parte el GHQC (organismo al que pertenece el NCSC), advirtió recientemente de que la IA de vanguardia podría transformar las ciberoperaciones ofensivas y defensivas en apenas meses, en lugar de en años.
En otro bloque, el máximo responsable de inteligencia del Partido Comunista Chino expresó una preocupación similar durante el Consejo de Estabilidad Financiera del G20.
El aviso de Chismon se da poco después de que modelos de Google, Anthropic, OpenAI y Meta lograron infiltrarse en sistemas reales durante evaluaciones de seguridad, usando métodos básicos, como la reutilización de credenciales expuestas.
Deja una respuesta