BSI varnar för ny AI-teknik för sårbarhetsdetektering
Bundesamt für Sicherheit in der Informationstechnik (BSI) har gått igenom den nya AI-modellen ”Mythos” från Anthropic i detalj och varnar för betydande konsekvenser för cyberhotbilden och den nationella säkerheten. Tekniken markerar en viktig vändpunkt i cybersäkerhetslandskapet, eftersom den automatiserat spårar upp dolda mjukvarusårbarheter i spridda operativsystem och webbläsare.
Vad är AI-modellen Mythos?
Mythos är en artificiell intelligens-modell utvecklad av det amerikanska företaget Anthropic, specialiserad på att automatiserat upptäcka dolda mjukvarusårbarheter. Företaget uppgav att det med detta verktyg redan har hittat tusentals allvarliga sårbarheter – bland annat i varje mycket använt operativsystem och varje mycket använd webbläsare. Dessa upptäckter understryker teknikens praktiska kapacitet i verkliga miljöer.
Särskilt anmärkningsvärt är att Anthropic själva varnar för att sådana förmågor hos AI-verktyg, i takt med den snabba utvecklingen inom artificiell intelligens, ganska snart även kan komma att stå till buds för angripare på nätet. Det gör kontrollen och den begränsade tillgången till sådana verktyg till en central säkerhetsfråga.
Kontrollerad åtkomst genom tunga partner
Anthropic planerar att inte göra Mythos allmänt tillgänglig. I stället sker ett kontrollerat samarbete med utvalda stora teknikföretag och säkerhetsspecialister. Apple, Amazon och Microsoft hör till de samarbetspartner som får tillgång till Mythos för att identifiera och täppa till säkerhetsluckor i sin egen programvara.
Vid sidan av de stora teknikkoncernerna är ytterligare partner involverade i projektet: Linux-stiftelsen, IT-säkerhetsföretagen Crowdstrike och Palo Alto Networks samt nätverksspecialisten Cisco. Detta urval tyder på en strategi som bygger på etablerade och pålitliga aktörer inom säkerhetssektorn.
BSI:s perspektiv: nationell säkerhet i fokus
Omfattande omvärdering av sårbarhetslandskapet
BSI:s ordförande Claudia Plattner uttryckte oro över teknikens långtgående implikationer. BSI har visserligen hittills inte kunnat testa det nya verktyget själv, men har i personliga samtal med utvecklarna fått insyn i hur det fungerar. Myndigheten tar Anthropics tillkännagivanden på stort allvar och väntar sig ”omvälvningar i hanteringen av säkerhetsluckor och i sårbarhetslandskapet som helhet”.
Tänkt konsekvent till sitt slut skulle det på medellång sikt kanske inte längre finnas några okända klassiska mjukvarusårbarheter. Det skulle innebära en fundamental förskjutning av angreppsvektorerna och ett paradigmskifte med avseende på cyberhotbilden. Angripare skulle tvingas utveckla nya metoder och utnyttja andra svaga punkter.
Suveränitet och strategisk kontroll
BSI ställer dessutom frågan om, och i så fall hur länge, så kraftfulla verktyg kommer att vara tillgängliga på den fria marknaden eller överhuvudtaget för andra länder. Ur den frågan följer omedelbart överväganden om nationell och europeisk säkerhet samt teknisk suveränitet. Den som har kontroll över sådana mäktiga säkerhetsverktyg besitter också ett strategiskt övertag i cybersäkerhetslandskapet.
Det kritiska sammanhanget: varför sårbarheter är så farliga
Ingångar för cyberbrottslighet och spionage
Sårbarheter i programvara, hårdvara eller nätverk är ingångar för cyberangrepp från kriminella eller hackare som agerar på uppdrag av utländska underrättelsetjänster. Ju längre en sårbarhet är känd men inte åtgärdad, desto större är risken för företag, statliga inrättningar och privata användare att bli offer för datastöld eller utpressning efter att skadlig kod installerats.
Särskilt kritiska är så kallade nolldagssårbarheter, som ännu inte är kända för tillverkarna. Dessa används ofta som första angreppsmål av cyberbrottslingar och underrättelsetjänster, eftersom företag och myndigheter ännu inte kan vidta motåtgärder.
Historiskt exempel: WannaCry och NSA-luckan
Historien visar vilka dramatiska konsekvenser det får när sårbarheter inte åtgärdas i tid. År 2017 utnyttjade hackare en säkerhetslucka känd av den amerikanska underrättelsetjänsten NSA för att i stor skala infektera datorer med utpressningsprogrammet WannaCry. Sådana program krypterar hårddisken och kräver pengar för att frige data. Då drabbades bland annat brittiska sjukhus och Deutsche Bahns informationstavlor. NSA kritiserades för att inte ha låtit täppa till säkerhetsluckan trots att faran var uppenbar.
Även tyska underrättelsetjänster och utredare använder dock sårbarheter för vissa ändamål – exempelvis för att kartlägga terrornätverk eller grov brottslighet, eller i farosituationer. Detta åskådliggör den komplexa avvägningen mellan säkerhet och vissa utredningsbefogenheter.
Praktisk relevans för säkerhetsansvariga
Patchning och regelbundna uppdateringar som kritisk praxis
Av situationen följer direkt för företag och operatörer av kritisk infrastruktur: installation av säkerhetsuppdateringar och systematisk patchning måste ha högsta prioritet. Med moderna AI-verktyg som automatiserat upptäcker sårbarheter blir dessa kända tidigare och i större antal. Företag måste påskynda och optimera sina uppdateringsprocesser i motsvarande grad.
Särskilt för dem som driver system med högt skyddsbehov gäller: proaktiv sårbarhetsanalys och regelbundna säkerhetsrevisioner blir än mer oumbärliga. Detta gäller även specialiserade säkerhetsinrättningar som skyddar kritiska tillgångar – exempelvis banker som förvarar kontanter och värdepapper kan ha nytta av kompletterande säkerhetsåtgärder för att vara skyddade även mot tekniska angrepp.
Utblick och strategiska implikationer
Anthropics utveckling av Mythos markerar en ny milstolpe inom cybersäkerhetstekniken. Med kontrollerad åtkomst till tekniken försöker Anthropic upprätthålla balansen mellan innovation och säkerhet – en balans som blir svår att hålla när liknande förmågor uppstår även i andra AI-system.
BSI kommer att fortsätta följa utvecklingen noga och hålla kontakt med Anthropic. Samtidigt kommer nationella och europeiska myndigheter att behöva ta ställning till hur sådan strategiskt viktig teknik kan regleras och kontrolleras – i Tysklands och Europas säkerhets- och suveränitetsintresse.
För företag och organisationer innebär detta: tiden att ställa om till moderna hotbilder är nu. AI-stödd sårbarhetsdetektering kommer att bli verklighet – och den som inte är väl förberedd i dag kommer att hamna under desto större press i morgon.
