nástroje, ktoré dnes dokážu posudzovať bezpečnosť na úrovni skúseného seniora, súčasne chrlia programovací kód, teda pokyny, z ktorých sa skladajú programy. Problém je, že v takomto kóde môže byť chyba, ktorú bežný človek nemá šancu spoznať. Keď teda používateľ povie AI, čo má program robiť, a výsledok bez kontroly rovno spustí, síce ušetrí čas, no zároveň môže do svojho systému vpustiť bezpečnostnú dieru. A keď firmy takto vyrábajú softvér rýchlejšie, než ho stíhajú kontrolovať a opravovať, vzniká technologický dlh.
prečo stroj vytvára robotu
Podľa tohtoročnej správy spoločnosti Veracode, ktorá testovala viac ako sto modelov umelej inteligencie, AI dnes takmer vždy vytvorí kód, ktorý počítač dokáže spustiť. To však ešte neznamená, že je bezpečný. Ak zadanie neobsahuje výslovné bezpečnostné pokyny, približne 44 percent kódu neprejde bezpečnostnými testami. Priemerná úspešnosť zostáva na 56 percentách, prakticky takmer rovnako ako pred rokom.
Inými slovami, modely sa učia písať kód, ktorý funguje, nie však nevyhnutne kód, ktorý je bezpečný. A podľa tej istej správy už AI vytvára približne polovicu kódu, ktorý programátori odovzdávajú na ďalšie použitie. Ak teda zostáva chybovosť rovnaká, ale množstvo kódu prudko rastie, tak rastie aj množstvo potenciálnych bezpečnostných problémov.
Veracode, firma predávajúca nástroje na kontrolu bezpečnosti softvéru, má, prirodzene, na upozorňovaní na tento problém vlastný obchodný záujem. Rovnakým smerom však ukazuje aj rešerš Cloud Security Alliance: približne pätina vzoriek AI-generovaného kódu odkazuje na softvérové balíčky, ktoré vôbec neexistujú. AI ich vymyslela. A práve to môže byť príležitosť pre útočníkov, ktorí si takýto názov softvérového balíčka môžu zaregistrovať sami a vytvoriť pod ním škodlivý program.
nechýbajú ruky, chýbajú schopnosti
Podobný obraz kreslí prieskum ISC2, ktorý koncom minulého roka oslovil rekordných 16 029 bezpečnostných profesionálov. Až 88 percent z nich už zažilo aspoň jeden vážny bezpečnostný dôsledok, ktorého príčinou bol nedostatok zručností. Podiel organizácií s kritickými medzerami v zručnostiach stúpol zo 44 na 59 percent a na čele chýbajúcich znalostí stojí práve umelá inteligencia, pred bezpečnosťou cloudu či hodnotením rizík. Napriek obavám zo straty pracovných miest sú výsledky štúdie menej dramatické, než by sa mohlo zdať. Šéfka ISC2 Debra Taylor uviedla, že odborníci v kybernetickej bezpečnosti vnímajú AI ako menšiu hrozbu pre svoju prácu, než sa pôvodne očakávalo. Mnohí v nej, naopak, vidia nástroj, ktorý môže vytvoriť nové pracovné príležitosti. Sami ju pritom už začínajú používať. Až 28 percent opýtaných uviedlo, že AI zaradilo do svojej práce.
AI teda môže časť práce urobiť za nás. Stále však potrebuje človeka, ktorý vie presne povedať, čo od nej chce, a najmä overiť, či je výsledok správny a bezpečný.
kto podpíše rozhodnutie
Je tu aj tretí, menej technický dôvod. Umelá inteligencia, samozrejme, nevie prevziať právnu ani obchodnú zodpovednosť za svoje rozhodnutie. Ak model odporučí nasadiť službu s dierou, cez ktorú unikne databáza klientov, pred regulátorom sa nebude ospravedlňovať algoritmus. Zodpovednosť zostane na človeku, ktorý ho pustil do produkcie.
Rámec tomu dáva aj legislatíva. Novela zákona o kybernetickej bezpečnosti, ktorá prenáša do slovenského práva európsku smernicu NIS2, platí od 1. januára 2025 a rozširuje okruh regulovaných sektorov zo siedmich na osemnásť. Pribudli napríklad potravinárstvo, automobilový priemysel či verejná správa. Firmy musia riešiť bezpečnosť dodávateľského reťazca a hlásiť incidenty. Niekto musí tieto povinnosti nielen pochopiť, ale premeniť na skutočnú ochranu, nie na zložku v šanóne.
čo si z toho odniesť
Junior, ktorý dnes vstupuje do odboru, nebude so strojom súťažiť v rýchlosti písania kódu, pretože tú súťaž prehral skôr, než sa začala. Bude však potrebný tam, kde stroj končí. Pri čítaní cudzieho kódu s oprávneným podozrením, pri posudzovaní rizika v kontexte konkrétnej firmy, pri rozhovore s riaditeľom, ktorý potrebuje vedieť, čo smie podpísať. Odbor sa nezmenšuje, len sa z neho stáva remeslo pre tých, ktorí vedia jednoznačne povedať: ,,Toto tu nechajte a toto nie.“