По данным исследования Стэнфордского университета, опубликованного в декабре 2019 года, скорость развития технологий ИИ опережает закон Мура, начиная с 2012 года, вследствие чего можно утверждать, что тест Тьюринга компьютер пройдёт уже в первой половине текущего десятилетия. Но что из себя представляет это новое явление, развивающееся с такой скоростью? Можем ли мы назвать современный искусственный интеллект тем, чем его обычно называют? И чем такая путаница в понимании этого явления может грозить среднему и крупному бизнесу? Об этом в своей авторской статье специально для NBJ размышляет Алексей Курских, руководитель направления Pre-sale по ИБ компании ARinteg.

Qui pro quo: искусственный интеллект

Чтобы понять, существует ли искусственный интеллект, нужно понять, что подразумевает под собой это словосочетание.

Согласно Словарю по кибернетике под редакцией академика В. М. Глушкова, «Искусственный интеллект (лат. Intellectus – разум, рассудок) – искусственная система, имитирующая решения человеком сложных задач в процессе его жизнедеятельности».

Можно взять другое определение из словаря фирмы IBM «Вычислительная техника и обработка данных», то есть со стороны производителя этой системы: «Artificial Intelligence – искусственный интеллект. Способность устройства выполнять функции, присущие человеческому интеллекту, такие как рассуждение, обучение, самоусовершенствование».

Суть, тем не менее, не меняется: в каждом из определений этого слова прослеживается ведущая функция этой системы – имитация интеллекта человека, то есть возможность полного замещения роботом мыслительной деятельности.

Если перевести взгляд с определения слова на ассортимент продукции, маркируемой «искусственным интеллектом», можно сделать вывод: у нас действительно много программ, которые умеют принимать решения на основе вводных данных – разговаривать, сочинять музыку и рисовать картины, отвечать в чатах и отражать компьютерные атаки, но можно ли действительно назвать все эти функции в совокупности «искусственным интеллектом»? Вот тут как раз вопрос, «породили ли мы разум, породив искусственный интеллект?»

Чтобы ответить на этот вопрос, стоит ответить на другой, более конкретный вопрос, составляющий основополагающий признак ИИ – может ли эта система полностью замещать функции, присущие человеческому интеллекту? И что же тогда подаётся под соусом того, что гордо называется «искусственный интеллект»?

Что преподносится под маркировкой «искусственный интеллект»?

Чтобы понять, что мы сегодня называем «искусственным интеллектом», рассмотрим 3 способа замещения интеллектуальных функций человека на примере информационной безопасности:

• автоматизированный способ реагирования на события ИБ,
• автоматический способ реагирования на события ИБ;
• искусственный интеллект.

Самый простой – автоматизированный. Практически все средства кибербезопасности начального уровня имеют в своём составе достаточное количество алгоритмов, которые умеют срабатывать по тем или иным событиям, но выбор реакции и решения остается за пользователем.

«Найден вирус, что делать?», «Не найдено устройство, что делать?», «Программа выполнила недопустимую операцию, что делать?» и другие похожие каждодневные ситуации приходится решать человеку.

Автоматические средства информационной безопасности, замещение принятия решения на основе событий или частично выполненного анализа посредством ИИ, подразумевает, что оператору предоставлены инструменты, которые не только умеют делать первичный анализ ситуации, но также реагировать на события по заранее внесенным настройкам, возможно даже с уведомлением по окончании операции. Простейший скрипт или макросы уже могут считаться средствами автоматического реагирования на события.

«Найден вирус, файл очищен, помещен в карантин», – типичная ситуация для автоматических средств информационной безопасности.

Если качество детектирования высокое, то автоматические средства безопасности могут существенно усилить позиции организации в борьбе с мировым киберзлом посредством высокой скорости реакции. Например, такие средства инфобезопасности, как EDR могут после обнаружения вредоносного кода или попытки проникновения автоматически отключать конечное оборудование, рабочие станции от сети и предоставить расследование инцидента человеку. На это уходит гораздо меньше времени, чем при ручном режиме обработки, и это может предотвратить внутреннюю эпидемию локальной сети организации. При таком же случае от автоматизированных средств ИБ (I тип) мы бы ждали реакцию специалиста и могли бы упустить ценное время.

Следующий, третий этап развития автоматизации средств информационной защиты предприятия – это «искусственный интеллект». Хотя по сути – это еще не искусственный разум, это просто такой тип автоматических средств реагирования, усложнённый нейронными сетями и средствами самообучения.

Искусственный интеллект в кибербезопасности позволяет быстро анализировать ситуацию, перебирая по алгоритмам большое количество данных, мгновенно и практически безошибочно применять готовые сценарии борьбы и отражения атак на основе статистических данных. Механизмы самообучения систем позволяют им адаптироваться к конкретной инфраструктуре конкретного предприятия, ну и, конечно, в автоматическом или полуавтоматическом режиме использовать best practice – передовой опыт.

Современный искусственный интеллект на практике – это программа, построенная всего на двух разделах математики – математической статистике и теории вероятностей. Просто программы стали сложнее, накопилось много статистической информации для моделирования, и ИИ из чисто теоретической, научной области переместился в повседневную прикладную жизнь. Но все ещё нельзя создать программу-ребёнка, которая за пару лет «дорастёт» до полноценного специалиста, хотя бы в узкой области.

Квалификация персонала и искусственный интеллект – что от чего отталкивается

Возьмём простой случай целенаправленной атаки на организацию. Нарушитель устанавливает программу для удалённого доступа на рабочий компьютер пользователя, штатного сотрудника, и далее пытается «забросить» в организацию вирусы, подстраиваясь под ИТ-среду, например, под существующий на ПК антивирус. После нескольких попыток ему это может удасться, и он закрепится в системе.

Как на такую атаку отреагирует обычный антивирус? Списком из 5–10 вирусов в лог-файле, файлом регистрации, которые удачно были задетектированы и пойманы. Далее, с точки зрения антивируса, атака прекращается. А так как нарушитель умён, эти атаки происходили в течение короткого времени, вряд ли сразу несколько в один день, иначе можно было бы обратить на себя внимание со стороны ИБ-специалиста. Поэтому тут с точки зрения антивируса атака завершена, причём завершена неудачно.

При наличии инструментов ИБ хотя бы с минимальными элементами расследований и специалиста по ИБ легко вычисляется, что родительский объект по отношению к этим вирусам – одна и та же программа, которая, к тому же, предназначена для удалённого доступа, что наводит на мысль, что она и стала «проводником» вируса.

Многим кажется, что если установить программу более сложную, чем простой антивирус, автоматизм устранения рисков вроде подобного инцидента будет обеспечен. Однако на практике получается иначе, хотя это кажется противоречием.

При упрощении системы процесс защиты ИТ-безопасности усложняется, в связи с чем повышаются требования к обслуживающему персоналу и управлению. Хотя, казалось бы, должно быть наоборот – искусственный интеллект ассоциируется с упрощением работы человека, а не усложнением.

На что обращать внимание при выборе системы информационной безопасности для предприятия?

При выборе продуктов для решения задач по информационной безопасности рассматривают уровень самих задач и уровень развития информационной безопасности у заказчика.

При покупке простой антивирусной защиты, которая относится к автоматизированным средствам защиты, требования к квалификации специалиста по ИБ гораздо ниже, чем при покупке и внедрении систем с искусственным интеллектом и многомерной аналитикой.

Отсюда вывод: обучать надо не только системы интеллектуальной помощи по ИБ, но и людей, причём делать это на постоянной основе, так как мир ИБ очень динамичен и не стоит не месте. Однако это правило часто не соблюдается.

Например, Honeypot, «ловушка» для хакеров, известная с конца 90-х годов, содержит очень большую долю ИИ. Эта система стала настолько модернизирована, что может создавать целые офисы и сегменты АСУ ТП, очень похожие на настоящие, которые служат только одной цели – заманивать преступников. Программа, популярная сейчас так же, как и 20 лет назад, но в ней разбираются немногие.

Но если искусственный интеллект не призван упрощать работу, то в чем же его основное преимущество? Искусственный интеллект эффективен, когда нужно с высокой скоростью и эффективностью управлять очень сложными процессами. На самом деле, если создавать системы класса XDR с управлением на основе автоматизации (наиболее раннего и упрощённого способа), а не автоматики или же искусственного интеллекта, то операторы под наплывом большого потока событий, несмотря на свою высокую квалификацию, не справятся с управлением. Поэтому речь в некотором роде идёт всё-таки об упрощении управления.

Таким образом, для использования средств искусственного интеллекта нужно понимать, что это не абсолютная панацея для упрощения действий. ИИ используется под конкретную структуру штата по информационной безопасности и с конкретной целью.

И не стоит забывать, что у кибернарушителей нашего спокойствия средства кибернападения тоже бывают автоматизированными, автоматическими, best-practice и ИИ.

В случае отсутствия опыта по ИБ лучше обратиться за консультацией к опытному системному интегратору, который сможет выбрать наиболее эффективное решение, учитывая исходные данные, цели и специфику вашей компании.

Алексей Курских, ARinteg

Материал также опубликован в печатной версии Национального банковского журнала №202 (июль-август 2021).