Durante la última década, los expertos en ciberseguridad del gobierno federal han argumentado que la confianza, o la falta de ella, era clave para desarrollar políticas de seguridad efectivas para los sistemas y datos de las agencias.

Pero hoy en día, los ciberdelincuentes y los piratas informáticos patrocinados por el Estado utilizan la inteligencia artificial para desarrollar y lanzar ciberataques de forma más rápida y eficiente. Los gobiernos y las empresas se enfrentan a presiones para adoptar defensas de ciberseguridad basadas en IA, junto con arquitecturas de seguridad que deleguen decisiones clave de seguridad en agentes de IA.

Jennifer Franks, directora del Centro para una Ciberseguridad Mejorada de la Oficina de Responsabilidad Gubernamental, dijo que las agencias federales estaban actualmente lidiando con cómo hacer ambas cosas.

«Tenemos que considerar un enfoque dos en uno», dijo Franks el jueves en la Cumbre del Sector Público Elástico presentada por FedScoop. «No es algo que debamos considerar como una herramienta que sea bueno tener, es una necesidad necesaria en este momento en un entorno para analizar realmente las mejores prácticas para anticipar realmente a los adversarios que podrían atacar su entorno».

Zero Trust: un conjunto de principios de seguridad con raíces en la ciberseguridad más antigua conceptos como “acceso con privilegios mínimos”, básicamente sostiene que los defensores deben tratar todo lo que hay en su red como un activo potencial comprometido. Por lo tanto, todo requiere una verificación constante de la identidad, el acceso y la autorización para protegerse de piratas informáticos, violaciones de datos y amenazas internas.

Pero los investigadores de amenazas informan que los piratas informáticos malintencionados han podido aprovechar la automatización y el escalamiento impulsados ​​por la IA para aumentar significativamente la velocidad de sus ataques, lo que hace cada vez más difícil para los operadores humanos en el lado defensivo mantenerse al día o tomar decisiones en tiempo real.

En el mismo evento, Mike Nichols, gerente general de soluciones de seguridad de Elastic, dijo que su compañía y otras firmas de investigación de amenazas descubrieron que las herramientas de inteligencia artificial han ayudado a reducir el tiempo que lleva ejecutar un ataque y obtener acceso a la red de una organización a alrededor de 11 minutos.

Otras métricas del año pasado apuntan a una barrera más baja para los piratas informáticos maliciosos, incluida una disminución del 80 al 90 % en el costo de desarrollar malware personalizado y un aumento del 42 % en la explotación de cero días antes de la divulgación pública.

Sostuvo que los defensores de la ciberseguridad necesitarán adoptar la IA para defenderse a velocidades similares, llegando incluso a decir «si no la estás usando, vas a estar comprometido… como si eso fuera una garantía en este momento».

Nichols dijo que a pesar de lo que puedan prometer los “proveedores falsos”, actualmente no existe ninguna tecnología o proceso que pueda proporcionar a una organización operaciones de ciberseguridad genuinas, autónomas y con agencia. Los operadores humanos aún pueden controlar las decisiones críticas tomadas por los agentes de IA mediante la planificación inicial.

«La conclusión es que estas cosas ejecutan los procesos existentes y les agregan algo de razonamiento», dijo. «Y entonces… hay que tener un proceso bien engrasado y un proceso documentado».

Chase Cunningham, autor y veterano de la ciberseguridad, que se ganó el apodo de «Dr. Zero Trust» por su defensa de estos principios, dijo a CyberScoop que la IA agente puede coexistir «absolutamente» dentro de una arquitectura de seguridad Zero Trust, siempre y cuando se trate a los agentes como cualquier otra identidad no humana en una empresa.

Dijo que la microsegmentación de la red, los controles estrictos de las cuentas y el registro continuo se alinean con los principios de Confianza Cero y limitarían el daño potencial que podría causar un agente de IA.

«Es simplemente otra entidad en la red que necesita ser conocida, verificada, limitada, monitoreada y gobernada explícitamente», dijo. «Si no sabes qué modelo es, a qué datos puede acceder, a qué sistemas puede llamar, qué acciones puede tomar y bajo qué condiciones puede hacer esas cosas, entonces has introducido ambigüedad en el entorno. Y la ambigüedad es exactamente lo que se supone que debe eliminar Zero Trust».

Pero Nichols dijo que los humanos siempre deberían estar informados cuando los agentes toman decisiones en su nombre, y dijo que los proveedores de IA tenían la misma responsabilidad de brindar más transparencia detrás de los productos que venden.

«Ya no se puede tener una caja negra, no se puede tener una IA que diga 'oye, lo arreglamos, no voy a explicar por qué es así'», dijo Nichols. “Por diseño, necesitas encontrar un proveedor que sea API abierto [and who can provide] explicabilidad, el trabajo que tiene que estar ahí”.