Gdje umjetna inteligencija stvarno pomaže u cyber sigurnosti
Umjetna inteligencija u cyber sigurnosti često se prikazuje kroz dvije krajnosti. Jedni je predstavljaju kao rješenje koje će samostalno otkrivati napade, analizirati incidente i zamijeniti dio sigurnosnih timova. Drugi joj pristupaju s velikim nepovjerenjem i vide je uglavnom kao izvor halucinacija, pogrešnih zaključaka i lažnog osjećaja sigurnosti.
Stvarnost je manje dramatična, ali istodobno puno zanimljivija.
Najveća vrijednost umjetne inteligencije u cyber sigurnosti nije u preuzimanju odgovornosti od čovjeka. Korisna je kada skraćuje vrijeme potrebno za obradu podataka, pomaže pri analizi složenog koda, povezuje tehničke informacije i olakšava rutinske poslove. Stručnjaku tako ostaje više vremena za procjenu rizika, razumijevanje konteksta i donošenje odluka.
To je posebno vidljivo u sigurnosnim operativnim centrima. SOC timovi svakodnevno obrađuju velik broj upozorenja, logova i događaja. Većina tih podataka nema jednaku važnost. Dio upozorenja su lažno pozitivni rezultati, dio su ponavljajući događaji, a samo manji broj zahtijeva ozbiljniju istragu.
AI može pomoći u grupiranju povezanih događaja, prepoznavanju obrazaca i određivanju prioriteta. Može povezati prijavu neobične autentikacije, pokretanje sumnjivog procesa i mrežnu komunikaciju prema neuobičajenom odredištu. Analitičar tako dobiva početni kontekst umjesto nekoliko nepovezanih upozorenja.
To ne znači da model zna što se stvarno dogodilo. On može predložiti da su događaji povezani, ali analitičar i dalje mora razumjeti mrežnu arhitekturu, ponašanje korisnika, konfiguraciju sustava i poslovnu važnost pogođenog uređaja. Vrijednost je u bržem dolasku do hipoteze koju zatim treba provjeriti.
Slična korist postoji kod analize logova. Ručno pregledavanje velikih količina zapisa brzo postaje neučinkovito. AI može sažeti slijed događaja, izdvojiti neuobičajene obrasce i objasniti značenje pojedinih zapisa. Posebno može pomoći kada analitičar radi s nepoznatim izvorom podataka ili sustavom koji rijetko susreće.
Model može objasniti značenje Windows događaja, Linux audit zapisa, web-poslužiteljskog loga ili zapisa iz cloud okruženja. Može predložiti koje vremenske oznake, procese, korisničke račune ili mrežne adrese treba dodatno provjeriti.
Takva pomoć ne smije zamijeniti provjeru u izvornim podacima. Model može pogrešno protumačiti zapis, zanemariti važan detalj ili povezati događaje koji nemaju isti uzrok. Ipak, kao početna analitička pomoć može bitno ubrzati rad.
Pisanje i provjera detekcijskih pravila
Drugo važno područje je izrada detekcijskih pravila. Sigma, YARA, KQL, SPL i slični jezici traže razumijevanje izvora podataka, sintakse i ponašanja koje se pokušava otkriti.
AI može brzo predložiti početnu verziju pravila, objasniti njegove dijelove i prilagoditi ga drugom formatu. Postojeće Sigma pravilo može pretvoriti u KQL upit, predložiti YARA pravilo za određene karakteristike datoteke ili pomoći u izradi upita za pronalaženje sumnjivog PowerShell ponašanja.
To može znatno ubrzati posao, posebno kada treba napraviti prvi nacrt. Generirano pravilo ipak nije gotovo rješenje. Mora se testirati na stvarnim logovima, provjeriti proizvodi li lažno pozitivne rezultate i prilagoditi konkretnom okruženju.
Pravilo koje izgleda uvjerljivo može koristiti polja koja ne postoje u lokalnom sustavu, pretpostaviti pogrešnu strukturu logova ili označiti uobičajenu administratorsku aktivnost kao napad. AI ovdje ubrzava pisanje, ali validacija ostaje stručni posao.
Istraživanje ranjivosti i analiza koda
Razvoj naprednijih modela pokazuje da se AI sve ozbiljnije približava radu koji je donedavno zahtijevao vrlo iskusne sigurnosne istraživače.
OpenAI je kod modela GPT-5.6 Sol posebno istaknuo sposobnosti u kibernetičkoj sigurnosti, istraživanju ranjivosti, analizi koda i razvoju zakrpa. Model je namijenjen složenijim i dugotrajnijim zadacima, pri kojima mora planirati, koristiti alate, analizirati rezultate i mijenjati pristup tijekom rada.
Više o modelu dostupno je na stranici: https://openai.com/hr-HR/index/previewing-gpt-5-6-sol/
Sličan smjer vidi se kod Anthropicova modela Mythos. Mythos je namijenjen zahtjevnim koderskim i sigurnosnim zadacima, uključujući pronalaženje i analizu softverskih ranjivosti. Kroz Project Glasswing korišten je za pregled stvarnih softverskih sustava i pronalaženje sigurnosnih slabosti.
Više o Mythosu: https://www.anthropic.com/claude/mythos
Više o projektu Glasswing: https://www.anthropic.com/project/glasswing
Ovi modeli pokazuju gdje se nalazi jedna od najvećih praktičnih vrijednosti AI-a za cyber sigurnost. Velike baze koda sadrže milijune linija, složene ovisnosti, stare module i rubne slučajeve koje ljudski timovi teško mogu potpuno pregledati. AI može neprekidno analizirati funkcije, pratiti tok podataka, tražiti nesigurne obrasce i predlagati dijelove koda koje treba dodatno pregledati.
To ne znači da će model samostalno zamijeniti sigurnosni pregled. Pronalaženje sumnjivog dijela koda nije isto što i potvrđivanje iskoristive ranjivosti. Potrebno je razumjeti kontekst, konfiguraciju, ulazne podatke, granice povjerenja i stvarnu mogućnost iskorištavanja.
Ipak, model koji može pregledati velik broj repozitorija i izdvojiti mali broj potencijalno ozbiljnih problema daje sigurnosnim timovima veliku prednost. Umjesto da ručno traže problem u milijunima linija koda, stručnjaci mogu usmjeriti pažnju na rezultate s većom vjerojatnošću stvarne ranjivosti.
Obrana i napad koriste iste sposobnosti
GPT-5.6 Sol i Mythos pokazuju i osnovni problem primjene AI-a u cyber sigurnosti. Sposobnost pronalaženja i razumijevanja ranjivosti korisna je obrambenim timovima, ali može koristiti i napadačima.
Model koji može pronaći nesigurnu obradu memorije može pomoći razvojnom timu da je popravi. Isti model može pomoći napadaču da razumije kako se pogreška može iskoristiti. Model koji može analizirati autentikacijski mehanizam može predložiti sigurniju implementaciju, ali može pomoći i pri traženju načina za njegovo zaobilaženje.
To je razlog zbog kojeg se najnapredniji sigurnosni modeli ne objavljuju uvijek bez ograničenja. Ograničavanje pristupa nije savršeno rješenje, ali postupno uvođenje daje sigurnosnoj zajednici vrijeme da razumije mogućnosti, pripremi obrambene procese i izgradi bolje mehanizme nadzora.
Najvažnija promjena nije u tome što će AI stvoriti potpuno nove vrste ranjivosti. Veći problem je što može ubrzati pronalaženje i iskorištavanje postojećih slabosti. Vrijeme između objave ranjivosti i početka masovnog iskorištavanja može se dodatno skratiti.
To znači da će organizacije morati brže identificirati izložene sustave, određivati prioritete i primjenjivati zakrpe. AI će pomagati objema stranama, a prednost će imati ona koja ga bolje uklopi u svoj proces.
Upravljanje ranjivostima
Organizacije često imaju velik broj evidentiranih ranjivosti, dok su resursi za sanaciju ograničeni. Sam CVSS rezultat nije dovoljan za određivanje prioriteta. Potrebno je uzeti u obzir izloženost sustava, vrijednost imovine, dostupnost exploita, postojeće sigurnosne kontrole i poslovni kontekst.
AI može pomoći u sažimanju tehničkog opisa ranjivosti i pripremi početne procjene. Može povezati CVE zapis s vrstom sustava, dostupnim dokazima o iskorištavanju i preporučenim koracima za sanaciju.
Posebno je koristan kada se poveže s internim podacima o imovini. Ako model zna da se ranjivost nalazi na javno dostupnom poslužitelju koji podržava kritičnu poslovnu funkciju, može joj dati viši prioritet od ranjivosti s većim CVSS rezultatom na izoliranom testnom sustavu.
Konačna odluka mora ostati u rukama ljudi koji razumiju infrastrukturu i poslovne posljedice. AI može ubrzati obradu informacija, ali nema potpunu sliku o organizaciji ako mu se ona izričito ne osigura.
Incidentni odgovor
Tijekom incidenta AI može biti posebno koristan za organizaciju informacija. Incidenti često uključuju velik broj artefakata, zapisa, vremenskih oznaka, uređaja i korisničkih računa.
Model može pomoći u izradi početne vremenske crte, povezati događaje i pripremiti nacrt tehničkog izvještaja. Može izdvojiti koje su naredbe pokrenute, kada je došlo do promjene privilegija, prema kojim adresama je ostvarena komunikacija i koji su sustavi mogli biti pogođeni.
To smanjuje administrativno opterećenje tima. Umjesto da stručnjaci troše velik dio vremena na prepisivanje podataka u izvještaj, mogu se više baviti analizom uzroka, opsega i posljedica.
Izvještaj i dalje mora biti provjeren. Pogrešno određena vremenska crta ili izostavljen događaj mogu promijeniti interpretaciju cijelog incidenta. U forenzičkom, pravnom ili regulatornom kontekstu rezultat modela ne može se koristiti kao dokaz bez provjere izvornog materijala.
Analiza zlonamjernog softvera
AI može pomoći i pri analizi zlonamjernog softvera. Može objasniti funkciju dijela dekompiliranog koda, prepoznati poznate obrasce, predložiti značenje Windows API poziva i pomoći pri pisanju skripti za izdvajanje konfiguracije ili indikatora kompromitacije.
Kod velikih ili kompleksnih uzoraka može sažeti ponašanje pojedinih funkcija i pomoći analitičaru da odredi gdje treba nastaviti ručnu analizu. Tako se smanjuje vrijeme potrošeno na ponavljajuće dijelove reverznog inženjerstva.
No model nema potpunu svijest o stanju procesa, memoriji, anti-debugging tehnikama i ponašanju uzorka u stvarnom okruženju. Njegovo objašnjenje dekompiliranog koda može biti uvjerljivo, ali pogrešno. Dinamička analiza, provjera u debuggeru i razumijevanje operativnog sustava ostaju nužni.
Lakši pristup znanju
Sigurnosni stručnjaci često rade s tehnologijama koje ne koriste svaki dan. AI može poslužiti kao interaktivna dokumentacija. Može objasniti značenje parametra, usporediti tehnike napada, predložiti dodatne provjere ili pomoći pri razumijevanju nepoznatog protokola.
Za početnike to može biti vrlo korisno. Dobro postavljeno pitanje može ubrzati razumijevanje i pomoći pri povezivanju teorije s praksom.
Problem nastaje kada se odgovor prihvati bez provjere. AI tada više ne služi učenju, nego prikriva nedostatak znanja. Korisnik može dobiti rezultat koji izgleda stručno, ali ne zna procijeniti je li točan.
Najbolji način korištenja je tražiti od modela objašnjenje, zatim provjeriti tvrdnje u dokumentaciji, alatima i stvarnim podacima. Tako AI pomaže učenju umjesto da ga zamjenjuje.
Dokumentacija i komunikacija
Jedna od manje atraktivnih, ali vrlo korisnih primjena je izrada dokumentacije. Sigurnosni timovi moraju pisati izvještaje, preporuke, procedure, sažetke i objašnjenja za upravu.
AI može pomoći u strukturiranju teksta, prilagodbi tehničkog sadržaja različitoj publici i standardizaciji izvještavanja. Tehnički nalaz može pretvoriti u razumljiv sažetak poslovnog rizika, dok se detalji za administratore mogu zadržati u tehničkom prilogu.
Alat može pomoći u pisanju, ali ne može preuzeti odgovornost za sadržaj. Kod regulatornih, pravnih i forenzičkih dokumenata svaki navod, datum, zaključak i preporuka moraju biti provjereni.
Podaci se ne smiju slati bez kontrole
Korištenje AI modela u sigurnosnom radu otvara važno pitanje zaštite podataka. Logovi, izvorni kod, konfiguracije, rezultati skeniranja i izvještaji o incidentima često sadrže povjerljive informacije.
Prije korištenja vanjskog modela organizacija mora znati gdje se podaci obrađuju, koliko se čuvaju, koriste li se za treniranje, tko im može pristupiti i postoje li odgovarajući ugovorni i tehnički mehanizmi zaštite.
Nije prihvatljivo kopirati cijeli incidentni izvještaj, interni izvorni kod ili zapis s osobnim podacima u javni AI servis samo zato što je to praktično. Za takve scenarije potrebni su odobreni poslovni računi, privatne implementacije, lokalni modeli ili prethodno uklanjanje osjetljivih podataka.
AI kao pojačanje, ne zamjena
Najveća prednost umjetne inteligencije u cyber sigurnosti nije zamjena stručnjaka. Ona povećava učinak stručnjaka koji zna što radi.
Iskusan analitičar može koristiti AI za ubrzavanje dijela posla i prepoznati kada odgovor nema smisla. Početnik bez dovoljno znanja može dobiti vrlo uvjerljiv, ali pogrešan smjer. Razlika nije samo u kvaliteti modela, nego i u sposobnosti korisnika da provjeri rezultat.
Zato uspješna primjena AI-a traži jasna pravila. Treba definirati koji se podaci smiju obrađivati, gdje je obvezna ljudska provjera, koji se zadaci mogu automatizirati i tko odgovara za konačnu odluku.
Umjetna inteligencija može ubrzati trijažu, analizu logova, izradu detekcija, pregled koda, istraživanje ranjivosti, incidentno izvještavanje, analizu zlonamjernog softvera i pristup znanju. To su stvarne i korisne prednosti.
GPT-5.6 Sol i Mythos pokazuju da modeli više nisu samo alati za pisanje sažetaka i jednostavnih skripti. Postaju sposobni sudjelovati u ozbiljnom istraživanju ranjivosti i složenim sigurnosnim zadacima. Time raste njihova obrambena vrijednost, ali i potreba za pažljivom kontrolom pristupa i upotrebe.
AI u cyber sigurnosti najbolje radi kao pomoćnik koji može predložiti, pretražiti, povezati, sažeti i ubrzati. Konačna procjena i odgovornost moraju ostati na čovjeku.
Dobro korišten AI ne smanjuje potrebu za stručnim znanjem. Što su modeli sposobniji, to je stručna provjera njihovih rezultata važnija.