Britanske sigurnosne službe upozorile su da bi Ujedinjeno Kraljevstvo u narednim godinama moglo biti izloženo dosad nezabilježenom porastu kibernetičkih incidenata, a glavna nova prijetnja dolazi iz spoja postojeće ranjivosti sistema i sve šire upotrebe umjetne inteligencije. Nacionalni centar za kibernetičku sigurnost, koji djeluje u okviru obavještajne agencije GCHQ, poručuje da napadači više ne moraju razvijati potpuno nove metode da bi ostvarili veći učinak; dovoljno je da ubrzaju i prošire ono što već znaju raditi.
U najnovijoj godišnjoj procjeni NCSC navodi da umjetna inteligencija već mijenja dinamiku napada jer olakšava otkrivanje slabih tačaka, njihovo iskorištavanje i organizovanje operacija u razmjerama koje su ranije zahtijevale više vremena, ljudi i resursa. Prema toj procjeni, do 2028. godine AI bi mogla postati uobičajen alat u napadima na kritičnu nacionalnu infrastrukturu, što britanske institucije posmatraju kao ozbiljan sigurnosni izazov.
Posebno mjesto u izvještaju zauzima Kina, koju britanske sigurnosne službe opisuju kao najsloženiju i najuporniju kibernetičku prijetnju s kojom se zemlja suočava. Procjena nije ograničena samo na krađu podataka, nego obuhvata i mogućnost ometanja usluga, političko i obavještajno djelovanje, kao i šire posljedice po javne sisteme i poslovni sektor. Upozorenje dolazi u trenutku kada digitalna sigurnost postaje presudna za rad institucija, kompanija i svakodnevni život stanovništva.
Kako umjetna inteligencija mijenja napadački model
Jedna od ključnih poruka izvještaja jeste da umjetna inteligencija ne mora stvoriti novu vrstu napada da bi promijenila sigurnosnu sliku. Mnogo važnije je to što može ubrzati već poznate metode i učiniti ih dostupnijima većem broju napadača. Automatizacija pomaže u prepoznavanju ranjivosti, procjeni meta i izvođenju napada u većem obimu nego ranije. Upravo zbog toga NCSC govori o svojevrsnoj industrijalizaciji kibernetičkih napada.
To znači da se prijetnja ne ogleda samo u sofisticiranim operacijama koje vode visoko organizirane grupe ili države, nego i u mogućnosti da se postojeće slabosti masovno iskorištavaju uz pomoć tehnologije koja smanjuje vrijeme potrebno za pripremu napada. U praksi, napadači mogu brže prolaziti kroz veliki broj sistema, pronalaziti propuste i koristiti ih prije nego što organizacije stignu reagovati.
Prema britanskim službama, posebno su ugrožene organizacije koje su godinama odgađale ulaganja u sigurnost svojih digitalnih sistema. Problem nije samo u krađi osjetljivih podataka, već i u prekidu servisa čiji zastoj može imati posljedice daleko šire od jedne firme ili institucije. Kad je riječ o električnoj energiji, snabdijevanju hranom, logistici ili drugim javnim funkcijama, kvar ili upad u sistem može brzo prerasti iz tehničkog problema u društveni.
Takvi podaci daju konkretnu težinu upozorenjima britanskih stručnjaka. Oni ukazuju da prijetnja nije teorijska, nego već mjerljiva kroz broj prijava i težinu incidenata kojima se centar bavi. U tom smislu izvještaj ne govori samo o budućim rizicima, nego i o pritisku koji je već prisutan u digitalnom prostoru zemlje.
Rizik za infrastrukturu, kompanije i građane
Izvršni direktor NCSC-a Richard Horne upozorio je da bi u narednim mjesecima moglo doći do nezabilježenog porasta broja kibernetičkih incidenata, ali je istovremeno naglasio da uzrok nije u tome što je umjetna inteligencija izmislila potpuno nove načine napada. Njegova poruka bila je drugačija: dugogodišnje tolerisanje ranjivosti sada dolazi na naplatu, jer se iste slabosti mogu otkrivati i koristiti znatno brže nego ranije.
„U narednim mjesecima suočavamo se sa stvarnom mogućnošću nezabilježenog porasta broja kibernetičkih incidenata. No, moramo jasno reći da razlog tome nije to što je umjetna inteligencija izmislila nove načine napada na nas, već činjenica da se ranjivosti koje smo predugo tolerisali sada mogu otkrivati i iskorištavati u razmjerama koje su nekada bile nezamislive.“ — Richard Horne, izvršni direktor NCSC-a
Horne je tokom govora održanog u utorak posebno naglasio da posljedice neodgovornog odnosa prema sigurnosti ne bi osjetile samo tehnološke ekipe. Na udaru bi mogli biti rukovodioci, zaposleni, investitori, kupci i dobavljači, ali i šira javnost koja zavisi od neprekinutog rada sistema. U njegovom upozorenju sigurnost više nije interno tehničko pitanje, nego dio upravljačke odgovornosti.
Kao ilustraciju mogućih posljedica naveo je scenarije u kojima bi napadi mogli poremetiti snabdijevanje hranom, električnom energijom i poslovanje kompanija. Spomenuo je i mogućnost praznih polica u supermarketima, prekida rada važnih usluga i propadanja preduzeća. Riječ je o upozorenju na ono što bi moglo uslijediti ako se postojeće slabosti ne uzmu ozbiljno, a ne o tvrdnji da će se ti scenariji nužno dogoditi.
Kina, države i šira slika digitalnog sukoba
Velik dio britanske procjene posvećen je djelovanju stranih država, a među njima se najčešće izdvaja Kina. NCSC je opisuje kao najsofisticiraniju i najtrajniju kibernetičku prijetnju s kojom se Ujedinjeno Kraljevstvo suočava. U izvještaju se navodi da Kina raspolaže naprednim kapacitetima za prikupljanje velikih količina informacija iz Britanije i drugih država, što britanske službe vide kao dio šireg državnog djelovanja u digitalnom prostoru.
Procjena pritom ne svodi prijetnju samo na klasičnu špijunažu. U pitanju su i operacije miješanja, objavljivanje ukradenih informacija, transnacionalna represija i pribavljanje osjetljivih ekonomskih podataka. U određenim okolnostima takve sposobnosti mogu biti povezane i s operacijama koje imaju smrtonosne posljedice, a izvještaj upozorava i na mogućnost ometanja ili uništavanja imovine i usluga.
Pored Kine, u izvještaju se spominje i očekivanje da će Rusija i druge države do 2028. godine vrlo vjerovatno rutinski koristiti umjetnu inteligenciju u kibernetičkim operacijama radi ostvarivanja geopolitičkih ciljeva. Time se kibernetička sigurnost sve otvorenije povezuje s nacionalnom bezbjednošću, međunarodnim odnosima i borbom za stratešku prednost.
Jarvis je ocijenio da godišnji izvještaj NCSC-a potvrđuje kako kibernetičke prijetnje postaju sve sofisticiranije, ali i da država pokušava odgovoriti alatima istog tehnološkog doba. Na jednoj strani stoji napadačka upotreba umjetne inteligencije, a na drugoj nastojanje da se njome ojača odbrana. To, međutim, ne mijenja suštinu upozorenja: bez osnovnih ulaganja i ozbiljnog upravljanja rizikom, ni najnapredniji sistemi ne mogu potpuno nadomjestiti godine odgađanja.
Britanske službe zato pažnju usmjeravaju ne samo na buduće tehnologije, nego i na postojeće navike unutar kompanija i institucija. Upravo te navike, ako ostanu nepromijenjene, mogu odlučiti hoće li se upozorenja iz izvještaja pretvoriti u još ozbiljnije incidente. U tom prostoru između upozorenja i odluke nalazi se najveći dio odgovornosti koja je sada prebačena na rukovodioce i donosioce odluka.
