Az Indian Computer Emergency Response Team (CERT-In) új irányelvet javasol az internethez kapcsolódó rendszerekben fellelhető kritikus sérülékenységek esetében. Javaslatuk szerint – amennyiben ez megvalósítható – a szervezeteket kötelesek 12 órán belül javítani ezeket a hibákat, hogy védelmet nyújthassanak a potenciális fenyegetésekkel szemben, amelyek során a rosszindulatú szereplők AI eszközöket és LLM-eket használnak. Ezzel a sebezhetőségek felderítésének és kihasználásának automatizálását, valamint a kibertámadások mértékének és sebességének növelését érhetik el a kiberbűnözők.
A CERT-In jelentése szerint az AI-asszisztált kiberbűnözés jelentősen csökkenti azt az időt, amely alatt a támadók azonosíthatják, támadásra előkészíthetik és kihasználhatják a sebezhetőségeket, nyilvánosan elérhető szolgáltatásokat, a gyenge azonosítókat, a nem biztonságos API-kat és a hibásan konfigurált rendszereket. A mesterséges intelligencia használatával a támadók jelentősen rövidebb idő alatt abszolválhatják a támadások előkészítésének időtartamát, és így kijátszhatják akár a hagyományos biztonsági ellenőrzéseket is.
Ezen felül a mesterséges intelligencia-alapú rendszerek maguk is támadások célpontjává válhatnak a prompt-injection, adatszivárgási sérülékenységek, jailbreaking technikák, modellmanipuláció, a képzési adatok megmérgezése, modellopás és az orchestration pipeline kompromittálása révén, amely aláássa azok bizalmas jellegét és integritását is.
Az intézet továbbá arra is figyelmeztette a szervezeteket, hogy a támadások ideje így nagymértékben lerövidül, és a támadások hamar automatizálttá válnak. Ezek fokozott kiberbiztonsági intézkedések bevezetését teszik szükségessé, amelyek magukba foglalják a folyamatos fenyegetésértékelést, a proaktív kockázatcsökkentést és az operatív felkészültséget. A CERT-In által felvázolt alapelvek az alábbiak:
- Feltételezni kell, hogy biztonsági incidens történt, és ennek tudatában fel kell készülni a gyors észlelésre, a terjedés megakadályozására és a biztonsági incidensek utáni helyreállításra.
- Be kell vezetni a „Zero Trust” megközelítést a folyamatos hitelesítés és a legkisebb jogosultság elvének érvényesítésével.
- Többszintű védelmi stratégiát kell bevezetni az infrastruktúra egészére kiterjedő réteges ellenőrzésekkel, hogy kiküszöböljük a hibaforrásokat, és minimalizáljuk a sikeres támadás általános hatását.
- Figyelemmel kell kísérni és csökkenteni a biztonsági sérülékenységeknek való kitettséget.
- Biztonságra tervezett paradigmát kell kiépíteni a rendszerekbe, alkalmazásokba és a mesterséges intelligencia munkafolyamataiba.
- Fenn kell tartani a működés folytonosságát kibertámadások és üzemzavarok esetén.
- Védeni kell az érzékeny és működés szempontjából kritikus adatokat azok teljes életciklusa során.
- Csökkenteni kell a harmadik féltől származó szoftverekből, MI-modellekből és függőségekből eredő szoftverellátási lánc-kockázatokat SBOM-ok, eredetellenőrzés és biztonsági értékelések révén.
- A biztonság hatékonyságát a folyamatosan változó fenyegetésekkel szemben rendszeresen tesztelni kell red teaming, sebezhetőségi értékelések, behatolási tesztek és független auditok segítségével.
- Az ellenőrzéseket az operatív kritikus fontosság és a fenyegetéseknek való kitettség alapján kell rangsorolni.
- Formális irányítási mechanizmusokat kell létrehozni az AI-rendszerek használatára vonatkozóan.
- Biztosítani kell az átláthatóságot az AI-rendszerek, az integrációk és az operatív viselkedés tekintetében.
Az ügynökség arra is sürgeti a szervezeteket, hogy folyamatos, kockázatalapú sebezhetőség- és javításkezelési gyakorlatokat vezessenek be, amelynek érdekében az internethez kapcsolódó és kritikus rendszereket érintő, már kihasznált sérülékenységeket adott esetben 12 órán belül orvosolni kell. Ezen felül a CERT-In egyéb határidőket is eszközölne:
- Külső támadásoknak kitett kritikus sérülékenységek: 1 napon belül
- Belső rendszereket érintő, ismert kihasználási módszerekkel rendelkező sebezhetőségek: 1 napon belül, kivéve, ha más kockázatcsökkentő intézkedéseket hajtottak végre és dokumentáltak
- Nagy értékű rendszereket érintő kritikus belső sebezhetőségek: 3 napon belül
- Súlyos sebezhetőségek: 5 napon belül, a kockázatok prioritása alapján
Olyan esetekben, amikor nincs azonnal elérhető javítás, ajánlott ideiglenes intézkedéseket hozni, mint például elszigetelés, hozzáférés-korlátozás, WAF/API védelem, fokozott felügyelet vagy a funkciók letiltása, amíg a javítás kidolgozásra nem kerül.