ИИ и кибербезопасность

Проблема скорости: как передовые технологии искусственного интеллекта выявляют слабые места в корпоративной кибербезопасности.

Сегодня злоумышленники действуют со скоростью машин, но организации принимают решения со скоростью коллективных обсуждений. Чтобы преодолеть этот разрыв, предприятиям необходима другая операционная модель и преданное своему делу руководство.

В сфере корпоративной кибербезопасности произошел важный сдвиг, и дело не в появлении более изощренных вредоносных программ. Дело в крахе времени.

На протяжении десятилетий организации управляли киберрисками, исходя из предположения, что у них есть время для обнаружения уязвимостей, оценки их серьезности, прохождения процессов утверждения, планирования периодов установки исправлений и развертывания обновлений. Это предположение теперь устарело. Данные отраслевых исследований показывают, что среднее время между обнаружением уязвимости и ее активной эксплуатацией составляет всего несколько часов для наиболее критических случаев, по сравнению с примерно тремя неделями еще в 2025 году. Передовые модели искусственного интеллекта, способные автономно генерировать работающие эксплойты в больших масштабах и с минимальными затратами, сократили этот разрыв.

Модели искусственного интеллекта, включая Mythos/Fable от Anthropic, GPT-Cyber ​​от OpenAI и Gemini от Google, представляют собой настоящий прорыв. Они не просто ускоряют процессы атак, но и открывают возможности для обнаружения и эксплуатации уязвимостей, делая их доступными для гораздо большего числа потенциальных злоумышленников. Анализ McKinsey показывает, что большинство активных случаев уязвимостей приходится на критически важные новые уязвимости, для которых пока нет доступных исправлений.

Для организаций вопрос заключается не в том, будет ли уязвимость использована до того, как её удастся исправить, а в том, сколько уязвимостей будет использовано. Передовые технологии искусственного интеллекта вызывают озабоченность у руководителей служб безопасности (CSO) и руководителей информационных служб (CIO), поскольку они позволяют проводить более эффективные атаки и делают это быстрее, чем принимаются корпоративные решения. С этой точки зрения, перед организациями встаёт проблема операционной модели, а не технологическая проблема.

Организационная задержка: скрытая проблема

Когда руководителей служб безопасности спрашивают, что мешает им быстрее реагировать на критические уязвимости системы, большинство из них редко отвечают, что это сама технология. Многие организации уже имеют надежные инструменты обнаружения, платформы управления обновлениями и сценарии реагирования на инциденты. Быстрое реагирование может быть достигнуто с помощью высоко стандартизированных сред, архитектур с нулевым доверием и возможностей развертывания как кода. Более серьезная проблема заключается в процессах принятия решений, управлении и оперативной координации, необходимых для быстрого преобразования технических возможностей в действия. Рассмотрим, что часто происходит, когда обнаруживается критическая уязвимость:

• Специалисты по информационной безопасности выявляют уязвимость, оценивают ее серьезность и затрагивают различные системы. Это может занять день или больше, в зависимости от доступности ресурсов в устаревших системах, облачных платформах, приложениях SaaS и операционных технологических средах, которые редко полностью инвентаризируются.
• Группа безопасности передает информацию о происшествии руководству ИТ-отдела, которое должно оценить влияние инцидента на работу системы, прежде чем разрешить установку исправлений. Затем руководство ИТ-отдела должно связаться с владельцами приложений, которые управляют графиками выпуска и заморозкой изменений.
• Необходимо тестировать исправления как в готовом, так и во внутреннем программном обеспечении поставщиков. Организации, которые по-прежнему используют значительный объем пользовательского или устаревшего кода — а это большинство крупных предприятий — часто сталкиваются с неделями работы по проверке, прежде чем исправление будет сертифицировано для развертывания в производственной среде.
• Планирование и понимание временных рамок для выпуска обновлений требует от ИТ-руководителей согласования действий с сотрудниками бизнес-подразделений. В этом случае обеспечивается бесперебойная работа бизнеса. Производственным предприятиям не нужно останавливать производственные линии для установки обновлений в пиковые периоды, больницам не нужно отключать клинические системы в часы приема пациентов, а финансовые учреждения могут избежать изменений в пиковых периодах транзакций.
• Для внедрения требуется одобрение руководителя по управлению изменениями. Во многих организациях для этого необходим консультативный совет по изменениям, который проводит заседания еженедельно.
• В конце концов, системы, управляемые поставщиками и сторонними организациями, могут работать по совершенно независимым графикам обновления, которые не контролируются ни одной внутренней командой.

	Текущее положение	Реальность, определяемая искусственным интеллектом
Обнаружение	Недели или месяцы	Часы
Расстановка приоритетов	Недели	Согласно цепочки создания ценности
Установка патчей	Месяцы	Часы
Снижение рисков	Со временем	Непрерывно
Время до эксплуатации	Годы	Часы

Это не дисфункция, а скорее то, как устроена работа крупных организаций. Процессы существуют для обеспечения бесперебойной работы, управления соответствием нормативным требованиям, сохранения качества обслуживания и предотвращения сбоев в работе, которые могут вызвать плохо протестированные обновления. Однако передовые технологии искусственного интеллекта меняют правила игры. Уязвимости, которые раньше могли оставаться открытыми неделями, теперь должны устраняться в течение нескольких часов, чтобы предотвратить нанесение ущерба злоумышленниками. Организационная архитектура стала прямой угрозой безопасности.

Распространенная проблема заключается в том, что скорость принятия решений не зависит ни от кого. ИТ-отдел отвечает за процесс установки обновлений, бизнес-подразделение — за решения, принимаемые во время простоев, юридический отдел — за сроки раскрытия информации, отдел закупок — за отношения с поставщиками, операционный отдел — за непрерывность производства, а служба безопасности — за оценку рисков. Ни одна функция не обладает достаточными полномочиями, прозрачностью и мандатом, чтобы обеспечить темп работы предприятия, необходимый в условиях угрозы. В результате принятие критически важного решения, которое должно занять несколько часов, в итоге занимает гораздо больше времени.

Решение, предлагаемое операционной моделью: переосмысление решений.

Организации, наиболее эффективно ориентирующиеся в киберпространстве, обладают характеристикой, не связанной с используемыми ими инструментами безопасности. Их отличают операционные модели, и в частности, то, как они перестроили структуру непрерывного мониторинга рисков, управление защитой с использованием ИИ и архитектуру принятия организационных решений в условиях ограниченного времени.

В большинстве случаев эти организации достигли того, что мы называем управляемой автономией.

То есть, речь идет о кибер-операционной модели, в которой ИИ обрабатывает большой объем работы, требующей оперативного реагирования, включающей непрерывный мониторинг и плановое устранение неполадок, в то время как человеческое суждение определяет новые угрозы, стратегические решения по управлению рисками и все, что имеет существенное значение для бизнеса. Достижение управляемой автономии зависит от трех проектных императивов, каждый из которых имеет организационный характер, а не технический.

Непрерывная прозрачность рисков — это обязательное условие.

Первоочередная задача проектирования — перевести организацию от периодического сканирования и плановых циклов устранения неполадок к непрерывному оперативному мониторингу, основанному на самых важных вещах. Это требует четкого определения масштаба и последовательности действий.

Практическая отправная точка — не стремление к обеспечению видимости в режиме реального времени по всему предприятию. Эта цель неизменно терпит неудачу, поскольку масштаб слишком велик, а необходимые изменения слишком радикальны. Вместо этого ведущие организации начинают с определения минимально жизнеспособной организации, которая представляет собой неразрывное ядро ​​систем, процессов и активов, нарушение работы которых будет иметь катастрофические последствия. Для банка это может быть обработка платежей, основные банковские операции и отчетность перед регулирующими органами. Для производителя это могут быть производственные линии и управляющие ими системы операционных технологий (OT). Для больницы это могут быть клинические системы и критически важная инфраструктура.

Сосредоточившись сначала на обеспечении видимости в режиме, близком к реальному времени, и непрерывном сканировании ядра сети, организации могут создать защищенный периметр вокруг наиболее важных объектов. Параллельно они могут уменьшить поверхность атаки, отказавшись от ненужных внешних ресурсов, рационализировав зависимости от открытого исходного кода, удалив устаревшие учетные данные и ужесточив сегментацию сети. В одном из глобальных финансовых учреждений руководители обнаружили, что приоритетное сканирование с использованием больших языковых моделей в минимально жизнеспособном банке привело к существенному снижению уязвимости наиболее ценных активов быстрее и с меньшими затратами, чем при использовании предыдущих подходов.

Крайне важно понимать, что сокращение поверхности атаки — это не просто техническая задача. Она требует принятия бизнес-решений о том, какие активы следует вывести из эксплуатации, какие внешние интерфейсы закрыть и какие интеграции со сторонними сервисами ограничить. В этих решениях одновременно участвуют ИТ-отдел, операционный отдел, владельцы бизнеса и юридический отдел. Скорость организационного согласования определяет скорость сокращения поверхности атаки.

Управление обороной с использованием искусственного интеллекта должно стать основополагающей архитектурой.

Вторая задача проектирования — внедрение защитного ИИ в качестве операционной архитектуры для обеспечения безопасности. Эта архитектура определяется тремя различными уровнями, каждый из которых должен быть спроектирован как «агентный» сквозной рабочий процесс, а не собран из решений независимых поставщиков:

• Поиск угроз и обнаружение путей атаки: модели ИИ могут проводить непрерывный анализ цепочек путей атаки в сложных, гетерогенных средах, сопоставляя сигналы из ИТ, ОТ, облачных и сторонних систем для выявления уязвимостей и определения приоритетов в устранении проблем на основе реальной эксплуатационной способности и бизнес-ценности, а не общих оценок серьезности. Это важно, поскольку распространенные системы оценки уязвимостей не различают уязвимость в тестовой среде и ту же уязвимость в системе, которая находится всего в трех шагах от «ключевых уязвимостей». Приоритизация с помощью ИИ может обеспечить это различие непрерывно и в больших масштабах.
• Устранение уязвимостей и управление рисками, связанными с третьими сторонами: для организаций, которые разрабатывают и поддерживают значимое программное обеспечение, то есть для большинства крупных финансовых учреждений, промышленных компаний и высокотехнологичных производственных предприятий, моделирование угроз с помощью ИИ, автоматизированное тестирование под давлением на протяжении всего жизненного цикла разработки программного обеспечения и предложения по исправлениям, генерируемые ИИ, могут значительно сократить время между выявлением уязвимости и появлением протестированного решения. Это решает одну из самых сложных проблем: время, необходимое команде разработчиков для понимания, воспроизведения и исправления уязвимости в коде, к которому они, возможно, не прикасались годами.

Компоненты программного обеспечения с открытым исходным кодом могут стать источником проблем из-за способности злоумышленников легко выявлять или внедрять уязвимости и в конечном итоге использовать их для эксплуатации (например, в случае атак на нижестоящие системы). Организациям следует обеспечить внутреннюю прозрачность в отношении того, где и как развертываются эти компоненты, а затем проводить сканирование уязвимостей с использованием передовых технологий искусственного интеллекта, в том числе до развертывания, и, где это применимо, разрабатывать патчи с помощью ИИ. Для коммерческого программного обеспечения необходимо обновить соглашения об уровне обслуживания (SLA) для сторонних поставщиков, чтобы они охватывали цепочки уязвимостей. Наконец, необходимо усилить управление последствиями.

• Реагирование на инциденты и операции по обеспечению безопасности: ИИ может автоматизировать сортировку инцидентов, ускорить последовательность локализации и координировать межфункциональные действия без ожидания присутствия человека, принимающего решения. Ведущие организации предварительно авторизуют агентов ИИ для выполнения конкретных, ограниченных действий по реагированию, включая изоляцию систем, аннулирование учетных данных и применение компенсирующих мер контроля — все в рамках установленных ограничений. Для реагирования на инциденты с низким уровнем риска после выполнения действия проводится проверка человеком. Это не автономная безопасность; она определяется скоростью. Процессы обеспечения непрерывности бизнеса и реагирования на кризисные ситуации должны быть перепроверены с учетом этой реальности, с четким, заранее согласованным представлением о минимально жизнеспособной организации, которая должна продолжать функционировать, пока все остальное находится на карантине.

Цель на всех трех уровнях состоит в том, чтобы гарантировать, что человеческое суждение будет применяться только к решениям, которые действительно этого требуют, и чтобы рутинные, требующие оперативного реагирования меры по исправлению ситуации не откладывались.

Архитектура процесса принятия организационных решений должна быть оптимизирована с учетом временных ограничений.

Третий, и наиболее недооцененный, императив проектирования — это перепроектирование самой архитектуры принятия решений. В действительности большинство организаций по-прежнему управляют кибербезопасностью с помощью структур управления, разработанных для другой эпохи. Распространено мнение, что риск ненужных или плохо контролируемых изменений перевешивает риск медленных. Консультативные советы по изменениям, комитеты по управлению безопасностью, межфункциональные рабочие группы и цепочки эскалации, охватывающие несколько подразделений высшего руководства, инстинктивно придерживаются этой предпосылки. Но когда уязвимость подвергается быстрой активной эксплуатации с использованием ИИ, задержка становится большим риском.

Ведущие организации перестраивают процессы принятия организационных решений, создавая межфункциональную группу реагирования — небольшую, наделенную полномочиями команду с одним лицом, принимающим решения, которое имеет делегированные CSO полномочия отменять стандартные процессы управления изменениями для подтвержденных активных угроз. Группа ежедневно проводит сортировку угроз и ведет учет уязвимостей в режиме реального времени. У нее есть предварительно утвержденные сценарии реагирования, которые она может выполнять без эскалации. И у нее есть представитель руководства, который каждые 24 часа предоставляет информацию о ходе технических работ на уровне совета директоров. Роли четко определены, а полномочия по принятию решений явно распределены, а не разрознены.

Таким образом, ключевой задачей проектирования является подлинная централизация полномочий по принятию решений. Одно финансовое учреждение реструктурировало свою систему управления обновлениями после инцидента, в результате которого критическая уязвимость оставалась неустраненной в течение 11 дней, поскольку ни одна команда не обладала достаточной технической информацией и полномочиями для отмены приостановки внесения изменений в производственную среду. Реструктурированная модель предоставила руководителю группы реагирования явные полномочия, делегированные директору по информационной безопасности, а предварительное утверждение подтвержденных активных угроз было заменено на отчетность после выполнения действий. Сроки устранения критических уязвимостей значительно сократились.

Фармацевтическая компания применила аналогичный подход к одному из самых трудноразрешимых узких мест: накопившимся задержкам в обновлении среды исследований и разработок, из-за которых установка исправлений безопасности обычно отстает от графиков разработки продукта. Для решения проблемы потребовалась программа изменений, возглавляемая бизнесом (а не ИТ-подразделением), которая официально установила приоритетное внедрение исправлений в средах исследований и разработок и предоставила подразделению безопасности полномочия отменять графики разработки во время активных угроз. Организационное вмешательство помогло устранить первопричину таким образом, который одними лишь технологиями был бы невозможен.

Одним из следствий трех основных принципов является то, что перепроектирование системы управления должно распространяться на более широкие модели реагирования на кризисные ситуации. Ведущие организации инвестируют в междисциплинарные структуры реагирования, которые могут одновременно координировать действия в киберпространстве, физической среде и операционном аспекте. Например, европейская аэрокосмическая и оборонная компания создала центр анализа угроз безопасности, который объединил ее центр кибер-операций, операции по обеспечению физической безопасности и внешнюю информацию об угрозах в единое представление в режиме реального времени. Компания хотела обеспечить скоординированное реагирование на атаки, сочетающие цифровые и физические векторы. Европейская страховая компания консолидировала свои возможности по обеспечению устойчивости под единым руководством. Она создала ежеквартальный совет по устойчивости на уровне совета директоров, признавая, что организационные барьеры между кибербезопасностью, обеспечением непрерывности бизнеса и физической безопасностью сами по себе уязвимы.

Управляемая автономия на практике

Автономия, управляемая руководством, является частью более широкой архитектуры устойчивости организации , которая функционирует в шести измерениях: финансы, операционная деятельность, технологии, организация, репутация и бизнес-модель.2

Руководитель, отвечающий только за технологическую составляющую и не имеющий явной связи с организационной и операционной устойчивостью, не сможет успешно внедрить управляемую автономию. Модель требует совместной ответственности всего высшего руководства. Процесс внедрения должен следовать последовательной схеме, обычно состоящей из трех этапов, каждый из которых направлен на развитие организационных ресурсов, необходимых для следующего этапа.

Прежде чем рассматривать, как работает модель, стоит задаться вопросом, в каком положении находится ваша организация в данный момент. Большинство предприятий, с которыми мы работаем, находятся в одном из трех положений:

• Надежные инструменты обеспечения безопасности внедрены, но полномочия по принятию решений размыты, и никто не уполномочен действовать оперативно (наиболее распространенное положение дел).
• Наблюдается централизация некоторых процессов принятия решений, но с привязкой к операциям, использующим искусственный интеллект.
• Организация начинает развертывание агентов искусственного интеллекта в среде, где еще не существует архитектуры управления для их работы.

Для каждой позиции предусмотрено различное действие наивысшего приоритета, например, внедрение технологий или организационные изменения. Трехфазная модель описывает путь от первой позиции к третьей, а также организационные решения, определяющие, будет ли организация предпринимать какие-либо действия.

	Стабилизация	Ускорение	Масштабирование
	1-4 недели	2-6 месяцев	Начиная с 6 месяца
	Массовая работа людей	Операционная деятельность с поддержкой ИИ	Регулируемая автономность
Цель	Полный контроль со стороны человека; немедленное снижение рисков.	Устранение проблем с помощью ИИ в устойчивом темпе	Защита на скорости работы машин под контролем человека
Ключевые операции	Единоличное право принятия решений (полномочия, делегированные руководителю службы безопасности) Ежедневный цикл «треугольника» Сканирование с помощью больших языковых моделей для выявления постоянных уязвимостей Экстренные исправления вне окон обслуживания	Внедрение пилотных ИИ-агентов для приоритизации, валидации и регрессионного тестирования Предварительное одобрение сценариев реагирования (плейбуков) с низким уровнем риска (без привязки к окнам изменений) Круглосуточная работа ИИ; привлечение специалистов для обработки исключительных случаев Сокращение времени устранения проблем до целевого показателя — 24 часа	Искусственный интеллект самостоятельно справляется с большей частью рутинных задач по устранению неполадок. Люди принимают решения, касающиеся новых угроз и существенных рисков. Точность ИИ контролируется; систематические ошибки приводят к аннулированию полномочий. Реагирование на чрезвычайные ситуации; подтверждение или отмена за считанные минуты.
Результаты	Ежедневный брифинг для руководства: 3 показателя, 1 риск, 1 запрос Фиксация исходного состояния бэклога уязвимостей в течение 48 часов	Еженедельное отслеживание рекомендаций ИИ в сравнении с решениями, принятыми людьми Круглосуточное обслуживание с предварительно одобренными автономными действиями	Устранение критических уязвимостей в течение 24 часов Ежеквартальная отчетность перед советом директоров о результатах работы систем ИИ и остаточных рисках

При внедрении управляемой автономии применяются три основных этапа:

• Во-первых, операционная модель не просто обеспечивает развертывание ИИ; она регулирует использование ИИ во всей организации. Пороги точности, процессы калибровки доверия, автоматическое лишение автономных полномочий при систематических ошибках и требования к отчетности после выполнения действий могут гарантировать, что по мере расширения автоматизации будет расти и ответственность человека. Вот что означает автономия на практике: она не является ограничением потенциала ИИ; архитектура делает использование ИИ безопасным. Например, агент обновления (оркестрации) с широкими возможностями доступа и автономией развертывания, позволяющий ему соответствовать скорости угроз, также должен рассматриваться как критически важный актив, требующий мер защиты для предотвращения компрометации или изменения поведения.
• Во-вторых, операционная модель разработана для наращивания организационного потенциала до распространения полномочий ИИ. Первый этап, или «человеческий натиск», заключается в централизации принятия решений людьми и установлении дисциплины управления ИИ. Организации, которые пропускают первый этап и пытаются развернуть агентов ИИ в среде, где полномочия по принятию решений остаются размытыми, неизменно создают системы ИИ, которые генерируют рекомендации, на которые никто не реагирует.
• В-третьих, и это самое важное, операционная модель требует поддержки генерального директора и совета директоров. Наш опыт внедрения показывает, что организации, которые рассматривают управляемую автономию как программу безопасности, застревают на первом этапе. Узкими местами являются бизнес-решения, касающиеся простоев производства, полномочий по управлению изменениями, приоритетов разработки и обязательств перед поставщиками, которые функция безопасности не может решить в одностороннем порядке. Организации, которые рассматривают управляемую автономию как программу обеспечения устойчивости предприятия, с явной поддержкой со стороны руководства и управлением на уровне совета директоров, с большей вероятностью пройдут все три этапа.

Автономия, основанная на управлении, помогает руководителям определять, кто что решает, с какими полномочиями, в какие сроки, подчиняется каким правилам и кому подотчетен. Это операционная архитектура, в рамках которой работает технология. Без нее лучшие инструменты на рынке остаются за кулисами тех же самых цепочек утверждения комитетами, которые изначально и создавали проблемы.

Дисциплина операционной модели в условиях сжатых сроков

Описанная здесь дисциплина операционной модели решает наиболее неотложную задачу. Но уже формируется вторая волна сложностей. Масштабное развертывание систем искусственного интеллекта вводит новый класс основополагающих требований, включая границы доступа к данным, контроль идентификации и поведенческие ограничения, которые должны быть определены и обеспечены до того, как автономным агентам можно будет доверять действовать. Правильное заложение этих основ — это решение, принимаемое на уровне управления и имеющее последствия на уровне совета директоров.

Тот же принцип применим и к формирующейся экономике безопасности, основанной на искусственном интеллекте. Иными словами, стоимость выполнения одного запроса при непрерывном запуске больших моделей на этапах обнаружения угроз, их устранения и реагирования создает дополнительное бюджетное давление, на которое традиционные модели расходования средств на безопасность никогда не были рассчитаны.

Пожалуй, наиболее важным является переосмысление самой роли директора по информационной безопасности. В ближайшем будущем директор по информационной безопасности будет не столько техническим авторитетом, сколько архитектором управляемой автономии в масштабах всего мира, устанавливающим политику для систем искусственного интеллекта, которые действуют, а не дают советы, и несущим ответственность за решения, принимаемые со скоростью, которую человек не может напрямую контролировать. Именно эти вызовы определят следующий этап этой работы.

Наилучшие результаты в области кибербезопасности в ближайшие три-пять лет покажут те организации, которые своевременно пересмотрят права принятия решений, создадут систему управления, способную работать на машинной скорости, инвестируют в дисциплину управления автономным устранением уязвимостей с помощью ИИ и напрямую свяжут свою киберустойчивость с результатами бизнеса, которые она защищает. К ним относятся бесперебойная работа производства, доверие клиентов, соответствие нормативным требованиям и непрерывность деятельности. Бюджет на безопасность будет иметь гораздо меньшее значение, чем ясность операционной модели.

Это имеет значение не только для кибербезопасности. Искусственный интеллект сокращает сроки управления во всех функциях предприятия. Организации, которые смогут быстрее принимать важные решения, располагая более качественной информацией и работая в условиях дефицита времени, сохранят это преимущество во всех своих операциях. Но кибербезопасность — это область, где сокращение сроков происходит в первую очередь, с самыми высокими ставками и наименьшей терпимостью к задержкам. Таким образом, это подходящее место для развития операционной модели, которая потребуется лидерству предприятий в следующем десятилетии.

Источник

Проблема скорости: как передовые технологии искусственного интеллекта выявляют слабые места в корпоративной кибербезопасности. 11 сентября 2026 г. Бенджамин Кляйн; Чарли Льюис; Венки Анант; Кевин Каталон; Рафаэль Энглер; Вольфрам Салманян.

The speed problem: How frontier AI exposes weakness in enterprise cybersecurity

https://www.mckinsey.com/capabilities/risk-and-resilience/our-insights/the-speed-problem-how-frontier-ai-exposes-weakness-in-enterprise-cybersecurity