AI w cyberobronie
Jak AI zmienia cyberobronę w całym cyklu życia incydentu cybernetycznego
Cyberobrona ma na celu ochronę systemów, sieci i danych przed infiltracją, zakłóceniem lub zniszczeniem. The cykl życia incydentu cybernetycznego zapewnia użyteczny sposób zrozumienia cyberobrony, dzieląc ją na cztery fazy:
- Zapobieganie: zapobieganie i zmniejszanie ryzyka incydentów oraz minimalizowanie ich potencjalnych skutków.
- Gotowość: opracowywanie planów, narzędzi i możliwości wspierających skuteczną reakcję.
- Odpowiedź: powstrzymanie incydentu i zapobieganie dalszym szkodom.
- Odzyskiwanie: szybkie przywrócenie operacji i powrót do normalnego lub wyższego poziomu bezpieczeństwa.
Sztuczna inteligencja (AI) stała się istotna we wszystkich czterech fazach. W przeciwieństwie do tradycyjnych narzędzi, które idealnie pasują do jednego etapu, wiele możliwości AI obejmuje cały cykl życia: ta sama technika, która wspiera gotowość, może również umożliwić szybszą reakcję lub pomóc w odbudowie. Ta integracja sprawia, że AI jest zarówno potężny, jak i trudny do sklasyfikowania: jego wartość polega nie tylko na poprawie poszczególnych zadań, ale także na płynniejszym łączeniu faz.
Zapobieganie
Gotowość
Odpowiedź
Odzyskiwanie
Mapowanie powierzchni ataku
Skanowanie kodów
Podsumowanie danych
Klasyfikacja danych
Wykrywanie anomalii
Pisanie i analiza
Dane syntetyczne
Zarządzanie tożsamością i dostępem
Zarządzanie tożsamością i dostępem
Analiza dziennika
Analiza złośliwego oprogramowania
Szkolenia i laboratoria
Szkolenia i laboratoria
W kolejnych sekcjach przeanalizujemy konkretne zastosowania AI w cyberobronie, pokazując, w jaki sposób mapują się one na różne fazy cyklu życia incydentu, a w wielu przypadkach obejmują kilka naraz.
Mapowanie powierzchni ataku
Mapowanie powierzchni ataku identyfikuje wszystkie zasoby, punkty wejścia i słabe punkty, które przeciwnik może wykorzystać w ataku. Zapewnia obrońcom wgląd w ich narażenie i pomaga ustalić priorytety, które należy zabezpieczyć.
Jak AI zmienia mapowanie powierzchni ataku:
Wyróżniony przypadek: Wykorzystanie LLM do wykrywania zasobów w infrastrukturze krytycznej
W 2025 r, Luigi Coppolino et al opublikowała badanie pokazujące, w jaki sposób duże modele językowe (LLM) mogą poprawić wykrywanie zasobów w infrastrukturze krytycznej. Tradycyjne narzędzia, takie jak Nmap lub platformy bezpieczeństwa przemysłowego, albo ryzykują zakłócenie wrażliwych systemów poprzez aktywne skanowanie, albo nie wykrywają ukrytych urządzeń, polegając jedynie na pasywnym monitorowaniu.
Naukowcy zaproponowali opartą na LLM strukturę "Mixture of Experts", która łączy dane z pasywnej obserwacji ruchu, starannie ograniczone aktywne sondowanie i sygnały fizyczne, takie jak emisje elektromagnetyczne. Następnie wyspecjalizowani agenci LLM interpretują te dane: jeden koncentruje się na protokołach przemysłowych, inny na podatnościach w sieciach IT/OT, a jeszcze inny na architekturze systemu i zależnościach.
System może również korzystać z zewnętrznych źródeł danych wywiadowczych (takich jak bazy danych MITRE ATT&CK lub CVE) w celu identyfikacji słabych punktów i zalecania środków bezpieczeństwa. W testach na symulowanej sieci przemysłowej z powodzeniem sklasyfikował zasoby, takie jak programowalne sterowniki logiczne, ramiona robotów i drukarki, jednocześnie sygnalizując niezabezpieczone praktyki, takie jak niezaszyfrowany ruch Modbus.
Takie podejście przekształca mapowanie powierzchni ataku w adaptacyjny i świadomy kontekstu proces, który zapewnia widoczność w czasie rzeczywistym i zmniejsza ryzyko związane z tradycyjnym skanowaniem. Obniżając bariery techniczne dla obrońców, umożliwia bardziej kompleksowe monitorowanie i wzmacnia ogólny stan bezpieczeństwa infrastruktury krytycznej.
-
Wpływ AI na wykrywanie zagrożeń - "AI dla obrony" (Donnie W. Wendt 2024)
Rozdział ten pokazuje, w jaki sposób AI rozwinął wykrywanie zagrożeń i triage, gdzie modele uczenia maszynowego przetwarzają ogromne ilości heterogenicznych danych w celu identyfikacji potencjalnych ataków. Wyniki podkreślają, w jaki sposób wczesne aplikacje w latach 2000-2010 koncentrowały się na wykrywaniu złośliwego oprogramowania, włamań i spamu, demonstrując siłę AI w analizowaniu dużych zbiorów danych i ulepszaniu istniejących systemów wykrywania, przy jednoczesnym stopniowym ulepszaniu długotrwałych funkcji cyberbezpieczeństwa. -
Wykrywanie zagrożeń nowej generacji - "Rewolucja w cyberbezpieczeństwie: Uwolnienie mocy sztucznej inteligencji i uczenia maszynowego" (Manoharan & Sarker 2022)
Artykuł pokazuje, w jaki sposób AI i uczenie maszynowe rewolucjonizują wykrywanie zagrożeń, umożliwiając organizacjom wykrywanie anomalii, analizowanie wzorców zachowań i przewidywanie potencjalnych ataków. Wyniki podkreślają, w jaki sposób techniki takie jak NLP do wydobywania informacji o zagrożeniach i głębokie uczenie się do rozpoznawania wzorców mogą zautomatyzować wykrywanie i reagowanie, a rzeczywiste studia przypadków potwierdzają ich skuteczność.
Skanowanie i ocena kodów
Skanowanie kodu sprawdza kod źródłowy w celu wykrycia luk w zabezpieczeniach, niezabezpieczonych bibliotek lub złych praktyk bezpieczeństwa, zanim zostaną one wykorzystane.
Jak AI zmienia skanowanie i ocenę kodów:
AI przyspiesza wykrywanie luk w zabezpieczeniach, podkreślając niezabezpieczone funkcje i identyfikując ryzykowne wzorce kodowania wyciągnięte z wcześniejszych exploitów. Oferuje również zautomatyzowane sugestie dotyczące środków zaradczych, wspierając programistów w pisaniu bezpieczniejszego kodu i zmniejszając okno możliwości dla atakujących.
Wyróżniony przypadek: Wykorzystanie LLM do skanowania kodu i bezpiecznego rozwoju
W 2025 r, Belozerov et al zbadali, w jaki sposób duże modele językowe mogą wspierać bezpieczne praktyki kodowania. W badaniu przetestowano ChatGPT względem zbioru danych DevGPT, który zawierał prawdziwy kod deweloperski wraz ze znanymi lukami oznaczonymi przez skanery statyczne. Spośród 32 potwierdzonych luk, ChatGPT poprawnie wykrył 18, a nawet zasugerował poprawki dla 17 z nich.
Wyniki pokazują, w jaki sposób AI może zmniejszyć ręczny wysiłek związany z przeglądem kodu, pomóc w selekcji ryzykownych wzorców kodowania i zapewnić automatyczne sugestie dotyczące środków zaradczych. Ma to potencjał do skalowania praktyk bezpiecznego kodowania i skrócenia okna czasowego, w którym luki w zabezpieczeniach pozostają możliwe do wykorzystania.
Jednocześnie badanie podkreśliło istotne ograniczenia: ChatGPT czasami generował zbyt pewne, ale niepoprawne wyniki, wprowadzał nowe błędy podczas prób naprawy i był mniej niezawodny niż analiza statyczna lub ekspercka weryfikacja przez człowieka. Kluczowym wnioskiem z tego badania jest to, że AI może być potężnym pomocnikiem w ocenie kodu, ale tylko w połączeniu z tradycyjnymi narzędziami i odpowiednim nadzorem.
-
Zautomatyzowany przegląd kodu - "Przegląd zastosowania AI dla cyberbezpieczeństwa: Szanse, zagrożenia i strategie łagodzenia skutków" (Ndibe & Ufomba 2024)
Artykuł pokazuje, w jaki sposób AI i duże modele językowe mogą wspierać zautomatyzowane przeglądy kodu i oceny luk w zabezpieczeniach, pomagając organizacjom aktywnie wykrywać słabe punkty w kodzie źródłowym i skracać czas reakcji. Wyniki podkreślają również zagrożenia, takie jak niezabezpieczony kod wygenerowany przez AI, podkreślając potrzebę ludzkiego nadzoru i ram zarządzania. -
Interpretowalne uczenie głębokie do wykrywania luk w zabezpieczeniach - "Vulnerability Detection with Fine-grained Interpretations" (Li et al. 2021)
W artykule przedstawiono IVDetect, model głębokiego uczenia, który wykrywa luki w kodach i wskazuje konkretne instrukcje i zależności odpowiedzialne za nie. IVDetect poprawia dokładność w porównaniu z najnowocześniejszymi narzędziami i zapewnia precyzyjne wyjaśnienia. Wyniki pokazują znaczny wzrost wydajności wykrywania i bardziej precyzyjną identyfikację podatnego kodu, wspierając zarówno zautomatyzowaną analizę, jak i środki zaradcze dla programistów. -
Wykrywanie luk w wielojęzycznym kodzie - "Wykrywanie podatności kodu w różnych językach programowania za pomocą modeli AI" (Humran & Sonmez 2025)
W artykule zbadano modele oparte na transformatorach, w tym CodeBERT i CodeLlama, do wykrywania luk w wielu językach programowania. Dzięki precyzyjnemu dostrojeniu na różnych zestawach danych, modele te wychwytują zarówno składnię, jak i semantykę, osiągając dokładność do 97%. Badanie obejmuje również metody ensemble i wyjaśnialne AI w celu zmniejszenia liczby fałszywych alarmów i zwiększenia zaufania programistów. Pokazuje ono, że modele AI mogą przewyższać tradycyjne analizatory statyczne w ustawieniach wielojęzycznych, choć nadal pozostają wyzwania związane z solidnością, precyzją i gotowością do wdrożenia.
Podsumowanie danych
Podsumowanie danych kondensuje duże ilości danych technicznych (np. dzienniki, raporty i informacje o zagrożeniach) w przystępne informacje.
Jak AI zmienia podsumowanie danych:
AI redukuje przeciążenie poznawcze, przekształcając surowe i nieustrukturyzowane informacje w użyteczną inteligencję. Może identyfikować powtarzające się wzorce lub anomalie w pofragmentowanych zbiorach danych. Może również generować raporty w prostym języku dla niespecjalistów. AI ułatwia zatem korzystanie z informacji, komunikowanie się i podejmowanie działań.
Wyróżniony przypadek: AI dla podsumowania dziennika i świadomości sytuacyjnej
W 2024 r, Balasubramanian et al wprowadziła CYGENT, agenta konwersacyjnego opartego na GPT-3, który może analizować i podsumowywać dzienniki systemowe. Zamiast wymagać od analityków przeszukiwania tysięcy surowych wpisów dziennika, CYGENT kondensuje je w krótkie, czytelne dla człowieka dane wyjściowe, które podkreślają kluczowe zdarzenia i anomalie.
W ocenach CYGENT przewyższył inne duże modele językowe w tworzeniu jasnych i praktycznych podsumowań. System zmniejszył przeciążenie poznawcze, wspierał świadomość sytuacyjną podczas incydentów na żywo i umożliwiał szybsze podejmowanie decyzji.
Ten przypadek ilustruje, w jaki sposób AI może przekształcić surowe, techniczne dane w dostępną inteligencję. Ułatwiając interpretację dzienników, pomaga obrońcom skuteczniej się przygotować, szybciej reagować i odzyskać lepszą dokumentację po incydentach.
-
Zestawy danych podsumowujących CTI - "CTISum: A New Benchmark Dataset for Cyber Threat Intelligence Summarisation" (Peng et al. 2024)
W artykule przedstawiono CTISum, zestaw danych do podsumowywania raportów dotyczących cyberzagrożeń (CTI), umożliwiający podsumowanie złożonych raportów wywiadowczych, aby pomóc obrońcom w skuteczniejszym planowaniu i wyciąganiu wniosków. -
Ekstrakcja TTP - "TTPXHunter: Actionable Threat Intelligence Extraction as TTPs from Finished Cyber Threat Reports" (Rani et al. 2024)
W artykule zaproponowano TTPXHunter, narzędzie oparte na NLP, które wyodrębnia taktyki, techniki i procedury atakujących (TTP) z raportów o zagrożeniach, aby zrozumieć ich modus operandi, przekształcając nieustrukturyzowane dane wywiadowcze w ustrukturyzowane, gotowe do działania podsumowania. -
NLP do analizy incydentów - "Przetwarzanie języka naturalnego na potrzeby analizy incydentów cyberbezpieczeństwa" (Ogundairo & Broklyn, 2024)
W artykule omówiono aplikacje NLP do analizy nieustrukturyzowanych źródeł danych za pomocą technik NLP (np. rozpoznawanie podmiotów, analiza nastrojów, podsumowanie, triage oparty na chatbocie). W artykule stwierdzono, że NLP może zautomatyzować raportowanie incydentów i podsumowania informacji o zagrożeniach, skracając czas reakcji i poprawiając dokumentację po incydencie.
Klasyfikacja danych
Klasyfikacja danych porządkuje informacje zgodnie z ich wrażliwością lub wymogami zgodności, zapewniając odpowiednią ochronę krytycznych zasobów.
Jak AI zmienia klasyfikację danych:
AI wykorzystuje przetwarzanie języka naturalnego do automatycznego oznaczania wrażliwych treści i wykrywania błędnie sklasyfikowanych lub ujawnionych danych na dużą skalę.
Wyróżniony przypadek: AI do klasyfikacji danych wrażliwych
W 2024 r, De Renzis et al zbadano, w jaki sposób można wykorzystać duże modele językowe do poprawy klasyfikacji wrażliwych informacji. Głównym wyzwaniem w tym obszarze jest to, że prawdziwe dane osobowe nie zawsze mogą być wykorzystywane do szkolenia ze względu na zagrożenie prywatności. Autorzy zaproponowali generowanie syntetycznych danych treningowych, które nadal odzwierciedlają wzorce wrażliwych kategorii, takich jak zdrowie, polityka lub religia.
Ich podejście umożliwiło szkolenie dokładnych klasyfikatorów bez ujawniania rzeczywistych danych użytkownika, pokazując, w jaki sposób AI może pomóc organizacjom w przestrzeganiu przepisów, takich jak RODO, przy jednoczesnym zwiększeniu ich zdolności do wykrywania i ochrony wrażliwych informacji. Przypadek ten ilustruje, w jaki sposób AI wzmacnia zarówno zapobieganie (poprzez zmniejszenie przypadkowej ekspozycji danych), jak i gotowość (poprzez wspieranie ram zgodności). Jednocześnie podkreśla znaczenie zarządzania i walidacji w celu zapewnienia, że dane syntetyczne i wynikające z nich modele pozostają reprezentatywne i wiarygodne.
-
Oznaczanie kategorii RODO w oparciu o transformatory - "Automatyczne wykrywanie wrażliwych danych przy użyciu klasyfikatorów opartych na transformatorach" (Petrolini et al. 2022)
W badaniu tym zastosowano modele AI do automatycznego oznaczania wrażliwego tekstu, obejmującego obszary takie jak polityka, zdrowie, religia i seksualność, w dużych zbiorach dokumentów. Pokazuje, że podejścia oparte na transformatorach mogą niezawodnie klasyfikować takie dane, wspierając zgodność z RODO i umożliwiając zautomatyzowane etykietowanie na dużą skalę w celu klasyfikacji danych opartej na zgodności. -
Analiza semantyczna do automatycznego wykrywania wrażliwych danych - "Zautomatyzowana identyfikacja wrażliwych danych na podstawie niejawnej specyfikacji użytkownika (S3)" (Yang & Liang 2018)
Niniejszy artykuł przedstawia S3, system, który identyfikuje wrażliwe dane w aplikacjach mobilnych, analizując semantykę, a nie opierając się na słowach kluczowych. Dzięki uczeniu się preferencji użytkownika w zakresie prywatności, osiąga on wyższą dokładność niż tradycyjne narzędzia, ilustrując, w jaki sposób AI może dostosować klasyfikację danych do rzeczywistych kontekstów. Badanie podkreśla, że wrażliwość informacji zależy zarówno od kontekstu aplikacji, jak i preferencji użytkownika, a skuteczna ochrona w erze chmury wymaga najpierw możliwości zidentyfikowania takich danych.
Wykrywanie anomalii w punktach końcowych lub sieci
Wykrywanie anomalii monitoruje punkty końcowe i ruch sieciowy pod kątem nietypowych zachowań, które mogą wskazywać na naruszenie bezpieczeństwa.
Jak AI zmienia wykrywanie anomalii w punktach końcowych i sieci:
AI uczy się, jak wygląda normalna aktywność i flaguje odchylenia, które mogą sygnalizować złośliwą aktywność. W przeciwieństwie do systemów opartych na sygnaturach, może wykrywać bardziej subtelne włamania, które wymykają się tradycyjnemu wykrywaniu. AI umożliwia szybsze i skuteczniejsze reagowanie na incydenty poprzez priorytetyzację alertów i redukcję fałszywych alarmów.
Wyróżniony przypadek: Wykorzystanie AI do wykrywania anomalii w krytycznych systemach
W 2024 r, Nwoye i Nwagwughiagwu zbadali, w jaki sposób wykrywanie anomalii oparte na AI może poprawić cyberobronę w punktach końcowych i sieciach. Wykorzystując modele uczenia maszynowego przeszkolone w zakresie normalnych wzorców zachowania systemu i ruchu sieciowego, ich podejście pozwoliło im zidentyfikować subtelne odchylenia, które tradycyjne systemy oparte na sygnaturach mogłyby przeoczyć, w tym na przykład wczesne oznaki zagrożeń wewnętrznych i naruszeń danych.
W badaniu przedstawiono przykłady przypadków z krytycznych sektorów, pokazując, że wykrywanie anomalii z obsługą AI skróciło czas reakcji i pomogło utrzymać ciągłość biznesową, sygnalizując podejrzaną aktywność, zanim spowodowała poważne szkody. Autorzy uznali również wyzwania, w tym fałszywe alarmy i potrzebę przejrzystości w złożonych modelach AI. Przypadek ten pokazuje, w jaki sposób AI przyczynia się zarówno do gotowości (poprzez ustanowienie linii bazowych normalnej aktywności), jak i reakcji (poprzez wykrywanie i nadawanie priorytetu anomaliom w czasie rzeczywistym).
-
Wykrywanie anomalii oparte na GAN - "TadGAN: Time Series Anomaly Detection Using Generative Adversarial Networks" (Geiger i in. 2020)
W artykule przedstawiono TadGAN, nienadzorowaną strukturę, która stosuje spójne cyklicznie sieci GAN do wykrywania anomalii w danych szeregów czasowych. Łącząc błędy rekonstrukcji z krytycznymi wynikami, TadGAN generuje wiarygodne wyniki anomalii i redukuje liczbę fałszywych alarmów. Przetestowany na 11 wzorcowych zestawach danych z domen, konsekwentnie przewyższał najnowocześniejsze metody. Badanie pokazuje, w jaki sposób GAN może poprawić wykrywanie subtelnych anomalii czasowych w różnych rzeczywistych systemach. -
Uczenie maszynowe do wykrywania anomalii w infrastrukturze - "AI Defenders: Machine Learning Driven Anomaly Detection in Critical Infrastructures" (Nebebe et al. 2024)
W artykule porównano modele uczenia maszynowego do wykrywania anomalii w infrastrukturze krytycznej, wykorzystując dane szeregów czasowych z symulatora układu hydraulicznego. Rozróżnia on anomalie punktowe (pojedyncze wartości odstające) od anomalii kontekstowych (odchylenia widoczne tylko w kontekście) i porównuje proste modele interpretowalne (np. regresja logistyczna, drzewa decyzyjne) z bardziej złożonymi modelami czarnoskrzynkowymi w spójnych zestawach danych. Celem jest ocena, które metody najlepiej sprawdzają się w rzeczywistych warunkach przemysłowych. W artykule podkreślono, że chociaż złożone modele mogą zapewniać wyższe wskaźniki wykrywalności, prostsze metody nadal oferują zalety w zakresie interpretowalności i odporności we wrażliwych domenach infrastruktury.
Ogólne zadania związane z pisaniem i gromadzeniem/analizą danych
Operacje obronne obejmują również obszerne pisanie, badania i analizę danych w celu dokumentowania incydentów, informowania o decyzjach i szkolenia personelu.
Jak AI zmienia ogólne zadania związane z pisaniem i gromadzeniem lub analizą danych:
AI może opracowywać raporty, zasady i odprawy dotyczące incydentów, zmniejszając obciążenie administracyjne analityków. Może zautomatyzować gromadzenie danych wywiadowczych z otwartych źródeł na potrzeby ćwiczeń, umożliwiając studentom i profesjonalistom skupienie się na analizie i strategii wyższego poziomu zamiast na powtarzalnych zadaniach.
Wyróżniony przypadek: Zautomatyzowane gromadzenie danych wywiadowczych i raportowanie
W 2024 r, Gao et al wprowadziła ThreatKG, system oparty na AI, który automatycznie zbiera informacje o cyberzagrożeniach z otwartych źródeł, wyodrębnia kluczowe jednostki, takie jak podmioty i luki w zabezpieczeniach, i organizuje je w ustrukturyzowany graf wiedzy. Zamiast ręcznego czytania przez analityków długich, nieustrukturyzowanych raportów, system zapewnia skonsolidowany i przeszukiwalny przegląd. Zmniejsza to obciążenie administracyjne związane z operacjami obronnymi, wspiera szybsze tworzenie informacji o incydentach i poprawia świadomość sytuacyjną podczas aktywnych zagrożeń. Przekształcając fragmentaryczne informacje w przystępne spostrzeżenia, ThreatKG pozwala pracownikom poświęcić więcej czasu na interpretację i podejmowanie decyzji. Badanie ilustruje, w jaki sposób AI może zmienić codzienną pracę obronną, czyniąc gromadzenie danych wywiadowczych bardziej wydajnym i praktycznym, jednocześnie podkreślając potrzebę nadzoru w celu zapewnienia dokładności i trafności.
-
Zarządzanie, etyczne, prawne i społeczne implikacje AI w OSINT - "Open Source Intelligence and AI: A Systematic Review" (Ghioni et al. 2023)
W artykule dokonano przeglądu 571 badań dotyczących AI w OSINT, wykorzystania AI w wywiadzie open source (OSINT), analizując jego implikacje zarządcze, etyczne, prawne i społeczne. W przeglądzie stwierdzono, że AI rozszerzył możliwości OSINT poprzez uczenie maszynowe, eksplorację danych i wizualną kryminalistykę, ale także wzbudził pilne obawy dotyczące prywatności, odpowiedzialności, stronniczości i niewłaściwego wykorzystania. Autorzy podkreślają luki w regulacjach, nadzorze i przejrzystości, wzywając do stworzenia silniejszych ram w celu zapewnienia, że OSINT oparty na AI wspiera operacje wywiadowcze bez podważania praw, zaufania lub demokratycznej odpowiedzialności. -
Zautomatyzowane generowanie raportów - "AGIR: Automatyzacja raportowania analizy cyberzagrożeń za pomocą generowania języka naturalnego" (Perrina et al. 2023)
W artykule przedstawiono AGIR, system generowania języka naturalnego, który tworzy kompleksowe raporty CTI z formalnych grafów encji. AGIR skraca czas pisania raportów o ponad 40% przy zachowaniu wysokiej dokładności i płynności, demonstrując, w jaki sposób AI może zautomatyzować zadania związane z tworzeniem i analizą raportów, uwalniając analityków do skupienia się na interpretacji i strategii wyższego poziomu.
Generowanie danych syntetycznych
Generowanie danych syntetycznych tworzy sztuczne zbiory danych do szkolenia, testowania lub symulacji bez ujawniania wrażliwych informacji ze świata rzeczywistego.
Jak AI zmienia generowanie danych syntetycznych:
AI może generować realistyczny ruch sieciowy lub próbki złośliwego oprogramowania do użytku laboratoryjnego, wypełniać luki, w których dane ze świata rzeczywistego są niedostępne, i chronić prywatność, umożliwiając jednocześnie eksperymentowanie. Pomaga to edukatorom i obrońcom przygotować się na prawdziwe incydenty bez ryzyka ujawnienia wrażliwych danych.
Wyróżniony przypadek: Wykorzystanie sieci GAN do tworzenia bezpiecznych i realistycznych danych treningowych
W 2022 r, Nukavarapu et al opracowała MirageNet, framework wykorzystujący generatywne sieci przeciwstawne (GAN) do tworzenia realistycznego syntetycznego ruchu sieciowego. System może replikować wzorce ruchu DNS i innych protokołów w sposób, który ściśle przypomina rzeczywiste dane, ale bez ujawniania poufnych informacji z sieci na żywo.
Ta innowacja jest ważna, ponieważ obrońcy i nauczyciele często potrzebują realistycznych danych do szkolenia, testowania i eksperymentowania, ale nie zawsze mogą korzystać z ruchu operacyjnego ze względu na prywatność lub bezpieczeństwo. MirageNet umożliwia bezpieczne symulacje, które przygotowują analityków do prawdziwych ataków, jednocześnie unikając ryzyka ujawnienia. Wykorzystanie AI, a w tym przypadku sieci GAN, pozwala na bezpieczniejsze i bardziej skalowalne eksperymenty. Jednocześnie ważne jest, aby zweryfikować, czy dane syntetyczne rzeczywiście odzwierciedlają rzeczywiste warunki operacyjne, zapewniając, że szkolenia i testy pozostają wiarygodne.
-
Głębokie uczenie dla syntetycznego modelowania ruchu sieciowego - "STAN: Syntetyczne generowanie ruchu sieciowego za pomocą generatywnych modeli neuronowych" (Xu i in. 2021)
W artykule przedstawiono STAN (generowanie syntetycznego ruchu sieciowego za pomocą autoregresyjnych modeli neuronowych), architekturę neuronową, która modeluje zarówno czasowe, jak i atrybutowe zależności w ruchu sieciowym w celu generowania realistycznych zbiorów danych. Wyniki pokazują, że modele wykrywania anomalii wytrenowane na syntetycznym ruchu STAN osiągnęły niemal porównywalną dokładność do tych wytrenowanych na rzeczywistych danych, pokazując, w jaki sposób głębokie uczenie się umożliwia tworzenie wysokiej jakości syntetycznych zbiorów danych do szkolenia i symulacji gotowości przy jednoczesnym zachowaniu prywatności. -
Ocena metod generowania ruchu syntetycznego - "Syntetyczne generowanie danych o ruchu sieciowym: Badanie porównawcze" (Ammara i in., 2025)
Badanie ocenia dwanaście metod generowania syntetycznego ruchu, w tym statystyczne, klasyczne AI i generatywne podejścia AI, przy użyciu standardowych zestawów danych. Wyniki pokazują, że modele oparte na GAN zapewniają lepszą wierność i użyteczność, podczas gdy metody statystyczne zachowują równowagę klasową, ale tracą złożoność strukturalną.
Zarządzanie tożsamością i dostępem (IAM)
Zarządzanie tożsamością i dostępem (IAM) zapewnia, że tylko autoryzowani użytkownicy mają odpowiedni dostęp do systemów i zasobów.
Jak AI zmienia zarządzanie tożsamością i dostępem:
AI wzmacnia IAM poprzez wykrywanie anomalnych wzorców logowania, które mogą sygnalizować niewłaściwe użycie poświadczeń, rekomendowanie adaptacyjnych zasad uwierzytelniania i automatyzację rutynowych kontroli. Podczas incydentów może szybko oznaczać zagrożone konta i uruchamiać silniejsze mechanizmy kontroli w celu powstrzymania zagrożeń.
Wyróżniony przypadek: Wykrywanie nietypowego i niewłaściwego dostępu
W 2024 r, Sprzedaż przeprowadziła badanie proof-of-concept dotyczące zastosowania AI w systemach IAM. Dzięki zintegrowaniu modelu wykrywania anomalii z działającą platformą IAM, system był w stanie oznaczyć nietypowe zachowania logowania i nieodpowiednie uprawnienia dostępu. Takie podejście umożliwia organizacjom szybsze wykrywanie naruszonych kont lub nadużyć wewnętrznych oraz dynamiczne dostosowywanie zasad uwierzytelniania w przypadku wykrycia zagrożeń. Badanie wykazało wyraźny wzrost wydajności przy jednoczesnym podkreśleniu ciągłej potrzeby ludzkiego nadzoru w celu interpretacji oznaczonych anomalii i uniknięcia niepotrzebnych zakłóceń. AI pozwala zatem wzmocnić codzienną kontrolę dostępu i może przekształcić IAM w bardziej adaptacyjną i proaktywną linię obrony.
-
Audyt infrastruktury krytycznej - "AI-Powered IAM Audit for Anomaly Detection in Critical Infrastructure" (Rodriguez et al. 2025)
W artykule zaproponowano strukturę audytu IAM opartą na AI, która łączy inżynierię cech, nienadzorowane wykrywanie anomalii i nadzorowaną klasyfikację w celu analizy dzienników IAM. Na syntetycznym zbiorze danych wzorowanym na infrastrukturze krytycznej, system osiągnął wskaźnik wykrywalności 92% przy wskaźniku fałszywych alarmów poniżej 3%. Wyniki pokazują, w jaki sposób AI usprawnia audyt dzienników IAM, umożliwiając proaktywne wykrywanie zagrożeń wewnętrznych i subtelnych anomalii dostępu, których tradycyjne metody często nie dostrzegają.
Analiza dziennika
Analiza logów bada logi systemowe i bezpieczeństwa w celu wykrycia, zbadania i zrozumienia incydentów.
Jak AI zmienia analizę logów:
AI może przetwarzać ogromne ilości dzienników w czasie rzeczywistym, podkreślać nietypowe sekwencje zdarzeń i generować zwięzłe podsumowania. Poprawia to wykrywanie i pozwala na szybsze nauczanie i symulacje incydentów.
Wyróżniony przypadek: Agenci AI do analizowania dzienników i wykrywania wzorców zagrożeń
W 2025 r, Karaarslan et al zbadano, w jaki sposób agenci AI mogliby wspierać analizę obszernych dzienników generowanych przez honeypoty Cowrie. Honeypoty celowo imitują podatne na ataki systemy, aby przyciągnąć atakujących, ale rezultatem jest przytłaczająca ilość surowych danych, których interpretacja stanowi wyzwanie dla ludzkich analityków.
Naukowcy wykazali, że agenci AI mogą automatycznie analizować i podsumowywać te dzienniki, wyodrębniając powtarzające się wzorce ataków i generując zwięzłe raporty. Automatyzacja ta zmniejsza wysiłek ręczny, zwiększa świadomość sytuacyjną i pozwala obrońcom szybciej wykrywać trendy i dostosowywać środki bezpieczeństwa. Badanie ilustruje, w jaki sposób AI może przekształcić niemożliwe do zarządzania zbiory danych w przydatne dane wywiadowcze, jednocześnie podkreślając potrzebę starannej walidacji wyników, aby ewoluujące lub zwodnicze taktyki przeciwników nie zostały błędnie odczytane.
-
Samonadzorowana analiza logów - "AI-Driven Log Analysis Using Transformer Constructs" (Pan 2023)
W niniejszym badaniu zbadano, w jaki sposób AI może wspierać analizę dzienników w celu wykrywania i badania incydentów. Korzystając z modelu Transformer wyszkolonego na normalnych wpisach dziennika, podejście to stosuje rozszerzenie dziennika do samonadzorowanego uczenia się cech, a następnie dostraja model za pomocą uczenia się ze wzmocnieniem na małym zestawie danych z etykietami. Wyniki wskazują, że metoda ta może sprostać wyzwaniom związanym z heterogenicznymi źródłami dzienników i niewielką ilością etykietowanych danych, wykazując obietnicę praktycznego i rzeczywistego wdrożenia w operacjach cyberbezpieczeństwa. -
Analiza logów oparta na uczeniu głębokim do wykrywania włamań - "Klasyfikacja dzienników zdarzeń cyberataków przy użyciu głębokiego uczenia z semantyczną analizą cech" (Alzu'bi et al. 2025)
W niniejszym badaniu zaproponowano strukturę opartą na głębokim uczeniu się, wykorzystującą wektoryzację semantyczną i osadzanie BERT do analizy dzienników zdarzeń w celu wykrywania włamań. Dzięki kategoryzacji dzienników według typów zdarzeń i ataków z możliwym do wyjaśnienia AI, podejście to poprawia dokładność wykrywania, osiągając ponad 99% recall i precyzji oraz przewyższa istniejące modele.
Analiza złośliwego oprogramowania
Analiza złośliwego oprogramowania bada złośliwe oprogramowanie, aby zrozumieć jego zachowanie, pochodzenie i potencjalny wpływ.
Jak AI zmienia analizę złośliwego oprogramowania:
AI przyspiesza klasyfikację, identyfikując podobieństwa kodu w rodzinach złośliwego oprogramowania i generując objaśnienia wykonania piaskownicy. Pomaga analitykom szybko zrozumieć, jak działa złośliwe oprogramowanie, wspierając szybszą reakcję i skuteczniejsze łagodzenie skutków.
Wyróżniony przypadek: Demontaż złośliwego oprogramowania wspomagany przez AI
W 2025 r, Apvrille i Nakov oceniła R2AI, wtyczkę AI dla dezasemblera Radare2, na najnowszych próbkach złośliwego oprogramowania dla systemów Linux i IoT. System integruje LLM z procesem inżynierii wstecznej, pomagając analitykom dekompilować funkcje, zmieniać nazwy zmiennych i identyfikować podejrzane zachowania. Badanie wykazało, że pomoc AI może skrócić czas analizy z kilku dni do około połowy, zachowując przy tym taką samą lub lepszą jakość niż analiza wykonywana wyłącznie przez człowieka. Na przykład, w przypadku złośliwego oprogramowania Linux/Devura, AI poprawnie wywnioskował formaty argumentów, które przeoczyli ludzcy analitycy. Pozostały jednak ograniczenia: modele czasami powodowały halucynacje, przesady lub pominięcia i wymagały stałej walidacji przez wykwalifikowanych ekspertów. Wyniki sugerują, że demontaż wspomagany przez AI jest najskuteczniejszy jako mnożnik siły, przyspieszając triage i szybciej odkrywając szczegóły, a jednocześnie nadal opierając się na ludzkim nadzorze, aby zapewnić dokładność i uniknąć błędnej interpretacji.
-
Segmentacja semantyczna dla klasyfikacji - "Deep Learning with Semantic Segmentation for Malware Classification" (Chen i in. 2025)
Badanie pokazuje, że zastosowanie AI do wybranych części plików złośliwego oprogramowania, a nie całych sekwencji plików, może znacznie poprawić wydajność. Skupiając się na danych nagłówkowych przenośnych plików wykonywalnych, model osiągnął dokładność 99,54% w klasyfikacji rodzin złośliwego oprogramowania. Sugeruje to, że ukierunkowanie na najbardziej informacyjne sekcje kodu umożliwia szybsze i bardziej niezawodne wykrywanie zagrożeń. -
Few-shot learning dla nowego złośliwego oprogramowania - "Kilkustrzałowa klasyfikacja złośliwego oprogramowania do rozpoznawania nieznanej rodziny przy użyciu wizualizacji cech złośliwego oprogramowania" (Conti et al. 2022)
W artykule zaproponowano wykorzystanie uczenia kilkustrzałowego do klasyfikowania rodzin złośliwego oprogramowania za pomocą zaledwie kilku przykładów, unikając konieczności ponownego trenowania modeli za każdym razem, gdy pojawia się nowe złośliwe oprogramowanie. Wizualizując pliki binarne złośliwego oprogramowania jako 3-kanałowe obrazy i testując dwie architektury (CSNN i Shallow-FS), badanie wykazało wysoką dokładność zarówno w klasyfikacji tradycyjnego, jak i nowego złośliwego oprogramowania. Pokazuje to potencjał podejść typu "few-shot" w zakresie poprawy zdolności adaptacyjnych i szybkości wykrywania pojawiających się zagrożeń.
Szkolenia i laboratoria
Szkolenia i laboratoria zapewniają kontrolowane środowiska do praktycznych ćwiczeń i symulacji w zakresie cyberbezpieczeństwa.
Jak AI zmienia szkolenia i laboratoria:
AI może generować dynamiczne scenariusze laboratoryjne dostosowane do postępów ucznia, tworzyć adaptacyjne wyzwania o różnym stopniu trudności oraz automatyzować informacje zwrotne i ocenę. Zapewnia to bardziej realistyczne i skalowalne szkolenia.
Wyróżniony przypadek: Cyberzasięg zasilany przez AI do treningu adaptacyjnego
W 2025 r, Sisodiya et alwprowadziła na rynek platformę cybernetyczną opartą na AI, zaprojektowaną w celu zwiększenia realizmu i skuteczności szkoleń z zakresu cyberbezpieczeństwa. W przeciwieństwie do tradycyjnych statycznych laboratoriów, platforma wykorzystuje AI do dostosowywania trudności scenariuszy w zależności od postępów ucznia, wstrzykiwania realistycznych zdarzeń ataku i dostarczania automatycznych informacji zwrotnych.
Badanie wykazało, że studenci przeszkoleni w tym środowisku osiągnęli wyższą dokładność wykrywania i skrócili czas łagodzenia skutków w porównaniu z konwencjonalnymi podejściami. Dla nauczycieli system umożliwia skalowanie ćwiczeń, personalizowanie wyzwań i włączanie lekcji z prawdziwych incydentów do symulacji.
Badania wykazały również, że architektury hybrydowe, łączące skalowalność chmury z wiernością systemów fizycznych, zapewniają bardziej realistyczne i adaptacyjne scenariusze. Odkrycia te podkreślają, w jaki sposób AI może przekształcić szkolenia ze stałych ćwiczeń w dynamiczne środowiska uczenia się, które lepiej przygotowują studentów i profesjonalistów na rzeczywiste zagrożenia cybernetyczne.
-
Metody szkolenia w zakresie cyberbezpieczeństwa - "Systematyczny przegląd aktualnych metod szkoleniowych w zakresie cyberbezpieczeństwa" (Prümmer et al. 2024)
Artykuł pokazuje, że szeroki zakres podejść szkoleniowych w zakresie cyberbezpieczeństwa, w tym metody oparte na grach, poprawia zachowanie użytkowników końcowych i wyniki w zakresie bezpieczeństwa organizacyjnego. Wyniki podkreślają skuteczność ustrukturyzowanych programów szkoleniowych, ale także ujawniają wyzwania, takie jak małe rozmiary prób i nieeksperymentalne projekty. Podkreśla to wartość integracji AI ze szkoleniami i laboratoriami w celu skalowania interwencji, personalizacji treści i generowania ćwiczeń adaptacyjnych, które przezwyciężają ograniczenia tradycyjnych metod.
Pytania do dyskusji
- Która faza cyklu życia incydentu cybernetycznego (zapobieganie, gotowość, reagowanie, odzyskiwanie) najprawdopodobniej zostanie przekształcona przez AI w przyszłości, a w której fazie AI obecnie robi największą różnicę? Gdzie AI wydaje się najmniej skuteczny?
- Czy AI przesuwa równowagę sił w cyberprzestrzeni w kierunku obrońców, czy też głównie pomaga atakującym utrzymać przewagę?
- Czy otwarte i powszechnie dostępne narzędzia AI wyrównają szanse małych obrońców, czy też zaawansowane systemy własnościowe nadal będą dawać dużym organizacjom przytłaczającą przewagę?
- W jaki sposób zdolność AI do automatyzacji wykrywania, selekcji i reagowania zmienia szybkość i charakter operacji obronnych? Czy może to sprawić, że "tradycyjne modele SOC" staną się przestarzałe?
- Czy obrońcy mogą stać się zbyt zależni od AI, prowadząc do martwych punktów, jeśli modele zawiodą, zostaną zatrute lub oszukane przez dane wejściowe przeciwnika?
- Kto ponosi odpowiedzialność, jeśli systemy AI przeoczą krytyczne zagrożenia lub wydadzą błędne zalecenia: programiści, organizacje wdrażające lub analitycy, którzy na nich polegają?
- W jaki sposób decydenci polityczni powinni zachęcać do odpowiedzialnego korzystania z AI w obronie bez tłumienia innowacji lub ograniczania dostępu dla nauczycieli i mniejszych organizacji?
- W miarę jak zarówno atakujący, jak i obrońcy przyjmują AI, czy konflikt cybernetyczny przekształci się w rywalizację "autonomicznej obrony z autonomicznym atakiem"?
