ראיון
"הסוכנים עשו הכל בעצמם, ה־AI הצליחה לפרוץ לבד"
נקודות עיקריות.כלכליסט AI
- מתקפות הסייבר האיראניות על תשתיות המים בארה"ב נועדו לייצר השפעה פסיכולוגית רחבה ולהדגים יכולת חדירה למערכות מבוזרות, גם אם אינן פוגעות ברוב האוכלוסייה או בכלכלה באופן ישיר.
- שילוב בינה מלאכותית בתחום הסייבר מעצים את האיום בכך שהוא מאפשר אוטומציה מלאה של זיהוי חולשות ופיתוח מתקפות במהירות ובקנה מידה חסרי תקדים, ללא צורך במומחיות אנושית מעמיקה.
- חוסן סייבר מחייב שינוי תפיסתי המניח שחדירה לרשת היא בלתי נמנעת, מה שמצריך התמקדות ביכולת בלימת התוקף בתוך המערכת ושמירה על מודעות מצבית רציפה בכל רמות התשתית.
אדמירל (בדימוס) מייק רוג'רס, שותף ב־Team8 ולשעבר ראש ה־NSA, מפקד פיקוד הסייבר של ארה"ב ומפקד שירותי הביטחון המרכזי. לפני כשבועיים נחשף שהאקרים איראניים תקפו תשתיות אספקת המים בארה"ב. עד כמה המתקפה הזו תקדימית?
"זה לא משהו חדש עבור האיראנים. אני לא ממעיט בערך של זה, אלא מנסה לשים את זה בהקשר. ראינו אותם סביב מערכות מים בארה"ב בעבר, הם תקפו מים בישראל, ראינו אותם סביב תשתית מים במפרץ הפרסי. אני לא מופתע ממה שראינו. מעבר לכך, אנחנו לא מבינים עדיין את היקף המאמץ שלהם במלואו. רואים דיווחים נקודתיים, כי בארה"ב מים מנוהלים בדרך כלל ברמה המקומית. אין ספק מים יחיד עבור מדינה או אזור, זו מערכת מאוד מבוזרת. היא נעה בין גופים גדולים מאוד שמספקים מים לאזורים עירוניים שנמדדים במיליוני לקוחות, ועד לגופים שמספקים מים לעיירות וכפרים של מאות עד אלפי אנשים".
מייק רוג'רס (66)
מקום מגורים:
שיקגו
מצב משפחתי:
נשוי + 2
השכלה:
תואר ראשון מאוניברסיטת אובורן באלבמה, תואר שני באסטרטגיית ביטחון לאומי מהאוניברסיטה לביטחון לאומי (NDU) בוושינגטון
תפקידים קודמים:
אדמירל בעל 4 כוכבים בחיל הים האמריקאי (בדימוס), היה בין השאר מפקד פיקוד הסייבר של ארה"ב (USCYBERCOM), ראש הסוכנות לביטחון לאומי (NSA) ושירות הביטחון המרכזי (CSS)
ובהיותה מבוזרת, היתרון הוא שאי אפשר להפיל את המערכת במכה אחת. החיסרון הוא שיש הרבה יותר נקודות תורפה שתוקפים יכולים לנצל.
"נכון. אם היית מסתכל על זה מזווית הגנתית, אנחנו קוראים לזה סגמנטציה. זה מה שאתה מנסה ליצור כרכיב של חוסן סייבר. הצד השני, כפי שציינת: לא רק שיש הרבה יותר נקודות גישה, אתה מתמודד עם המון עיירות ועיריות קטנות ממש, שמומחיות הסייבר שלהן מוגבלת מאוד. אין להן הרבה משאבים וידע. יש רמה מסוימת של פגיעות מובנית שהאיראנים הראו עניין בלנסות לנצל את זה".
עד כמה ארה"ב מוכנה למתקפות כאלו? אפילו לפני שמדברים על הסכנות החדשות שסוכני AI מייצגים.
"אני באופן אישי מרגיש די בנוח לגבי האזורים העירוניים הגדולים עם מערכות המים הגדולות ביותר, אבל גם עם הידע הגדול ביותר באבטחת סייבר וגישה ליותר משאבים. המאמצים שלנו שם היו מאוד סבירים. אני אומר סבירים, כי מול יריב נחוש הסיכויים הם שלא תצליח להשאיר אותו בחוץ. מצד שני, יש המון סגמנטים קטנים. בדיווחים האחרונים של ה־FBI נראה שעד כה המאמץ נטה להיות ממוקד בקהילות קטנות יותר, לא בניו יורק, לוס אנג'לס או אטלנטה. זה לא מפתיע אותי, יעד קטן יותר, בתפיסה האיראנית, מציע את הסתברות ההצלחה הגבוהה ביותר. הם רוצים לייצר אימפקט לרוחב חלקים משמעותיים מארה"ב. הם ניסו להעביר מסר ש'הנה, תראו, אנחנו יכולים לייצר פיזור גיאוגרפי די רחב של אימפקט'".
אז יש רכיב פסיכולוגי. מנקודת מבט מספרית, המתקפות משפיעות על חלק קטן מאוכלוסיית ארה"ב, אבל ברגע שאתה מונה שבע מדינות, זה נראה רציני יותר.
"כן, זה מימד של האירוע. זה לא ישתק את הכלכלה האמריקאית, 99% מהאוכלוסיה שלנו לא יושפעו. זו לא הנקודה. בתפיסה האיראנית, זה ניסיון להראות שהם יכולים לייצר אימפקט רחב מבחינה גיאוגרפית, והם מנסים לשתול את הזרע: 'אנחנו יכולים לעשות עוד מזה. אנחנו יכולים להרחיב את זה'. יש לזה מימד פסיכולוגי מובהק".
על המימד הפסיכולוגי של הסייבר האיראני: "זה לא ישתק את הכלכלה האמריקאית. הם מראים שהם יכולים לייצר אימפקט רחב גיאוגרפית, ומנסים לשתול זרע שהם יכולים"
עכשיו אנחנו רואים מודלי AI שמסוגלים למצוא חולשות בקוד תוכנה; סוכנים שברחו מסביבת הבדיקה הסגורה שלהם ותקפו מטרות באינטרנט כמו אתר האגינג פייס (Hugging Face). מה הסכנות עכשיו, כשתכנון והוצאה לפועל של מתקפות סייבר יותר קלים, ואולי כבר לא חייבים להיות גורם מדינתי כדי לבצע מתקפה כזו?
"מבחינת הדארק ווב וכמות הכלים שזמינים לכל משתמש שרוצה למצוא אותם או לשלם עליהם – אתה לא חייב להיות מדינה כדי לייצר אימפקט משמעותי בסייבר כיום, בלי קשר ל־AI וטכנולוגיה מתקדמת. זו אחת הסיבות שסייבר תמיד מעניין, אפשר לבצע מתקפות עם אימפקט נקודתי בעלות נמוכה מאוד של כסף, כוח אדם ומומחיות. AI רק תגדיל את זה. היא לא משנה באופן יסודי את אבטחת הסייבר, אלא מביאה מהירות וקנה מידה שאנחנו לא מורגלים אליהם בסט הבעיות הזה. התמודדנו עם מתקפות בעבר, התמודדנו עם חולשות. AI לוקחת את הפגיעות הזו ומוסיפה עוד מימד של מהירות על ידי אמירה: 'אוקיי, אז הנה הפגיעות הזו. איך אני בעצם אפתח מתקפת סייבר כדי לנצל אותה בפועל?'. AI מאפשרת לנו לעשות את כל זה עכשיו בסט פעולות אוטומטי אחד. כפי שראינו עם האגינג פייס, סוכני ה־AI עשו את כל האירוע. הם השיגו גישה לרשת, זיהו את החולשות, פיתחו את השיטות להשיג גישה, והם עשו את הכל בעצמו בצורה מאוד משולבת וקוהרנטית. זה משהו חדש שאנחנו לא מורגלים אליו".
סייבר הוא המאזן הגדול. כשמוסיפים AI למשוואה, זה גורם משווה עוד יותר גדול.
"לפני AI, היית צריך למצוא מישהו שיש לו את הידע. אז, למשל, אם אתה גולש בדארק ווב ורוצה להיכנס לתחום הכופרות אתה תמצא גורמים שיגידו לך: 'אני אכתוב תוכנות זדוניות בשבילך. אני אנהל חילופי ביטקוין בשבילך. אני אנהל מו"מ בשבילך'. עם AI אנחנו לא חייבים להגיע לאנשים אחרים עם ידע, היא יוצרת את זה בעצמה. לוקחת רבים מהאתגרים הקיימים שכבר נמצאים שם, אבל שמה אותם בקצב ובקנה מידה שאנחנו לא מורגלים אליהם".
זה אומר שנראה הרבה יותר מתקפות נגד תשתיות קריטיות שמבוצעות על ידי הרבה יותר שחקנים: חסות מדינתית, מזוהים עם מדינות, שחקנים פרטיים, כמו פשוט איזה בחור בטהרן או בצרפת שמזדהה עם איראן ורוצה לתקוף את ארה"ב או יעדים אחרים?
"אתה הולך לראות מנעד שלם של שחקנים בחוץ. גם אנשים פרטיים שאינם מרוצים, מתוסכלים, או שאולי הם פשוט רוצים להראות שהם חכמים ויכניעו את הרשות המקומית שבה הם גרים. גם מדינות שרוצות לבצע תוכניות מאוד מתוזמרות, ממוקדות, אסטרטגיות, גדולות ומקיפות נגד תשתיות. חלק מהאתגר באבטחת סייבר הוא שאנחנו לא יכולים לטייב את עצמנו רק עבור שחקן אחד, מתודולוגיה או גישה אחת, רק עבור רמה אחת של טכנולוגיה פה. יש מנעד שלם בחוץ, שזה תמיד היה חלק מהסיבוך. המחשבה היתה שאם אתה מטייב את עצמך להתגונן מול השחקנים בעלי היכולות והטכנולוגיות הכי מתקדמות, אז כל השאר הופך למקרה קל יותר שאתה יכול להתמודד איתו. אבל חייבים להכיר בכך שיש מנעד עצום של שחקנים בחוץ עם סט שונה של מניעים, יעדים ושיקולי סיכון".
על המימד הפסיכולוגי של הסייבר האיראני: "זה לא ישתק את הכלכלה האמריקאית. הם מראים שהם יכולים לייצר אימפקט רחב גיאוגרפית, ומנסים לשתול זרע שהם יכולים"
איך מדינות או שחקני תשתית אחרים, כמו ערים, צריכים להסתגל למציאות החדשה הזו?
"זה שילוב של דברים. אין דבר אחד פה שאם תעשה אותו, הכל יהיה מושלם. מספר אחת, חוסן סייבר הופך להיות יותר ויותר חשוב. יש הסתברות גבוהה שמנעד השחקנים הזה בעל סיכוי די טוב להשיג גישה למבנה הרשת שלך. לכן, אתה צריך לשאול את עצמך: 'איך מסגרת אבטחת הסייבר שלי נראית אם זה נכון?'. מה אתה הולך לעשות כדי לטייב את הרשת והתהליכים הפנימיים שלך כשחדירה מתרחשת? איך אתה הולך לעצור את התוקף מלתקוף רוחבית בתוך מבנה הרשת שלך? איך אתה מבטיח שיש לך מודעות מצבית לגבי מה שקורה ברשת שלך? איך אתה אתה הולך למנוע את היכולת של היריב להעלות נוזקות למערכת או להוריד נתונים כדי להוציא חומר מהרשת שלך? זה תהליך מחשבתי שונה מאשר אם הפוקוס היחיד שלך הוא: 'אני חייב לעצור את הבחור הזה מלהיכנס'. מספר שתיים, זו המציאות של העולם שבו אנחנו חיים. מה שאנחנו רואים מסט האירועים שהתחיל את השיחה שלנו הוא שזה לא משנה כמה אתה קטן, זה לא משנה איפה אתה נמצא. אתה לא יכול להגיד לעצמך, 'אני עיירה קטנה של 1,500 איש במינסוטה. אנחנו כל כך קטנים, אף אחד לא יבוא אלינו". המציאות היא שאבטחת סייבר וחוסן סייבר חייבים להיות רכיב ליבה של כל מבנה רשת אוטומטי ומקושר שאנחנו מפעילים כיום".
עד כמה אתה מודאג מהסיכון של מודלים פתוחים? ראינו הרבה מודלים מאוד בעלי יכולת שמגיעים מסין, וכמעט כולם מודלים פתוחים שיכולים לרוץ מקומית. הם משפיעים יותר ממודלים סגורים כמו קלוד או GPT?
"זו לא הדרך הנכונה להסתכל על זה, כאילו אחד חשוב יותר מהשני. אנחנו חייבים להסתכל על זה כעל אקו־סיסטם, ושניהם יהיו בחוץ. זה לא 'או זה או זה', גם במונחים של ניצול וגם במונחים של מה האיום או מה ההשלכה. הם שונים, אבל הם עדיין שם בחוץ. עדיין יש איום ואתגר לרוחב המנעד הזה".
אתה חושב שהממשל הפדרלי הנוכחי מודע ולוקח את סוג הסיכון הזה ברצינות? אני שואל כי הניו יורק טיימס דיווח שבשיחת קבינט בנושא המתקפה על תשתיות המים, טראמפ אמר: "אני חושב שמינסוטה עומדת מאחורי זה, אני חושב שהמושל עומד מאחורי זה. אני לא חושב שהיתה מתקפת סייבר איראנית".
"אני לא חושב שיש גורם בעולם שיגיד שהוא נמצא בדיוק איפה שהוא רוצה להיות באבטחת סייבר. זה לא רק אתגר אמריקאי, זה לא רק אתגר ישראלי. אף מדינה בעולם לא נמצאת איפה שהיא רוצה להיות כרגע באבטחת סייבר. השאלה היא מהי האסטרטגיה האפקטיבית ביותר בהתחשב באתגרים שדיברנו עליהם. מה תפקיד המגזר הפרטי, ומה תפקיד הממשל? הממשל הזה חושב שעל בעל הרשת מוטלת האחריות הראשונית להגנה ולאבטחה של הרשת שלו. אני לא בטוח שזו הגישה הטובה ביותר בתחומים מסוימים, כמו תשתית קריטית. ואני מגדיר קריטי כהאם זה באופן מובנה משפיע באופן משמעותי על הביטחון הלאומי, התחרותיות הכלכלית, או הבטיחות והרווחה של האזרחים שלנו? תשתיות קריטיות דורשות גישה שונה מאשר מכבסה שכונתית קטנה או יצרן טרקטורים. אנחנו מנסים להבין מהם הקריטריונים שבהם עלינו להשתמש כדי להחליט מה תפקיד בעל הרשת, מה תפקיד הממשל, ואיך אנחנו הולכים להקצות משאבים: כסף, אנשים, תיעדוף. אתה חייב לגבש מסגרת שתעזור לך לעשות את זה. שימוש במודל התשתית הקריטית הזה הוא דרך טובה אחת לעשות זאת".
