Wdrożenie rozwiązań korzystających z sztucznej inteligencji a cyberbezpieczeństwo

AI w organizacji: przełom technologiczny czy powtórka starych błędów?

Implementacja AI przyspiesza w każdej branży. Ale jeśli historia jest jakąkolwiek wskazówką, sposób, w jaki ją wdrażamy, bardzo przypomina błędy, które popełnialiśmy już wcześniej – a specjaliści ds. cyberbezpieczeństwa widzieli taki scenariusz więcej niż raz.

Z perspektywy cyberbezpieczeństwa widać kilka powtarzających się schematów:

• Technologie z obszaru IT budowane są z myślą o szybkim wejściu na rynek – a dopiero później martwimy się czy są bezpieczne i nie zostaną niewłaściwie wykorzystane.

• Świetnie wdrażamy nowe rozwiązania, ale rzadko wycofujemy stare – a atakujący wykorzystują tę lukę.

• Każda nowa technologia tworzy nowy wektor ataku – AI nie jest wyjątkiem✓ Każda nowa technologia staje się wektorem ataku. AI nie jest wyjątkiem.

• Te same możliwości AI są dostępne dla obrońców i atakujących – ale to obrońcy mają przewagę strukturalną.

Już to wcześniej przerabialiśmy

Ponad dwadzieścia lat pracy w cyberbezpieczeństwie uczy dostrzegać schematy, a ten, który obserwujemy dziś w przypadku AI, nie jest całkowicie nowy.

Szczegóły się zmieniają – mechanizm pozostaje ten sam.

Dobrym przykładem jest rozwój Internetu Rzeczy (IoT). W momencie jego popularyzacji liczyła się przede wszystkim funkcjonalność i szybkość wdrożenia. Bezpieczeństwo zeszło na dalszy plan. Efekt? Urządzenia były dostarczane z domyślnymi nazwami użytkowników i hasłami. Firmware nie miał możliwości aktualizacji.

W 2016 roku botnet Mirai wykorzystał dokładnie te słabości, paraliżując setki tysięcy urządzeń na całym świecie. Prawie dekadę później jego warianty nadal krążą w sieci. Problem nigdy nie został tak naprawdę rozwiązany.

A dziś patrzymy na AI i… widzimy bardzo podobny scenariusz.

Schemat pierwszy: Buduj szybko, zabezpieczaj później (i żałuj tego)

Presja, by dostarczyć produkt, zdobyć udział w rynku i dotrzeć do klientów przed konkurencją, konsekwentnie przeważa nad trudniejszymi pytaniami o to, w jaki sposób technologia może zostać nadużyta.

To nie jest kwestia braku inteligencji czy złych intencji. To problem systemowy. Zespoły odpowiedzialne za wdrożenie technologii rzadko są tymi samymi, które analizują jej potencjalne nadużycia. A zanim scenariusze nadużyć się urzeczywistnią, technologia jest już głęboko osadzona w organizacji.

W przypadku AI obserwujemy to w czasie rzeczywistym. Modele wdrażane na dużą skalę, agenci otrzymujący szeroki dostęp, narzędzia integrowane z procesami biznesowymi – często bez zabezpieczeń, które w innych kontekstach byłyby absolutnie obowiązkowe.

Powtarzający się schemat oznacza również, iż potrzeba zapewnienia bezpieczeństwa nie znika. Ona narasta. Za dziesięć lat nadal będziemy mierzyć się ze skutkami decyzji podejmowanych dziś w obszarze AI. To nie katastroficzna wizja, ale długoterminowe zadanie dla specjalistów ds. bezpieczeństwa.

Schemat drugi: Wdrażamy nowe technologie. Nigdy nie wycofujemy starych.

Zadajmy sobie proste pytanie: jaka jest dziś wartość e-maila w świecie komunikatorów, platform współpracy i dziesiątek innych sposobów komunikacji? Odpowiedź jest prosta: pozostał on niezastąpiony. E-mail istnieje od dekad, a mimo to pozostaje jednym z najczęściej wykorzystywanych wektorów ataku. Dodawaliśmy nowe technologie na istniejące stare rozwiązania, zamiast je usuwać. Każda kolejna warstwa zwiększa powierzchnię ataku, a atakujący – szczególnie specjaliści od socjotechniki – uwielbiają złożoność.

Dokładnie to samo dzieje się dziś z AI. Narzędzia zwiększające produktywność, asystenci AI, systemy agentowe – wszystko to jest dodawane do środowisk obciążonych dekadami nagromadzonych technologii. Każde nowe rozwiązanie może być użyteczne, jednocześnie każde zwiększa powierzchnię ataku.

Pytanie, które za kilka lat okaże się kluczowe, brzmi: czy narzędzia AI zastępują systemy, które dotychczas wspomagały, czy też stanowią jedynie kolejną warstwę w architekturze? Organizacje, które już teraz dobrze to przemyślą, będą w przyszłości lepiej przygotowane na zagrożenia niż te, które tego nie zrobią.

Schemat trzeci: Zagrożenia podążają za technologią

Jeśli sprowadzimy cyberbezpieczeństwo do jego podstawowego celu, dochodzimy do prostej prawdy: istnieją prawdziwi ludzie, rzeczywiste organizacje przestępcze oraz aktorzy państwowi, którzy chcą zdobyć dostęp do naszych zasobów. Właśnie dlatego istnieje bezpieczeństwo. Nie wynika ono z potrzeby spełnienia regulacji – zgodność jest konsekwencją potrzeby bezpieczeństwa, a nie jej przyczyną.

Pewne jest, że właśnie ci aktorzy zagrożeń bardzo uważnie obserwują zmiany technologiczne i szybko się do nich adaptują. Gdy pojawia się technologia dająca nowe możliwości, skalę działania lub dostęp, natychmiast koncentrują na niej swoją uwagę.

AI nie jest wyjątkiem. Te same cechy, które czynią ją potężnym narzędziem dla obrońców – szybkość, rozpoznawanie wzorców, automatyzacja i skalowalność – równie skutecznie wzmacniają atakujących. To nie powód do pesymizmu, a do świadomego przygotowania.

Kto ma przewagę?

To ważne pytanie i odpowiedź ma znaczenie.

Obrońcy mają coś, czego nie mają atakujący: mogą działać jawnie. Zespoły bezpieczeństwa mogą rejestrować się u dostawców AI, korzystać z pełnych możliwości systemów, otwarcie komunikować sposób wykorzystania narzędzi oraz integrować je bezpośrednio z procesami wykrywania i reagowania na incydenty.

Cyberprzestępcy działają w cieniu. Są ograniczeni tym, do czego są w stanie uzyskać niejawny dostęp.

To przewaga strukturalna – i warto ją świadomie rozwijać. Producenci i dostawcy rozwiązań security, którzy zrozumieli, jak AI zmienia krajobraz zagrożeń, i zaczęli wdrażać mechanizmy obrony oparte na AI, zanim kryzys wymusi działanie, są w lepszej pozycji niż ci, którzy będą zwlekać.

Co to oznacza w praktyce?

Jeśli spojrzymy na powyższe schematy, wnioski są bardzo konkretne. Wdrażanie AI w organizacji powinno opierać się na kilku kluczowych zasadach:

1. Najpierw zarządzanie, potem narzędzia.
   Zanim zarekomendujesz lub zatwierdzisz narzędzia AI, sprawdź, do jakich danych mają one dostęp, jakie posiadają uprawnienia i czy wdrożono odpowiednie mechanizmy zabezpieczające.
2. Najpierw widoczność.
   Nie można chronić czegoś, czego się nie widzi. Wiedza o tym, jakie narzędzia AI działają w środowisku klienta – oficjalnie lub nieoficjalnie – jest punktem wyjścia dla każdej spójnej strategii bezpieczeństwa AI.
3. Zarządzanie powierzchnią ataku.
   Każda nowa warstwa technologiczna zwiększa powierzchnię ataku. Zastanów się, co jest dodawane, z czym to się łączy i jak wygląda plan wycofania rozwiązania, jeśli się nie sprawdzi.

AI nie jest wyjątkiem od reguły – jest kolejnym etapem ewolucji technologii, który niesie ze sobą zarówno ogromne możliwości, jak i bardzo konkretne ryzyka.

Schematy są dobrze znane:
nowa technologia → szybkie wdrożenie → opóźnione bezpieczeństwo → realne zagrożenia.

Różnica polega na skali.

Dlatego dziś nie chodzi o to, czy wdrażać AI, ale jak zrobić to świadomie i bez powielania błędów z przeszłości.

Na podstawie materiałów własnych WitHSecure, w szczególności wprowadzenia Christine Bejerasco's w czasie WithSecure SPHERE2YOU Helsinki w kwietniu 2026. Pełna sesja do obejrzenia na: https://youtu.be/GJRU2Bo8euA.