Искусственный интеллект меняет правила кибербезопасности по обе стороны баррикад. Хакеры с его помощью находят уязвимости за считаные минуты, а защитники поручают алгоритмам выявлять и блокировать угрозы. Так противостояние в цифровом мире все больше превращается в гонку ИИ против ИИ.Генеральный директор компании «РТ-Информационная безопасность»Об эксперте: Дмитрий Прендецкий — генеральный директор компании «РТ-Информационная безопасность» («РТ-ИБ») Госкорпорации Ростех. Эксперт в области информационной безопасности и защиты цифровой инфраструктуры. Специализируется на противодействии киберугрозам, внедрении средств киберзащиты и применении искусственного интеллекта в информационной безопасности.
Искусственный интеллект заметно изменил скорость и сам подход к кибератакам. Если раньше поиск уязвимой точки входа в инфраструктуру компании мог занимать неделю или даже месяц, то сегодня в отдельных случаях на это требуется около 20 минут. При этом атаки становятся все более адресными: вредоносное ПО создают под конкретные организации, их инфраструктуру и оборудование. В таких условиях ИИ все активнее используется уже по обе стороны — и для поиска слабых мест, и для быстрого обнаружения и блокировки угроз.
Как ИИ ускоряет кибератаки
Противостояние России и западного мира идет во всех сферах: военной, экономической, политической, технологической и, конечно, информационной. Число атак на российскую ИТ-инфраструктуру растет в геометрической прогрессии. Их объектами становятся госведомства, энергетика, транспорт, промышленность и, прежде всего, оборонные компании.
Только в 2025 году в контуре Ростеха — наша корпорация, напомню, является крупнейшим военно-промышленным конгломератом, объединяющим порядка 800 предприятий по всей стране — было зафиксировано практически 2 млн алертов о потенциальных киберугрозах. В том числе 14,5 тыс. были квалифицированы как подтвержденные инциденты высокой критичности.
Когда недели превращаются в минуты
В этой кибервойне противник стремится нанести максимальный ущерб — вывести из строя ПО, «железо», обрушить работоспособность предприятий. Причем «оружие» постоянно совершенствуется: с активным развитием ИИ, который хакерские группировки успешно поставили себе на службу, скорость атак выросла в десятки раз. Если раньше поиск уязвимой точки входа в инфраструктуру компании мог занимать неделю или даже месяц, то сейчас на это требуется 20 минут.
На стороне противника работают не любители-самоучки, а хорошо организованные профессиональные команды. Они изучают конкретные цели, ищут слабые места и пытаются найти способ незаметного проникновения в сеть. При этом вредоносное программное обеспечение все чаще носит «адресный» характер. То есть разрабатывается не для массового распространения, а специально под определенную организацию, ее инфраструктуру и используемое оборудование.
Мы знаем об инцидентах в коммерческих организациях, когда атака не только нарушала работу программного обеспечения, но и выводила из строя дорогостоящее аппаратное обеспечение. Масштаб возможных последствий хорошо виден и на примере транспортной отрасли: эффективная атака может привести к отмене десятков рейсов, сбоям в расписании и проблемам для тысяч пассажиров. В наиболее тяжелом сценарии кибератака способна вызвать, например, блэкаут и остановить работу критически важных объектов. Поэтому модернизация средств защиты должно не просто идти в ногу с развитием средств нападения — киберзащита обязана постоянно быть на несколько шагов впереди.
ИИ против ИИ
Чтобы противостоять новым угрозам, в Ростехе разработано собственное программное обеспечение класса EDR. Оно предназначено для защиты конечных точек: серверов, рабочих станций и другого оборудования, подключенного к корпоративной сети. Система в автоматическом режиме выявляет подозрительную активность, анализирует ее и реагирует на киберинциденты.
В продукт встроен модуль искусственного интеллекта. Фактически искусственный интеллект стал противодействовать искусственному интеллекту: алгоритмы анализируют действия вредоносных программ и быстрее выбирают необходимые меры защиты. Система может изолировать определенный хост, заблокировать опасный процесс или остановить распространение вредоносного программного обеспечения. Когда автоматического реагирования недостаточно, информация сразу передается аналитику, который принимает решение с учетом контекста и возможных последствий.
Использование искусственного интеллекта позволило автоматизировать более 30% работы специалистов по информационной безопасности. При этом роль человека не уменьшается: аналитик по-прежнему отвечает за сложные решения, оценку рисков и выбор стратегии реагирования. Меняется другое: ему больше не приходится вручную просматривать огромный поток однотипных событий и отвлекаться на ложные срабатывания.
Программное обеспечение автоматически классифицирует подозрительную активность, формирует отчеты и закрывает инциденты, не требующие вмешательства специалиста. Только за прошлый год с помощью классификатора на основе машинного обучения автоматически были закрыты более 125 тыс. подозрений на инциденты. В результате вместо тысяч разрозненных уведомлений аналитик получает ограниченное число действительно значимых случаев и может сосредоточиться на их расследовании и устранении.
Такие разработки позволяют не только реагировать на уже произошедшие инциденты, но и сокращать время обнаружения угроз, сдерживать их распространение и снижать нагрузку на специалистов. В условиях, когда счет может идти на минуты, сочетание автоматических алгоритмов и экспертного контроля становится одним из ключевых условий устойчивости цифровой инфраструктуры.