Un angajat financiar la firma de inginerie Arup s-a alăturat unui apel video cu mai mulți colegi, inclusiv directorul financiar al companiei. Fiecare dintre ei era un deepfake generat de inteligență artificială. Apelul s-a încheiat cu 25 de milioane de dolari transferați către atacatori. Fără malware, fără linkuri de phishing, fără vulnerabilități exploatate: doar inteligență artificială, utilizată suficient de convingător încât încrederea să facă restul. Acest singur incident surprinde de ce inteligența artificială în securitatea cibernetică a devenit subiectul definitoriu în domeniu. Aceeași tehnologie construită pentru acel deepfake, în alte părți ale industriei, detectează anomalia care l-ar fi oprit. Acest ghid de securitate a inteligenței artificiale acoperă ambele aspecte: cum atacă inteligența artificială, cum se apără inteligența artificială și ce înseamnă asta pentru domeniile în care echipele de securitate ar trebui să se concentreze în continuare.
Inteligența artificială în securitatea cibernetică, într-un singur paragraf
Inteligența artificială în securitatea cibernetică se referă la utilizarea învățării automate, a procesării limbajului natural și a modelelor lingvistice mari de ambele părți ale aceleiași lupte: pentru a lansa atacuri și pentru a le detecta și opri. Atacatorii folosesc inteligența artificială pentru a genera conținut de phishing convingător, a clona voci și fețe și a sonda sisteme mai rapid decât ar putea o echipă umană. Apărătorii folosesc aceleași tehnici de bază (recunoașterea tiparelor în volume uriașe de date, înțelegerea limbajului natural, modelarea comportamentală) pentru a detecta anomalii, a elimina zgomotul de alertă și a răspunde înainte ca daunele să se agraveze. Rezultatul este o tehnologie cu adevărat dublă utilizare în cadrul unei singure industrii, motiv pentru care inteligența artificială în securitatea cibernetică nu este o categorie cu o latură clară „bună” și „rea”. Este o capacitate, iar oricine o aplică mai rapid și mai preventiv...cisEly are în prezent avantajul.
IA ca vector de atac
- Phishing generat de inteligența artificială la scară industrială. Phishing-ul era depistabil după indiciile sale: formulări stângace, saluturi generice, domenii evident falsificate. Inteligența artificială a eliminat majoritatea acestor indicii. Conform... Hoxhunt's Raportul privind tendințele în materie de phishing din 2026Phishing-ul generat de inteligența artificială a crescut de la 4% din totalul tentativelor de phishing raportate în noiembrie 2025 la 56% în decembrie 2025, o creștere de 14 ori într-o singură lună, și a deținut aproximativ 40% din totalul tentativelor de phishing raportate până la mijlocul anului 2026. Decalajul de eficacitate este la fel de evident: a studiu pe subiecți umani realizat de cercetătorii Școlii Harvard Kennedy a constatat că e-mailurile de spear phishing, complet automatizate cu inteligență artificială, au atins o rată de clic de 54%, egalând rata experților umani calificați și depășind cu mult rata de clic de 12% a e-mailurilor generice de phishing din grupul de control. Inteligența artificială nu scrie doar mai multe e-mailuri de phishing. Scrie unele care funcționează.
- Deepfake-uri care vizează încrederea, nu infrastructura. Cazul Arup Ceea ce s-a menționat mai sus nu mai este o excepție; este un șablon. Vocea și videoclipurile generate de inteligența artificială sunt suficient de convingătoare pentru a trece drept un director executiv real într-un apel live, transformând ingineria socială din „a păcăli pe cineva să dea clic” în „a păcăli pe cineva să creadă că se uită la directorul financiar al acestuia”. Aceasta este o problemă fundamental mai dificil de rezolvat pentru instruirea în domeniul conștientizării securității, deoarece înșelăciunea se întâmplă la nivel perceptiv, nu la nivel tehnic.
- Recunoaștere mai rapidă și malware adaptiv. Dincolo de ingineria socială, inteligența artificială scurtează distanța dintre „atacatorul are o idee” și „atacatorul are o vulnerabilitate funcțională”. Modelele lingvistice mari pot accelera cercetarea vulnerabilităților împotriva codului și infrastructurii publice a unei ținte, iar programele malware adaptive își pot modifica propriul comportament în timpul execuției dacă detectează că sunt analizate într-un sandbox, o capacitate care necesita înainte un operator uman calificat care să urmărească în timp real.
- Atacuri asupra credențialelor la viteza mașinii. Introducerea seturilor de acreditări scurse într-un model pentru a învăța tiparele pe care oamenii le folosesc de fapt atunci când cred că sunt „inteligenți” cu o parolă transformă ghicirea și verificarea în ceva mai apropiat de predicție. Combinată cu umplerea automată a acreditărilor, aceasta comprimă ceea ce era înainte un atac lent și zgomotos în ceva rapid și silențios.
IA ca instrument de apărare
- Detectarea anomaliilor la o scară pe care oamenii nu o pot egala. Valoarea defensivă fundamentală a inteligenței artificiale constă în procesarea volumelor de trafic de rețea, login activitate și jurnale de sistem pe care nicio echipă de analiști nu le-a putut revizui manual și semnalând ce se abate de la o linie de bază stabilită. Acest lucru detectează atacurile fără semnătură cunoscută încă, inclusiv atacurile zero-day și atacurile insider care nu ar declanșa o alertă bazată pe reguli.
- Reducerea numărului de alerte în coadă, nu creșterea numărului de cazuri. Aici este, de asemenea, locul în care inteligența artificială în securitatea cibernetică are cele mai imediate beneficii operaționale și unde industria mai are încă mult de lucru. Cercetarea Vectra AI din 2026 a constatat că organizațiile primesc în medie 2,992 de alerte de securitate pe zi, 63% dintre acestea rămânând neinvestigate și Microsoft și Omdia Starea SOC: Unificare acum sau plată mai târziu raportează s-a constatat că 46% din totalul alertelor se dovedesc a fi fals pozitive și 42% nu sunt investigate complet. Triajul bazat pe inteligență artificială nu adaugă doar un alt detector la grămadă. Dacă este bine realizat, acesta corelează alertele conexe într-un singur incident, evaluează ceea ce merită cu adevărat atenția unui om și permite analiștilor să își petreacă timpul pe fracțiunea de alerte care reprezintă un risc real, în loc să le închidă manual pe restul.
- Clasificarea programelor malware și a comportamentului dincolo de semnăturile cunoscute. Aceeași abordare de analiză comportamentală care semnalează activitatea anormală în rețea funcționează și asupra fișierelor și pachetelor: în loc să se compare cu o listă de semnături cunoscute ca fiind greșite, inteligența artificială poate evalua comportamentul în timpul instalării, apelurile de sistem neobișnuite și modelele de ofuscare pentru a detecta programe malware nemaivăzute până acum, în momentul în care apar, mai degrabă decât după ce au fost amprentate.
- Răspuns automat, controlat. Detectarea fără acțiune nu face decât să schimbe ceasul. Răspunsul bazat pe inteligență artificială poate izola un dispozitiv afectat, poate bloca traficul suspect și poate începe automat izolarea, reducând decalajul dintre „am văzut” și „am oprit” de la ore la secunde în cazurile care contează cel mai mult.
De ce aceleași tehnici taie în ambele direcții?
Adevărul inconfortabil din acest ghid de securitate bazat pe inteligență artificială este că atacatorii și apărătorii folosesc frecvent aceeași capacitate fundamentală în scopuri opuse. Modelarea limbajului natural care scrie un e-mail de phishing convingător este aceeași tehnologie care citește un e-mail suspect și îl clasifică corect ca fiind unul. Recunoașterea tiparelor care permite programelor malware să se adapteze pentru a evita un sandbox este similară din punct de vedere arhitectural cu recunoașterea tiparelor care semnalează comportamentul programelor malware ca fiind anormal în primul rând. Niciuna dintre părți nu are monopolul asupra tehnologiei, ceea ce înseamnă că avantajul revine celui care o integrează mai complet în fluxul său de lucru real, nu celui care are acces la un model mai avansat.
Această simetrie este și motivul pentru care inteligența artificială în securitatea cibernetică introduce propriile riscuri pe partea defensivă. Sistemele de inteligență artificială pot genera rezultate fals pozitive care îngroapă semnalul real în zgomot dacă sunt reglate necorespunzător, pot moșteni erori din datele de antrenament incomplete și, ca urmare, pot rata clase întregi de amenințări și pot fi ele însele vizate prin tehnici adverse, în care un atacator alimentează în mod deliberat un model de detecție cu date înșelătoare pentru a manipula ceea ce acesta semnalează. Nimic din toate acestea nu este un motiv pentru a evita inteligența artificială în mod defensiv. Este un motiv pentru a ține o ființă umană la curent cu deciziile de judecată și pentru a trata sistemul de inteligență artificială în sine ca pe ceva ce necesită monitorizare, nu ceva ce implementezi o singură dată și în care ai încredere la nesfârșit.
Ce înseamnă acest ghid de securitate a inteligenței artificiale pentru echipa ta
Cinci mișcări separă echipele care obțin valoare reală din inteligența artificială în securitatea cibernetică de echipele care tocmai au adăugat un alt instrument:
- Nu aștepta ca atacurile „bazate pe inteligență artificială” să devină majoritare înainte de a investi defensiv. Datele de phishing de mai sus arată cât de repede o tactică minoritară poate deveni cea dominantă. Construiți capacitatea de detectare înainte de creșterea numărului de utilizatori, nu în timpul acesteia.
- Îndreaptă inteligența artificială mai întâi spre coada de triaj, nu doar spre perimetrul tău. Cea mai rapidă și mai măsurabilă victorie pentru majoritatea echipelor este reducerea volumului de fals pozitive pe care un analist trebuie să le elimine manual, nu adăugarea unui nou nivel de detecție.
- Tratați riscul de deepfake și clonare vocală ca pe o problemă de proces, nu ca pe o problemă tehnologică. Niciun instrument de detectare nu acoperă complet decalajul de tip Arup. Verificare în afara benzii pentru orice solicitare care implică mișcarea de bani sau modificări ale acreditărilor.
- Extindeți aceeași gândire comportamentală bazată pe inteligență artificială la cod și pipelines, nu doar traficul de rețea. Atacatorii vizează din ce în ce mai mult direct lanțul de aprovizionare cu software (pachete rău intenționate, dependențe halucinate, instrucțiuni ale agenților neravizuite), o categorie de risc cu propria dinamică, abordată în detaliu în ghidul nostru privind securitatea lanțului de aprovizionare cu inteligență artificială.
- Păstrați o ființă umană responsabilă pentru ceea ce decide inteligența artificială. Răspunsul automat este valoros tocmai pentru că este rapid, motiv pentru care are nevoie de o cale clară de escalare atunci când apare o eroare.
Încotro se îndreaptă inteligența artificială în securitatea cibernetică
Două schimbări vor defini următorii ani. În primul rând, atacatorul se consolidează în jurul unui număr mai mic de tactici mai convingătoare, în loc de unele mai numeroase și rudimentare: phishing-ul și deepfake-urile generate de inteligența artificială nu reprezintă o plasă mai largă; sunt un cârlig mai ascuțit. În al doilea rând, apărătorul trece de la „detectarea și alertarea unui om” la „detectarea, evaluarea și acționarea înainte de a exista un tichet”, aceasta fiind exact schimbarea care reduce decalajul dintre cele 2,992 de alerte zilnice cu care se confruntă majoritatea SOC-urilor și fracțiunea celor care primesc vreodată o vedere reală. Organizațiile care ies în evidență sunt cele care aplică această schimbare peste tot unde inteligența artificială atinge deja mediul lor, inclusiv codul pe care dezvoltatorii lor îl livrează, nu doar traficul care traversează perimetrul rețelei lor.
Părerea lui Xygeni: Securitatea bazată pe inteligență artificială trebuie să acopere codul, nu doar inbox-ul.
Cea mai mare parte a acoperirii legate de inteligența artificială în securitatea cibernetică se oprește la SOC: phishing, malware, anomalii de rețea. Acest lucru este necesar și, de asemenea, incomplet, deoarece o parte tot mai mare a riscului generat de inteligența artificială se află acum în interiorul ciclului de viață al dezvoltării software, acolo unde instrumentele SOC nu apar.
Xygeni CoreAI aplică aceeași gândire comportamentală, bazată pe anomalii, descrisă în acest ghid, în special securității aplicațiilor: corelarea constatărilor între scanerele existente (nu doar Xygeni propriu), scorând ce este de fapt exploatabil în loc să inunde echipele cu un volum brut de alerte, explicând de ce un anumit risc este important și generând o remediere pull request în loc de încă un tichet de restanțe. DevAI extinde aceeași postură defensivă în cea mai nouă parte a suprafeței de atac: codarea agenților și asistenților prin intermediul inteligenței artificiale, validarea fișierelor de competențe și a instrucțiunilor agenților și blocarea unei instalări rău intenționate înainte ca un agent să acționeze asupra ei. Scopul este același pe care îl susține acest ghid la nivelul SOC, aplicat la pipeline: transformă avantajul AI asupra volumului și vitezei într-un avantaj al apărătorului în loc de al atacatorului.
Începeți gratuit. Sign up with GitHub, GitLab sau Google și obțineți vizibilitate asupra a până la 25 de repozitorii și 50 de scanări AI pe lună, fără costuri și fără a fi nevoie de card de credit.
FAQ
Ce este AI în securitatea cibernetică?
Inteligența artificială în securitatea cibernetică constă în utilizarea învățării automate, a procesării limbajului natural și a modelelor lingvistice extinse, atât în atac, cât și în apărare, în ceea ce privește securitatea. Atacatorii o folosesc pentru a genera conținut de phishing convingător, deepfake-uri și programe malware adaptive; apărătorii folosesc aceleași tehnici de bază pentru detectarea anomaliilor, trierea alertelor și răspunsul automat.
Este IA mai periculoasă ca instrument de atac sau mai utilă ca instrument de apărare?
Niciuna dintre părți nu are un avantaj durabil, deoarece ambele sunt construite pe aceeași capacitate fundamentală. Organizațiile cu un risc mai mare sunt cele care nu au aplicat încă inteligența artificială în mod defensiv în același ritm în care atacatorii au aplicat-o în mod ofensiv, nu cele care se confruntă cu un decalaj tehnologic pe care nu îl pot elimina.
Poate IA să înlocuiască complet analiștii umani într-un SOC?
Nu, iar riscurile încercării (rezultate fals pozitive din modele prost reglate, erori din date de antrenament incomplete și manipularea adversă a sistemului de detectare în sine) sunt exact motivul pentru care supravegherea umană rămâne necesară. Adevărata valoare a inteligenței artificiale constă în golirea cozii de așteptare, astfel încât analiștii să se poată concentra asupra deciziilor care încă necesită o persoană.
Cum diferă riscul de atac bazat pe inteligență artificială pentru echipele de dezvoltare software în mod specific?
Dincolo de phishing și deepfake-uri, echipele de dezvoltare se confruntă cu riscuri specifice inteligenței artificiale în cadrul... SDLC în sine: agenți de codare AI care instalează dependențe halucinate sau malițioase, instrucțiuni neravizuite ale agenților în fișierele de competențe și cod generat de AI care reproduce secrete hardcoded. Această latură a AI în securitatea cibernetică este acoperită mai în detaliu în articolul nostru Ghid de securitate a lanțului de aprovizionare cu inteligență artificială.
