NCSC evidenzia i controlli essenziali prima di usare l’IA per individuare le vulnerabilità

Il National Cyber Security Centre del Regno Unito ha pubblicato indicazioni per le organizzazioni che valutano l’uso di modelli di intelligenza artificiale per identificare le vulnerabilità del software. Il messaggio è semplice: l’IA può supportare le attività di sicurezza, ma può anche introdurre nuovi rischi se adottata senza un piano chiaro.

Il NCSC avverte che analizzare il codice con uno strumento di IA non equivale a migliorare la sicurezza. Le organizzazioni hanno comunque bisogno di una solida gestione delle vulnerabilità, di una rigorosa disciplina nell’applicazione delle patch e di una conoscenza chiara dei propri sistemi. In molti casi, una buona igiene informatica di base ridurrà i rischi in modo più efficace che inseguire un gran numero di problemi appena scoperti.

Domande da porsi prima di implementare l’IA

Le indicazioni invitano i team di sicurezza a riflettere su diverse questioni pratiche prima di consentire ai sistemi di IA di accedere al codice, alla documentazione o agli ambienti di produzione.

• Quale risultato aziendale vuole ottenere l’organizzazione?
• L’IA è il modo migliore per migliorare la sicurezza o sarebbe preferibile concentrarsi prima sulle attività fondamentali di igiene informatica?
• È disponibile un processo per ricevere, definire le priorità e correggere le vulnerabilità?
• Come verranno classificate le vulnerabilità, in modo da affrontare per prime quelle più facilmente sfruttabili?
• Quali sono i rischi legati all’esposizione di informazioni sensibili o all’assegnazione al modello di autorizzazioni eccessive?

Il centro consiglia inoltre alle organizzazioni di valutare il modello scelto, considerando dove è ospitato, quale giurisdizione legale si applica e quali regole sulla conservazione dei dati possono accompagnare il servizio. Raccomanda di iniziare dalla superficie d’attacco esterna e di verificare i risultati mediante una revisione umana, invece di affidarsi esclusivamente all’IA.

Pianificare a lungo termine

Secondo il NCSC, le organizzazioni dovrebbero inoltre guardare oltre il singolo progetto. I sistemi di IA di frontiera si stanno sviluppando rapidamente e i team di sicurezza avranno bisogno di un piano sostenibile per valutare i nuovi modelli, gestire gli aggiornamenti e rispondere alle vulnerabilità presenti nei prodotti e nei servizi da cui dipendono.

Aggiunge che l’IA dovrebbe essere considerata uno strumento in grado di velocizzare il lavoro di professionisti qualificati, non di sostituire gli esperti. Le organizzazioni che combinano l’automazione con una solida gestione degli asset, l’applicazione delle patch e competenze in materia di sicurezza hanno maggiori probabilità di ottenere vantaggi concreti.