“Ju mer vi litar på AI desto mer öppnar vi för nya attacker”

Allt fler affärskritiska beslut bygger på datorgenererat beslutsunderlag. Inte sällan producerat genom maskininlärning, den vanligaste formen av AI, artificiell intelligens. Men vad händer om någon manipulerar algoritmen? Eller det underliggande datat?

– När data väl finns där litar vi på det nästan i blindo. Om något av datat är förfalskat är det väldigt svårt att återställa. Det är i stort sett omöjligt. AI-systemen måste börja lära om allting. Det är inte alls trivialt, säger den israeliska säkerhetsexperten Orli Gan, produktchef på cybersäkerhetsföretaget Check Point Software.

Ju mer pengar en verksamhet involverar desto mer utsatt är den för illasinnade människor. Banker, finansbolag, försäkringsbolag och spelföretag är typexempel.

Ett intressant fall finns beskrivet i ett långt reportage i New York Times, publicerat i maj 2018:

Högsta priset i ”Hot Lotto” den 29 december 2010 var 156 miljoner kronor. Den 23 december går en man i huvtröja in i på en bensinmack i Des Moines i Iowa, USA och köper vinstlotten. Det är bara ett problem.

Ingen hävdar rätten till vinsten förrän drygt tio månader senare. Men mannen som uppger rätt 15-siffriga nummer och därmed hävdar rätten till vinsten stämmer inte överens med personen på den gryniga övervakningsvideon från bensinstationen.

En lång serie utredningar leder fram till Eddie Tipton, informationssäkerhetschef på lotteriföretaget Multi-State Lottery Association, som ligger i en förort till Des Moines. Det är bolaget bakom bland annat Hot Lottery.

Det visar sig att Tipton har lyckats installera en självförstörande kodsnutt, ett rootkit, som manipulerade de vinnande talen i lotteriet. Programmet QVRNG.dll; Quantum Vision Random Number Generator, gör under åren Tipton stormrik, men när allt avslöjas och han slutligen erkänner döms han till fängelse i 25 år.

– Det är ett exempel på en mycket sofistikerad attack. Sådanan är väldigt svåra att upptäcka och de orsakar stor skada, säger Orli Gan.

Samtidigt blir vår värld alltmer beroende av maskiner.

– Vi tänker att de är smartare än vi. De kan fatta bättre beslut och ge mig bättre beslutsunderlag. Men ju mer vi anpassar oss efter systemen öppnar vi också dörrarna för nya typer av attacker, säger Orli Gan.

Många fientliga angrepp mot näringslivet idag handlar om statssponsrade cyberattacker. I syfte att sabotera eller att stjäla information. Samtidigt händer det inte sällan att attackprogrammen läcker och säljs vidare till ”vanliga” kriminella på den svarta marknaden.

Den stora majoriteten av cyberattacker sker mot finanssektorn. Det är betydligt mer effektivt för en kriminell idag att hacka banken istället för att gå dit med rånarluva och pistol. Attacker sker många gånger varje dag och säkert över 99,999 procent av fallen stoppas, säger Orli Gan.

– Men det spelar ingen roll eftersom det sker så många attacker. Det är en orättvis ekvation. Visst är det ett lotteri, men den potentiella vinsten är stor.

– Vi skulle inte acceptera den här nivån av kriminalitet någon annanstans i livet. Men vi har accepterat att det här måste bankerna ta hand om själva.

För att verkligen komma till rätta med problemen skulle internationell samordning behövas och nya internationella lagar.

Just nu är USA:s beskyllningar mot Kina på tapeten. Och statssponsrat industrispionage via techföretag som Huawei.

– Men kommer attackerna bara från Kina? Visst, de är aktiva, men attacker kommer också från många andra håll. Från Nordkorea och Ryssland… De kommer överallt ifrån, även från Sverige.

Men kan man lita på produkter från vissa länder? Många bannlyser nu Huaweis och i vissa fall lillebror ZTE:s telekomutrustning, helt eller delvis. Exempelvis Australien, Storbritannien, Japan och Nya Zealand.

Ryska cybersäkerhetsföretaget Kaspersky Lab har drabbats av liknande anklagelser, inte minst från amerikanska myndigheter 2017-2018.

– Kaspersky är oerhört skickliga. Jag personligen litar på dem mer än någon annan. Var och en måste göra sin egen bedömning, säger Orli Gan.

Tror du att iranska myndigheter skulle välja israelisk cybersäkerhetsutrustning?

– Vad jag känner till går inga myndigheter igenom våra produkter. Å andra sidan, det jag inte vet vet jag inte. Om jag var iranier skulle jag troligen inte välja israeliskt och på samma sätt resonerar USA kring Kaspersky och Huawei.