Οι Five Eyes προειδοποιούν: η AI σβήνει τον χρόνο της κυβερνοάμυνας

Πενήντα ένα δευτερόλεπτα. Έντεκα ημέρες. Ανάμεσα σε αυτούς τους δύο αριθμούς κρύβεται όλη η ιστορία. Ο πρώτος είναι ο ταχύτερος χρόνος που έχει καταγραφεί ώστε ένας εισβολέας να περάσει από το πρώτο παραβιασμένο σύστημα στο επόμενο (CrowdStrike). Ο δεύτερος είναι ο διάμεσος χρόνος που χρειάζεται ένας οργανισμός για να καταλάβει καν ότι κάποιος βρίσκεται ήδη μέσα στο δίκτυό του (Google Cloud). Ο επιτιθέμενος δουλεύει με χρονόμετρο. Ο αμυνόμενος, ακόμη με ημερολόγιο.

Αυτό το χάσμα είναι που τρόμαξε τις μυστικές υπηρεσίες της συμμαχίας Five Eyes — ΗΠΑ, Βρετανία, Καναδά, Αυστραλία, Νέα Ζηλανδία. Σε μια σπάνια δημόσια παρέμβαση προειδοποίησαν ότι τα ισχυρά μοντέλα τεχνητής νοημοσύνης μπορούν να αλλάξουν ριζικά την κυβερνοασφάλεια «σε μήνες, όχι σε χρόνια». Δεν είναι το συνηθισμένο εταιρικό μήνυμα μάρκετινγκ για AI. Είναι υπηρεσίες πληροφοριών που λένε στις κυβερνήσεις και στις επιχειρήσεις: δεν έχετε χρόνο για αργή προσαρμογή.

Πού ακριβώς κερδίζει χρόνο η μηχανή

Η ουσία της προειδοποίησης δεν είναι ότι η AI έγινε αυτόνομος χάκερ. Είναι κάτι πιο πεζό και πιο επικίνδυνο: αφαιρεί χρόνο και εξειδίκευση από τα πιο αργά βήματα μιας επίθεσης. Όταν βγαίνει μια ενημέρωση ασφαλείας, η ίδια η ενημέρωση δείχνει στους επιτιθέμενους ποιο σημείο του κώδικα ήταν ευάλωτο. Η AI διαβάζει αυτή την πληροφορία γρηγορότερα, εντοπίζει το ευάλωτο μονοπάτι και βοηθά στη σύνταξη του exploit — αυτό που πριν ήταν «μέρες δουλειάς ειδικού» γίνεται «ώρες δουλειάς μικρής ομάδας». Το βρετανικό NCSC το έχει ήδη περιγράψει: η AI θα αυξήσει σχεδόν σίγουρα τόσο την ικανότητα των λιγότερο έμπειρων επιτιθέμενων όσο και την κλίμακα των επιθέσεων (NCSC).

Και για τα πιο κρίσιμα συστήματα, το παράθυρο είναι συχνά μηδενικό. Οι ευπάθειες στα Ivanti Connect Secure αξιοποιούνταν ως zero-days πριν καν αποκαλυφθούν δημόσια (CISA). Το ίδιο και στο PAN-OS της Palo Alto, όπου η ενεργή εκμετάλλευση είχε ξεκινήσει στις 26 Μαρτίου, αλλά η δημόσια αποκάλυψη ήρθε στις 10 Απριλίου (Unit 42). Ο αμυνόμενος ξεκινά πίσω στο χρονόμετρο — και η AI του παίρνει κι άλλο χρόνο.

Τι σημαίνει για όποιον κρατά τα κλειδιά

Το πρακτικό μήνυμα δεν είναι «αγοράστε AI για άμυνα». Είναι μειώστε τις οργανωτικές καθυστερήσεις που η AI κάνει πια θανατηφόρες. Πρώτη κίνηση: γρήγορη λωρίδα διόρθωσης για τα συστήματα που είναι εκτεθειμένα στο διαδίκτυο — VPN, firewalls, πύλες email, συστήματα ταυτότητας — αντί να περιμένουν τον επόμενο μηνιαίο κύκλο (CISA). Μετά, ταυτοποίηση ανθεκτική στο phishing για τους διαχειριστές, κεντρική καταγραφή ώστε να φαίνεται ο εισβολέας, και αντίγραφα ασφαλείας που πραγματικά επανέρχονται όταν χρειαστεί (NCSC).

Εδώ μπαίνει και η γεωπολιτική γωνία. Η προειδοποίηση των Five Eyes δίνει θεσμικό βάρος στη λογική που στηρίζει τους πρόσφατους αμερικανικούς περιορισμούς στην πρόσβαση σε ισχυρά μοντέλα — όπως αυτούς που οδήγησαν σε παγκόσμιο κλείσιμο πρόσβασης σε μοντέλα της Anthropic (To Brief). Δεν αποδεικνύει ότι οι περιορισμοί ήταν σωστοί ή συμμαχικά εγκεκριμένοι· δεν υπάρχει δημόσιο τεκμήριο ότι η συμμαχία ενέκρινε ρητά καθεστώς αδειοδότησης. Νομιμοποιεί όμως το βασικό σκεπτικό: η πρόσβαση στα κορυφαία μοντέλα δεν είναι πλέον απλή εμπορική υπηρεσία, αλλά στρατηγική εξάρτηση. Όχι τυχαία, η ΕΕ χτίζει τα «AI Factories» για δική της υπολογιστική ισχύ (European Commission).

Χρειάζεται όμως ψυχραιμία. Τα σημερινά μοντέλα δεν έχουν αποδείξει δημόσια ότι εκτελούν αξιόπιστα, αυτόνομες επιθέσεις από την αρχή ως το τέλος. Είναι κυρίως πολλαπλασιαστές δύναμης — καλύτερο phishing, ταχύτερη αξιοποίηση γνωστών αδυναμιών. Πειράματα όπως το Project Naptime της Google δείχνουν πραγματική πρόοδο στην αυτοματοποιημένη αναζήτηση ευπαθειών, αλλά παραμένουν ελεγχόμενα εταιρικά τεστ, όχι ανεξάρτητα επαληθευμένη ικανότητα (Google Project Zero). Ακόμη και η OpenAI βαθμολόγησε τον κυβερνο-κίνδυνο του GPT-4o ως «μέτριο» — με τη ρητή επιφύλαξη ότι είναι αυτοαξιολόγηση (OpenAI).

Αυτό αλλάζει η παρέμβαση των Five Eyes. Μετατρέπει ένα ζήτημα που ως τώρα ζούσε στις σελίδες ασφαλείας των εργαστηρίων AI σε σήμα κρατικής ασφάλειας. Το ερώτημα δεν είναι πια αν η μηχανή θα γίνει τέλειος χάκερ. Είναι αν η άμυνα θα μάθει να μετρά σε ώρες, πριν ο αντίπαλος αρχίσει να μετρά σε δευτερόλεπτα.