Onde anteriormente um atacante podia passar horas a ler documentação, analisar código-fonte, interpretar os resultados de diferentes ferramentas ou modificar manualmente um exploit, agora «a IA consegue fazer partes dessa análise em segundos». Pode «explicar um erro, modificar um script, interpretar o resultado de uma ferramenta, gerar payloads e sugerir outro caminho de ataque».
E pode fazê-lo também nas mãos de alguém que não possui o mesmo conhecimento. «Uma pessoa com conhecimentos limitados de cibersegurança pode perguntar a um sistema de IA o que significa o resultado de uma ferramenta, como funciona uma vulnerabilidade ou por que razão um exploit falhou. A IA não transforma automaticamente essa pessoa num hacker experiente, mas pode ajudá-la a progredir muito mais depressa», diz David Silva. Do outro lado da escala, «os atacantes experientes tornam-se significativamente mais produtivos».
Chris Brooks, especialista em cibersegurança e co-fundador da Crypto Asset Recovery, chega à mesma conclusão. «A verdadeira preocupação não são ataques mais inteligentes, são ataques mais baratos. A IA permite que alguém com competências técnicas mínimas crie emails de phishing convincentes, clone vozes ou procure vulnerabilidades numa escala que anteriormente exigia uma equipa inteira».
Para Viktor Bulanek, fundador da europeia Penetrify, a transformação acontece simultaneamente em duas variáveis. «A competência e o custo colapsam ao mesmo tempo». A empresa desenvolve agentes autónomos de IA para testes de penetração e Viktor Bulanek usa a própria tecnologia defensiva para mostrar o que pode acontecer do outro lado. Segundo o responsável, os agentes da empresa completaram recentemente os 104 desafios de um benchmark público de segurança ofensiva, em tarefas que tradicionalmente poderiam ocupar durante semanas um especialista humano. «Esta é a versão para os defensores, mas a mesma economia está disponível para os atacantes, e eles não pagam por controlos de segurança nem esperam por autorizações. Quando um ataque que antes precisava de um especialista raro se transforma em software, deixamos de enfrentar centenas de adversários capazes e passamos a enfrentar um número ilimitado de adversários incansáveis, a trabalhar em paralelo, 24 horas por dia, contra todos ao mesmo tempo, incluindo alvos que anteriormente nunca “valiam a pena” atacar».
Bruno Castro identifica o mesmo efeito em Portugal. «Tradicionalmente, um atacante tinha de avaliar se o potencial retorno justificava o esforço necessário para preparar e executar um ciberataque. Se esse esforço diminui drasticamente, o universo de organizações potencialmente rentáveis aumenta».
