Ostrzeżenie FBI dotyczące terroryzmu i AI stawia trudne pytanie o planowanie ataków

Ostrzeżenie FBI dotyczące terroryzmu i AI nabrało pilności, ponieważ urzędnicy dokumentują wspierane przez AI operacje cybernetyczne, inwigilację, badania nad bronią i ekstremistyczną propagandę. Spór nie dotyczy już tego, czy wrodzy aktorzy używają AI. Chodzi o to, czy te narzędzia mogą zmienić niedoświadczoną osobę w skutecznego napastnika.

Były urzędnik wywiadu Departamentu Bezpieczeństwa Krajowego John Cohen twierdzi, że AI może skrócić planowanie ataku z lat do minut. Jego ostrzeżenie, opisane przez ABC7 Chicago, obejmuje cyberataki, operacyjne podręczniki działania, badania nad bronią i analizę celów.

Najnowsze przypadki dają tym obawom faktyczne podstawy. Anthropic twierdzi, że zakłócił działania aktorów wykorzystujących Claude do ofensywnych operacji cybernetycznych, inwigilacji, kampanii wpływu i rozwoju broni. Agencje federalne osobno informowały o generowanych przez AI skryptach wykorzystujących luki, wymierzonych w urządzenia przemysłowe.

Jednak dowody wymagają również powściągliwości. Udokumentowane nadużycie AI nie jest tym samym co potwierdzony atak terrorystyczny zaplanowany przez AI. Kluczowe pytanie dotyczące bezpieczeństwa brzmi, czy AI jedynie przyspiesza istniejącą pracę, czy usuwa bariery, które wcześniej powstrzymywały mniej zdolnych aktorów.

Co zmieniło się w tle ostrzeżenia FBI dotyczącego terroryzmu i AI

Ostrzeżenie ma znaczenie, ponieważ AI przechodzi od źródła informacji do warstwy operacyjnej wrogiej działalności.

FBI od kilku lat ostrzega przed przestępczym wykorzystaniem AI. Wcześniejsze alerty koncentrowały się głównie na phishingu, podszywaniu się, oszustwach i mediach syntetycznych. Działania te wykorzystywały AI do ulepszania znanych metod przestępczych, zamiast tworzyć całkowicie nowe kategorie ataków.

Agencja opisuje teraz szersze środowisko zagrożeń. Jej publiczny przegląd zagrożeń związanych z AI wskazuje, że złośliwi aktorzy mogą automatyzować zadania, które wcześniej wymagały więcej czasu, pracy i specjalistycznej wiedzy. Wymienia też cyberprzestępczość, przestępstwa z użyciem przemocy, oszustwa i zagrożenia dla bezpieczeństwa narodowego jako obszary budzące obawy.

Najnowsza publiczna dyskusja silniej skupia się na planowaniu ataków. Cohen powiedział ABC7, że grupy terrorystyczne i organizacje przestępcze już wykorzystują AI do wzmacniania zdolności cybernetycznych i opracowywania szczegółowych podręczników operacyjnych. Wspomniał także o próbach zrozumienia konstrukcji broni.

To istotna zmiana akcentów. Chatbot może porządkować badania, tłumaczyć dokumenty techniczne, pisać kod, porównywać cele i poprawiać plan w kolejnych rozmowach. System agentowy może również używać narzędzi programowych i zachowywać kontekst między sesjami.

Agentowa AI oznacza, że model może realizować wieloetapowy cel za pomocą narzędzi, plików i pętli sprzężenia zwrotnego. Robi więcej niż odpowiada na jedno odizolowane pytanie. Ta cecha może zwiększać efektywność legalnej pracy, ale stwarza też możliwości złośliwej automatyzacji.

To rozróżnienie ma znaczenie, ponieważ planowanie tworzy tarcie. Napastnicy muszą zbierać informacje, identyfikować zależności, testować założenia i wychodzić z błędów. AI może skompresować części tego procesu do interaktywnego przepływu pracy.

System może pomóc aktorowi podsumować publiczne rejestry, sprawdzić wystawione na działanie usługi lub przetłumaczyć materiały z kilku języków. Może również tworzyć listy kontrolne, które pomagają utrzymać organizację operacji. Funkcje te nie gwarantują sukcesu, ale mogą ograniczać chaos i opóźnienia.

Ostrzeżenie nie opiera się więc wyłącznie na hipotetycznej superinteligencji. Dotyczy zwykłych możliwości już dostępnych w modelach ogólnego przeznaczenia. Wyszukiwanie, programowanie, streszczanie, tłumaczenie, analiza obrazów i automatyzacja przepływów pracy mogą mieć podwójne zastosowanie.

Jednak opisywane ostrzeżenie wymaga precyzyjnego ujęcia. Materiał ABC7 łączy ocenę Cohena z kilkoma niedawnymi ujawnieniami rządowymi i branżowymi. Nie wskazuje nowego wspólnego federalnego biuletynu poświęconego wyłącznie terroryzmowi wspomaganemu przez AI.

Nie oznacza to, że podstawowe ryzyko jest fikcyjne. Oznacza, że czytelnicy powinni rozdzielać trzy warstwy dowodów. Są zaobserwowane zastosowania przestępcze, udokumentowane operacje powiązane z państwami oraz prognozy dotyczące tego, jak terroryści mogą dostosować te metody.

Pierwsze dwie warstwy są coraz lepiej udokumentowane. Trzecia pozostaje rozwijającą się oceną zagrożenia. Traktowanie każdej z nich jako równie udowodnionej zmniejszyłoby wiarygodność ostrzeżenia, a nie jego użyteczność.

To rozróżnienie wyjaśnia również, kogo dotyczy problem. Nie ogranicza się on do agencji wywiadowczych ani twórców modeli. Dostawcy chmury, operatorzy infrastruktury krytycznej, zespoły programistyczne i lokalni planiści reagowania kryzysowego znajdują się w tym samym łańcuchu ryzyka.

Wrogi aktor może korzystać z jednej usługi do badań, z innej do kodu, a z przejętej infrastruktury do dostarczenia ataku. Żadna pojedyncza firma nie widzi całej operacji. To rozproszenie daje obrońcom niepełny obraz, dopóki oddzielne sygnały nie zostaną połączone.

Planowanie ataków z użyciem AI staje się przepływem pracy

Najbardziej bezpośrednią przewagą AI dla napastników jest koordynacja wielu małych zadań, a nie natychmiastowe opanowanie broni czy terroryzmu.

Tradycyjne planowanie ataku łączy badania, pracę techniczną, logistykę, bezpieczeństwo i wielokrotne testowanie. Każdy etap może ujawnić ograniczenia niedoświadczonego aktora. Narzędzia generatywne mogą teraz wspierać kilka etapów bez potrzeby angażowania odrębnych specjalistów.

Najwyraźniejsze dowody pochodzą z operacji cybernetycznych. Dochodzenie Anthropic z września 2026 r. dotyczące nadużyć opisuje aktorów wykorzystujących Claude do rozpoznania, tworzenia złośliwego oprogramowania, badań nad exploitami, infrastruktury phishingowej i zbierania informacji wywiadowczych.

Jeden z badanych podmiotów opracował zautomatyzowane przepływy pracy do badania domen, ich rejestrowania, konfigurowania infrastruktury, wysyłania wiadomości phishingowych i monitorowania kanałów dowodzenia. Anthropic podał, że ludzcy operatorzy głównie modyfikowali umiejętności Claude Code, które kontrolowały te przepływy pracy.

Inna operacja wykorzystywała równoległych agentów AI do rozpoznania i działań po przejęciu systemu. Główny agent dzielił zadania między subagentów, podczas gdy trwałe pliki przechowywały cele, dane uwierzytelniające, instrukcje i postęp kampanii.

Trwała pamięć kampanii jest szczególnie ważna. Umożliwia wznowienie operacji z zachowaniem wcześniejszych ustaleń. Zmniejsza to obciążenie organizacyjne, które wcześniej zależało od zdyscyplinowanego prowadzenia dokumentacji przez ludzi.

Raport opisuje również działania przeciwko organom rządowym, misjom dyplomatycznym, organizacjom obronnym i łańcuchom dostaw związanym z dronami. Jeden z aktorów miał rzekomo poddać inżynierii wstecznej skradziony system wizyjny drona oraz odzyskać szczegóły dotyczące jego architektury i dostawców.

Przypadki te nie dowodzą wykorzystania przez terrorystów. Pokazują, że wspierane przez AI operacyjne przepływy pracy już istnieją wśród wrogich aktorów. Sieć terrorystyczna mogłaby próbować skopiować tę samą strukturę do rozpoznania, zaopatrzenia, propagandy lub zakłóceń cybernetycznych.

AI czyni też specjalistyczny język bardziej dostępnym. Aktor może zadawać pytania uzupełniające dotyczące nieznanego kodu, sprzętu lub dokumentacji. Model może przeorganizowywać wyjaśnienie, dopóki użytkownik nie zrozumie wystarczająco dużo, by kontynuować.

Ta funkcja korepetytora ma większe znaczenie niż pojedyncza szkodliwa odpowiedź. Statyczne podręczniki dostarczają informacji, ale nie potrafią diagnozować niezrozumienia. Interaktywny model może identyfikować luki i sugerować kolejny krok.

Planowanie ataku obejmuje również wybór celów. Modele mogą porządkować publiczne harmonogramy, mapy, zdjęcia, informacje o obiektach i wpisy z mediów społecznościowych. Mogą porównywać lokalizacje z kryteriami wybranymi przez użytkownika.

Nie oznacza to, że każdy wynik jest poprawny. Modele wymyślają szczegóły, błędnie odczytują kontekst i tworzą kruchy kod. Mimo to zdeterminowany użytkownik może prosić o poprawki, porównywać wyniki lub łączyć model z narzędziami zewnętrznymi.

Najmocniejsze twierdzenie Cohena głosi, że AI dramatycznie skraca cykl planowania. Wniosek ten jest wiarygodny w przypadku badań i pracy administracyjnej. Trudniej go potwierdzić w odniesieniu do całego fizycznego ataku.

Rzeczywiste operacje napotykają ograniczenia, których generowanie tekstu nie może usunąć. Napastnicy nadal potrzebują dostępu, materiałów, pieniędzy, tajności, testowania i fizycznego wykonania. Model nie może zagwarantować, że komponenty będą współdziałać poza symulowanym środowiskiem.

Niebezpieczeństwo rośnie, gdy AI łączy się z rzeczywistymi systemami. Odizolowany chatbot może zasugerować kod. Agent mający dostęp do powłoki, przeglądarki, danych uwierzytelniających lub konta w chmurze może próbować wykonywać działania i wykorzystywać wyniki do korygowania swojego podejścia.

Ta pętla sprzężenia zwrotnego zmienia wyzwanie obronne. Kontrole bezpieczeństwa muszą wykrywać nie tylko złośliwą treść, lecz także sekwencje pojedynczo zwyczajnych działań. Wyszukiwania domen, streszczenia dokumentów i testy kodu mogą stać się podejrzane dopiero wtedy, gdy spojrzy się na nie łącznie.

Dlatego dostawcy coraz częściej analizują zachowanie, a nie pojedyncze prompty. Jedno żądanie może wyglądać niewinnie. Długa sesja może ujawnić rozpoznanie, rozwijanie celów, zaopatrzenie lub próby obejścia zabezpieczeń.

Perspektywa przepływu pracy pomaga też unikać sensacyjności. AI nie jest autonomicznym strategiem, który sam wybiera cele polityczne. Jest elastycznym systemem koordynacji, który może wzmacniać intencję i wytrwałość ludzkiego aktora.

To wzmocnienie jest nierównomierne. Wykwalifikowani operatorzy zyskują szybkość i skalę. Nowicjusze zyskują instrukcje i strukturę. Organizacje zyskują możliwość prowadzenia kilku strumieni pracy jednocześnie.

Dla obrońców każda z tych korzyści tworzy inny problem. Blokowanie niebezpiecznych odpowiedzi odnosi się tylko do instruktażu dla nowicjuszy. Wykrywanie skoordynowanych agentów wymaga danych wywiadowczych dotyczących kont, infrastruktury i zachowań w dłuższym okresie.

Zdolności rosną szybciej niż dowody udanych ataków

Główne napięcie polega na tym, że szkodliwe zdolności AI można mierzyć, podczas gdy jej wkład w przeprowadzone ataki terrorystyczne wciąż trudno udowodnić.

Ostrzeżenia często łączą zdolność, intencję i wpływ. Te elementy należy oceniać oddzielnie. Model może posiadać określoną zdolność, nawet jeśli żadna grupa terrorystyczna nie wykorzystała jej skutecznie.

Intencję łatwiej zaobserwować. Ekstremistyczni aktorzy eksperymentowali z mediami syntetycznymi, tłumaczeniem, propagandą, rekrutacją i wskazówkami technicznymi. Zastosowania te wpisują się w istniejące strategie komunikacyjne i wymagają niewielkiej specjalistycznej infrastruktury.

Ocena propagandy terrorystycznej z września 2026 r. wykazała rosnące wykorzystanie AI do rekrutacji, wielojęzycznego dotarcia, dostosowanych przekazów i pozyskiwania funduszy. Organizacja Narodów Zjednoczonych opisała propagandę jako część infrastruktury operacyjnej, a nie odrębną działalność komunikacyjną.

Dowody te wspierają obawy dotyczące skali. Mała grupa może tworzyć więcej materiałów, lokalizować je dla różnych odbiorców i szybko testować warianty. Syntetyczne persony mogą także prowadzić rozmowy z potencjalnymi rekrutami.

Wpływ operacyjny jest trudniejszy do zmierzenia. Materiały propagandowe nie ujawniają, czy ktoś został zrekrutowany, przeszkolony, sfinansowany lub skierowany do przemocy. Duża liczba treści może zwiększać widoczność bez tworzenia realnych zdolności.

Ta sama niepewność pojawia się w planowaniu ataków. Model może wygenerować przekonujący plan, który zawiedzie, ponieważ jego założenia techniczne są błędne. Może też dostarczyć użyteczne fragmenty, które doświadczony aktor włączy do wykonalnej operacji.

Badacze skupiają się więc na ryzyku krańcowym. Kluczowe pytanie nie brzmi, czy niebezpieczne informacje istnieją w internecie. Chodzi o to, czy AI zwiększa prawdopodobieństwo szkodliwych skutków bardziej, niż wcześniej robiły to wyszukiwarki, fora, podręczniki lub eksperci.

Wcześniej profil generatywnej AI opracowany przez NIST wskazywał, że niektóre oceny ryzyka biologicznego wykazały minimalną pomoc wykraczającą poza konwencjonalne wyszukiwanie w internecie. Ostrzegał też, że wyniki mogą się zmieniać wraz z udoskonalaniem modeli lub uzyskiwaniem przez nie dostępu do wyspecjalizowanych narzędzi.

To zastrzeżenie dotyczy zdolności związanych z bronią i cyberatakami. Modele tekstowe mogą wyjaśniać koncepcje, lecz praktyczne wykonanie często wymaga wiedzy ukrytej. Obejmuje ona osąd wypracowany podczas szkolenia, testów i doświadczenia fizycznego.

Nieprawidłowa odpowiedź techniczna może zatrzymać nowicjusza. Może też stworzyć niezamierzone zagrożenie. Każdy z tych rezultatów komplikuje twierdzenia, że AI niezawodnie zwiększa szanse powodzenia ataku.

Operacje cybernetyczne dostarczają mocniejszych dowodów, ponieważ środowisko umożliwia szybką informację zwrotną. Kod można uruchomić, błędy wkleić z powrotem do modelu, a poprawki natychmiast przetestować. Systemy fizyczne narzucają wolniejsze i kosztowniejsze cykle informacji zwrotnej.

Ta różnica wyjaśnia, dlaczego zagrożenia cybernetyczne wspierane przez AI pojawiają się przed bardziej zaawansowanymi atakami fizycznymi. Praca z oprogramowaniem już odbywa się za pośrednictwem tekstu, plików i interfejsów poleceń. To środowiska, w których obecne modele radzą sobie najlepiej.

Ryzyko nie rozkłada się równomiernie między wszystkich użytkowników. Kompetentny napastnik potrafi rozpoznać błędne wyniki i zachować użyteczne sugestie. Nowicjusz może postępować zgodnie z niebezpiecznymi lub pozbawionymi sensu instrukcjami, nie zauważając krytycznych błędów.

Dostęp do narzędzi tworzy kolejną linię podziału. Model połączony ze skanerami podatności, środowiskiem wykonawczym kodu lub skradzionymi poświadczeniami stanowi większe ryzyko niż publiczny chatbot z rygorystycznymi zabezpieczeniami. Zdolność zależy od całego systemu otaczającego model.

Ostrzeżenie FBI dotyczące terroryzmu i AI jest najsilniejsze, gdy wskazuje tę zmianę na poziomie systemowym. Słabnie, jeśli interpretuje się je jako dowód, że AI już doprowadziła do skutecznych, w pełni zautomatyzowanych operacji terrorystycznych.

Publicznie dostępne dowody nie potwierdzają tego szerszego wniosku. Anthropic samo podkreśla, że opisane przypadki przedstawiają znaczące i nowe nadużycia, a nie typową aktywność. Niektóre wykryte przez firmę operacje wpływu miały niewielkie autentyczne zaangażowanie.

Ten sam raport zawiera również opracowane przez dostawcę oceny przypisania sprawstwa i wpływu. Anthropic może analizować aktywność w swoich usługach, lecz osoby z zewnątrz nie mogą niezależnie odtworzyć każdego niejawnego lub prywatnego sygnału stojącego za tymi ocenami.

Nie jest to powód, by odrzucać te przypadki. Jest to powód, by domagać się spójnych metod ujawniania informacji. Dostawcy powinni wyjaśniać poziomy pewności, zaobserwowane działania, punkty interwencji i znane rezultaty, nie ujawniając przy tym szczegółów umożliwiających powielenie działań.

Rządy stoją przed tym samym wyzwaniem. Urzędnicy mogą dysponować niejawnymi dowodami, których nie da się opublikować. Szerokie ostrzeżenia trafiają wówczas do opinii publicznej bez wystarczających szczegółów, by odróżnić zaobserwowane zdarzenia od modelowanych scenariuszy.

Wiarygodna ocena ryzyka powinna zachowywać to rozróżnienie. Zdolności się rozwijają. Złośliwe eksperymenty są udokumentowane. Częstotliwość i skuteczność planowania ataków terrorystycznych wspieranego przez AI pozostają niepewne.

Presja spada na dostawców AI i obrońców infrastruktury

Firmy tworzące modele i operatorzy infrastruktury muszą wykrywać złośliwe kampanie, nie traktując każdego nietypowego zapytania technicznego jako dowodu terroryzmu.

Pierwszym punktem presji jest dostawca modelu. Firmy mogą obserwować zachowanie kont, wywołania narzędzi, sekwencje promptów i próby omijania zabezpieczeń. Taka widoczność może ujawnić aktywność, zanim operacja dotrze do celu.

Anthropic twierdzi, że blokował konta, ulepszał klasyfikatory oraz, gdy było to właściwe, udostępniał dane wywiadowcze władzom lub partnerom branżowym. Takie interwencje pokazują, dlaczego hostowane modele oferują możliwości obronne obok związanych z nimi zagrożeń.

Hostowane systemy mogą centralnie aktualizować zabezpieczenia. Mogą też łączyć powiązane konta, metody płatności, infrastrukturę sieciową i wzorce zachowań. Otwarcie rozpowszechniane wagi modeli dają dostawcy mniej możliwości interwencji po publikacji.

Nadzór na warstwie modelu tworzy jednak własne ryzyka. Zespoły bezpieczeństwa mogą analizować wrażliwe rozmowy, dokumenty lub kod. Fałszywe alarmy mogą dotknąć badaczy, dziennikarzy, obrońców i użytkowników badających kontrowersyjne tematy.

Kontekst ma więc znaczenie. Analityk cyberbezpieczeństwa może testować kod exploitu, aby chronić sieć. Historyk może badać materiały ekstremistyczne. Chemik może zadawać pytania techniczne przypominające wskaźniki nadużycia.

Wiarygodna ocena wymaga czegoś więcej niż blokowania słów kluczowych. Dostawcy muszą analizować sygnały dotyczące intencji, dostęp do narzędzi, powtarzalne zachowania i postęp operacyjny. W przypadku decyzji o największym wpływie nadal konieczna jest eskalacja do człowieka.

Agencje rządowe znajdują się pod podobną presją. Potrzebują danych wywiadowczych od prywatnych dostawców, ale muszą również chronić procedury prawne i swobody obywatelskie. Niejasne zasady wymiany informacji mogą zacierać odpowiedzialność za nadzór.

Drugim punktem presji jest infrastruktura krytyczna. Napastnik wspierany przez AI nadal potrzebuje systemu wystawionego na działanie internetu lub słabo zabezpieczonego. Podstawowe słabości mogą mieć większe znaczenie niż zaawansowanie modelu.

Federalny alert z lipca 2026 r. informował o atakach na dostępne z internetu programowalne sterowniki logiczne w obiektach wodociągowych w co najmniej siedmiu stanach. Według alertu dotyczącego infrastruktury niektóre incydenty doprowadziły do spadków ciśnienia lub zalania.

Incydenty te ilustrują realia obrony. Usunięcie bezpośredniej ekspozycji na internet, zmiana słabych haseł, ograniczenie dostępu do sieci, zachowywanie logów i testowanie sterowania ręcznego pozostają kluczowe. AI nie czyni tych zabezpieczeń przestarzałymi.

W istocie proste słabości stają się groźniejsze, gdy automatyzacja szybciej je znajduje. Złośliwy system może skanować wiele celów, porównywać konfiguracje i generować dopasowane instrukcje. Obrońcy nie mogą zakładać, że niejawność ukryje wystawione urządzenie.

Trzecim punktem presji jest szerszy łańcuch dostaw technologii. Napastnicy mogą łączyć komercyjne modele, skradzione konta, usługi proxy, narzędzia open source i przejęty hosting. Zablokowanie jednego konta może nie zatrzymać operacji.

National Security Agency i organizacje partnerskie ostrzegły również przed prowadzonymi na skalę przemysłową próbami wydobywania zdolności z amerykańskich modeli frontier. Ich wrześniowe ostrzeżenie dotyczące destylacji z 2026 r. dotyczy innego zagrożenia, ale ujawnia ten sam problem kontroli.

Destylacja modeli przenosi zachowanie z jednego modelu do drugiego za pomocą wygenerowanych przykładów. Nieuprawniona destylacja może odtworzyć wybrane zdolności poza zabezpieczeniami i kontrolami dostępu pierwotnego dostawcy.

Gdy zdolności trafiają do mniej kontrolowanych systemów, blokady kont stają się mniej skuteczne. Podmioty stanowiące zagrożenie mogą uruchamiać modele prywatnie, modyfikować ograniczenia lub integrować je z narzędziami ofensywnymi. Wykrywanie przesuwa się wtedy w stronę infrastruktury i sieci docelowych.

Tworzy to główną strukturę konfliktu w artykule: rozwijające się możliwości kontra egzekwowalne zabezpieczenia. Dostawcy mogą ograniczać własne platformy, lecz nie mogą kontrolować każdej skopiowanej zdolności ani każdego podłączonego narzędzia.

Odpowiedź nie może opierać się na pojedynczym filtrze treści. Obrońcy potrzebują warstwowych zabezpieczeń obejmujących modele, tożsamości, usługi chmurowe, sieci, urządzenia i raportowanie incydentów. Awaria jednej warstwy nie powinna narażać całej operacji.

Organizacje powinny również zachowywać dowody. Logi z systemów tożsamości, punktów końcowych, bram sieciowych i usług AI mogą pomóc śledczym odtworzyć przebieg kampanii. Bez nich obrońcy mogą dostrzec jedynie końcowe włamanie.

Dla klientów korporacyjnych bezpieczeństwo modeli jest więc wymogiem operacyjnym. Przeglądy zakupowe powinny obejmować rejestrowanie zdarzeń, kontrolę kont, uprawnienia narzędzi, procedury eskalacji i praktyki ujawniania incydentów.

Zespoły powinny stosować zasadę najmniejszych uprawnień wobec agentów AI. Oznacza ona przyznawanie systemowi wyłącznie dostępu potrzebnego do realizacji powierzonego zadania. Asystent podsumowujący dokumenty nie potrzebuje poświadczeń wdrożeniowych.

Działania o dużym wpływie powinny wymagać wyraźnej akceptacji. Zespoły bezpieczeństwa powinny także izolować eksperymentalnych agentów od sieci produkcyjnych i wrażliwej infrastruktury. Praktyki te ograniczają zarówno złośliwe nadużycia, jak i przypadkowe szkody.

Ostrzeżenie wciąż ma lukę weryfikacyjną

Publiczne podstawy do niepokoju są istotne, ale najsilniejsze twierdzenia wykraczają poza dowody dostępne niezależnym odbiorcom.

Porównanie Cohena do lat przygotowań poprzedzających ataki z 11 września jest uderzające. Pokazuje, jak szybko asystent AI może zgromadzić informacje. Nie dowodzi jednak, że obecne modele mogą zastąpić ludzkie sieci stojące za złożoną operacją.

Duże ataki wymagają finansowania, rekrutacji, podróży, zaopatrzenia, dostępu do celu, bezpieczeństwa komunikacji i wykonania. Wiele z tych działań pozostawia ślady fizyczne lub finansowe. Szybko przygotowany dokument planistyczny ich nie eliminuje.

Porównanie może również przeceniać rolę niedoboru informacji. Niektóre metody ataków mają już obszerną publicznie dostępną dokumentację. Bardziej istotne jest pytanie, czy AI potrafi dostosować te informacje do konkretnej osoby, celu i ograniczeń.

Taka adaptacyjna pomoc zasługuje na analizę. Może odpowiadać na pytania uzupełniające i diagnozować nieudane próby. Może też łączyć źródła, które nowicjuszowi trudno byłoby znaleźć lub zrozumieć.

Mimo to płynność wypowiedzi nie jest równoznaczna z wiarygodnością. Modele mogą przedstawiać zmyślone szczegóły pewnym tonem. W technicznych sytuacjach wysokiego ryzyka niewielki błąd może unieważnić cały plan.

Raporty dostawców wprowadzają kolejną niepewność. Firmy nagłaśniają wykryte przez siebie złośliwe operacje, lecz nie widzą aktywności prowadzonej za pośrednictwem lokalnych modeli lub konkurencyjnych platform. Ich raporty są wartościowe, ale stanowią niepełne próbki.

Ulepszenia w wykrywaniu mogą także sprawiać wrażenie wzrostu nadużyć. Dostawca, który wykrywa więcej kampanii, może po prostu mieć lepszy monitoring, a nie obserwować większą aktywność wrogich podmiotów. Publiczne raportowanie rzadko oferuje stabilny punkt odniesienia do porównań.

Ostrzeżenia rządowe mają podobne ograniczenia. Agencje mogą unikać szczegółów operacyjnych, by chronić dochodzenia. Utrudnia to osobom z zewnątrz ocenę, czy AI była niezbędna, pomocna, incydentalna czy jedynie użyta w próbie.

Określenie „atak wspierany przez AI” może obejmować bardzo różne realia. Może oznaczać tłumaczenie propagandy, debugowanie złośliwego oprogramowania, identyfikowanie celów lub sterowanie autonomicznym sprzętem. Łączenie ich pod jedną etykietą zaciera poziom ryzyka.

Użyteczna taksonomia zagrożeń powinna rozdzielać generowanie treści, interaktywne instruktaże, automatyzację przepływów pracy, działanie autonomiczne i kontrolę fizyczną. Każda kategoria wymaga innych zabezpieczeń i dowodów.

Generowanie treści zapewnia skalę. Interaktywne instruktaże mogą obniżać bariery wiedzy. Automatyzacja przepływów pracy zwiększa tempo operacyjne. Działanie autonomiczne ogranicza bezpośredni udział człowieka. Kontrola fizyczna łączy decyzje programowe z konsekwencjami w świecie rzeczywistym.

Najbardziej alarmujące publiczne twierdzenia często przeskakują od pierwszych kategorii do ostatnich. Obecne dowody wskazują na znaczący postęp w kategoriach pośrednich. Nie dowodzą, że w pełni autonomiczne operacje terrorystyczne są powszechne.

Przesadne twierdzenia niosą praktyczne koszty. Mogą zachęcać do szerokiego nadzoru, źle ukierunkowanych ograniczeń lub wydatków na bezpieczeństwo napędzanych dramatycznymi scenariuszami. Mogą również osłabiać zaufanie publiczne, gdy prognozy się nie sprawdzają.

Niedostateczna reakcja niesie inne koszty. Czekanie na udany atak przed opracowaniem metod wykrywania oznaczałoby utratę szansy na zapobieganie. Planowanie bezpieczeństwa często musi rozpocząć się, zanim danych o wynikach będzie pod dostatkiem.

Wyważone stanowisko nie oznacza ani uspokajania, ani paniki. Obrońcy powinni traktować AI jako warstwę przyspieszającą w ramach istniejących systemów zagrożeń. Powinni mierzyć, gdzie zmienia ona koszty, szybkość, skalę lub dostęp.

Takie ujęcie nie traci z pola widzenia ludzkich intencji. Modele same z siebie nie tworzą celów politycznych ani poczucia krzywdy. To ludzie i organizacje decydują, co zaatakować, jakie ryzyko zaakceptować i czy podjąć działanie.

Pozostawia też znaczenie konwencjonalnym środkom bezpieczeństwa. Silne uwierzytelnianie, segmentacja sieci, kontrolowany dostęp do narzędzi, przetestowane plany odzyskiwania oraz nadzór człowieka mogą przerwać kampanie wspierane przez AI. Środki te działają nawet wtedy, gdy atrybucja pozostaje niepewna.

Trzy sygnały pokażą, czy zagrożenie narasta

Kolejną fazę należy oceniać na podstawie zweryfikowanych dowodów operacyjnych, solidniejszych testów możliwości i mierzalnych działań obronnych.

Pierwszym sygnałem będzie udokumentowany atak, w którym śledczy zidentyfikują AI jako istotny element planowania. „Istotny” powinno oznaczać, że operacja zależała od wsparcia, którego nie dałoby się łatwo uzyskać za pomocą konwencjonalnych badań.

Śledczy musieliby wykazać, co zrobił model, gdzie zmienił plan i czy jego wyniki poprawiły realizację. Samo znalezienie historii czatu z chatbotem na urządzeniu podejrzanego nie spełniałoby tego standardu.

Takie dowody znacząco wzmocniłyby ostrzeżenie FBI dotyczące terroryzmu z wykorzystaniem AI. Przeniosłyby debatę z poziomu możliwości i prób nadużyć na poziom wykazanego wpływu operacyjnego.

Brak takiego przypadku nie dowodziłby bezpieczeństwa. Organy ścigania mogą zachowywać szczegóły w poufności, a niektóre operacje pozostają niewykryte. Mimo to publiczne twierdzenia powinny odróżniać potwierdzone przypadki od ocen wywiadowczych.

Drugim sygnałem będzie postęp w niezależnych ocenach zadań związanych z cyberbezpieczeństwem, bronią, biologią i wywiadem taktycznym. Oceny powinny testować kompletne procesy pracy, a nie pojedyncze pytania.

Model, który wyjaśnia koncepcję, różni się od modelu potrafiącego planować, testować, wychodzić z niepowodzeń i korzystać z narzędzi. Oceny powinny mierzyć te etapy osobno i porównywać wyniki z ludzkimi poziomami odniesienia.

Wyniki wymagają również replikacji poza dostawcą modelu. Niezależni ewaluatorzy mogą ograniczyć zachęty do podkreślania korzystnych wyników bezpieczeństwa lub dramatycznych twierdzeń o zagrożeniach. Mogą też testować zabezpieczenia w spójnych warunkach.

Badacze powinni raportować, czy AI pomaga nowicjuszom, ekspertom czy obu grupom. System, który przede wszystkim przyspiesza ekspertów, stwarza inny problem polityczny niż taki, który daje nowicjuszom całkowicie nowe możliwości.

Trzecim sygnałem będzie to, czy skoordynowane interwencje rzeczywiście zakłócają kampanie. Same blokady kont niewiele mówią, jeśli sprawcy natychmiast wracają za pośrednictwem pełnomocników, skradzionych danych uwierzytelniających lub modeli hostowanych lokalnie.

Dostawcy i agencje powinni śledzić powtarzającą się infrastrukturę, powiązane konta, czas trwania kampanii oraz przemieszczanie się między usługami. Zbiorcze raportowanie mogłoby pokazać, czy zabezpieczenia podnoszą koszty, czy tylko powodują krótkie opóźnienia.

Operatorzy infrastruktury krytycznej powinni również raportować, czy rekonesans powiązany z AI pojawia się przed wtargnięciami. Takie dowody połączyłyby aktywność na platformach modeli z zachowaniami obserwowanymi w sieciach docelowych.

Sygnały te są ważne dla deweloperów i nabywców korporacyjnych w takim samym stopniu jak dla agencji rządowych. Organizacje coraz częściej łączą modele z repozytoriami, przeglądarkami, terminalami i systemami biznesowymi. Każde nowe narzędzie rozszerza konsekwencje przejęcia konta.

Zespoły powinny zinwentaryzować, które agenty mogą wykonywać kod, kontaktować się z zewnętrznymi usługami, pobierać sekrety lub modyfikować zasoby produkcyjne. Zasady zatwierdzania powinny wynikać z możliwości, a nie konwersacyjnego wyglądu interfejsu.

Liderzy bezpieczeństwa powinni też testować ścieżki awarii. Powinni wiedzieć, jak zawiesić agenta, unieważnić dane uwierzytelniające, zachować logi i przywrócić systemy, których dotyczy incydent. Te mechanizmy kontroli powinny działać bez współpracy modelu.

Pracownicy wiedzy mają mniejszą, ale realną rolę. Poufnych danych uwierzytelniających, szczegółów infrastruktury i dokumentów wewnętrznych nie należy wklejać do niezatwierdzonych narzędzi. Przejęte konta lub usługi pośredniczące mogą ujawnić takie wymiany.

Ostrzeżenie FBI dotyczące terroryzmu z wykorzystaniem AI opisuje ostatecznie asymetrię. Atakujący mogą tanio eksperymentować w wielu systemach, podczas gdy obrońcy muszą chronić każdą krytyczną zależność. AI zwiększa tempo tych eksperymentów.

Odpowiedzią nie jest traktowanie każdego użytkownika modelu jak podejrzanego. Chodzi o to, by działania o dużym wpływie były trudniejsze do ukrycia, trudniejsze do zautomatyzowania i łatwiejsze do przerwania.

Czytelnicy powinni szukać dowodów łączących możliwości modeli z rzeczywistymi wynikami operacyjnymi. Powinni również pytać, czy proponowane zabezpieczenia odnoszą się do faktycznego procesu pracy, czy jedynie blokują alarmujące słowa.

To pytanie oddzieli użyteczną politykę bezpieczeństwa od teatru. Planowanie ataków wspierane przez AI jest już wiarygodnym ryzykiem. Jego skala, niezawodność i wpływ na skuteczny terroryzm pozostają faktami, które rządy i dostawcy muszą teraz ustalić.