BOT WARS: La Inteligencia Artificial enfrenta máquinas contra máquinas en la guerra de la ciberseguridad

Parece el argumento de una película futurista de ciencia ficción, pero la primera gran guerra protagonizada exclusivamente por máquinas se libró hace tres años en un insospechado campo de batalla: el Hotel París de Las Vegas. Por primera vez, los expertos en ciberseguridad decidieron medir las fuerzas de sus sistemas de detección de amenazas basados en Inteligencia Artificial contra ataques automatizados.

Este conenido fue publicado en el número de Febrero de la revista IT Digital Security, disponible desde este enlace.

RECOMENDADOS: Tecnologías que dan al dato el protagonismo que merece (WEBINAR)  Cinco retos de la innovación en cloud Informe IT Trends 2019: La realidad digital de la empresa española Mejores prácticas para implementar una plataforma ágil Robo de credenciales: prioriza la seguridad de tus apps Instalación de Redes WiFi y LAN en Hoteles

Durante doce horas siete equipos totalmente autónomos compitieron en el clásico juego de hackers ‘Capture the Flag’. En cuestión de segundos, y sin intervención humana alguna, los sistemas de Inteligencia Artificial eran capaces de lanzar con éxito pruebas de vulnerabilidad (POV) y crear parches para proteger sus servidores sin comprometer el funcionamiento normal de los programas.

La prueba, organizada por la Agencia Estadounidense de Proyectos Avanzados de Investigación de Defensa (DARPA), mostró no sólo las ventajas de la aplicación de Inteligencia Artificial en la ciberdefensa, sino también su capacidad para descubrir vulnerabilidades, generar exploits y lanzar ataques, y confirmó los enormes riesgos que acarrearía esta tecnología si cayera en las manos equivocadas.

“Es un cambio de paradigma en seguridad como el que se produjo hace 20 años cuando se pasó de los hackers al malware, de finales de los 90 a principios de los 2000”, explica Santiago Moral, CEO de BlueVoyant Spain y director del Technological Institute for Data, Complex Networks & Cybersecurity Sciences (DCNC Sciences) de la Universidad Rey Juan Carlos, que organiza el primer master en España especializado en ciberdefensa e Inteligencia Artificial.

“Antes, para lanzar un ataque hacía falta un hacker, y había pocos. Es una profesión difícil de aprender, y tenían que dedicar muchas horas para atacar un gran sistema, por lo que el volumen de ataques era reducido. Cuando eso se mecanizó y apareció el malware, de repente hay un software que tiene embebido el conocimiento de un hacker. Se automatizó una tarea que antes era manual. Ahora mismo estamos en el mismo punto. Además de automatizar, se le ha introducido inteligencia”.

El aprendizaje automático (machine learning) y la Inteligencia Artificial se vienen empleando en los últimos años en la ciberdefensa, con sistemas capaces de identificar con el máximo detalle el comportamiento usual de los procesos para poder detectar después cualquier anomalía susceptible de constituir un ataque, o recopilando información de amenazas generada por centros de seguridad cruzándolas con tendencias de ataques detectados en la Deepweb para predecir los próximos movimientos de los hackers.

“Se juntan las disciplinas de ciencia de datos y de ciberseguridad –continúa Moral-. En la parte de ciberseguridad trabajamos especialmente la selección de datos de dentro y fuera de la organización para identificar qué tipos de ataques y qué información necesito para defenderme de ellos. Combina la ingeniería del dato, el Data science y el conocimiento en profundidad de la forma en que se realizan los ataques para poder detectarlos y poder anticiparme a ellos”.

Carrera armamentística

Para burlar las nuevas capas de defensa, los criminales han recurrido a las mismas técnicas, en una suerte de carrera armamentística donde hackers y compañías compiten por automatizar al máximo el ataque y la respuesta.

Al servicio de los malos la Inteligencia artificial permite descubrir vulnerabilidades, no sólo probando de manera automática payloads ya existentes, sino creando nuevos elementos maliciosos utilizando técnicas de fuzzing, adaptar un exploit a un entorno concreto a mayor velocidad que un humano y, lo más importante de todo, buscar y priorizar de manera automática la información más lucrativa que se puede obtener como resultado del ataque.

Los criminales utilizan técnicas de IA, como machine learning y deep learning, en la preparación del ataque, seleccionando objetivos no sólo evaluando sus sistemas defensa, sino anticipándose a cuál será su respuesta a la amenaza. “Durante el ataque en sí mismo –explica Santiago Moral-, analizan las reacciones del atacado para plantear estrategias de contraataque”.

“Antes tardaban días en reaccionar cuando encontraban resistencia, porque hacía falta un equipo de analistas. Ahora tardan minutos”. La Inteligencia Artificial es capaz de explotar otra vulnerabilidad o empezar a buscar nuevas formas de entrada en el sistema sin recibir instrucciones de ningún ser humano.

“La ciberseguridad de una empresa es como un submarino –continúa Moral-. Está diseñado para bajar a una determinada profundidad, y si desciende más acaba reventando por la presión. Con la inteligencia artificial es como si a tu empresa la hubieran hecho descender a muchos más pies de profundidad, porque van a encontrar fisuras en tus defensas. Van a saltar los tornillos”.

“La forma de penetrar, que antes necesitaba un ojo experto, será cada vez más automatizada. Son fisuras imperceptibles al ojo humano. O tú también utilizas técnicas automatizadas y de inteligencia artificial para detectar las microfisuras y saber que te están analizando, o no soportarás la presión”, sentencia.

Según el último Cyber Benchmarks Index del Consejo Internacional de Seguridad Neustar, fechado en octubre de 2018, el 82% de las compañías encuestadas mostraron su preocupación por el posible uso de Inteligencia Artificial que los hackers pudieran utilizar para atacar a su empresa, al tiempo que 87% de los aseguraba que el uso de esta tecnología supondrá un cambio cualitativo en sus defensas.

Entre sus mayores temores se encuentran el robo de datos -50 por ciento-, pérdida de confianza de los clientes -19 por ciento- y la inestabilidad en el desarrollo del negocio -16 por ciento-. Como resultado, casi el 60 por ciento de los líderes de seguridad se muestran preocupados por adoptar la tecnología IA en sus organizaciones.

En su informe anual sobre el Panorama de Amenazas 2019, el fabricante de antivirus Avast apunta a un aumento de los conocidos como ‘Deep Attacks’, es decir, ataques a partir de contenido malicioso generado automáticamente por algoritmos de Inteligencia Artificial, con el objetivo de burlar tanto las defensas humanas como automatizadas.

“Los Deep Attacks pueden utilizarse para crear tráfico falso en botnets, utilizando la Inteligencia Artificial entrenada para evitar la detección de firewalls/IDS existentes. Estos algoritmos inteligentes pueden inyectar código superfluo en la muestra de malware hasta que dicho malware no pueda ser detectado por el motor del antivirus”, asegura Avast en su informe anual.

Aunque quizá la mayor amenaza de la Inteligencia Artificial sea atacar al eslabón más débil de la cadena de seguridad: las personas. “En 2018, –continúa el informe- el equipo observó muchos ejemplos en los que los investigadores utilizaron algoritmos de Inteligencia Artificial adversarial para engañar a los humanos”. Los ejemplos incluyen el video falso de Obama creado por Buzzfeed donde se ve al expresidente emitiendo oraciones falsas de manera convincente, o los retratos de personas que jamás existieron creados por un algoritmo de Nvidia.

En este sentido, la compañía augura un aumento del número y la efectividad del spearphishing, gracias al análisis de millones de datos disponibles que permiten crear mensajes y sitios de phishing cada vez más difíciles de detectar, además de un incremento de los asaltos a redes domésticas mediante algoritmos de IA capaces de buscar e identificar víctimas con perfil específico.

“El machine learning se está utilizando especialmente para hacer perfilado de usuarios –alerta David Núñez Escobedo, arquitecto de Soluciones de Seguridad de la firma Oracle-. De la misma manera que las empresas utilizan la analítica de datos para obtener un perfil de sus clientes y mejorar su relación con ellos, los criminales pueden utilizar sistemas de procesamiento de tendencias y comportamientos para buscar objetivos. Son perfilados apoyados en Big Data”.

“La mayoría pueden ser datos que hemos dado con nuestro consentimiento a las compañías, pero el riesgo está en sin son utilizados para otros fines –advierte-. La pregunta que debemos hacernos es si los que almacenan nuestros datos son conscientes de que están siendo atacados para usar de forma fraudulenta esa información”.

Si las empresas –argumenta David Núñez- son capaces de utilizar el machine learning y el Big data para extraer perfiles de sus clientes con fines de marketing, pueden también utilizar estas misma técnicas y embeberlas en la seguridad. “Si mi empresa está siendo atacada, va a haber cambios en mi comportamiento; esos cambios generan una gran cantidad de información que no se procesa, porque mientras los sistemas funcionan creemos que todo va bien. El machine learning puede detectar tendencias para atajar los ataques”.

Inteligencia humana

Pese a los últimos avances y su enrome potencial, algunos expertos advierten que el alcance la Inteligencia Artificial es aún limitado. Por el momento, las máquinas son sólo capaces de acelerar un ataque definido paso a paso por humanos. “Las máquinas no toman decisiones por sí mismas. Son capaces de aprender, pero no son capaces de procesar parámetros para los que no han sido programadas”, apunta David Núñez.

“La prueba son los coches autónomos, que aún presentan enormes problemas cuando tienen que enfrentarse a decisiones como salvar al conductor o atropellar a un peatón en caso de accidente”, precisa el experto de Oracle. “Los humanos siguen poniendo la inteligencia”.

Mientras que la Inteligencia Artificial como tal trata de dotar de consciencia a las máquinas, las soluciones actuales tienen más que ver con el aprendizaje automático, que aún requiere de la intervención humana para subir nuevos paquetes de entrenamiento y conocimiento experto. “Pese a su creciente eficiencia analítica, este proceso aún requiere de inputs de calidad. Si una máquina se alimenta de datos pobres, sus resultados serán igualmente pobres”, apunta la firma Forcepoint en su informe de predicciones para 2019.

“Las soluciones de inteligencia artificial de hoy no están diseñadas para lidiar con la ambigüedad –concluye Audra Simons, responsable de innovación y creación de prototipos de Forcepoint, en el documento difundido por la compañía-. Los humanos, por otro lado, son capaces de equilibrar múltiples variables y el contexto asociado con el comportamiento para tomar decisiones, especialmente cuando se trata de lo inesperado. Y la industria de la ciberseguridad no puede permitirse ignorar la ambigüedad”.

No obstante, añade Forcepoint, “los atacantes artificiales son oponentes formidables, y sin duda va a continuar la carrera armamentística en torno a la inteligencia artificial y el aprendizaje automático”.

Jaime Velázquez