Nå kommer hackebølgen

Hvis det er én kandidat for et samfunnsområde som er superviktig, men som folk flest knapt tenker på, så er det cybersikkerhet. Det er evnen vår til å beskytte digital infrastruktur – enten det er IT-systemet på jobben, signalsystemet på toglinjen eller din private økonomi – mot angrep fra ondsinnede aktører.

Den siste tiden har det vært en rekke store cyberangrep mot norske mål. Det mest tragiske eksempelet var da hackere fikk tilgang på over 1300 journaler med sensitive personopplysninger fra Lørenskog kommune, som de slapp på det mørke nettet da kommunen nektet å betale løsepenger.

Og selv om bedrifter og offentlige institusjoner av forståelige grunner ikke ønsker å snakke så høyt om hackeangrep, hører jeg drypp fra folk fra alle bakgrunner at det skjer langt oftere enn hva som blir rapportert.

Jeg mistenker at de nyeste angrepene er turboladet av KI, nye modeller som er langt bedre på hacking enn noen før dem, og som kan handle selvstendig.

Det vi allerede ser har begynt, og som jeg tror kommer til å treffe Norge som en flodbølge de neste 12 månedene, er storskala cyberangrep mot norske bedrifter i alle størrelser.

Jeg skrev tidligere i Altinget om ubalansen mellom forsvar og angrep for cybersikkerhet. Som angriper trenger man bare ett vellykket angrep for å utrette stor skade, mens en forsvarer er nødt til å fange absolutt alle angrep.

Frem til nå har det vært dyrt og krevende å drive med dataangrep fordi man trenger mennesker som kan utføre det, for eksempel 100 nordkoreanske hackere med IT-kompetanse, og god tålmodighet. Med KI trenger man ikke lenger like mange folk.

Fremveksten av åpne KI-modeller vil gjøre det lettere for alle å hacke.

"Hackerne kan laste ned modellen og fritt la den herje på for å finne svakheter i forsvaret."

En åpen KI-modell er en KI som er tilgjengelig for alle slik at de kan laste den ned og drive den på sitt eget datasystem. En lukket modell som ChatGPT og Claude er ikke mulig å laste ned, og må brukes fra organisasjonen selv. Det gjør at selskapene kan legge inn begrensninger (eller i alle fall prøve) på hva modellen vil hjelpe til med. Det kan man ikke med åpne modeller.

Med andre ord kan hackerne laste ned modellen og fritt la den herje på for å finne svakheter i forsvaret.

Tidligere i sommer slapp det kinesiske selskapet Moonshot AI en ny versjon av modellen Kimi. Denne viste seg å være langt bedre enn man hadde trodd at en kinesisk modell kunne være, selv om den fremdeles ligger bak de fremste amerikanske modellene. Hovedforskjellen er at Kimi er åpen.

Vi får nå se hva som skjer når hackere får tilgang på en kraftig modell som får herje fritt. Personlig tror jeg at dette vil utløse langt flere angrep i øst og vest, og ikke minst angrep mot mål som tidligere ikke har vært verdt det for hackere.

A good guy with a gun

For å parafrasere et amerikansk uttrykk så er den eneste måten å stanse en ond aktør med KI, en god aktør med KI. Håpet er at man kan gi dataselskap tilgang på de beste modellene før man gir det til offentligheten, og dermed kan de fikse koden slik at den blir hackesikker.

På samme måte kan selvdrevne KI-modeller patruljere koden og beskytte mot inntrengere, slik kroppens immunsystem kontinuerlig beskytter mot sykdom.

Dette kan godt vise seg å stemme, men det kan også hende at det rett og slett viser seg å være langt enklere å angripe enn å forsvare, så de gode modellene ikke klarer å holde tritt med de onde.

Eller man kan tenke seg at amerikanske myndigheter ikke gir andre lands selskap tilgang på de fremste modellene. Det var dette som skjedde da amerikanske myndigheter midlertidig fjernet tilgang til Anthropics Fable-modell, noe som skapte stor bekymring i Europa.

Prisen på angrep har falt

Jeg er bekymret for hva som kommer til å skje med små og mellomstore bedrifter (SMB). SMB-er står for over halvparten av de ansatte i privat sektor, og over en million arbeidstakere jobber i bedrifter med færre enn 50 ansatte. De fleste SMB-er har ikke råd eller nok ansatte til egne IT-avdelinger.  

Blir det billig nok, kan et individ angripe et verksted, en lokal bilselger eller en tannlegeklinikk.

Frem til nå har det ikke vært lønnsomt for hackere å angripe arkitektfirma, fiskeoppdrettsanlegg, og regionale bedrifter. De har kunnet gjemt seg i mengden av andre bedrifter, litt som en zebra.

Det er ikke engang utenkelig at man til slutt vil begynne å angripe de små bedriftene. Blir det billig nok, kan et individ angripe et verksted, en lokal bilselger eller en tannlegeklinikk.

Vi må bli hardere

Problemet vårt er at vi fremdeles tenker på dette som en privat sak hvor bedriftene tar ansvar for sine egne systemer. Men på et eller annet tidspunkt blir problemet så stort og generelt at staten må komme på banen.

På et tidspunkt blir problemet så stort og generelt at staten må komme på banen.

Det er på tide at datakyndige i privat og offentlig sektor setter seg ned og tenker alvorlig på hva som skal til for å hardne infrastrukturen vår.

Logistikken vil bli et sant mareritt, men vi trenger rett og slett større muskler i Norge og Europa. Vi kan ikke lenger stole på at amerikanske techselskaper vil gjøre sitt beste for å sikre at nordmenns private data er beskyttet.