Tại sao độ tin cậy của AI không đồng nghĩa với sự xác thực trong điều tra số?

Trí tuệ nhân tạo (AI) đã dần trở thành một phần không thể thiếu trong lĩnh vực điều tra số và ứng cứu sự cố (DFIR). Tuy nhiên, một vấn đề lớn đang nảy sinh: các công cụ AI ngày càng tự tin vào kết quả đầu ra của chúng nhanh hơn tốc độ mà các chuyên gia có thể xây dựng quy trình kiểm chứng. Khi thiếu các mô hình quản trị và tiêu chuẩn xác thực, những kết quả chưa được kiểm chứng này có thể lọt vào các báo cáo pháp lý, gây ra hậu quả khó lường.

AI không thể thay thế sự kiểm chứng của con người

Theo Heather Barnhart từ SANS, AI có thể tăng tốc công việc điều tra, nhưng con người phải luôn là người đưa ra quyết định cuối cùng. Một công cụ AI đưa ra kết quả với điểm số tin cậy (confidence score) cao không có nghĩa là kết quả đó chính xác. Nếu công cụ không giải trình được lý do (reasoning) đằng sau kết quả đó, nó vẫn là một nguồn dữ liệu không đáng tin cậy.

Sai lầm phổ biến hiện nay là coi AI như một “nguồn sự thật duy nhất”. Nhiều chuyên gia chỉ đơn thuần quét tệp tin, tin vào kết quả do AI báo cáo mà không kiểm tra lại nguồn gốc hoặc logic phân tích. Điều này đặc biệt nguy hiểm đối với những người thiếu kỹ năng nền tảng để phát hiện các sai sót của mô hình.

Quản trị AI trong DFIR

SANS đã giới thiệu hai khung làm việc (framework) mới để giải quyết thách thức này, dựa trên các tiêu chuẩn của SWGDE và NIST Cybersecurity Framework 2.0. Điểm cốt lõi là sự tách biệt giữa hai lĩnh vực:

• Ứng cứu sự cố (Incident Response): Cần tốc độ, do đó có thể chấp nhận mức độ linh hoạt cao hơn trong việc sử dụng AI để phát hiện các hành vi bất thường.
• Điều tra số (Digital Forensics): Đòi hỏi sự chính xác tuyệt đối, nơi mỗi tệp tin nguồn đều phải được xác thực kỹ lưỡng.

Việc áp dụng chung một chính sách quản trị cho cả hai lĩnh vực này là không khả thi. Trong điều tra số, mọi hành động của AI không được phép gây ra những thay đổi không thể đảo ngược (non-reversible) đối với bằng chứng. Ví dụ, AI có thể hỗ trợ gắn thẻ (tagging) dữ liệu, nhưng việc thu thập dữ liệu từ cloud hoặc triển khai công cụ trên hệ thống cần phải được kiểm soát chặt chẽ bởi chuyên gia.

Kết luận

Giá trị của một chuyên gia DFIR nằm ở khả năng sử dụng AI như một công cụ hỗ trợ, thay vì phụ thuộc hoàn toàn vào nó. Những người thiếu kinh nghiệm sử dụng AI mà không hiểu rõ quy trình điều tra chính là “quả bom nổ chậm” trong tổ chức. Do đó, việc đào tạo kỹ năng nền tảng và thiết lập quy trình xác thực minh bạch là ưu tiên hàng đầu để xây dựng một hệ thống phòng thủ và điều tra bền vững.

Nguồn tham khảo: The Hacker News