Generative AI làm suy yếu các phương thức phát hiện dựa trên hành vi trong an ninh mạng

Sự phổ biến của AI tạo sinh (Generative AI) đang thay đổi hoàn toàn diện mạo của các cuộc tấn công qua email. Trước đây, các email độc hại thường dễ bị phát hiện nhờ lỗi ngữ pháp, văn phong gượng ép hoặc việc tái sử dụng các mẫu template quen thuộc. Giờ đây, kẻ tấn công có thể tạo ra những thông điệp trôi chảy, cá nhân hóa cao và hoàn toàn độc nhất cho từng mục tiêu, khiến các bộ lọc email dựa trên hành vi truyền thống dần mất đi hiệu quả.

Khi AI xóa bỏ các giới hạn của kẻ tấn công

Các bộ lọc email trước đây được thiết kế để phát hiện những điểm bất thường do kẻ tấn công để lại khi họ phải cắt giảm chi phí và thời gian. Tuy nhiên, AI đã loại bỏ những rào cản này:

• Ngôn ngữ: Văn bản trôi chảy, bản địa hóa hoàn hảo, không lỗi chính tả.
• Bối cảnh: Phản hồi phù hợp với luồng hội thoại, vai trò của người nhận và thời điểm gửi.
• Persona: Bắt chước phong cách viết, chữ ký và tạo ra lịch sử hội thoại giả mạo.
• Biến thể: Mỗi email là duy nhất, không còn dấu vết của các mẫu template lặp lại.

Proofpoint cảnh báo rằng khi mọi email đều trông có vẻ bình thường, việc phân tích dựa trên hình thức đã không còn đủ. Thay vào đó, hệ thống phòng thủ cần tập trung vào việc xác định mục đích của thông điệp đó là gì.

Từ hành vi đến ý đồ (Intent)

Để đối phó với xu hướng này, Proofpoint đã giới thiệu mô hình Nexus Intent-Based Detection. Thay vì chỉ kiểm tra xem email có “lạ” hay không, mô hình này đánh giá xem mục tiêu của email có phù hợp với mối quan hệ giữa người gửi và người nhận hay không.

Ví dụ, một yêu cầu thay đổi thông tin ngân hàng từ một nhà cung cấp quen thuộc có thể trông rất hợp lệ về mặt kỹ thuật. Tuy nhiên, nếu phân tích theo “ý đồ”, hệ thống sẽ nhận diện các dấu hiệu đáng ngờ như: đây là lần đầu thay đổi thông tin sau nhiều năm, yêu cầu được thực hiện ngoài luồng hội thoại chính, hoặc các lý do trì hoãn xác minh được đưa ra một cách khiên cưỡng.

Chiến lược phòng thủ đa tầng

Việc áp dụng phân tích sâu (deep analysis) cho mọi email là bất khả thi do độ trễ. Do đó, các giải pháp hiện đại đang áp dụng cơ chế phân tầng:

• Tầng 1 (Flash models): Sử dụng Machine Learning và Computer Vision để xử lý hàng loạt trong dưới 500ms.
• Tầng 2 (Extended thinking): Xử lý các email phức tạp hơn, phân tích ngữ điệu và biểu đồ tổ chức trong vài giây.
• Tầng 3 (Deep thinking): Dành cho các trường hợp nghi vấn cao, sử dụng mô hình ngôn ngữ đa giai đoạn để phân tích sâu.

Bên cạnh đó, các công cụ điều tra tự động (Threat Investigation Agent) cũng đóng vai trò quan trọng trong việc phản ứng với tốc độ máy. Khi một cuộc tấn công xảy ra, các tác nhân này có thể tự động cô lập tài khoản, xóa các quy tắc độc hại trong mailbox và khôi phục cài đặt người dùng chỉ trong vài phút, giúp giảm thiểu thiệt hại trước khi con người kịp can thiệp.

Tóm lại, trong kỷ nguyên AI, cuộc chiến an ninh mạng không còn nằm ở việc nhận diện các email “xấu xí” về mặt hình thức, mà là hiểu được ý đồ thực sự đằng sau những thông điệp trông có vẻ hoàn hảo.

Nguồn tham khảo: The Hacker News