Denne artikkelen er produsert og finansiert av Norsk Utenrikspolitisk Institutt - les mer.
Derfor gir ikke KI og automatisering bedre sikkerhet
Troen på at KI og maskinlæring gjør det lettere å ivareta sikkerheten vår, er utbredt.
– Det er ikke så enkelt som at mer data, bedre verktøy og selvstyrende løsninger skal gi oss en tryggere digital verden, sier Claudia E. Aanonsen.(Foto: Therese Leine / NUPI)
Norsk Utenrikspolitisk InstituttNorsk UtenrikspolitiskInstitutt
Publisert
I 2023 fikk forsvarssjef Eirik Kristoffersen en julegave av Nasjonal sikkerhetsmyndighet (NSM).
Det var digitale innbruddsalarmer pakket inn i sikre, militærgrønne bokser. Prislappen lå på opp mot 500 millioner kroner.
Den korrekte betegnelsen for innbruddsalarmene er Varslingssystem for digital infrastruktur (VDI).
Det er sensorer som plasseres ut i virksomheter som anses som en del av kritisk infrastruktur i Norge.
Sensorer skal oppdage kjente trusler
VDI er ett av flere virkemidler som skal beskytte mot angrep på digital infrastruktur.
– Nettverkssensorer fungerer hovedsakelig ved å oppdage kjente trusler. Det er omtrent som å kjenne igjen et ansikt i en folkemengde, forklarer forsker Claudia Emilie Aanonsen ved Norsk Utenrikspolitisk Institutt (NUPI).
Hun lister opp flere eksempler på slike trusler:
– Det kan være så enkelt som nye enheter som forsøker å logge seg på. Det kan også være bestemte nettsøk eller noen som stadig vekk skriver inn feil passord for innlogging.
Nasjonal Sikkerhetsmyndighet (NSM) overleverte det nye Varslingssystem for digitale trusler (VDI) til Forsvaret i 2023. Her overværer daværende NSM-sjef Sofie Nystrøm og forsvarssjef Eirik Kristoffersen overrekkelsen.(Foto: Ronja Sagstuen Larsen / Aftenposten / NTB)
Idé om totalsikkerhet – men ikke fullt så enkelt
Funn fra Aanonsens forskning viser at det ikke er gitt at maskinlæring og automatisering gir bedre sikkerhet.
Hun har sett nærmere på systemene, praksisene og erfaringene knyttet til cybersikkerhet. Det har hun gjort gjennom å studere det norske varslingssystemet VDI.
I dag baserer slike systemer seg i større grad på såkalt maskinlæring for å oppdage ukjent aktivitet i et nettverk.
Maskinlæring er en gren av kunstig intelligens (KI). Den gjør datamaskiner i stand til å lære fra data og forbedre seg automatisk uten å være programmert for å utføre én enkelt oppgave.
– Når det gjelder sikkerheten i digitale nettverk og systemer, er logikken tilsynelatende enkel: mer data, bedre verktøy og selvstyrende løsninger skal gi oss en tryggere digital verden, sier Aanonsen.
Men fullt så enkelt er det ikke, mener hun.
– Det virker betryggende med systemer som overvåker digitale nettverk og oppnår god nok situasjonsforståelse til å kjenne igjen og stanse uønsket aktivitet på egen hånd. Men virkeligheten er faktisk mye mindre svart-hvitt, sier forskeren.
Hun forklarer at sikkerheten henger mer sammen med menneskelige skjønn, tolkning og forståelse enn det lovnader om fremtidens teknologi ofte skulle tilsi.
Annonse
– Fortsatt avhengig av magefølelsen
Ideen er altså at maskinlæring skal gjøre det mulig å overvåke alt og oppdage alle avvik. Samfunnet kommer dermed et steg nærmere totalsikkerhet.
– Problemet er at det ikke er mulig å eliminere usikkerhet eller trusler i seg selv. Snarere skaper maskinlæring nye sårbarheter, sier Aanonsen.
Nettverkssensorer produserer enorme mengder data og varslinger om trusler. Men de fleste av disse er falske.
– Noen må fortsatt avgjøre hva som er viktig, når det er viktig og hvorfor.
Aanonsen har intervjuet ti sikkerhetsanalytikere. De jobber alle med systemer som VDI.
– Analytikere i dag må gjennomgå signalene og er fortsatt avhengig av erfaring og såkalt magefølelse for å gjøre dette. I praksis handler cybersikkerhet mindre om automatisering og økt presisjon og mer om nye og ulike metoder for å tolke data, sier forskeren.
Når «alt» blir mistenkelig
Enda mer interessant er det at slike systemer ikke bare oppdager trusler. De bidrar også til å skape dem, mener Aanonsen:
– Når alt utenom normal aktivitet blir flagget, blir alt også mistenkelig. Trusler er ikke lenger en forutbestemt kategori. Det er noe som endrer seg avhengig av hvordan situasjonen tolkes. Grensen mellom normalt og unormalt, ufarlig og truende blir flytende. Jobben blir jakten på avvik snarere enn søken etter konkrete eller kjente «fiender», sier hun.
Dette har viktige konsekvenser.
Cybersikkerhet er ikke bare et teknisk problem. Det formes av menneskelige vurderinger, organisatoriske prioriteringer og kommersielle interesser.
Annonse
Ingeniører, analytikere, beslutningstakere og selskaper er med på å definere hva som regnes som en trussel. De definerer også langt på vei hva som faller utenfor denne kategorien.
– Ideen om totalsikkerhet fremstår mindre som et realistisk mål og mer som et slagord. Nettverkssensorer kan aldri gi fullstendig situasjonsforståelse, men heller oppstykkede og stadig skiftende problembeskrivelser, sier Aanonsen.
Trussel? Det kommer an på øynene som ser
– Å kjenne igjen en trussel – både av maskin og menneske – er alltid knyttet til hvem som ser, hvilke verktøy de bruker og hvilke krav og begrensninger de står overfor. Det finnes ikke ett allvitende perspektiv. Det finnes bare nye øyne og verktøy i et landskap som stadig endres med nye teknologier, sier Aanonsen.
Dette vet analytikere godt. Men det utfordrer den utbredte forestillingen om at mer data og automatisering gir bedre sikkerhet.
Vi bør ikke blindt kjøpe ideen om at den beste dataen og de raskeste systemene gir bedre sikkerhet. I stedet bør vi tenke på cybersikkerhet som et kontinuerlig samspill mellom mennesker og maskiner, mener forskeren.
Avansert teknologi skaper både nye måter å avdekke og håndtere trusler på. Ifølge forskeren kan det gi mer realistiske forventninger til hva «ny teknologi» faktisk kan oppnå ved å forstå hvordan dette foregår, men også konsekvensene av dette.
– Det kan også rette oppmerksomheten mot menneskets rolle, kritisk tenkning og det sammensatte arbeidet som holder systemer i gang og gjør den digitale verden til noe håndfast, forklarer Aanonsen.
Hun påpeker at dette er viktig lærdom for oss i dagens debatter om KI.
– Forestillingen om at stadig smartere systemer enkelt vil løse komplekse problemer helt av seg og gjøre verden til et bedre sted, bør møtes med en skikkelig god dose skepsis, sier forskeren.
