Peste 100 de companii și organizații au semnat o scrisoare deschisă care cere accelerarea globală a apărării cibernetice pe măsură ce cresc capabilitățile modelelor AI de frontieră. Lista publicată de OpenAI reunește laboratoare AI, furnizori cloud și software, bănci, operatori telecom și companii de securitate, între care Anthropic, AWS, Google, Microsoft, Cisco, Cloudflare, CrowdStrike, Deutsche Telekom, Mastercard și Visa.
Existența scrisorii, semnatarii și recomandările sunt confirmate de pagina primară. Prognoza că atacurile asistate de AI vor deveni mai răspândite și sofisticate în lunile următoare reprezintă evaluarea semnatarilor, nu un rezultat demonstrat independent. CyberScoop a relatat separat lansarea și a analizat angajamentele cerute organizațiilor, guvernelor și furnizorilor de tehnologie.
O declarație de intenție, nu un nou standard de securitate
Scrisoarea este voluntară. Nu creează un termen obligatoriu, o certificare, o metodă de audit sau o investiție minimă. Semnarea nu demonstrează că organizația a implementat controalele recomandate, iar lista publică se poate modifica pe măsură ce se alătură alți semnatari.
Valoarea practică este modelul operațional propus: securitatea devine prioritate de management, slăbiciunile cu risc maxim sunt remediate, fixurile sunt verificate, accesul și privilegiile sunt reduse, controalele sunt testate împotriva capabilităților de frontieră, iar serviciile esențiale subfinanțate primesc sprijin. Aceste activități pot fi măsurate chiar dacă prognoza amplă despre AI rămâne incertă.
Gap-ul de management este între finding și fixul verificat
AI poate crește volumul și viteza descoperirii vulnerabilităților, a trierii și a propunerilor de remediere. Poate produce și rezultate fals pozitive, patch-uri nesigure sau recomandări care ignoră dependențe operaționale. Rezultatul defensibil nu este numărul de finding-uri generate de un model, ci numărul expunerilor materiale care ajung la un responsabil, sunt remediate în siguranță și sunt verificate independent.
Conducerea trebuie să ceară un lanț trasabil: activ afectat, context de business, sursa dovezii, proprietar responsabil, termen de decizie, schimbare aprobată, rezultat al validării și orice risc rezidual acceptat. Dacă un sistem AI a contribuit la decizie, trebuie documentate și rolul său, și limita aprobării umane.
Ce schimbă NIS2 în această conversație
NIS2 cere organizațiilor vizate să gestioneze riscul cibernetic prin măsuri care includ răspunsul la incidente, continuitatea, securitatea lanțului de aprovizionare, gestionarea vulnerabilităților, controlul accesului, criptografia și instruirea de securitate. Directiva nu face o companie conformă doar pentru că folosește AI, iar scrisoarea deschisă nu este un cadru de conformitate NIS2.
Pentru organizațiile din România și UE, securitatea asistată de AI trebuie integrată în guvernanța existentă. Asta înseamnă evaluarea furnizorilor de modele și servicii, controlul datelor și credențialelor care ajung la ei, limite clare de autorizare, păstrarea dovezilor și testarea eficacității măsurilor rezultate.
Răspuns practic pentru management în 90 de zile
- Identifică cele cinci expuneri cu riscul cel mai mare din serviciile care susțin procese esențiale sau importante
- Atribuie fiecărei expuneri un proprietar și un termen de validare, nu măsura doar volumul scannerului
- Definește ce activități asistate de AI sunt permise, ce date pot fi procesate și unde aprobarea umană este obligatorie
- Testează o remediere completă, de la descoperire la rollback, verificare și păstrarea dovezilor
- Rulează un exercițiu pe roluri pentru un scenariu rapid de phishing, vulnerabilitate sau risc de furnizor asistat de AI
- Raportează excepțiile nerezolvate și controalele compensatorii către organismul de conducere responsabil
Cum susține ecosistemul AWARELY această buclă
Awarely Monitor poate lega semnalele despre vulnerabilități de active, proprietari, termene și dovezi de remediere. Awarely Learning poate transforma atacurile asistate de AI și erorile de aprobare în exerciții recurente pe roluri. Secretus poate păstra credențialele temporare, materialele de recuperare și alte transferuri sensibile mici în afara emailului și chatului obișnuit în timpul remedierii sau răspunsului la incident.
Platformele susțin controale și dovezi specifice. Nu înlocuiesc programul de securitate, clasificarea juridică, acceptarea riscului sau răspunderea managementului.
Surse și verificare
Deschide sursele originale pentru context, actualizări și formularea exactă a afirmațiilor.