Perché è l’unica a basarsi non su trappole di phishing conosciute da tutti, come l’uso di testo sgrammaticato o di argomenti sospetti, bensì, grazie ai suoi programmi di intelligenza artificiale e di machine learning, su un approccio personalizzato e, soprattutto, adattivo, che rende il training formativo molto più efficace e adatto ad affrontare le nuove tecniche di attacco cyber, come quelle che derivano da un utilizzo malevolo dell’AI.
Approfondiamo l’argomento con Leonida Gianfagna (trovate le altre interviste qui e qui), fisico teorico specializzato in particelle elementari e oggi capo del settore di Ricerca & Sviluppo di Cyber Guru.
Veniamo al tema che più ci interessa. L’intelligenza artificiale e tutte queste sue nuove espressioni rappresenteranno un maggiore rischio di essere attaccati dal crimine informatico? E se sì, come e perché?
La risposta non è mai univoca. Da un lato il crimine sarà sempre più raffinato perché l’hacker sarà in grado di avvelenare il sistema di AI, cioè confonderlo e renderlo incapace di riconoscere i segnali o i dati. Può farlo, ad esempio, cambiando semplicemente il pixel di un’immagine in modo da renderla irriconoscibile per la macchina.
Allo stesso tempo, però, l’Explainable AI sarà in grado di capire quando questo accadrà, rendendo così tutto il sistema più resistente.
Naturalmente questo comporta da parte delle persone un diverso, e forse maggiore, sforzo di comprensione per stare dietro alla velocità di questi cambiamenti.
Si tratta di un apprendimento necessario che deve prevedere un percorso di formazione e di pratica specifico e soprattutto al passo con i tempi. Proprio quello che Cyber Guru propone ai suoi clienti.
Di cosa si tratta esattamente?
Di un addestramento estremamente individualizzato e il più realistico possibile. Il modello è molto simile a quello degli algoritmi che propongono i consigli per gli acquisti: a ogni persona arrivano suggerimenti diversi a seconda dei suoi gusti, dei suoi orari e delle sue abitudini online. Così succede che a me arrivino determinate proposte, diverse da quelle dirette ad altri.
E, di volta in volta, il modello aggiusta il tiro. Come in una partita a scacchi nella quale la mossa dell’avversario dipende dal mio comportamento sulla scacchiera.
Nella nostra piattaforma formativa l’avversario è il programma di intelligenza artificiale che sottopone agli studenti, problemi di volta in volta diversi a seconda delle risposte che questi mettono in atto.
Quindi ogni mail di phishing sarà inviata in orari in cui è più probabile che la persona a cui è diretta clicchi e conterrà una sfida che sarà adeguata al suo livello di preparazione. Ovviamente alzando sempre l’asticella della difficoltà.
Per noi la domanda chiave non è “quanto è difficile che tu clicchi” ma “quanto è probabile ” che tu lo faccia. Sembra una differenza di poco conto ma è sostanziale.
Si tratta una novità nel campo della formazione sulla cyber security?
Assolutamente si. Tutta la formazione sul phishing che si trova sul mercato per ora è tarata sulle trappole riconosciute più o meno da tutti: testo sgrammaticato, mail con argomenti sospetti, errori di battitura, ecc. Una modalità che alla lunga non garantisce i risultati attesi perché la platea a cui si rivolge è sempre molto differenziata ed evolve con tempi e modalità diverse.
Inoltre, per alcuni un tale approccio può essere poco stimolante e quindi demotivante. Invece, un approccio personalizzato e, soprattutto, adattivo, rende il training molto più efficace. La grande sensibilizzazione e la consapevolezza dei rischi, diffusa tra tutti i dipendenti, nonché una capacità di risposta alle diverse tipologie di attacco tarata su ogni individuo crea una barriera inattaccabile per qualsiasi hacker. Perché, ricordiamolo, il punto debole della sicurezza è sempre il fattore umano.
Naturalmente questo modello adattivo è realizzabile solo attraverso programmi di intelligenza artificiale e di machine learning. Sono questi che, sulla base dei dati raccolti sugli utenti, decideranno che tipo di mail mandare a ogni individuo.
É un modello di formazione utilizzabile solo per il phishing?
Siamo partiti dal phishing, ma l’obiettivo è allargare il metodo a tutto il learning per accompagnare ogni individuo a consolidare una postura digitale strutturata e in grado di riconoscere tutte le trappole e i pericoli della rete.
