ENISA: Frontier AI ускорява управлението на уязвимости, реакцията при инциденти и защитните операции

Обзор

ENISA публикува аналитичния документ “ENISA’s view on Cybersecurity in the Frontier AI Era”, посветен на влиянието на frontier AI моделите върху киберсигурността, управлението на уязвимости и работата на защитните екипи.

Документът разглежда как AI моделите с напреднали възможности променят темпото на атаките. Те могат да подпомагат откриването на слабости, анализа на код и настройки, комбинирането на няколко уязвимости и изграждането на по-сложни пътища за експлоатация.

За екипите по киберсигурност това означава по-малък прозорец за анализ, приоритизация и реакция. Процеси, които разчитат основно на ръчна проверка, разпокъсани записи от системите и бавни стъпки за одобрение, ще бъдат под по-силен оперативен натиск.

Темата е важна както за бизнеса и публичния сектор, така и за компаниите, които предоставят киберсигурност като услуга. Ако атаките се развиват по-бързо, защитата трябва да може да обработва повече сигнали, повече контекст и по-кратки срокове за действие, без да губи качество на анализа.

Какво разглежда документът

ENISA поставя фокус върху свиването на времето между откриването на уязвимост, създаването на работещ експлойт и реалната атака. В доклада се посочва, че нови уязвимости могат да бъдат подготвени за експлоатация в рамките на минути след публичното им оповестяване, а времето от първоначален достъп до изнасяне на данни вече може да се измерва в часове.

Това не означава, че всяка уязвимост ще бъде използвана веднага. Означава, че организациите трябва да оценяват изложеността си, критичността на засегнатите системи и възможността за експлоатация много по-бързо.

ENISA използва понятието negative time-to-exploit за ситуации, при които атакуващите могат да разполагат с работещ експлойт преди защитниците да имат готова корекция, временна мярка или реалистичен план за ограничаване на риска.

Това поставя натиск върху няколко области едновременно: управление на уязвимости, реакция при инциденти, управление на промени, архитектура на сигурността, защита на продукти, сигурност на веригата за доставки и готовност на доставчиците на киберсигурност.

Промяна в управлението на уязвимости

Традиционният процес за управление на уязвимости остава необходим: оповестяване, анализ, тестване, одобрение, внедряване на корекция и проверка. Документът обаче показва, че този процес трябва да бъде допълнен с по-бърза първоначална оценка и по-добра автоматизация.

Frontier AI може да ускори няколко етапа:

• откриване на слабости в код и настройки;
• разбиране на бизнес логиката на приложения;
• комбиниране на няколко по-малки слабости;
• анализ на разликите между версии и корекции;
• изграждане на пътища за експлоатация;
• автоматизирано разузнаване на средата.

Това поставя по-голяма тежест върху приоритизацията според риска. Екипите трябва да знаят кои системи са изложени, кои са критични, кои уязвимости имат реален път за експлоатация и кои компенсиращи мерки могат да се приложат преди внедряване на корекция.

В практиката това означава, че списъкът с уязвимости сам по себе си не е достатъчен. Нужен е контекст: къде се намира засегнатата система, достъпна ли е от интернет, какви данни обработва, има ли активни опити за експлоатация, има ли връзка с критични бизнес процеси и какъв е реалният риск при забавяне на корекцията.

Асиметрия на скоростта и дефицит на правомощия

Velocity Asymmetry and Authority Gap

ENISA описва два проблема, които са особено важни за организациите.

Асиметрия на скоростта (Velocity Asymmetry) описва разликата между скоростта, с която атакуващите могат да използват автоматизация и AI, и скоростта, с която защитните екипи могат да анализират, одобрят и приложат промени.

Дефицит на правомощия (Authority Gap) описва забавянето, което идва от вътрешни процедури, процеси за одобрение, решения на Change Advisory Board и неясна отговорност при спешни промени.

В практиката забавянето често не е само техническо. Организацията може да знае какво трябва да се направи, но да няма процес, който позволява достатъчно бързо решение. Това е особено важно при критични уязвимости, интернет-достъпни системи и среди с висока бизнес зависимост.

Тук проблемът не е само в сигурността. Той засяга управлението. Ако няма предварително определени прагове за спешно действие, ясни отговорности и готови сценарии за реакция, организацията губи време в координация точно когато прозорецът за действие е най-кратък.

Cybersecurity as Code

ENISA използва концепцията Cybersecurity as Code, за да опише нуждата от защитни процеси, които могат да се изпълняват по-бързо, по-последователно и по-проверимо.

Документът посочва няколко направления:

• Vulnerability Management as Code;
• Incident Response as Code;
• Security by Design as Code;
• Security Architecture as Code.

На оперативно ниво това означава по-добра връзка между инструментите за сигурност, системните записи, политиките, предварително дефинираните сценарии за реакция и процесите за действие. Целта е по-малко ръчна координация при познати сценарии и по-бързо преминаване от сигнал към действие.

ENISA не предлага премахване на човешкия контрол. Документът поставя акцент върху human-gated AI workflows — AI подпомага първоначалната оценка, моделирането на заплахи и реакцията при инциденти, но решенията трябва да останат проследими, проверими и контролирани от хора.

Това е особено важно за регулирани сектори и за доставчици на киберсигурност. Автоматизацията трябва да ускорява анализа и да намалява ръчната работа, но не трябва да създава непрозрачни решения, които не могат да бъдат обяснени пред клиент, регулатор, одитор или ръководство.

Какво означава това за SOC и MDR екипите

За SOC (Security Operations Center) и MDR (Managed Detection and Response) екипите основният ефект е върху времето за откриване, анализ и ограничаване на атаката.

ENISA посочва нужда защитните операции да се доближат до работа в почти реално време. Това изисква по-ниски стойности на:

• MTTD (Mean Time to Detect) — средно време за откриване;
• MTTR (Mean Time to Respond) — средно време за реакция;
• MTTC (Mean Time to Contain) — средно време за ограничаване.

Проблемът в много среди не е само липса на системни записи. Често те съществуват, но са разделени между различни инструменти, без достатъчна корелация и без навременна реакция. При AI-ускорени атаки този модел става по-труден за поддържане.

SOC и MDR екипите ще трябва да работят с по-добри данни от системите, по-ясни сценарии за реакция, автоматизирана първоначална оценка и по-добра връзка между контекста на уязвимостите, активността на потребителските идентичности, данните от крайните устройства и мрежовото поведение.

За доставчиците на киберсигурност това означава и по-висока отговорност към качеството на анализа. Повече автоматизация не трябва да води до механично обработване на аларми. Тя трябва да помага на анализаторите да разберат кое събитие има реален риск, кой актив е засегнат, какъв е потенциалният обхват и какво действие трябва да се препоръча.

Основните практики за сигурност остават критични

Документът не заменя базовите принципи на киберсигурността с AI инструменти. ENISA подчертава, че основните практики стават още по-важни, защото атаките се развиват по-бързо.

Организациите трябва да поддържат:

• точен списък на активите;
• дисциплина при внедряване на корекции;
• управление на изложеността към риск;
• мрежово сегментиране;
• защита на крайните устройства;
• контрол на достъпа;
• събиране и наблюдение на системни записи;
• активно търсене на заплахи;
• готовност за реакция при инциденти;
• сигурен жизнен цикъл на разработка;
• сигурност на веригата за доставки.

Разликата е в скоростта и координацията. Тези процеси трябва да могат да поддържат по-бърз анализ, по-ясна приоритизация и по-добра проверимост.

За организациите това е въпрос на зрялост. За доставчиците на киберсигурност това е въпрос на оперативен капацитет: дали могат да поддържат тези процеси за много клиенти, при различни среди, различни нива на зрялост и различни регулаторни изисквания.

Legacy системи и open-source компоненти

ENISA отделя внимание на legacy системите и open-source екосистемите.

AI-assisted анализът може да ускори разбирането на стар код, обратното инженерство и откриването на слабости в продукти, които са близо до края на жизнения си цикъл или вече са извън поддръжка. Това не прави legacy системите автоматично незащитими, но увеличава нуждата от сегментация, наблюдение, укрепване и планирана модернизация.

При open-source проектите проблемът е свързан с обем и качество на докладите за уязвимости. AI може да увеличи броя на докладваните слабости, което създава затруднение за поддържащите екипи и екипите по сигурност. В такава среда най-ценна става способността да се отделя реалният риск от шум, дублирани доклади или непълно проверени открития.

Това има значение и за компаниите, които разработват или интегрират софтуер. Все повече продукти използват външни библиотеки, open-source компоненти, готови пакети, контейнери и услуги на трети страни. Ако няма видимост върху тези зависимости, AI-ускореното откриване на уязвимости може да увеличи риска по цялата верига за доставки.

Сигурност на продуктите и Secure SDLC

Документът насочва вниманието и към сигурността на продуктите. Secure Software Development Life Cycle (Secure SDLC) трябва да бъде прилаган по-рано и по-последователно в процеса на разработка.

Това включва:

• моделиране на заплахи в ранни етапи;
• проверка на архитектурни решения;
• анализ на зависимости;
• проверка на AI-генериран код;
• практики Secure by Design и Secure by Default;
• SBOM (Software Bill of Materials);
• по-добра видимост върху риска във веригата за доставки.

AI може да подпомага тези процеси, но създава и нова нужда от проверка. AI-генерираните корекции и AI-генерираните доклади за уязвимости трябва да бъдат валидирани, за да не въвеждат нови слабости или грешни приоритети.

За производителите и доставчиците на софтуер това означава, че сигурността трябва да бъде част от продукта, а не отделен контрол в края на процеса. За клиентите това означава, че изборът на доставчик трябва да включва въпроси за жизнения цикъл на разработка, управление на зависимости, доказуемост на мерките и реакция при открити уязвимости.

DIAMATIX перспектива

Документът на ENISA е важен не само за организациите, които трябва да защитават своите среди, но и за компаниите, които предоставят киберсигурност като услуга. Frontier AI променя натоварването и от двете страни: атакуващите могат да ускорят откриването и използването на уязвимости, а защитните екипи трябва да реагират с по-добра видимост, по-бърза първоначална оценка и по-точна приоритизация.

За бизнеса и публичния сектор основният въпрос е дали съществуващите процеси могат да издържат на по-бързо развиващи се атаки. Това включва управление на уязвимости, контрол на достъпа, наблюдение на системни записи, готовност за реакция при инциденти и доказуемост пред регулатори, одитори и ръководство.

За доставчиците на киберсигурност въпросът е различен, но също толкова важен: могат ли услугите, екипите и платформите да обработват повече сигнали, повече уязвимости, повече данни и по-кратки прозорци за реакция, без да губят качество на анализа.

Това поставя нови изисквания към SOC (Security Operations Center), MDR (Managed Detection and Response), екипите за реакция при инциденти, доставчиците на управлявани услуги и производителите на продукти за сигурност.

Практически това означава, че доставчиците на киберсигурност трябва да развиват:

• по-добра корелация между уязвимости, активи, идентичности, крайни устройства и мрежово поведение;
• по-бърза първоначална оценка на сигналите, без автоматизацията да замества човешкия контрол;
• по-ясни сценарии за действие при активно използвани уязвимости;
• възможност за разграничаване на реален риск от шум при голям обем AI-генерирани доклади;
• измерими процеси за откриване, реакция и ограничаване;
• готовност за работа с клиенти, които имат legacy системи, сложни зависимости и ограничени вътрешни екипи;
• по-добра интеграция между защитни платформи, анализатори и управленски решения.

В този контекст AI не е самостоятелен отговор. Той е помощен слой, който трябва да бъде включен в контролирани процеси. Ако AI подпомага първоначалната оценка, анализ на уязвимости или реакция при инциденти, резултатите трябва да бъдат проверими, обясними и приложими в реалната среда на клиента.

За DIAMATIX това потвърждава нуждата от оперативен модел, в който технологиите, анализаторите и процесите работят заедно. Защитата не може да разчита само на повече инструменти или повече аларми. Необходима е среда, в която сигналите се свързват с бизнес контекст, критичност на активите, реална изложеност и възможност за бързо действие.

Това е особено важно за организации в регулирани сектори — финанси, енергетика, здравеопазване, транспорт, публична администрация и производство. При тях забавянето не е само технически проблем. То може да засегне непрекъснатостта на услугите, регулаторната отчетност и доверието към организацията.

Frontier AI не премахва нуждата от добри процеси. То намалява толеранса към бавни, ръчни и разпокъсани процеси. Защитата трябва да бъде по-близо до реалното време, но без да губи контрол, проследимост и отговорност.

CISO анализ

За CISO екипите докладът на ENISA поставя управленски, технически и организационни въпроси. Темата не се изчерпва с AI инструменти. Тя засяга начина, по който организацията взема решения при риск, как поддържа видимост, как приоритизира уязвимости и как доказва, че е реагирала навреме.

Първата зона е управлението на уязвимости. CISO трябва да знае не само колко уязвимости има в средата, а кои от тях имат реален път за експлоатация, кои системи са изложени към интернет, кои активи са критични за бизнеса и кои корекции могат да бъдат приложени без забавяне.

Ключови въпроси:

• Колко време минава от публичното оповестяване на уязвимост до реална оценка на изложеността?
• Кои системи са критични, интернет-достъпни или зависими от legacy компоненти?
• Кои уязвимости се приоритизират според бизнес риск, а не само според CVSS?
• Има ли процес за спешно одобрение при активно използвана уязвимост?
• Какви компенсиращи мерки се прилагат, когато корекция не може да бъде внедрена веднага?
• Как се доказва, че рискът е намален след предприетите действия?

Втората зона е реакцията при инциденти. При AI-ускорени атаки времето между първия сигнал и реалното въздействие може да бъде значително по-кратко. Това изисква по-добра връзка между SOC, IT екипите, ръководството, правния екип, доставчиците и отговорните лица по съответствие.

Ключови въпроси:

• SOC екипът има ли достатъчно данни за бърза първоначална оценка?
• Може ли екипът да свърже уязвимост с реална активност в средата?
• Има ли готови сценарии за реакция при активно използвани уязвимости?
• Как се измерват MTTD (Mean Time to Detect), MTTR (Mean Time to Respond) и MTTC (Mean Time to Contain)?
• Кой има право да одобри спешна промяна извън стандартния цикъл?
• Как се документират действията при инцидент за нуждите на NIS2, ISO 27001 или вътрешен одит?

Третата зона е изборът и управлението на доставчици на киберсигурност. Ако организацията използва външен SOC, MDR, MSSP или консултантски партньор, CISO трябва да оцени дали този партньор може да работи при по-висока скорост и по-голям обем от сигнали.

Тук въпросите не са само договорни. Те са оперативни:

• Как доставчикът приоритизира сигнали при много едновременни събития?
• Има ли ясна връзка между откриване, анализ, ескалация и препоръчано действие?
• Как доставчикът използва AI в анализа и как се проверяват резултатите?
• Има ли човешки контрол върху AI-assisted първоначална оценка?
• Как се разграничават реални инциденти от шум при голям обем аларми?
• Как се измерва качеството на услугата — само по брой обработени аларми или по намален риск и време за реакция?
• Как се предава контекстът към клиента: технически, управленски и регулаторен?
• Може ли доставчикът да подкрепи организацията при NIS2 докладване, вътрешен одит или кризисна координация?

Четвъртата зона е ролята на самите компании за киберсигурност. Те също трябва да прегледат своите процеси. Доставчик, който защитава много клиенти, може да бъде изправен пред едновременни вълни от уязвимости, инциденти, фалшиви сигнали и AI-генерирани доклади. Това изисква устойчиви вътрешни процеси, ясни критерии за приоритизация и достатъчен капацитет за анализ.

За CISO това означава, че изборът на партньор трябва да включва не само технологичен стек, но и оперативна зрялост:

• как се управлява натоварването в SOC;
• как се гарантира качество на анализа;
• как се ескалират критични случаи;
• как се документират решенията;
• как се поддържа експертиза на екипа;
• как се използва автоматизация без загуба на контрол;
• как се осигурява непрекъснатост на услугата при повишен натиск.

Петата зона е управленската отчетност. Frontier AI поставя по-силен натиск върху ръководствата да разбират киберриска като бизнес риск. Бавният процес за одобрение на корекции, липсата на списък с критични активи или неясната отговорност при инцидент вече не са само технически слабости. Те са управленски ограничения.

Отговорът не е само добавяне на нов инструмент. Необходим е оперативен модел, който свързва риска, IT екипите, SOC, разработката, доставчиците и управленските процеси. Този модел трябва да позволява бърза реакция, но и да запазва контрол, проследимост и отчетност.

Какво означава това за Вашата среда

• Този тип риск разчита на по-бързо откриване, комбиниране и експлоатиране на уязвимости, включително в legacy системи, open-source компоненти и сложни приложения.
• Откриването зависи от видимост върху активи, уязвимости, системни записи, активност на потребителските идентичности, данни от крайните устройства и реалната картина на изложеността.
• Реакцията изисква приоритизация според риска, автоматизирана първоначална оценка, предварително дефинирани сценарии за действие, измерими MTTD/MTTR цели и човешки контрол върху AI-assisted процесите.

Ключови въпроси за проверка:

• Можете ли да оцените изложеността към критична уязвимост в рамките на часове?
• Знаете ли кои legacy системи биха били най-трудни за защита при ускорена експлоатация?
• Имате ли процес за действие, когато корекция все още не е налична?
• Може ли SOC екипът да свърже контекста на уязвимостта с реална активност в средата?
• Знаете ли как вашият доставчик на киберсигурност използва AI и как проверява резултатите?
• Имате ли ясно дефиниран процес между вътрешния екип, SOC/MDR партньора и ръководството при критичен инцидент?

Оценете готовността си за AI-ускорени киберрискове

DIAMATIX може да Ви  помогне с преглед на:

• процеса за управление на уязвимости;
• видимостта върху активи, системни записи и изложеност;
• MTTD, MTTR и процедурите за ескалация;
• готовността за доказване на мерки по NIS2 и ISO 27001;
• ролята на SOC, MDR и AI-assisted първоначална оценка в защитната стратегия;
• оперативната връзка между вътрешните екипи, доставчиците на киберсигурност и управленските процеси.

Заявете преглед на готовността си за AI-ускорени киберрискове с DIAMATIX.

Trusted · Innovative · Vigilant

Източници

• ENISA. ENISA’s view on Cybersecurity in the Frontier AI Era.
• CERT-EU. AI vulnerability discovery: defenders must adapt.
• NCSC-NL. Frontier model capabilities and cybersecurity response.
• ENISA. Technical Implementation Guidance on NIS2 Risk Management.

Статията е базирана на публично достъпния аналитичен документ на ENISA, публикуван през юли 2026 г.