Miközben attól félünk, mire lesz képes a mesterséges intelligencia, sok kritikus rendszerünket még mindig ellopott jelszóval, alapértelmezett hozzáféréssel vagy túl széles jogosultságokkal lehet megtámadni. Lehet, hogy nem ott keressük a legnagyobb veszélyt, ahol az valójában van.

Az AI-agentet vagy egy elszigetelt AI-rendszert ugyanúgy identitásként kell kezelni, mint bármely más rendszert

Az nem reális követelmény, hogy kritikus rendszerekhez kizárólag ember férhessen hozzá. A modern infrastruktúrákban rengeteg szolgáltatás, alkalmazás és automatizált folyamat kommunikál egymással emberi beavatkozás nélkül. A helyes követelmény az, hogy az informatikai rendszerekben senki és semmi ne kapjon automatikusan bizalmat.

Ha egy ivóvízhálózat ipari vezérlője közvetlenül elérhető az internetről, és még a gyári „1111” jelszó sincs megváltoztatva, akkor nehéz azt állítani, hogy a kritikus infrastruktúrák legégetőbb biztonsági problémája az, hogy a mesterséges intelligencia túl intelligens lett.

Pedig 2023 végén és 2024-ben pontosan ilyen rendszereket támadtak meg. Az amerikai CISA szerint internetre kötött Unitronics ipari PLC-ket kompromittáltak alapértelmezett vagy hiányzó jelszavakkal. A 2024 decemberében frissített amerikai jelentés szerint legalább 75 ilyen eszköz került támadók kezébe, közülük legalább 34 víz- és szennyvízrendszerekben működött.

Nem kellett hozzá mesterséges intelligencia.

Kellett hozzá egy elérhető rendszer és egy nyitva hagyott ajtó.

Ez a különbség fontosabb, mint elsőre látszik.

Nem az intelligencia mértéke a döntő, hanem a jogosultság

Az AI körüli közbeszéd hajlamos egyetlen fogalomként kezelni azt, amit mesterséges intelligenciának nevezünk. Pedig nagyon különböző dolgokról beszélünk.

Egy nyelvi modell önmagában lényegében bemenetet kap és kimenetet állít elő. Attól, hogy képes programkódot írni, hálózati támadást megtervezni vagy egy összetett feladatot lépésekre bontani, még nem következik automatikusan, hogy ezeket a műveleteket végre is tudja hajtani.

Ehhez eszközök és jogosultságok kellenek.

Itt azonban fontos pontosítani egy ma már elterjedt tévedést. Nem igaz, hogy a felhőben működő nagy AI-rendszerek szükségképpen el vannak zárva a külvilágtól. Az elmúlt két évben éppen az ellenkező irányban fejlődött a technológia. A modern agent-rendszerek böngészőt, fájlkezelést, programfuttatást, külső szolgáltatásokat, API-kat és akár grafikus számítógépes felületet is használhatnak, ha erre a rendszer üzemeltetője vagy a felhasználó jogosultságot ad nekik. Az OpenAI például 2025-ben webes keresést, fájlkeresést és számítógép-használatot biztosító agenteszközöket mutatott be, később pedig közvetlen API- és alkalmazáskapcsolatokat is.

A helyes választóvonal tehát nem az, hogy felhős vagy lokális AI.

Hanem az, hogy:

mihez fér hozzá?

Egy lokálisan futó nyílt modell lehet teljesen ártalmatlan egy hálózattól leválasztott gépen. Egy felhős AI pedig komoly műveleti képességet kaphat, ha adatbázisokat, terminált, levelezést, vállalati rendszereket vagy más szolgáltatásokat kapcsolunk hozzá.

A kockázatot ezért sokkal pontosabban írja le ez az összefüggés:

képesség × jogosultság × elérhető rendszerek × autonómia.

Ha ezek közül valamelyik nulla, a tényleges kockázat drasztikusan csökken. Ha mindegyik magas, egészen más biztonsági kategóriáról beszélünk.

2024: egy ellopott jelszó majdnem megbénította az amerikai egészségügyi elszámolást

A Change Healthcare elleni 2024. februári ransomware-támadás különösen tanulságos.

A támadók ellopott hitelesítő adatokkal jutottak be egy külső hozzáférést biztosító rendszerbe, amelyen nem működött többfaktoros hitelesítés. Az incidens az Egyesült Államok egészségügyi rendszerének jelentős részében fennakadásokat okozott a receptek, biztosítási elszámolások és szolgáltatói kifizetések feldolgozásában. A UnitedHealth vezérigazgatója az amerikai szenátusi meghallgatáson maga is elismerte, hogy az elsőként kompromittált rendszer nem rendelkezett többfaktoros hitelesítéssel.

Itt sem egy öntudatra ébredt algoritmus támadta meg az egészségügyet.

Volt egy ellopott hozzáférés, egy elégtelenül védett belépési pont, majd a támadók a megszerzett pozícióból tovább tudtak mozogni.

A technológiai fejlettség mit sem ér, ha a hozzáférés-védelem alapjai hiányoznak.

Vízművek PLC-jei az interneten – gyári jelszóval

Még szemléletesebb az amerikai vízművek esete.

A CISA, az FBI, az NSA és más szervezetek közös figyelmeztetése szerint iráni kötődésű támadók internetre kapcsolt ipari vezérlőket értek el. Több érintett Unitronics PLC-n a gyári jelszó maradt használatban, vagy egyáltalán nem volt megfelelő jelszóvédelem. A hatóságok konkrét ajánlása többek között az volt, hogy ezeket a PLC-ket ne tegyék közvetlenül elérhetővé az internetről, változtassák meg a gyári jelszavakat és a távoli OT-hozzáférést többfaktoros hitelesítéssel védjék.

Ez azért különösen fontos példa, mert itt már nem pusztán adatokról vagy irodai számítógépekről beszélünk. Hiszen egy PLC fizikai folyamatot vezérel. Szivattyút. Szelepet. Motort. Nyomást. Technológiai folyamatot.

Ha egy ilyen berendezés közvetlenül elérhető az internetről, akkor az első kérdésnek nem annak kell lennie, hogy egy jövőbeli AI képes lesz-e megtámadni. Hanem számára: miért volt egyáltalán elérhető?

A kifinomult támadóknak sincs szükségük feltétlenül AI-ra

A Volt Typhoon néven ismert, Kínához kötött állami támadócsoport esete ugyanezt más oldalról mutatja meg.

A CISA és partnerügynökségei 2024-ben arról számoltak be, hogy a támadók amerikai kritikus infrastruktúrák hálózataiban egyes esetekben éveken keresztül fenn tudtak maradni. Ehhez többek között legitim felhasználói fiókokat és a rendszereken már eleve rendelkezésre álló adminisztrációs eszközöket használtak – az úgynevezett living off the land technikát. A hatóságok egyes áldozati környezetekben legalább öt évig fennálló hozzáférés nyomait azonosították.

Ez különösen kellemetlen tanulság. Nem mindig az új és látványos technológia a legveszélyesebb. Néha éppen azok az eszközök, fiókok és jogosultságok jelentik a problémát, amelyek már évek óta ott vannak a rendszerben.

És ott van a Colonial Pipeline is

A 2021-es Colonial Pipeline-támadás már klasszikus példává vált. A támadók egy régi VPN-hozzáféréshez tartozó kompromittált felhasználónévvel és jelszóval jutottak be. A legacy VPN-profil nem követelt többfaktoros hitelesítést. Az eset végül az Egyesült Államok keleti részének üzemanyag-ellátását is érintő működési zavarhoz vezetett.

Ismét ugyanaz a minta:
Nem mesterséges intelligencia. – Hozzáférés. – Jogosultság. – Hiányzó védelem.

Az AI ettől még persze képes növelni a támadók erejét

Mindebből azonban hiba lenne arra következtetni, hogy a mesterséges intelligenciának nincsenek biztonsági kockázatai.

Vannak.

Egy AI felgyorsíthatja az információgyűjtést, segíthet programkódot írni, nagy mennyiségű adatot elemezhet, automatizálhat munkafolyamatokat, vagy egy agenteszközön keresztül műveleteket hajthat végre. Éppen ezért az AI-val összekapcsolt rendszereket különösen körültekintően kell kialakítani.

De van egy alapvető különbség.

Az AI képessége és az AI jogosultsága nem ugyanaz.

Egy kiválóan gondolkodó modell sem tud leállítani egy erőművet, ha nincs olyan kommunikációs útvonal, hitelesítő adat, API vagy végrehajtási eszköz, amelyen keresztül ezt megtehetné. A biztonságot tehát nem arra kell alapozni, hogy majd az AI „nem akar” valamit megtenni. Arra kell alapozni, hogy ne tudja megtenni azt, amire nincs kifejezetten engedélye.

Ez a kiberbiztonság egyik legrégebbi alapelve, és az AI megjelenésével nem vált kevésbé fontossá. Éppen ellenkezőleg.

Az AI-agentet ugyanúgy identitásként kell kezelni, mint bármely más rendszert

Itt változtatnék a vitában használt megközelítésen.

Nem az a reális követelmény, hogy kritikus rendszerekhez kizárólag ember férhessen hozzá. A modern infrastruktúrákban rengeteg szolgáltatás, alkalmazás és automatizált folyamat kommunikál egymással emberi beavatkozás nélkül.

A helyes követelmény az, hogy senki és semmi ne kapjon automatikusan bizalmat.

Sem ember.
Sem program.
Sem külső szolgáltatás.
Sem AI-agent.

Ez lényegében a Zero Trust modell alapelve. A NIST Zero Trust architektúrája szerint a hozzáférést nem a hálózati elhelyezkedés alapján kell megbízhatónak tekinteni, hanem minden erőforrás-hozzáférést hitelesítéshez, engedélyezéshez és minimálisan szükséges jogosultsághoz kell kötni. A NIST felhőalapú Zero Trust modellje kifejezetten számol alkalmazás- és szolgáltatásidentitásokkal is.

Egy AI-agentnek ezért saját, azonosítható gépi identitással kell rendelkeznie. Csak azt az API-t érhesse el, amelyre valóban szüksége van. Csak azokat a műveleteket végezhesse el, amelyekre jogosultságot kapott. A kritikus vagy visszafordíthatatlan műveleteknél pedig indokolt lehet az emberi jóváhagyás és minden művelet visszakövethető naplózása.

Nem az AI jóindulatában kell bízni. Az architektúrában kell bízni és ez rajtunk múlik.

Az európai szabályok is inkább ebbe az irányba mutatnak

A NIS2-höz kapcsolódó 2024-es uniós végrehajtási szabályok bizonyos szolgáltatói körökben már részletes követelményeket fogalmaznak meg hozzáférés-kezelésre, hálózati szegmentációra, többfaktoros hitelesítésre és a least privilege, vagyis a minimálisan szükséges jogosultság elvére.

A szabályozás kimondja, hogy a hálózatokat a kockázat alapján szegmentálni kell, a kritikus rendszereket védett zónákban kell tartani, a zónák közötti kommunikációt pedig a működéshez szükséges minimumra kell korlátozni. A hozzáférési jogosultságokat a need-to-know és least privilege elvek szerint kell kiosztani.

Ez sokkal közelebb visz a probléma lényegéhez, mint az a kérdés, hogy egy modell hány milliárd paraméterből áll.

A NIST 2026 áprilisában már külön, kritikus infrastruktúrákra vonatkozó AI Risk Management Framework profil kidolgozását is megkezdte. Ennek deklarált célja éppen az, hogy a kritikus infrastruktúrák üzemeltetői megfelelő kockázatkezelési módszereket alkalmazzanak AI-alapú képességek használatakor.

Vagyis a két világ egyre inkább találkozik: az AI kockázatkezelése és a klasszikus kiberbiztonság nem egymás alternatívája. Valójába egymásra épülnek.

A letölthető modellek kockázata valódi – csak nem azért, mert letölthetők

A nyílt vagy lokálisan futtatható modellek természetesen külön figyelmet érdemelnek. Egy ilyen rendszert a felhasználó módosíthat, saját agent-keretrendszerhez kapcsolhat, hálózati hozzáféréssel, terminállal, adatbázissal vagy tetszőleges programozási interfésszel láthat el.

Ebben az értelemben a szolgáltatói oldalon érvényesített biztonsági korlátok egy része valóban eltűnhet.
De maga a modell továbbra sem varázslat.
Ha nincs hálózati útvonal egy PLC felé, nem fogja elérni.
Ha nincs hozzáférése az adatbázishoz, nem tudja módosítani.
Ha az API csak olvasási jogosultságot enged, nem tud rajta törölni.
Ha egy veszélyes művelet külön emberi jóváhagyást követel, az AI önállóan nem tudja végrehajtani.

Ezért téves kizárólag a modellre koncentrálni. A teljes végrehajtási láncot kell vizsgálni.

A munkaerőpiac: nem egyszerű eltűnés, hanem nagy átrendeződés

Hasonló leegyszerűsítés jelenik meg a munkaerőpiacról szóló vitában is.

A mesterséges intelligencia bizonyos munkafolyamatokat automatizál, egyes munkakörök iránt csökkentheti a keresletet, más szakmák tartalmát pedig alapjaiban változtathatja meg. Ugyanakkor új technológiai, adatkezelési, kiberbiztonsági és AI-rendszerintegrációs feladatok jelennek meg.

A World Economic Forum 2025-ös Future of Jobs Report jelentése 2030-ig 170 millió új állás létrejöttével és 92 millió jelenlegi állás megszűnésével vagy kiszorulásával számol a vizsgált globális gazdasági, demográfiai és technológiai változások együttes hatásaként. Ez nettó 78 milliós növekedés lenne. Fontos azonban, hogy ezt a számot nem lehet kizárólag az AI hatásának tekinteni.

A biztos állítás ezért nem az, hogy az AI több munkahelyet fog teremteni, mint amennyit megszüntet.

Hanem az, hogy a munkaerőpiac jelentős átalakulása már elkezdődött, és egyre értékesebb lesz az a tudás, amely az AI-t valódi szakmai, mérnöki vagy üzleti ismerettel tudja összekapcsolni.

Egy AI képes lehet programkódot írni. De valakinek továbbra is tudnia kell, hogy annak a kódnak mit szabad vezérelnie.

Nem az AI-szabályozás vagy a kiberbiztonság között kell választani

A mesterséges intelligencia önálló kockázatai valósak. Adatvédelem, megtévesztő tartalmak, hibás automatizált döntések, diszkrimináció, csalás vagy veszélyes agentműveletek esetén indokolt lehet AI-specifikus kockázatkezelés.

De a kritikus infrastruktúrák kiberbiztonsági problémáit nem lehet pusztán az AI szabályozásával megoldani.
Egy vízmű gyári jelszavát nem teszi biztonságossá egy AI-törvény. Egy MFA nélküli távoli hozzáférést sem. Egy internetre kitett PLC-t sem. Egy túl széles adminisztrátori jogosultságot sem. Egy rosszul szegmentált ipari hálózatot sem.

Ezért a valódi kérdés nem az, hogy:

„Mennyire intelligens lehet az AI?”. Leginkább az is, hogy: „Mihez engedjük hozzáférni?”

Fordítva ülünk a lovon, ha a kapu helyett a betörő szerszámát szabályozzuk

A mesterséges intelligencia kétségtelenül új képességeket ad az emberek kezébe. A jó szereplőkébe és a rossz szereplőkébe egyaránt. De ugyanez történt a számítógéppel, az internettel, a távoli hozzáféréssel és az automatizálással is. A biztonság alapelve ettől nem változott meg.

Ami kritikus, azt úgy kell megtervezni, hogy egyetlen felhasználó, program vagy AI-rendszer se kaphasson nagyobb hozzáférést annál, mint amire feltétlenül szüksége van.

A veszélyes műveleteket el kell választani az információs műveletektől. A hálózatokat szegmentálni kell. A gépi identitásokat ugyanúgy hitelesíteni kell, mint az embereket. A jogosultság legyen minimális, időben korlátozott és visszavonható. A kritikus műveletek legyenek naplózhatók és ellenőrizhetők.

És ahol egy hiba fizikai következménnyel járhat, ott az autonóm rendszernek nem szabad korlátlan döntési és végrehajtási jogot adni.

Az AI fejlődni fog. Azt a kérdést feltenni, hogy meg tudjuk-e állítani, szerintem badarság. Az igazi kérdés az, hogy képesek vagyunk-e olyan rendszereket építeni köré, amelyek akkor is biztonságosak maradnak, ha az AI holnap sokkal okosabb lesz, mint ma.

Mert a legjobb biztonsági rendszer abban bízik, hogy a támadó nem lesz elég intelligens. A legjobb biztonsági rendszer abból indul ki, hogy bizonyosan az lesz. És nem ad neki kulcsot.