L’AI sta ridefinendo silenziosamente i confini delle superfici di attacco legate alle identità digitali a livello globale: da un recente studio globale pubblicato da Semperis, “The State of Identity Security in the AI Era”, è emerso che in Italia il 62% delle organizzazioni ritiene che l’intelligenza artificiale aumenterà gli attacchi contro le infrastrutture di identità. Contestualmente, mentre cresce la fiducia nell’AI, il 93% dei Paesi nel mondo utilizza già o prevede di utilizzare agenti AI per attività di sicurezza sensibili, come il reset delle password e l’accesso VPN.
Attacco all’identità
Le organizzazioni stanno affidando agli agenti AI le chiavi dei sistemi critici più rapidamente di quanto stiano introducendo adeguati meccanismi di controllo per queste nuove identità: “In particolare, in Italia – afferma Antonio Feninno, AVP di Semperis per il Sud Europa – stiamo assistendo a una crescente consapevolezza che l’intelligenza artificiale amplifica sia le opportunità che le minacce”. Secondo l’azienda di cyber resilience Semperis, i sistemi di identità, come Active Directory, EntraID o Okta, rischiano di diventare bersagli facili degli hacker senza una protezione completa. Per il 74% degli intervistati italiani, la maggior parte degli attacchi basati sull’AI prendono di mira l’identità.
Le organizzazioni sono pronte a difendersi dalle violazioni attirate dall’AI?
Per Semperis, la best practice, in questa era dell’AI, non sarebbe solo applicare agli agenti AI gli stessi principi degli utenti umani (come quello del minimo privilegio, con accessi limitati allo stretto necessario e concessi solo quando serve realmente), ma anche separare, dove serve, i confini di fiducia tra agenti AI, ciascuno con una propria identità non umana (NHI), e umani.
Una terza best practice riguarda la capacità di ripristino dopo aver subito un attacco. Alex Weinert, chief product officer di Semperis dichiara che sempre più organizzazioni “sono troppo ottimiste riguardo alla propria capacità di ripristinare l’infrastruttura di identità dopo una violazione”. Invece, dice Semperis, ogni azienda dovrebbe dirsi in grado di ripristinare rapidamente i sistemi di identità in caso di compromissione dovuta a un attacco cyber.
In Italia, solo 1 azienda su 5 è sicura di poter riprendere il controllo nel caso in cui l’AI esponga credenziali amministrative a un attaccante.
Chris Inglis, primo U.S. national cyber director e strategic advisor di Semperis crede che sulla carta le organizzazioni dispongano, sì, di piani e backup. Ma “nella pratica, i fallimenti legati all’identità trasformano incidenti tecnici in crisi aziendali prolungate, evidenziando un pericoloso divario tra resilienza percepita e realtà”.