Palo Alto Networks-sjef advarer mot åpne AI-modeller

Den uventede trusselen

Meerah Rajavel, IT-direktør (CIO) i cybersikkerhetsselskapet Palo Alto Networks, mener den største AI-relaterte trusselen ikke nødvendigvis er de mest avanserte modellene fra selskaper som OpenAI og Anthropic. Det er snarere billige, nedlastbare open-source- eller open-weight-modeller som bare ligger noen få måneder etter fronten i kapasitet. 6

Ifølge vurderinger omtalt av Palo Alto Networks kan avanserte offensive AI-egenskaper bli bredt tilgjengelige gjennom åpne modeller innen fire til seks måneder. 11 Det som gjør utviklingen særlig alvorlig, er at modellene kan kjøres lokalt – uten at den opprinnelige leverandøren eller virksomhetens sikkerhetsteam nødvendigvis har innsyn.

Hva betyr «open weight»?

En modell med åpne vekter kan lastes ned og kjøres på egen infrastruktur eller i en leid skytjeneste. Modellvektene er de tallmessige parameterne som styrer hvordan systemet behandler informasjon og lager svar.

En lukket modell som brukes gjennom et API, gir leverandøren flere kontrollmuligheter. Leverandøren kan blant annet:

• loggføre bruk og oppdage misbruk
• begrense forespørsler og sperre kontoer
• håndheve sikkerhetsregler
• oppdatere sikkerhetsmekanismer
• trekke tilgangen eller modellen tilbake

Når en modell kan kjøres lokalt, faller mye av denne kontrollen bort. Sikkerhetsfiltre kan endres eller fjernes, modellen kan være vanskelig å tilbakekalle, og bruken kan foregå utenfor virksomhetens vanlige overvåkingssystemer.

Lavere terskel for offensive angrep

Fallende priser på GPU-kapasitet – databrikker som brukes til å kjøre AI – gjør lokal og privat drift stadig mer tilgjengelig. Det kan senke både kostnadene og den tekniske terskelen for å bruke kraftige modeller til rekognosering, utvikling av skadevare, phishing, tilpasning av eksisterende angrepskode og automatisert målutvelgelse.

Poenget er ikke at alle som bruker åpne modeller, har ondsinnede hensikter. Risikoen handler om spredning og skala: Flere aktører kan få tilgang til verktøy som hjelper dem med å automatisere og effektivisere cyberangrep. Forskning på risikoen ved open-weight-modeller peker nettopp på denne bredere tilgangen til offensive kapasiteter. 2

Palo Alto Networks beskriver et allerede svært høyt angrepstempo. Selskapet oppgir at det hver dag oppdager opptil 8,9 millioner nye eller tidligere ukjente angrep og blokkerer opptil 30,9 milliarder angrep. Tallene gjelder daglige volumer, ikke en samlet årsopptelling. De illustrerer likevel hvorfor selv små forbedringer i angripernes automatisering kan få store konsekvenser.

En modell kan presses over tid

En annen bekymring er at sikkerhetsvurderinger basert på én enkelt forespørsel kan gi et for optimistisk bilde. Cisco-forskere testet åtte open-weight-modeller og fant at flertrinnsangrep – der angriperen gradvis endrer formulering, kontekst og strategi – hadde 2–10 ganger høyere suksessrate enn enkeltstående angrep. De rapporterte samlede suksessrater på mellom 25,86 og 92,78 prosent.

Det betyr i praksis at en modell kan avvise en skadelig forespørsel i første omgang, men likevel la seg overtale gjennom en lengre samtale. For virksomheter er dette relevant både når modeller brukes av ansatte, og når de kobles til interne dokumenter, verktøy eller automatiserte arbeidsflyter.

Risiko i selve modellfilen

Selv vertøyet som skal kjøre modellen, kan bli en del av angrepsflaten. Virksomheter som laster ned og selv drifter en modell, må ikke bare stole på selve modellen, men også på filformatet, malene, inferensserveren og programavhengighetene.

Cloud Security Alliance har beskrevet scenarier der skadelig kjørbar logikk eller manipulerte maler kan aktiveres når en modell lastes inn. Det kan i verste fall åpne for tyveri av passord og nøkler eller uthenting av data før modellen i det hele tatt har behandlet en vanlig forespørsel.

Det er derimot ikke tilstrekkelig dokumentert i det tilgjengelige kildematerialet at ett enkelt funn fra Cloud Security Alliance navngir Llama, Mistral og Qwen samlet. Den konkrete formuleringen bør derfor behandles med forbehold.

Hvorfor dette bekymrer sikkerhetssjefer

Rajavels hovedpoeng er at sikkerhetsrisikoen ikke bare følger hvor intelligent en modell er. Den følger også hvor lett den kan kopieres, tilpasses og tas i bruk uten innsyn.

En lukket frontmodell kan være kraftigere i dag, men den kommer normalt med en leverandør som kan overvåke bruken og rulle ut sikkerhetsoppdateringer. En åpen modell som ligger fire eller seks måneder etter, kan være langt vanskeligere å kontrollere når hvem som helst kan laste den ned, endre den og kjøre den lokalt.

For virksomheter betyr det at de må ha oversikt over hvilke modeller som brukes, sikre modellfiler og kjøre­miljøer, begrense tilgangen til interne data og overvåke AI-verktøy på samme måte som annen kritisk programvare. Når modellene blir billigere og mer tilgjengelige, blir spørsmålet ikke bare hva AI kan gjøre – men hvem som kan kjøre den, hvor og uten hvilken kontroll.