Wprowadzenie do problemu / definicja
Pojęcie „human attacker, machine speed” opisuje model prowadzenia operacji ofensywnych, w którym człowiek odpowiada za wybór celu, priorytetów i ogólnej strategii, a narzędzia automatyzacji oraz systemy oparte na sztucznej inteligencji realizują wiele działań operacyjnych w znacznie krótszym czasie. Nie chodzi więc wyłącznie o w pełni autonomiczne ataki, lecz o hybrydę ludzkiego nadzoru i maszynowej szybkości.
Dla organizacji oznacza to istotną zmianę warunków obrony. Zespoły bezpieczeństwa coraz częściej muszą reagować nie w skali godzin, ale minut, ponieważ skróceniu ulega czas potrzebny napastnikom na rekonesans, eskalację uprawnień, ruch boczny i osiągnięcie celu końcowego.
W skrócie
Ataki wspierane przez AI przyspieszają kolejne etapy łańcucha ataku bez konieczności pełnej autonomii po stronie przeciwnika. Operator nadal podejmuje decyzje, ale zautomatyzowane narzędzia wykonują zadania szybciej, równolegle i na większą skalę niż człowiek.
- AI skraca czas rekonesansu i analizy środowiska ofiary.
- Automatyzacja przyspiesza enumerację, eskalację uprawnień i ruch boczny.
- Manualne procesy SOC coraz częściej nie nadążają za tempem incydentu.
- Kluczowego znaczenia nabierają tożsamość, telemetria i automatyzacja reakcji.
Kontekst / historia
Automatyzacja od dawna była obecna w cyberprzestępczości. Wcześniej kojarzono ją głównie z botnetami, masowym phishingiem, exploit kitami czy skryptami do skanowania podatności. Dzisiejsza zmiana polega jednak na większej adaptacyjności i jakości tych działań. Narzędzia AI potrafią analizować dane szybciej, generować skrypty, klasyfikować artefakty i wspierać wybór najbardziej efektywnych ścieżek działania.
W rezultacie pojedynczy operator może prowadzić kampanię, która wcześniej wymagała większego zespołu lub dużo dłuższego przygotowania. Dla centrów operacji bezpieczeństwa oznacza to rosnącą presję czasową oraz konieczność odejścia od modelu, w którym znaczną część analizy wykonuje się ręcznie po pojawieniu się alertu.
Analiza techniczna
Technicznie model „human attacker, machine speed” opiera się na podziale ról. Człowiek definiuje cele i ograniczenia operacji, natomiast automatyzacja realizuje powtarzalne lub czasochłonne zadania. W fazie rekonesansu może to obejmować analizę publicznie dostępnych zasobów, mapowanie powierzchni ataku oraz korelację informacji o wykorzystywanych technologiach i usługach.
Po uzyskaniu dostępu zautomatyzowane narzędzia mogą wspierać enumerację środowiska, wyszukiwanie poświadczeń, analizę relacji uprawnień i wskazywanie najkrótszej ścieżki do systemów o wysokiej wartości. Szczególnie niebezpieczne jest skrócenie przerw między kolejnymi etapami operacji, ponieważ maszyna może wykonywać część czynności równolegle i bez zmęczenia.
W praktyce oznacza to szybsze skanowanie konfiguracji, automatyczne generowanie poleceń, klasyfikację wyników oraz wskazywanie najbardziej obiecujących dróg ruchu bocznego. Dla obrońców problemem nie jest tylko sama szybkość, ale również to, że aktywność przeciwnika może wyglądać pozornie normalnie, zwłaszcza gdy używa on legalnych narzędzi administracyjnych, poprawnych poświadczeń i dopuszczalnych ścieżek dostępu.
Z tego powodu klasyczne mechanizmy oparte wyłącznie na sygnaturach stają się niewystarczające. Skuteczna detekcja musi uwzględniać kontekst tożsamości, sekwencję działań, zachowanie procesów, lokalizację, czas oraz odchylenia od profilu bazowego użytkownika i hosta.
Konsekwencje / ryzyko
Najważniejszym skutkiem jest kompresja czasu reakcji. Jeśli organizacja potrzebuje kilkudziesięciu minut na triage alertu, przeciwnik może w tym czasie zdążyć podnieść uprawnienia, przemieścić się do innych systemów, a nawet rozpocząć eksfiltrację danych. W środowiskach chmurowych i hybrydowych zagrożenie rośnie wraz ze złożonością infrastruktury oraz liczbą potencjalnych ścieżek ruchu bocznego.
Drugim istotnym ryzykiem jest przeciążenie zespołów analitycznych. Gdy SOC działa pod presją wielu alertów, napastnik wspierany automatyzacją zyskuje przewagę nie tylko techniczną, ale również operacyjną. Błędy, opóźnienia i pomijanie sygnałów wysokiej wartości stają się wtedy bardziej prawdopodobne.
Dodatkowo AI może obniżać koszt prowadzenia zaawansowanych kampanii. To sprawia, że techniki wcześniej zarezerwowane dla bardziej dojrzałych grup mogą stać się szerzej dostępne, zwiększając liczbę incydentów obejmujących nadużycia tożsamości, ransomware oraz wykorzystanie legalnych narzędzi systemowych.
Rekomendacje
Organizacje powinny przyjąć założenie, że przeciwnik może działać szybciej niż analityk pracujący manualnie. Podstawą pozostaje ograniczanie powierzchni ataku poprzez pełną inwentaryzację zasobów, usuwanie nieużywanych usług, szybkie łatanie podatności oraz konsekwentne stosowanie zasady minimalnych uprawnień.
Kluczowe jest także wzmocnienie warstwy tożsamości. Silne MFA, segmentacja kont uprzywilejowanych, monitorowanie nadużyć tokenów i sesji oraz analiza anomalii logowania powinny być traktowane jako priorytet. W wielu nowoczesnych incydentach to właśnie przejęcie poświadczeń staje się najkrótszą drogą do dalszej ekspansji w środowisku.
Po stronie detekcji warto rozwijać automatyczne wzbogacanie alertów, priorytetyzację incydentów oraz rozwiązania orchestration i SOAR. Celem nie jest eliminacja człowieka z procesu, ale skrócenie czasu między wykryciem, oceną i reakcją. Gotowe playbooki blokowania kont, izolacji hostów, cofania tokenów, ograniczania ruchu i wymuszania resetu poświadczeń powinny być możliwe do uruchomienia bez długiej analizy ad hoc.
Równie ważne jest testowanie odporności organizacji na szybkie kampanie ofensywne. Purple teaming, symulacje ruchu bocznego, ćwiczenia incident response i testy detekcji powinny mierzyć nie tylko skuteczność wykrycia, ale przede wszystkim realny czas potrzebny do zatrzymania ataku.
Podsumowanie
Model „human attacker, machine speed” pokazuje, że przewaga napastnika nie musi wynikać z pełnej autonomii sztucznej inteligencji. Wystarczy połączenie ludzkiego planowania z automatyzacją wykonania, aby znacząco skrócić czas operacji i zwiększyć presję na obrońców. Dla zespołów bezpieczeństwa oznacza to konieczność przejścia od reakcji opartej głównie na pracy manualnej do obrony wspieranej automatyzacją, analizą kontekstową i ścisłą kontrolą tożsamości.
Źródła
- https://www.infosecurity-magazine.com/news/ai-accelerates-attack-breakout/
- https://www.infosecurity-magazine.com/opinions/ai-supercharge-cyber-threats-not/
- https://www.darkreading.com/cyberattacks-data-breaches/ai-machine-speed-2-week-attack-10-hours
- https://labs.cloudsecurityalliance.org/wp-content/uploads/2026/04/CSA_research_note_machine-speed-cloud-defense-2026_20260422-csa-styled-1.pdf
- https://blogs.cisco.com/security/machine-speed-human-judgement