Peste 100 de organizații din tehnologie, securitate, servicii financiare și infrastructură au semnat la 27 august 2026 un apel pentru accelerarea apărării cibernetice. Lista include OpenAI, Anthropic, Google, Microsoft, AWS, Cloudflare, CrowdStrike, GitHub, Mastercard, Visa și numeroase alte organizații. Scrisoarea susține că există o perioadă limitată în care capabilitățile AI pot fi folosite pentru reducerea slăbiciunilor înainte ca atacurile asistate de AI să devină mai răspândite și mai sofisticate.
Ce solicită apelul industriei
- Conducerile organizațiilor să trateze apărarea cibernetică drept prioritate imediată și să remedieze slăbiciunile cu cel mai mare risc.
- Furnizorii de securitate să testeze continuu controalele față de capabilități AI avansate și să facă apărarea accesibilă infrastructurii critice.
- Guvernele să coordoneze schimbul de informații, răspunsul și finanțarea protecției serviciilor esențiale.
- Companiile frontier AI să ofere acces responsabil, instrumente de observabilitate, instruire și sprijin practic pentru apărători.
- Sistemele agentice să aibă identități trasabile și responsabilitate clară pentru acțiunile executate.
Ce nu demonstrează scrisoarea
Numărul mare de semnatari nu validează automat fiecare predicție și nu stabilește că o anumită organizație trebuie să adopte un anumit produs. Apelul nu cuantifică o rată universală de creștere a atacurilor și nu înlocuiește analiza de risc. El oferă o direcție: vulnerabilitățile vechi, permisiunile excesive, autentificarea slabă, configurațiile greșite și datoria tehnică trebuie reduse mai repede, iar AI poate ajuta doar dacă este încadrată de controale și verificare umană.
Patru decizii înainte de a introduce un agent AI
- Identitate — agentul trebuie să folosească o identitate separată, atribuibilă și revocabilă, nu contul personal al unui administrator.
- Autoritate — permisiunile trebuie limitate la acțiunile și mediile necesare; citirea, propunerea și executarea sunt niveluri diferite.
- Dovadă — fiecare constatare și modificare trebuie să păstreze sursa, contextul, aprobarea și rezultatul verificării.
- Oprire — echipa trebuie să știe cine poate suspenda agentul, revoca accesul și reveni la un proces manual sigur.
Nu confunda viteza cu încrederea
AI poate analiza volume mari de cod, configurații și alerte, dar rezultatul trebuie evaluat după risc și verificat. O remediere generată rapid poate introduce o regresie, poate acoperi doar un simptom sau poate schimba un control critic. Procesul matur păstrează aprobarea proporțională cu impactul, testează modificarea și produce dovada că riscul inițial a fost redus.
- Folosește modelele pentru prioritizare și propuneri, dar păstrează un proprietar uman pentru acceptarea riscului.
- Nu trimite date sensibile, secrete sau loguri complete către un serviciu AI fără clasificare și autorizare.
- Testează codul și configurațiile generate în medii izolate înainte de producție.
- Măsoară remedierile validate și timpul până la reducerea riscului, nu doar numărul de alerte produse.
- Înregistrează excepțiile și cazurile în care recomandarea AI a fost respinsă sau corectată.
Exercițiu tabletop: agentul găsește o vulnerabilitate critică
- Inject 1 — agentul raportează o vulnerabilitate critică într-o aplicație expusă. Cine validează traseul și ce dovadă este suficientă?
- Inject 2 — agentul propune un patch, dar testele existente nu acoperă fluxul de autentificare. Cine decide extinderea testelor și termenul?
- Inject 3 — remedierea cere acces la producție. Ce identitate, aprobare și limită de autoritate sunt obligatorii?
- Inject 4 — după deploy apare o regresie operațională. Cine oprește automatizarea și cum se revine fără a reactiva vulnerabilitatea?
- Inject 5 — managementul cere dovada eficienței. Ce indicatori demonstrează reducerea riscului, nu doar volumul de activitate AI?
Ce poți măsura în următoarele 90 de zile
- Procentul sistemelor critice cu proprietar, inventar și nivel de expunere confirmate.
- Timpul median dintre constatare, validare și remediere verificată.
- Procentul agenților și automatizărilor cu identitate separată, permisiuni minime și mecanism de oprire.
- Rata propunerilor AI acceptate, corectate sau respinse după verificarea umană.
- Numărul remedierilor care au teste relevante și dovadă de reducere a riscului.
- Timpul până la revocarea accesului unui agent în cadrul unui exercițiu controlat.
Fereastra apărătorilor nu trebuie tratată ca un slogan despre cumpărarea de AI. Este o invitație la reducerea slăbiciunilor cunoscute, extinderea capacității echipelor și construirea unor procese în care identitatea, autoritatea, verificarea și răspunderea rămân clare chiar atunci când viteza crește.