Mandag publiserte KI-selskapet Anthropic et forskningsresultat som fikk sikkerhetsmiljøet til å sperre opp øynene: En upublisert versjon av selskapets kraftigste KI-modell, Claude Mythos, fant to hittil ukjente svakheter i krypteringsalgoritmer – deriblant én i signaturskjemaet HAWK, som konkurrerer om å bli amerikansk føderal standard for kvantesikker kryptografi. Menneskelige eksperter hadde gransket skjemaet i to år uten å finne feilen. KI-modellen brukte rundt 60 timer.
Før vi går videre: Ingenting som beskytter dataene dine i dag, er knekt. HAWK er ikke tatt i bruk noe sted, og det andre funnet gjelder en bevisst svekket forskningsvariant av AES – ikke krypteringen som faktisk sikrer nettbanken, nettsiden eller harddisken din. Ser du overskrifter som antyder noe annet, er de feil.
Men saken har likevel praktiske konsekvenser for norske virksomheter – og de er verdt fem minutter av tiden din.
Hva skjedde, i klartekst?
Kryptografi er matematikk, og sikkerheten hviler på at ingen har funnet en snarvei gjennom matematikken. Det Anthropics modell gjorde, var å finne en skjult symmetri – en snarvei – som gjorde det rundt 67 millioner ganger lettere å knekke den minste konfigurasjonen av HAWK. Modellen oppfant også en helt ny angrepsteknikk («Möbius Bridge») mot en svekket AES-variant. Begge funnene ble verifisert av menneskelige kryptografer før publisering.
Det nye er ikke at kryptografi har svakheter – det er hvem som fant dem: en KI, på timer, i matematikk mennesker hadde finlest i årevis.
Hva betyr det for bedriften din?
1. Oppdateringer blir enda viktigere enn før
Når KI kan lete etter feil døgnet rundt, vil svakheter – i kryptografi, men også i helt vanlig programvare – bli funnet raskere. Det gjelder både forsvarerne som retter, og på sikt angripere som utnytter. Konsekvensen for deg er kjedelig velkjent, men skarpere: Systemer som ikke oppdateres jevnlig, blir farligere for hver måned. Automatiske oppdateringer på nettsted, server og programvare er den billigste forsikringen som finnes.
2. Spør hosting- og systemleverandøren om «kryptofleksibilitet»
Verden er i gang med å bytte til kvantesikker kryptografi, og denne ukens funn viser at de nye skjemaene fortsatt er unge. Det du bør vite, er ikke hvilken algoritme leverandøren bruker – men om de kan bytte algoritme uten å bygge om alt. Moderne TLS-oppsett og oppdaterte plattformer håndterer dette; hjemmesnekrede løsninger fra 2015 gjør det ikke.
3. Data med lang levetid fortjener en ekstra tanke
Enkelte angripere lagrer kryptert data i dag for å dekryptere den om noen år («harvest now, decrypt later»). Har virksomheten din data som fortsatt skal være hemmelig om ti år – kontrakter, helsedata, forretningshemmeligheter – bør dere spørre systemleverandørene deres når kvantesikker kryptering står på planen deres.
4. KI på forsvarssiden er en god nyhet
Det er lett å lese slike saker som skremmende. Men merk hvor funnet kom fra: en sikkerhetsgated modell, brukt av forskere, på skjemaer som ennå ikke er tatt i bruk, med ansvarlig publisering. Feil som finnes før utrulling, er billige å rette. Det samme mønsteret kommer til vanlig programvare: KI-verktøy som gransker koden din for hull før angriperne gjør det. Det bør norske virksomheter ønske velkommen – og etter hvert etterspørre hos leverandørene sine.
Kort oppsummert
- Ingen reell kryptering er knekt – ikke bytt passord i panikk.
- Hold alt oppdatert; automatiser der du kan.
- Still leverandørene to spørsmål: Kan dere bytte kryptoalgoritme uten ombygging? Og når kommer kvantesikker kryptering?
- Data som skal være hemmelig i 10+ år, bør planlegges for kvantesikker lagring allerede nå.