Bezpieczeństwo botów głosowych: w jaki sposób firmy mogą chronić swoje asystenty głosowe przed atakami?

Asystenci głosowi odpowiadają obecnie na zapytania klientów, uzyskują dostęp do danych firmowych, a w niektórych przypadkach nawet samodzielnie realizują procesy biznesowe. To sprawia, że stają się oni coraz bardziej atrakcyjnym celem dla cyberprzestępców. Każda organizacja korzystająca z asystentów głosowych w obsłudze klienta powinna zatem zdawać sobie sprawę z związanych z tym zagrożeń – oraz wiedzieć, jak je ograniczać.

Wyzwanie to potęguje jeszcze jeden czynnik: wielu pracowników już teraz korzysta z własnych narzędzi opartych na sztucznej inteligencji w codziennej pracy, często bez wiedzy lub zgody działu IT. Zjawisko to znane jest pod nazwą „shadow AI”.

Jednocześnie klienci i firmy coraz bardziej ufają odpowiedziom generowanym przez sztuczną inteligencję, ponieważ jakość tych systemów stale się poprawia. Jak na ironię, to rosnące zaufanie sprawia, że boty głosowe stają się jeszcze bardziej atrakcyjnym celem cyberataków.

Jakie ataki na boty głosowe naprawdę stanowią zagrożenie

Zagrożenia bezpieczeństwa związane ze sztuczną inteligencją można obecnie dość szybko sklasyfikować. Jedną z najbardziej znanych struktur klasyfikacyjnych opracowała społeczność OWASP (Open Web Application Security Project). OWASP to organizacja non-profit, która od wielu lat promuje najlepsze praktyki w zakresie cyberbezpieczeństwa. Regularnie publikuje swoje słynne listy „Top 10” zagrożeń bezpieczeństwa wraz z praktycznymi wskazówkami dotyczącymi sposobów ich eliminowania. Niedawno uruchomiła również projekt GenAI Security Project, który koncentruje się konkretnie na zagrożeniach związanych z generatywną sztuczną inteligencją.

Jednym z najpoważniejszych zagrożeń zidentyfikowanych przez OWASP jest atak typu „prompt injection”. Dochodzi do niego, gdy osoba dzwoniąca wykorzystuje starannie skonstruowane polecenia, aby skłonić sztuczną inteligencję do wykonania czynności, do których nie została przeznaczona, takich jak ujawnienie poufnych informacji lub zaoferowanie nieautoryzowanych rabatów. Przypomina to oszustwo telefoniczne, z tą różnicą, że atakujący manipuluje systemem sztucznej inteligencji, a nie człowiekiem. Ataki te są coraz częściej przeprowadzane automatycznie.

Wstrzyknięcie promptów to tylko jeden z wielu wektorów ataku. Modele sztucznej inteligencji mogą również zostać przeciążone żądaniami, co prowadzi do powstania pewnego rodzaju ataku typu „odmowa usługi”. Pod wpływem nadmiernego obciążenia model może działać w nieprzewidywalny sposób, zignorować przewidziane zabezpieczenia lub generować odpowiedzi, których w normalnych warunkach by nie wygenerował. Modele językowe mogą również ujawniać informacje wewnętrzne, szczegóły implementacji lub przetwarzać treści, które powinny być całkowicie odrzucane. Obejrzyj nasz film

Kolejne istotne zagrożenie wynika z integracji sztucznej inteligencji z systemami zarządzania wiedzą oraz technologią Retrieval-Augmented Generation (RAG). Wiele botów głosowych korzysta z obszernych korporacyjnych baz wiedzy, aby odpowiadać na specjalistyczne zapytania klientów. Jeśli integracje te nie zostaną odpowiednio zabezpieczone, osoby atakujące mogą manipulować danymi źródłowymi, wpływać na odpowiedzi modelu lub uzyskać dostęp do informacji, które nigdy nie powinny być udostępniane.

To samo dotyczy integracji z systemami CRM i ERP, a także interfejsów API i innych interfejsów oprogramowania. Integracje te od dawna stanowią powszechne źródło luk w zabezpieczeniach w tradycyjnych środowiskach oprogramowania, a systemy sztucznej inteligencji tylko zwiększają ich znaczenie. Poufne informacje mogą wyciekać przez słabo zabezpieczone interfejsy, a połączone narzędzia, które umożliwiają agentom sztucznej inteligencji interakcję z aplikacjami zewnętrznymi, coraz częściej stają się celem ataków. W ostatnich miesiącach badacze zademonstrowali ataki, w których poprzez podatne na ataki integracje wykonywano nieautoryzowany kod lub pozyskiwano dane uwierzytelniające.

Zakres potencjalnych ataków jest zatem szeroki. Ochrona systemów sztucznej inteligencji wymaga wielowarstwowej ochrony, a nie tylko jednego środka zabezpieczającego.

Rozsądnym punktem wyjścia jest jasne zdefiniowanie roli agenta AI już na samym początku oraz ustalenie ścisłych granic. Nie powinien on przetwarzać określonych kategorii informacji, przyznawać nieautoryzowanych rabatów ani podejmować prawnie wiążących zobowiązań. Decyzje tego rodzaju powinny zawsze pozostawać pod kontrolą człowieka.

Równie ważna jest rzetelna weryfikacja osób dzwoniących, na przykład za pomocą identyfikatorów klientów, weryfikacji numeru IBAN lub – co jest rozwiązaniem preferowanym – uwierzytelniania wieloskładnikowego (MFA), w ramach którego wymagany jest dodatkowy czynnik uwierzytelniający – taki jak kod wysłany na zarejestrowane urządzenie mobilne. Znacznie zmniejsza to prawdopodobieństwo powodzenia zautomatyzowanych ataków.

Żadne pojedyncze zabezpieczenie nie jest wystarczające samo w sobie. Skuteczna ochrona wynika z połączenia wielu środków bezpieczeństwa w wielowarstwowy system obrony – podejście to powszechnie znane jest jako „obrona w głębi”. W poniższych sekcjach przedstawiono trzy kluczowe elementy składowe takiej strategii bezpieczeństwa.

Trzy sposoby skutecznej ochrony botów głosowych

Aby zapobiec tym zagrożeniom, w praktyce przyjęły się trzy podejścia:

• Bariery ochronne zintegrowane bezpośrednio z platformą voicebota,
• Narzędzia adaptacyjnej ochrony, które można wdrożyć jako dodatkowy środek,
• testy penetracyjne, które umożliwiają przeprowadzanie symulowanych ataków w celu wykrycia luk w zabezpieczeniach, zanim zrobi to prawdziwy atakujący.

Zintegrowane mechanizmy zabezpieczające w platformach botów głosowych

Wbudowane zabezpieczenia stanowią rozsądny punkt wyjścia, ponieważ są bezpośrednio zintegrowane z platformą botów głosowych, z której już korzystasz, i nie wymagają żadnego dodatkowego oprogramowania ani oddzielnych licencji. Większość wiodących platform zawiera obecnie własne mechanizmy zabezpieczeń w standardzie.

NiCE Cognigy

NiCE Cognigy oferuje konfigurowalne ustawienia bezpieczeństwa dla agentów AI. Ustawienia te pozwalają organizacjom definiować różne kategorie mechanizmów bezpieczeństwa. Chociaż dokumentacja wyjaśnia przeznaczenie każdej kategorii, nie zawsze zawiera szczegółowe informacje na temat tego, jak poszczególne ustawienia działają w praktyce. W przypadku wdrożeń produkcyjnych zaleca się zatem ścisłą współpracę z partnerem wdrożeniowym lub dostawcą, aby dokładnie zrozumieć, jak działa każdy mechanizm i jak należy go skonfigurować.

Główną zaletą wbudowanych zabezpieczeń jest to, że są one zintegrowane bezpośrednio z platformą. Zazwyczaj powoduje to jedynie minimalne opóźnienie. Niektóre zabezpieczenia opierają się jednak na dodatkowych monitach lub instrukcjach systemowych, co może zwiększyć zużycie tokenów.

Parloa

Parloa zapewnia bardziej szczegółową kontrolę nad konfiguracją mechanizmów zabezpieczających. W przypadku wielu kategorii mechanizmów zabezpieczających organizacje mogą wybierać różne poziomy ochrony, takie jak niski, średni lub wysoki. Obsługuje również filtry niestandardowe, umożliwiające zdefiniowanie konkretnych terminów, tematów lub scenariuszy, w których bot powinien albo zareagować inaczej, albo zakończyć interakcję.

W miarę jak możliwości mechanizmów zabezpieczających stale się rozwijają, platformy coraz częściej wykraczają poza izolowane filtry treści w kierunku analizy na poziomie rozmowy, oceniając kontekst całej interakcji, a nie pojedyncze polecenia i odpowiedzi w oderwaniu od siebie. Podobnie jak w przypadku wszelkich wbudowanych mechanizmów zabezpieczających, mechanizmy te stanowią skuteczną pierwszą warstwę ochrony, choć mogą również zwiększać zużycie tokenów, ponieważ podczas rozmowy przetwarzane są dodatkowe instrukcje. Prośba to dane wejściowe dostarczone przez użytkownika, system lub agenta AI, które nakazują modelowi językowemu wygenerowanie odpowiedzi lub wykonanie określonego zadania.

Narzędzia adaptacyjnej ochrony: Cisco AI Defense

Tego typu narzędzia stają się szczególnie cenne, gdy same wbudowane mechanizmy zabezpieczające przestają wystarczać – na przykład w sytuacjach, gdy konieczne jest scentralizowane monitorowanie wielu botów i platform lub gdy zespoły ds. bezpieczeństwa potrzebują niezależnego od dostawców nadzoru nad różnymi środowiskami sztucznej inteligencji.

Jednym z przykładów jest rozwiązanie Cisco AI Defence. Firma Cisco od dawna działa w branży sieciowej i cyberbezpieczeństwa, a w ostatnich latach rozszerzyła swoją ofertę, aby sprostać rosnącym wyzwaniom związanym z bezpieczeństwem w kontekście sztucznej inteligencji.

Jedną z jego kluczowych funkcji jest kontrola semantyczna. Dzięki niej pomiędzy aplikacją opartą na sztucznej inteligencji – na przykład botem głosowym – a dużym modelem językowym (LLM) powstaje warstwa zabezpieczająca. System analizuje przepływ informacji i potrafi zidentyfikować podejrzane polecenia, odpowiedzi lub wzorce zachowań, zanim dotrą one do modelu lub użytkownika.

Podobnie jak w przypadku każdej pośredniej warstwy zabezpieczeń, należy wziąć pod uwagę opóźnienia. W zależności od architektury analiza semantyczna może powodować dodatkowe opóźnienia w przetwarzaniu. Kolejnym ważnym czynnikiem jest kompatybilność. Nie każdy bot głosowy ani platforma sztucznej inteligencji typu Agentic jest wystarczająco otwarta, aby umożliwić umieszczenie zewnętrznego rozwiązania zabezpieczającego bezpośrednio pomiędzy aplikacją a modelem LLM. W niektórych przypadkach integracja jest możliwa wyłącznie za pośrednictwem interfejsów API, podczas gdy w innych nie ma w ogóle dostępu do modelu ani do strumienia tekstu, na którym opiera się model.

Kolejnym ważnym elementem zabezpieczeń jest monitorowanie podłączonych interfejsów API. Obejmuje to integracje z bazami wiedzy, systemami CRM i ERP, bazami danych klientów oraz innymi aplikacjami, z których sztuczna inteligencja odczytuje dane lub do których je zapisuje.

Rozwiązanie Cisco Runtime Protection pomaga zabezpieczyć te integracje poprzez monitorowanie aktywności interfejsów API, wykrywanie podejrzanych prób uzyskania dostępu oraz blokowanie złośliwych działań w razie potrzeby. Celem jest zminimalizowanie zarówno prawdopodobieństwa, jak i potencjalnych skutków naruszenia bezpieczeństwa aplikacji opartej na sztucznej inteligencji.

Dodatkowe funkcje – w tym Secure Access, integracje z przestrzenią roboczą, asystent AI oraz AgenticOps – mogą jeszcze bardziej wzmocnić poziom bezpieczeństwa organizacji. Mimo to zasada „human-in-the-loop” pozostaje kluczowa. Ostatecznie to administrator powinien ponosić odpowiedzialność za kluczowe decyzje, takie jak tymczasowe wyłączenie bota lub zatwierdzenie zalecanego działania.

Usługa zarządzana Damovo: Testy penetracyjne botów głosowych

Trzecim rozwiązaniem jest usługa testów penetracyjnych opracowana przez firmę Damovo. Chociaż testy penetracyjne dla chatbotów są dostępne już od pewnego czasu, podobne testy dla voicebotów pozostają wciąż stosunkowo rzadkie.

Powód jest prosty. Chociaż bot głosowy można przetestować ręcznie, sama liczba potencjalnych wektorów ataku – szacowana na około 500 – sprawia, że kompleksowe testowanie jest zarówno czasochłonne, jak i wymagające znacznych zasobów. Ponadto komunikaty atakowe muszą być dostosowane do konkretnej branży, niezależnie od tego, czy chodzi o bankowość, ubezpieczenia, opiekę zdrowotną czy inną dziedzinę.

W związku z tym firma Damovo stosuje ustrukturyzowaną metodologię. Proces rozpoczyna się od opracowania pytań testowych dostosowanych do branży klienta. Następnie pytania te są przyporządkowywane do odpowiednich kategorii ryzyka OWASP GenAI.

Następnie bot do testowania automatycznego nawiązuje połączenia z docelowym botem głosowym. Po początkowym powitaniu oraz, w stosownych przypadkach, po zakończeniu procesu uwierzytelniania, realizowane są z góry zdefiniowane dialogi testowe. Obie strony rozmowy są nagrywane oddzielnie, co pozwala na niezależną analizę komunikatów i odpowiedzi bota głosowego.

Każdy dialog testowy jest transkrybowany i wzbogacany o metadane, co pozwala stworzyć kompletną i podlegającą weryfikacji ścieżkę dowodową. Następnie analiza wspomagana sztuczną inteligencją ustala, czy symulowany atak zakończył się sukcesem, czy bot głosowy prawidłowo zablokował żądanie, czy też ujawnił informacje, które powinny pozostać chronione.

Klient otrzymuje szczegółowy raport, w którym ustalenia są przyporządkowane do odpowiednich kategorii ryzyka OWASP GenAI i który zawiera dowody potwierdzające każdą zidentyfikowaną lukę w zabezpieczeniach.

Ile to wszystko kosztuje i ile pracy to wymaga

Koszty

W przypadku obecnie wykorzystywanych botów głosowych wbudowane mechanizmy zabezpieczające zazwyczaj nie powodują żadnych bezpośrednich dodatkowych kosztów. Mogą one jednak generować koszty pośrednie poprzez zwiększone zużycie tokenów. Obecnie trudno jest dokładnie oszacować to dodatkowe zużycie, ponieważ dostępnych jest niewiele opublikowanych danych na ten temat. W miarę rozwoju funkcji zabezpieczających prawdopodobne jest jednak, że bardziej zaawansowane funkcje będą wymagały dodatkowych licencji – na przykład w przypadku, gdy oddzielny duży model językowy (LLM) analizuje w tle kontekst całej rozmowy.

Narzędzia do ochrony adaptacyjnej to rozwiązania klasy korporacyjnej, które zazwyczaj wiążą się z kosztami wdrożenia, utrzymania i licencji. W zależności od dostawcy i zakresu wdrożenia koszty te mogą być znacznie wyższe niż koszty związane z wbudowanymi funkcjami platformy.

Usługa zarządzanych testów penetracyjnych jest przeznaczona przede wszystkim do jednorazowych ocen i zazwyczaj jest znacznie bardziej opłacalna niż stałe wdrażanie oprogramowania zabezpieczającego dla przedsiębiorstw. Jednak opracowanie realistycznych scenariuszy testowych wymaga dostosowania ich zarówno do danej branży, jak i do konkretnych przypadków użycia w organizacji, co zwiększa początkowy koszt projektu.

To, czy takie testy są przeprowadzane jednorazowo, po wdrożeniu nowej funkcji, czy też cyklicznie, zależy od wymagań bezpieczeństwa organizacji oraz jej profilu ryzyka.

Nakład pracy związany z konserwacją

Te trzy podejścia różnią się również pod względem nakładu pracy związanego z bieżącą konserwacją. Zintegrowane zabezpieczenia wymagają bardzo niewielkiej konserwacji, ponieważ są już wbudowane w platformę. Adaptacyjne narzędzia ochronne wiążą się ze średnim lub wysokim nakładem pracy, zwłaszcza na początkowym etapie wdrażania. Testy penetracyjne wymagają umiarkowanego nakładu pracy, głównie ze względu na konieczność dostosowania ich do specyfiki branży.

Opóźnienie

Te trzy podejścia różnią się również pod względem opóźnień. Zintegrowane mechanizmy zabezpieczające są zazwyczaj wbudowane w samą platformę, przez co powodują jedynie minimalne opóźnienia. Adaptacyjne narzędzia zabezpieczające mogą powodować dodatkowe opóźnienia, w zależności od architektury bazowej i sposobu integracji. Testy penetracyjne powinny zasadniczo być przeprowadzane poza normalnymi godzinami pracy, aby uniknąć zakłóceń w codziennym funkcjonowaniu użytkowników.

Dlaczego ten temat zyskuje obecnie na znaczeniu

Kluczowym czynnikiem napędzającym ten trend jest rosnące zapotrzebowanie na możliwość weryfikacji. Wymogi takie jak NIS2 i DORA stały się już stałym przedmiotem zainteresowania, a obecnie dołącza do nich konieczność oceny systemów zarządzania sztuczną inteligencją zgodnie z normą ISO 42001. W rezultacie coraz więcej organizacji musi wykazać, że ich chatboty i voiceboty podlegają regularnym ocenom bezpieczeństwa i audytom.

Właśnie w tym miejscu różnice między tymi trzema podejściami stają się szczególnie wyraźne. Zintegrowane mechanizmy zabezpieczające mają w tym zakresie stosunkowo ograniczone możliwości, ponieważ często zapewniają jedynie skromną dokumentację i ograniczony wgląd w proces podejmowania decyzji. Narzędzia adaptacyjne zapewniają znacznie więcej raportów i wglądu, choć ich możliwości pozostają zależne od konkretnych funkcji i ograniczeń stosowanego rozwiązania. Natomiast usługa zarządzanych testów penetracyjnych można dostosować znacznie bardziej elastycznie – na przykład w zależności od tego, czy klient chce przetestować 10, 100 czy 500 wektorów ataku – i dzięki temu zapewnia najbardziej kompleksowe i przejrzyste dowody.

Te trzy podejścia różnią się również pod względem ryzyka resztkowego. W zależności od konfiguracji same zintegrowane zabezpieczenia wiążą się zazwyczaj ze średnim lub wysokim poziomem ryzyka resztkowego. Narzędzia adaptacyjne mogą znacznie ograniczyć to ryzyko poprzez stosowanie w tle sprawdzonych mechanizmów zabezpieczeń klasy korporacyjnej. Zarządzane testy penetracyjne zapewniają najbardziej realistyczną ocenę, ponieważ testy są przeprowadzane na działających systemach z wykorzystaniem realistycznych scenariuszy ataków i interakcji, co skutkuje najniższym ryzykiem resztkowym.

Wniosek: wielopoziomowa ochrona zamiast pojedynczego rozwiązania

Ostatecznie można stwierdzić, że nie jest to decyzja typu „albo-albo”. Boty głosowe powinny być chronione na wielu poziomach: zabezpieczenia stanowią pierwszą linię obrony, narzędzia adaptacyjne zapewniają dodatkową ochronę, a testy penetracyjne przeprowadzane w czasie rzeczywistym pozwalają ocenić, na ile skuteczne są te środki bezpieczeństwa.

Takie wielopoziomowe podejście gwarantuje, że w przypadku awarii jednego z mechanizmów zabezpieczających albo uda się zapobiec kontynuacji ataku, albo potencjalne skutki zostaną znacznie ograniczone.

Organizacje, które chcą w jak największym stopniu zminimalizować ryzyko resztkowe, powinny zatem rozpatrywać wszystkie trzy warstwy łącznie, zamiast wdrażać poszczególne środki w oderwaniu od siebie. Firmy, które chcą sprawdzić, na ile bezpieczny jest ich własny bot głosowy, mogą to ocenić w ramach zarządzanego testu penetracyjnego oferowanego przez Damovo.