Hoe AI leidt tot veranderingen op het gebied van cybersecurity van onderwijsinstellingen
AI vergroot de cybersecurity-risico’s in het onderwijs. Aanvallen als phishing worden er effectiever door, en kwetsbaarheden in systemen zijn eenvoudiger te misbruiken. Tegelijkertijd neemt de druk op onderwijsinstellingen toe om hun beveiliging te versterken, zonder daarbij openheid, innovatie of de maatschappelijke opdracht aan te tasten. Een aflevering van de EDUCAUSE Exchange-podcast bespreekt vier belangrijke uitdagingen op het gebied van cybersecurity in het onderwijs.
In deze podcast lichten vier experts kun licht op de actuele uitdagingen die AI met zich meebrengt voor de cybersecurity binnen het onderwijs. De vier belangrijkste uitdagingen zijn:
1. Versnelling van de bekende dreigingen
Uit de discussie tussen experts blijkt dat AI geen nieuwe soorten dreigingen heeft bedacht, maar bestaande problemen flink versterkt. Het spel is veranderd op het gebied van snelheid, personalisatie en geloofwaardigheid. Waar aanvallers voorheen technische vaardigheden nodig hadden, verlaagt AI nu de drempel. Het genereren van foutloze e-mails die afkomstig lijken te zijn van een afdelingshoofd, een collega-docent of een lerende is eenvoudig geworden. Aanvallers verzamelen publieke informatie van websites van instellingen of platforms zoals LinkedIn om zeer specifieke en realistisch ogende berichten te creëren. Hierdoor worden aanvallen goedkoper en makkelijker uit te voeren. Dat betekent wat mij betreft dat het ook laagdrempeliger worden om pogingen te doen om systemen, die minder vaak worden gebruikt, te hacken. Denk aan Osiris, Eduarte of itslearning.
2. AI maakt traditionele trainingen op het gebied van bewustwording minder betrouwbaar
De traditionele benadering van cybersecurity-trainingen, waarbij gebruikers werd geleerd om spelfouten te herkennen, werkt niet meer. AI-gegenereerde teksten zijn vrijwel vlekkeloos geschreven. Daarom passen onderwijsinstellingen hun trainingen aan. De focus ligt nu meer op het gedrag van de gebruiker, zoals het herkennen van ongebruikelijke verzoeken. Gebruikers wordt gevraagd om te vertragen voordat ze op een link klikken en om betalings- of inlogverzoeken via interne beveiligingskanalen te bevestigen. Daarnaast is er sterke behoefte aan gerichte content voor lerenden om hun ‘digitale geletterdheid’ stapsgewijs te vergroten. De aanname dat lerenden als ‘digital natives’ automatisch weet hoe ze in deze omgevingen moeten opereren, blijkt onjuist. Het gebruik van sociale media geeft niet vanzelfsprekend een diep begrip van hoe communicatiestromen en bijbehorende risico’s werken. Eén van de gesprekspartners heeft er trouwens bezwaar tegen om verantwoordelijkheden bij gebruikers te leggen, en niet bij de (ontwerpers van) systemen. Hij benadrukt dat het niet de schuld van de gebruiker is als zij slachtoffer worden van deze geraffineerde aanvallen; zelfs cybersecurity-experts worden soms misleid als een aanval precies op het verkeerde moment komt. Persoonlijk vind ik dat je best een beroep mag doen op bekwaamheden van gebruikers om risico’s op het gebied van cybersecurity hanteerbaar te maken. Goed kijken naar de afzender, een link eerst kopiëren en in een text editor plakken voordat je er op klikt, en zeer argwanend zijn als je met spoed ergens op moet klikken, maken daar ook deel van uit. De phishing berichten worden inderdaad steeds beter.
3. AI zorgt ervoor dat de lat voor basale veiligheidsmaatregelen hoger komt te liggen
De sprekers pleiten nadrukkelijk voor ‘defense in depth‘, oftewel verdediging in de diepte van het IT-systeem. Systemen moeten zodanig worden ontworpen dat ze gebruikers beschermen tegen hun eigen fouten. Campussen versterken momenteel hun identiteitscontroles, bijvoorbeeld door de inzet van meervoudige authenticatie (MFA) en systemen waarbij geen wachtwoord meer nodig is. Eén van de experts vergelijkt het met hoe banken omgaan met cybersecurity. Zij nemen contact op bij verdachte transacties. Je kunt grote transacties ook niet zomaar uitvoeren. Je moet de limiet aanpassen, dit bevestigen met multifactor authenticatie en meerdere uren wachten. Ook krijg je via sms en mail berichten als je ergens inlogt. De vraag is alleen: wat is binnen een LMS of studentinformatiesysteem een ‘verdachte of omvangrijke transactie’?
AI wordt hierbij niet langer gezien als puur een IT-kwestie, maar als een integraal onderdeel van cybersecurity. De experts gaan daarbij in op een belangrijk punt van zorg: het blindelings vertrouwen op AI. Het probleem is niet alleen dat AI-systemen af en toe hallucineren, maar vooral de zelfverzekerdheid waarmee dit gebeurt. AI kan de verkeerde informatie met grote stelligheid samenvatten. Wanneer beveiligingsteams of een docent zonder verificatie vertrouwen op door AI gegenereerde samenvattingen, kunnen zij belangrijke incidenten over het hoofd zien. De experts benadrukken dat de mens aan het stuur moet blijven en dat ethiek, beleidsontwikkeling en verantwoord gebruik centraal moeten staan in de omgang met deze technologie. Ik deel die mening, maar vindt dit eerder een vraagstuk van didactisch gebruik.
4. AI stelt de openheid en het risicobereidheid van instellingen op de proef
Omdat onderwijsinstellingen van nature open omgevingen zijn, kunnen zij AI niet op dezelfde manier reguleren als banken. Daarom kiezen veel campussen voor een risicogestuurde benadering. Het gebruik van AI wordt gecategoriseerd op basis van het potentiële risico. Laag risico omvat volgens de gesprekspersonen bijvoorbeeld brainstormen, vertalen of het inzetten van AI voor begeleiding van een lerende. Gemiddeld risico betreft het ontwerpen van cursussen, het nakijken van toetsen of het genereren van feedback voor een lerende. Tot slot is er een hoog risico wanneer AI wordt gebruikt voor de verwerking van persoonsgegevens, financiële informatie of HR-data. Dit is op zich een terecht thema dat echter meer te maken heeft met privacybescherming en verwerking van gevoelige gegevens dan met cybersecurity. Cybersecurity is wel noodzakelijk voor privacybescherming. Verder hebben de verschillende risico’s ook meer te maken met de wijze waarop je AI wilt inzetten in het onderwijs en ethische kaders daarbij.
Mijn overige opmerkingen
Gebruikers irriteren zich weleens aan maatregelen op het gebied van security. Multifactor authenticatie impliceert extra stappen voor dat je je werkt kunt doen. Complexe en diverse wachtwoorden onthoud je vaak niet zonder password manager. Toch moeten we dit voor lief nemen en zorgvuldig handelen. Voorop staat echter het gebruik van veilige systemen. Het gebruik van AI maakt het nog makkelijker om beveiligingsmaatregelen te omzeilen of te ondergraven. In discussies rond Anthropic’s Mythos zie je dat AI-toepassingen steeds beter worden in het blootleggen van zwakheden die tot nu toe verborgen bleven. Merk op dat quantum computing dit nog een graadje erger zal maken.
Nota bene: de afgelopen week zijn vanwege een technisch probleem updates via mail niet verstuurd. Waarschijnlijk worden deze alsnog verstuurd. Het gaat in elk geval om de volgende bijdragen:
Mijn bronnen over (generatieve) artificiële intelligentie
Deze pagina bevat al mijn bijdragen over (generatieve) artificiële intelligentie.
Lees het hele
artikel