De Britse beveiligingsonderzoeker Kevin Beaumont heeft een rapport van MIT Sloan School of Management over het gebruik van AI bij ransomware-aanvallen volledig gekraakt. De business school van het Massachusetts Institute of Technology (MIT) besloot daarop het rapport offline te halen (pdf). Inmiddels heeft de onderwijsinstelling ook verwijzingen op de eigen website naar het rapport verwijderd.

In het rapport werd beweerd dat bij tachtig procent van de ransomware-aanvallen die MIT had onderzocht er gebruik was gemaakt van AI. De onderzoekers beschreven het "gebruik van AI" als alles waarbij de aanvallers AI gebruikt hadden kunnen hebben. Er werd echter niet door de onderzoekers uitgelegd of bewezen hoe ze vaststelden dat de aanvallers van AI gebruikmaakten.

Daarnaast stonden er ook onjuistheden in het rapport. Zo werden verschillende ransomwaregroepen genoemd die in 2023 en 2024 aanvallen met AI zouden hebben uitgevoerd. De groepen waren echter al voor 2023 verdwenen. Beveiligingsonderzoeker Marcus Hutchins merkt op dat hij verschillende van de genoemde groepen voor zijn werk heeft gevolgd en kan getuigen dat er geen gebruik van AI werd gemaakt.

Volgens Beaumont is het rapport dan ook grote onzin en worden bedrijven door leveranciers en onderwijsinstellingen bang gemaakt voor generatieve AI-dreigingen. Niet omdat er een daadwerkelijke dreiging is, maar vanwege financiële motieven, aldus de onderzoeker. In dit geval wordt MIT Sloan volgens Beaumont betaald door een cybersecuritybedrijf en zit de hoofdonderzoeker achter het rapport in de raad van bestuur van het bedrijf, dat "Agentic AI" oplossingen biedt.

"Generatieve ransomware is niets en MIT zou zich diep moeten schamen door te zeggen dat ze gegevens van 2800 ransomware-incidenten hebben onderzocht en ontdekten dat 80 procent gerelateerd was aan generatieve AI", aldus Beaumont. De onderzoeker merkt op dat de belangen als het om cybersecurity gaat niet goed worden gemanaged en de industrie zeer ziek is. "Iedereen speelt mee en het zorgt ervoor dat CISO's de verkeerde informatie krijgen." MIT Sloan heeft het rapport inmiddels vervangen door een ander pdf-document waarin het laat weten dat het betreffende rapport een "early research paper" was en op basis van recente reviews wordt aangepast.