„AI sigurnost“ je postala popularna riječ, nova granica za konsultante i menadžere proizvoda. Ali šta je to, zapravo? Često je to samo sigurnost primijenjena na AI sisteme. Da, AI uvodi nove vektore napada i jedinstvene izazove, ali značajan dio "AI sigurnosti" je jednostavno robustan inženjering, sigurne prakse kodiranja i marljivo zakrpe - iste stvari u kojima smo bili neuspješni decenijama. Ranije spomenuti problem izolacije VM-a je savršen primjer: klasična ranjivost pojačana složenošću AI platforme.
Gradimo neverovatno složene AI sisteme na sve krhkim i aktivno eksploatisanim osnovama. To je kao da pomno dizajnirate samovozeći automobil sa naprednom AI navigacijom, dok točkovi otpadaju i motor pršti. Fokus na „sigurnost veštačke inteligencije“ često se čini kao smetnja, skretanje resursa i pažnje sa svakodnevnog, neglamuroznog, ali apsolutno kritičnog posla na obezbeđenju postojeće infrastrukture.
Jesmo li toliko zauzeti jurnjavom za sljedećom velikom stvari da dopuštamo da trenutne velike stvari izgore? Sam obim i širina KEV prijetnji ukazuju na sistemski i hitan izazov osnovnoj digitalnoj infrastrukturi, za razliku od prethodnih diskusija o nultom danu usmjerenih na umjetnu inteligenciju. Ne radi se o budućnosti AI; radi se o sadašnjem stanju našeg digitalnog postojanja.
Šta sad, tehnički direktori?
Za voditelje inženjera i tehničke direktore, poruka je oštra i trenutna:
- Prioritetizirajte KEV listu: Ispustite sve. Zakrpi ove ranjivosti. Mandat. Provedi to. Ovo nije opciono.
- Nemojte da se upuštate u hajku "AI sigurnosti" na račun osnova: Da, shvatite jedinstvene rizike AI, ali zapamtite da su robusni inženjering, sigurni razvojni životni ciklusi i marljivo zakrpe i dalje vaša najbolja odbrana. Otmjeni AI model vas neće spasiti ako napadač posjeduje vaš osnovni VM ili vaš SharePoint server.
- Investirajte u temeljnu sigurnost: Ovo znači više od kupovine drugog sigurnosnog alata. To znači ulaganje u ljude, procese i kulturu koja cijeni sigurnost kao osnovnu inženjersku disciplinu, a ne naknadnu misao. Programi za nagrađivanje grešaka su odlični, ali bi trebali biti sigurnosna mreža, a ne vaša primarna sigurnosna strategija.
Incident koji uključuje infrastrukturu AI platforme je poziv za buđenje, ali CISA KEV lista je hitan alarm. Moramo prestati da se divimo najnovijim sigurnosnim inicijativama AI i počnemo krpiti rupe u našoj stvarnoj odbrani. Budućnost AI je uzbudljiva, ali sadašnje stanje naše sigurnosti je zastrašujuće.
Izvori
[1] Sigurnost umjetne inteligencije je nered i uskoro će se pogoršati — https://techcrunch.com/2023/10/11/ai-security-is-a-mess-and-its-about-to-get-worse/ [2] Katalog poznatih eksploatiranih ranjivosti — https://www.cisa.gov/known-exploited-vulnerabilities-catalog