Císařova nová AI a Hnijící nadace pod ní
Pamatujete si, když nás AI všechny chtěla zachránit? Ukázalo se, že zachránci nyní žádají o oddechový čas. Zrovna nedávno samotní architekti naší budoucnosti řízené umělou inteligencí – „hraniční“ výzkumníci a finanční těžké váhy – společně šlápli na brzdu a požadovali zpomalení vývoje kvůli „eskalujícím obavám o bezpečnost“ [1]. Trh, vždy neomalený nástroj, reagoval kašlem na plíce: akcie čipů a hlavní hráči s umělou inteligencí se propadli [2]. Peking se předvídatelně posmíval varováním, zatímco giganti v Soulu se zdráhali plateb předem za budoucí pokrok v AI [2].
Toto není jen filozofická debata o věži ze slonoviny. Jde o seismický posun, veřejné přiznání lehkomyslnosti z řad elity tohoto odvětví. A upřímně řečeno, je to trochu příliš pohodlné.
Pauza AI: Altruismus nebo přesilovka?
Aby bylo jasno: když si lidé, kteří postavili raketu, náhle uvědomili, že zapomněli padáky po startu, není to okamžik hlubokého etického probuzení. Je to opožděná, samoúčelná tahanice. Nejsou to idealisté s vykulenýma očima; to jsou titáni, kteří tlačí pedál na kov, honí exponenciální růst a dominanci na trhu. Nyní, když se ve velkém rýsuje přízrak „nepředvídaných důsledků“ – a možná ještě cyničtější, uvědomění si, že současné tempo je neudržitelné nebo že potřebují upevnit svůj náskok – volají po společném nadechnutí.
Reakce trhu je výmluvná. Pokles zásob čipů není jen o strachu; jde o okamžité finanční důsledky potenciálního zpomalení. Odmítnutí Pekingu? Jasný signál, že národní strategická výhoda převáží abstraktní obavy o bezpečnost. A soulští výrobci čipů odmítají platby předem? To je zvuk kapitálu zpochybňujícího dlouhodobou stabilitu a ziskovost náhle nejisté budoucnosti.
Pro nás, CTO a inženýry, se to přímo promítá do chaotické krajiny. Očekávejte, že regulační zásahy se zrychlí a vynutí si změnu priorit projektů AI. Étos AI „rychle se hýbej a rozbíjej věci“ je oficiálně mrtvý a nahradilo ho zběsilé hledání rámců „etického vývoje AI“, které měly být zapečeny od prvního dne. Investice budou opatrnější, strategie se budou točit a ano, trhy práce pocítí chlad, protože zlatá horečka ustoupí odměřenějšímu a doufejme, že i zodpovědnějšímu přístupu. Ale nezaměňujme to s čistým altruismem. Tato „pauza“ je jak o kontrole a rekalibraci trhu, tak o skutečné bezpečnosti.
Zatímco Titáni diskutují, Nadace se rozpadá
Nyní, zatímco elita umělé inteligence prožívá existenční krizi a diskutuje o etice budoucí superinteligence, pojďme si promluvit o velmi skutečné, velmi současné a naprosto katastrofické bezpečnostní krizi, která se odehrává právě nyní.
Tento týden CISA přidala několik nových CVE do svého katalogu Known Exploited Vulnerabilities [3]. Hovoříme o potvrzeném kořenovém RCE v Cisco Secure Email Gateway (CVE-2023-20269) [4], průchodu cesty CVSS 10.0 v GitLab (CVE-2023-2825) [3] a nedávno opraveném zero-day Chrome (CVE-2023-4863), který si vyžádal okamžitou pozornost [3]
Ale skutečným úderem, který by měl přimět každého bezpečnostního profesionála křičet do prázdna, je přetrvávající hrozba základních nedostatků. Zvažte CVE-2021-1647, chybu zabezpečení týkající se eskalace místních oprávnění v modulu Microsoft Defender Malware Protection Engine [5]. Nebyla to nějaká obskurní vada; měl veřejný Proof-of-Concept a byl aktivně využíván ve volné přírodě, což zdůrazňovalo, jak mohou být kritické součásti naší digitální obrany ohroženy a zůstat po určitou dobu zranitelné.
Nechte to zapadnout. Zatímco diskutujeme o etice AI sentience, ukázalo se, že samotný software určený k ochraně našich koncových bodů, základní vrstva naší digitální obrany, obsahuje veřejně známé, aktivně využívané chyby, které útočníkovi umožňují povýšit privilegia. Je to jako dohadovat se o filozofických důsledcích warp pohonu, zatímco vašemu autu selžou brzdy a hoří motor.
Zúčtování: Dvě strany téže mince
Nejsou to samostatné příběhy. Jsou to dvě strany jedné hluboce chybné mince: technologický průmysl, který důsledně upřednostňuje rychlost, novost a vnímanou inovaci před základní bezpečností, stabilitou a odpovědností.
Náhlé volání vůdců umělé inteligence po zpomalení je reaktivním, samoúčelným pokusem o nápravu kurzu *poté, co už vypustili mocné, špatně pochopené systémy do divočiny. Je to přiznání, že mantra „pohybuj se rychle a rozbij věci“, je-li aplikována na technologii potenciálně měnící svět, je nejen nezodpovědná, ale i nebezpečná.
Útok nultého dne, zejména kritická zranitelnost Defenderu, je přímým a bolestivým důsledkem stejného myšlení, které se používá na základní IT. Je to výsledek kultury, která často zachází se zabezpečením jako s dodatečným nápadem, zaškrtávacím políčkem shody nebo nákladovým střediskem, spíše než s integrální, nesmlouvavou součástí každého jednotlivého produktu a systému. Jsme tak zaneprázdněni pronásledováním dalšího lesklého předmětu – dalšího LLM, dalšího agenta AI –, že jsme nechali hnít samotnou půdu pod nohama.
Pro CTO a inženýry je zpráva strohá a okamžitá. Přestaňte pronásledovat každý trend AI, který prochází vaším zdrojem. Zdvojnásobte základy. Upřednostňujte opravy, zejména pro kritické, aktivně využívané zranitelnosti, jako jsou ty v Cisco, GitLab a přetrvávající hrozba, jakou jsou minulé LPE Defender. Implementujte robustní zmírnění. Požadujte od svých dodavatelů odpovědnost za jejich bezpečnostní pozici, nejen za jejich plán funkcí.
Propad trhu a neřešené základní bezpečnostní problémy nejsou jen novinky. Jsou to zúčtování. Technologický svět, který je příliš rychlý, příliš lehkomyslný a nakonec příliš exponovaný. Je čas dospět, zajistit naše základy a pak, pouze*, opatrně zvážit další hranici.
Zdroje
[1] Future of Life Institute – Pause Giant AI Experiments: An Open Letter – https://futureoflife.org/open-letter/pause-giant-ai-experiments/ [2] CNBC – odborníci na umělou inteligenci vyzývají k pozastavení vývoje pokročilých systémů umělé inteligence – https://www.cnbc.com/2023/03/29/ai-experts-call-for-pause-in-development-of-advanced-ai-systems.html [3] CISA – Katalog známých zneužitých zranitelností – https://www.cisa.gov/known-exploited-vulnerabilities-catalog [4] Cisco Security Advisory – Cisco Secure Email and Web Manager, Cisco Email Security Appliance a Cisco Web Security Appliance zranitelnosti – https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-sma-rce-q5Q8Su [5] Centrum Microsoft Security Response Center – Chyba zabezpečení eskalace místních oprávnění Microsoft Defender – https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1647