Mae "diogelwch AI" wedi dod yn air allweddol, yn ffin newydd i ymgynghorwyr a rheolwyr cynnyrch. Ond beth ydyw, mewn gwirionedd? Yn aml, dim ond diogelwch sy'n berthnasol i systemau AI. Ydy, mae AI yn cyflwyno fectorau ymosod newydd a heriau unigryw, ond mae cyfran sylweddol o "ddiogelwch AI" yn syml, peirianneg gadarn, arferion codio diogel, a chlytio diwyd - yr un pethau rydyn ni wedi bod yn methu â nhw ers degawdau. Mae mater ynysu VM a grybwyllwyd yn gynharach yn enghraifft berffaith: bregusrwydd clasurol wedi'i chwyddo gan gymhlethdod platfform AI.
Rydym yn adeiladu systemau AI hynod gymhleth ar ben sylfeini sy'n gynyddol fregus ac yn cael eu hecsbloetio. Mae fel dylunio car hunan-yrru yn ofalus gyda llywio AI datblygedig, tra bod yr olwynion yn cwympo i ffwrdd a'r injan yn sputtering. Mae'r ffocws ar "ddiogelwch AI" yn aml yn teimlo fel rhywbeth sy'n tynnu sylw, gan ddargyfeirio adnoddau a sylw oddi wrth y gwaith cyffredin, anglamoraidd, ond cwbl hanfodol o sicrhau'r seilwaith presennol.
Ydyn ni mor brysur yn mynd ar ôl y peth mawr nesaf fel ein bod ni'n gadael i'r pethau mawr presennol losgi i lawr? Mae maint ac ehangder y bygythiadau KEV yn dangos her systemig a brys i seilwaith digidol sylfaenol, sy'n wahanol i drafodaethau diwrnod sero AI-ganolog blaenorol. Nid yw hyn yn ymwneud â dyfodol AI; mae'n ymwneud â chyflwr presennol ein bodolaeth ddigidol.
Beth Nawr, CTOs?
Ar gyfer arweinwyr peirianneg a CTOs, mae'r neges yn un amlwg ac uniongyrchol:
- Blaenoriaethu'r rhestr KEV: Gollwng popeth. Patiwch y gwendidau hyn. Mandad iddo. Ei orfodi. Nid yw hyn yn ddewisol.
- Peidiwch â chael eich ysgubo i fyny yn yr hype "diogelwch AI" ar draul hanfodion: Ie, deall risgiau unigryw AI, ond cofiwch mai peirianneg gadarn, cylchoedd bywyd datblygu diogel, a chlytio diwyd yw eich amddiffyniad gorau o hyd. Ni fydd model AI ffansi yn eich arbed os yw ymosodwr yn berchen ar eich VM sylfaenol neu'ch gweinydd SharePoint.
- Buddsoddi mewn diogelwch sylfaenol: Mae hyn yn golygu mwy na phrynu offeryn diogelwch arall. Mae'n golygu buddsoddi mewn pobl, prosesau, a diwylliant sy'n gwerthfawrogi diogelwch fel disgyblaeth beirianneg graidd, nid fel ôl-ystyriaeth. Mae rhaglenni bounty byg yn ardderchog, ond dylent fod yn rhwyd ddiogelwch, nid eich prif strategaeth ddiogelwch.
Mae'r digwyddiad sy'n ymwneud â seilwaith platfform AI yn alwad deffro, ond rhestr CISA KEV yw'r larwm brys. Mae angen inni roi'r gorau i edmygu'r mentrau diogelwch AI diweddaraf a dechrau clytio'r tyllau yn ein hamddiffynfeydd gwirioneddol. Mae dyfodol AI yn gyffrous, ond mae cyflwr presennol ein diogelwch yn frawychus.
Ffynonellau
[1] Mae diogelwch AI yn llanast, ac mae ar fin gwaethygu - https://techcrunch.com/2023/10/11/ai-security-is-a-mess-and-its-about-to-get-worse/ [2] Catalog Gwendidau Camfanteisio hysbys — https://www.cisa.gov/known-exploited-vulnerabilities-catalog