Kejserens nye kunstige intelligens og den rådnende fundament under den
Kan du huske, da AI skulle redde os alle? Det viser sig, at frelserne nu beder om en timeout. For nylig har selve arkitekterne bag vores AI-drevne fremtid - "frontier"-forskerne og finansielle sværvægtere - samlet bremset og krævet en opbremsning i udviklingen på grund af "eskalerende sikkerhedsproblemer" [1]. Markedet, der altid var det stumpe instrument, reagerede ved at hoste en lunge op: chipaktier og store AI-spillere væltede [2]. Beijing, forudsigeligt, hånede advarslerne, mens Seouls chipgiganter vægrede sig ved forudbetalinger for fremtidige AI-fremskridt [2].
Dette er ikke kun en filosofisk debat for elfenbenstårnet. Dette er et seismisk skift, en offentlig indrømmelse af hensynsløshed fra industriens elite. Og helt ærligt, det er lidt for bekvemt.
AI-pausen: Altruisme eller magtspil?
Lad os være klare: Når de mennesker, der byggede raketten, pludselig indser, at de glemte faldskærmene efter opsendelsen, er det ikke et øjeblik med dyb etisk opvågnen. Det er en forsinket, selvtjenende kamp. Disse er ikke måbende idealister; det er titanerne, der har presset pedalen til metal og jagtet eksponentiel vækst og markedsdominans. Nu, hvor spøgelsen af "uforudsete konsekvenser" truer stort – og måske mere kynisk, erkendelsen af, at det nuværende tempo er uholdbart, eller at de har brug for at konsolidere deres forspring – kalder de på et kollektivt åndedræt.
Markedets reaktion er sigende. Et dyk i chip-lagrene handler ikke kun om frygt; det handler om de umiddelbare økonomiske konsekvenser af en potentiel afmatning. Beijings tilbageslag? Et klart signal om, at national strategisk fordel overtrumfer abstrakte sikkerhedshensyn. Og Seouls chipproducenter nægter forudbetalinger? Det er lyden af kapital, der sætter spørgsmålstegn ved den langsigtede stabilitet og rentabilitet i en pludselig usikker fremtid.
For os, CTO'erne og ingeniørlederne, udmønter dette sig direkte i et kaotisk landskab. Forvent at reguleringsindgreb vil accelerere, hvilket tvinger en omprioritering af AI-projekter. "Bevæg dig hurtigt og bryd tingene"-etos for AI er officielt dødt, erstattet af en hektisk søgen efter "etisk AI-udvikling"-rammer, der skulle have været bagt ind fra dag ét. Investeringer vil blive mere forsigtige, strategier vil dreje, og ja, arbejdsmarkederne vil mærke kulden, når guldfeberen viger for en mere afmålt og forhåbentlig mere ansvarlig tilgang. Men lad os ikke forveksle dette med ren altruisme. Denne "pause" handler lige så meget om kontrol og markedsre-kalibrering, som det handler om ægte sikkerhed.
Mens Titans-debatten smuldrer fundamentet
Nu, mens AI-eliten har deres eksistentielle krise og diskuterer etikken i fremtidig superintelligens, lad os tale om den meget virkelige, meget nærværende og fuldstændig katastrofale sikkerhedskrise, der udspiller sig lige nu.
I denne uge tilføjede CISA flere nye CVE'er til sit katalog over kendte udnyttede sårbarheder [3]. Vi taler om en bekræftet rod-RCE i Cisco Secure Email Gateway (CVE-2023-20269) [4], en CVSS 10.0-stigennemgang i GitLab (CVE-2023-2825) [3] og en nyligt patchet Chrome zero-day (CVE-2023-4863), der krævede opmærksomhed [med det samme.
Men det virkelige maveslag, det der burde få enhver sikkerhedsprofessionel til at skrige ud i tomrummet, er den vedvarende trussel om grundlæggende fejl. Overvej CVE-2021-1647, en lokal privilegieeskaleringssårbarhed i Microsoft Defenders Malware Protection Engine [5]. Dette var ikke en obskur fejl; det havde et offentligt Proof-of-Concept og blev aktivt udnyttet i naturen, hvilket fremhævede, hvordan kritiske komponenter i vores digitale forsvar kan kompromitteres og forblive sårbare i en periode.
Lad det synke ind. Mens vi diskuterer AI-sansens etik, har selve softwaren designet til at beskytte vores endepunkter, det grundlæggende lag i vores digitale forsvar, vist sig at rumme offentligt kendte, aktivt udnyttede fejl, der tillader en angriber at ophøje privilegier. Det er som at skændes om de filosofiske implikationer af warp drive, mens din bils bremser svigter, og motoren brænder.
Opgørelsen: To sider af samme mønt
Det er ikke separate historier. De er to sider af den samme dybt fejlbehæftede mønt: en teknologiindustri, der konsekvent har prioriteret hastighed, nyhed og opfattet innovation frem for grundlæggende sikkerhed, stabilitet og ansvar.
AI-ledernes pludselige opfordring til en opbremsning er et reaktivt, selvbetjent forsøg på at rette kursen efter at de allerede har sluppet kraftfulde, dårligt forståede systemer løs i naturen. Det er en indrømmelse, at "bevæg dig hurtigt og bryd tingene"-mantraet, når det anvendes på potentielt verdensændrende teknologi, ikke bare er uansvarligt, men farligt.
Zero-day angrebet, især den kritiske Defender-sårbarhed, er den direkte, smertefulde konsekvens af den samme tankegang, som anvendes på grundlæggende IT. Det er resultatet af en kultur, der ofte behandler sikkerhed som en eftertanke, et compliance-afkrydsningsfelt eller et omkostningscenter, snarere end en integreret, ikke-omsættelig komponent i hvert enkelt produkt og system. Vi har så travlt med at jagte det næste skinnende objekt – den næste LLM, den næste AI-agent – at vi har ladet selve jorden under vores fødder rådne.
For CTO'er og ingeniørledere er budskabet skarpt og øjeblikkeligt. Stop med at jagte enhver AI-trend, der krydser dit feed. Fordoble det grundlæggende. Prioriter patching, især for kritiske, aktivt udnyttede sårbarheder som dem i Cisco, GitLab og den vedvarende trussel, eksemplificeret af Defenders tidligere LPE'er. Implementer robuste afbødninger. Kræv ansvarlighed fra dine leverandører for deres sikkerhedsposition, ikke kun deres feature roadmap.
Markedets fald og de ubehandlede grundlæggende sikkerhedsproblemer er ikke kun nyheder. De er et regnskab. En teknologiverden, der er for hurtig, for hensynsløs og endelig for udsat. Det er tid til at blive voksen, sikre vores fundament og så først da forsigtigt overveje den næste grænse.
Kilder
[1] Future of Life Institute — Pause Giant AI Experiments: An Open Letter — https://futureoflife.org/open-letter/pause-giant-ai-experiments/ [2] CNBC — AI-eksperter opfordrer til pause i udviklingen af avancerede AI-systemer — https://www.cnbc.com/2023/03/29/ai-experts-call-for-pause-in-development-of-advanced-ai-systems.html [3] CISA — Known Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog [4] Cisco Security Advisory — Cisco Secure Email and Web Manager, Cisco Email Security Appliance og Cisco Web Security Appliance Vulnerabilities — https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-sma-rce-q5Q8SXu [5] Microsoft Security Response Center — Microsoft Defender Local Privilege Escalation Vulnerability — https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1647