İmparatorun Yeni Yapay Zeka Güvenlik Kıyafetleri: Biz Muse'a Bakarken Temel Çöküyor
Açık konuşalım: teknoloji endüstrisinin yeni bir takıntısı var ve buna "Yapay Zeka güvenliği" deniyor. Hepimizin hızlı enjeksiyona, model zehirlenmesine ve büyük dil modellerinden veri sızmasına odaklanması bekleniyor. Bu arada işletmelerimizi bir arada tutan gerçek, fiziksel ve dijital altyapı, amansız bir sıfır gün barajıyla aktif olarak ateşe veriliyor. Yapay zeka altyapısının güvenliğinin sağlanmasındaki daha geniş zorlukları gösteren, büyük bir yapay zeka platformunu ilgilendiren yakın tarihli bir olay, bu tehlikeli ikilemi vurgulamaktadır [1].
"Hızlı hareket et ve işleri boz" ilkesiyle tanınan Meta, yapay zeka platformlarındaki güvenlik kusurları nedeniyle incelemelerle karşı karşıya kaldı. Örneğin, bir hata ödül programı, kullanıcı Sanal Makinelerini açığa çıkaran önemli bir kusuru ortaya çıkardı. Bu, ince bir veri sızıntısı ya da akıllı bir istem atlaması değil, kullanıcı VM'lerini açığa çıkaran altyapı düzeyinde temel bir hataydı. Bu, yapay zekaya özgü ezoterik bir güvenlik açığı değil; bu, on yıl önce büyük ölçüde çözüldüğünü düşündüğümüz temel VM yalıtımıdır. Bu tür bir yapay zeka altyapısından yararlanan kullanıcıları ve potansiyel kurumsal müşterileri doğrudan etkileyen, gizlilik ve veri bütünlüğünün kritik bir ihlalini temsil ediyor.
Bu tür bir kusur, gerçekten etkili olsa da, yeni bir "Yapay Zeka güvenliği" sorununa daha az benziyor ve daha çok, yapay zeka şapkası giyen klasik bir altyapı arızasına benziyor. Bu, en gelişmiş yapay zeka platformlarının bile geleneksel bilgi işlem, ağ oluşturma ve sanallaştırma katmanları üzerine kurulduğunu hatırlatır. Bu temel katmanlar deliklerle doluysa yapay zeka modelinizin ne kadar karmaşık olduğu önemli değildir; tüm sistem savunmasız kalır. Bu hikayenin "Yapay Zeka" yönü neredeyse bir dikkat dağıtıcı, bakışlarımızı cilalı döşeme tahtalarının altındaki çürüyen ahşaplardan uzaklaştıran bir yanlış yönlendirme.
CISA'nın KEV Barajı: Kritik Bir Gösterge
Biz bilinçli sohbet robotlarının etik sonuçlarını ve yapay zeka güvenliğinin inceliklerini tartışmakla meşgulken, CISA, Bilinen İstismara Uğrayan Güvenlik Açıkları (KEV) kataloğuna, aktif olarak yararlanılan benzeri görülmemiş sayıda güvenlik açığını çıkarıyor. Bu teorik bir çalışma değil. Bu bir "bir gün yama" listesi değil. Bu acil bir "eviniz şu anda yanıyor" listesidir.
Son haftalarda CISA çok sayıda giriş ekleyerek aktif olarak yararlanılan güvenlik açıklarının toplamını kısa sürede şaşırtıcı bir sayıya çıkardı [2]. Bu sadece "güvenlik kötü" değil; Bu, dünyamızı çalıştıran çok kritik kurumsal yazılımları etkileyen sistemik ve giderek artan bir krizdir.
KEV kataloğuna yapılan son eklemeleri göz önünde bulundurun:
- CVE-2023-46214: CISA yama son tarihi olan Splunk Enterprise uzaktan kod yürütme güvenlik açığı (CVSS 9.8), yama yapılmamış sistemleri oldukça savunmasız hale getiriyor.
- CVE-2023-29357: Sayısız kurumsal intranetin omurgasını etkileyen bir Microsoft SharePoint Server ayrıcalık yükseltme güvenlik açığı.
- CVE-2023-42824: Hedefli saldırılarda zaten kullanılan bir Apple iOS/ıpados çekirdeği güvenlik açığı, kontrol edilen ekosistemlerin bile aşılmaz olmadığını gösteriyor.
- CVE-2023-30799: Her şeyi birbirine bağlayan yönlendiricileri etkileyen ve genellikle ağın en derin köşelerinde yama yapılmadan bırakılan bir MikroTik RouterOS uzaktan kod yürütme kusuru.
Microsoft, Apple, Splunk, MikroTik, Linux, JFrog gibi büyük satıcılar arasında aktif olarak yararlanılan sıfır günlerin hızla eklenmesi, acil ve yoğun bir ilgi gerektiriyor. Bu genel bir uyarı değildir; bu, doğrudan her BT ve güvenlik ekibine çalan bir sirendir. CISA'nın KEV listesi yalnızca federal kurumlara yönelik bir öneri değildir; bu tüm kuruluşlar için kritik bir uyarıdır. Tehlikeyi göz ardı edin.
"Yapay Zeka Güvenliği" Yanılsaması ve Dikkat Dağıtmanın Maliyeti
Rahatsız edici gerçek şu: Yapay zeka platformlarındaki temel kusurlar ve CISA KEV barajı, aynı sorunun birbiriyle bağlantılı yönleridir. Her ikisi de yazılım güvenliğinde temel bir çöküntü olduğunu haykırıyor, ancak sektörümüzün kolektif bakış açısı tehlikeli derecede yanlış hizalanmış durumda. "Yapay zeka"nın vaadi ve tehlikesi bizi o kadar büyüledi ki, temel dijital altyapının çürümesine izin veriyoruz.