Զրոյական օրեր և զրոյական վերահսկողություն. երկու տեխնիկական իրականության հեքիաթ

Zero-days and Zero Oversight. A Tale of Two Tech Reality

Պատկերացրեք, որ ձեր SOC թիմը մռայլ աչքերով նայում է վառվող կարմիր ազդանշանին: 2023 թվականի հոկտեմբերին առավոտյան ժամը 3-ն է, և լուրը լավ չէ. երկու կարևոր զրոյական օր ձեր Citrix NetScaler ADC-ում և Gateway-ում, որոնք ակտիվորեն շահագործվում են՝ միացնելով Remote Code Execution-ը (RCE), իսկ սովորական չարամիտ ծրագրերը, որոնք դիտվում են բնության մեջ: CISA-ի հայտնի շահագործվող խոցելիության (KEV) կատալոգը նոր է ավելացրել դրանք [1, 2, 3, 4]: Սա տեսական սպառնալիք չէ. Սա նշանակալից, միջազգային միջադեպ է, որը ազդում է Հյուսիսային Ամերիկայի և Եվրոպայի կառավարության, ֆինանսների, կրթության և իրավական ոլորտների կարևորագույն ձեռնարկությունների ենթակառուցվածքների վրա: Մինչ ձեր թիմերը փորձում են զսպել արյունահոսությունը, կատաղորեն կարկատել են և դատաբժշկական հետաքննություններ են սկսել այն մասին, թե ինչ կարող է լինել աղետալի խախտում, մեկ այլ վերնագիր ընկնում է. Նախագահ Թրամփը «կամավոր համաձայնություն» է ապահովել բարձրակարգ տեխնոլոգիական ընկերությունների հետ արհեստական ​​ինտելեկտի զարգացման համար՝ խոստանալով արդյունաբերության ինքնակառավարում [5]:

Համադրումը խիստ անհամապատասխան է: Մի կողմից, մենք դիմակայում ենք մեր ներկայիս թվային միջավայրի դաժան, անհերքելի իրականությանը. մշտական, բարձր խաղադրույքների պայքար բարդ հակառակորդների դեմ, որոնք օգտագործում են հիմնարար թուլությունները հենց այն ենթակառուցվածքում, որի հիմքում ընկած է մեր ժամանակակից աշխարհը: Մյուս կողմից՝ քաղաքական տեսարան, որը հուշում է, որ առավել փոխակերպվող, սակայն խորապես անորոշ տեխնոլոգիաների ապագան կարող է ապահով կառավարվել նույն արդյունաբերության կողմից, որը հետևողականորեն պայքարում է հիմնական անվտանգության և էթիկական ինքնակառավարման դեմ:

Citrix աղետը. ավելի խորը փտման ախտանիշ

Եկեք պարզ լինենք. Citrix զրոյական օրերը, ինչպիսիք են CVE-2023-4966 (հայտնի է որպես Citrix Bleed) և CVE-2023-3519, պարզապես «մեկ այլ խոցելիություն» չեն: Դրանք ներկայացնում են տվյալների կենտրոնի հրատապ ճգնաժամ, ուղղակի, շարունակական հարձակման արշավ, որը պահանջում է անհապաղ, բոլորովին տախտակամած պատասխան [1, 2, 3, 4]: Հեռակա կոդի կատարումը ADC-ի կամ Gateway-ի վրա բաց թողնված կարևոր մուտքի կետի թվային համարժեքն է: Սա միայն կարկատելու մասին չէ. դա մեր ձեռնարկությունների ճարտարապետության համակարգային փխրունության մասին է:

Տարիներ շարունակ մենք կառուցել ենք բարդ, փոխկապակցված համակարգեր՝ հաճախ հիմնվելով հիմնական ենթակառուցվածքի մի քանի կարևոր մատակարարների վրա: Citrix-ը, ինչպես շատ ուրիշներ, տրամադրում է հիմնական ծառայություններ, բայց այդ կենտրոնականության հետ բերում է հսկայական ռիսկ: Երբ NetScaler-ի նման հիմնարար բաղադրիչը վտանգված է զրոյական օրվա մակարդակում, ալիքային էֆեկտը կործանարար է: Այն բացահայտում է ձախողման մեկ կետին ապավինելու բնորոշ թերությունը, անկախ նրանից, թե որքան ամուր է այն ենթադրվում*: «Անմիջապես կարկատել» հրահանգը, թեև անհրաժեշտ է, բայց կարծես մակերեսային միջոց է համակարգային խնդրի համար։ Այն չի լուծում հիմքում ընկած խնդիրները. բարդությունը, որն առաջացնում է խոցելիություն, որոշ վաճառողների կողմից անվտանգության թարմացումների դանդաղ տեմպերը և հաճախ անբավարար պաշտպանական խորը ռազմավարությունները, որոնք ձախողվում են, երբ շրջագիծը խախտվում է ամենակարևոր կետում:

Սա միայն տեխնիկական խնդիր չէ. դա բիզնեսի շարունակական մղձավանջ է: Տվյալների խախտումներ, գործառնական խափանումներ, կարգավորող տուգանքներ, հեղինակության վնաս. ծախսերը աստղաբաշխական են: Իսկ ինչի՞ համար։ Ցանցն արդյունավետ գործարկե՞լ: Մենք թանկ գին ենք վճարում հարմարավետության և ընկալվող արդյունավետության համար, մի գին, որը չափվում է անքուն գիշերներում CTO-ների և անվտանգության թիմերի համար և, հնարավոր է, հանրային վստահության քայքայման համար: Այն փաստը, որ դրանք ակտիվորեն շահագործվում են զրոյական օրեր՝ օգտագործելով պատվերով չարամիտ, մեզ հուշում է, որ դրանք սկրիպտային երեխաներ չեն: Սրանք լավ ռեսուրսներով ապահովված, մշտական ​​սպառնալիքի դերակատարներ են, որոնք ուղղված են բարձրարժեք ակտիվներին [3]: Եթե ​​մենք չկարողանանք ապահովել մեր գոյություն ունեցող թվային աշխարհի հիմնարար շերտերը, ի՞նչ հույս ունենք էքսպոնենցիալ ավելի բարդ ապագայի համար:

AI-ի վայրի արևմուտք. վստահել սեփական շահին, որպեսզի թելադրի անվտանգությունը

Եվ խոսելով այդ ապագայի մասին, եկեք կանգ առնենք արհեստական ինտելեկտի «ինքնաոստիկանության» համաձայնագրին: Նախագահ Թրամփի հայտարարությունը, թեև քաղաքականապես կարևոր է, սակայն հաշվետվողականությունը շրջանցելու դասագրքային օրինակ է [5]: «Կամավոր» և «ինքնակառավարում» տերմիններ են, որոնք պետք է անհանգստություն առաջացնեն յուրաքանչյուրի մոտ, ով հետևել է տեխնոլոգիական արդյունաբերության գործունեությանը վերջին երկու տասնամյակների ընթացքում: Չէ՞ որ մենք նախկինում դիտարկել ենք այս օրինաչափությունը: Սոցիալական մեդիա ընկերությունները «կամավոր» են իրականացնում ատելության խոսքը, որոնման համակարգերը «ինքնակարգավորող» տվյալների գաղտնիությունը և հավելվածների խանութները «անկախ» ապահովելով արդար մրցակցություն: Հետագա ռեկորդը, մեղմ ասած, անդունդ է:

Այն գաղափարը, որ հենց այն ընկերություններին, որոնք պայքարում են զարգացնելու և տեղակայելու հզոր արհեստական ​​ինտելեկտի համակարգեր՝ համակարգեր, որոնք ներուժ ունեն՝ տնտեսությունը վերափոխելու, ընտրությունների վրա ազդելու և նույնիսկ սոցիալական ռիսկի նոր ձևեր ստեղծելու համար, կարելի է վստահել իրենց սեփական էթիկայի և անվտանգության ուղեցույցները սահմանելու և կիրառելու հարցում, լավագույն դեպքում միամիտ է, իսկ վատագույն դեպքում՝ վտանգավոր անպատասխանատու: Սրանք կորպորացիաներ են, որոնք առաջնորդվում են շահույթով և շուկայի գերակայությամբ: Նրանց հիմնական հավատարմագրային պարտականությունը բաժնետերերի, այլ ոչ թե հանրային բարիքի վերացական հայեցակարգի կամ էթիկական AI-ի նկատմամբ է:

Այս «համաձայնագիրը» վարչակազմի համար քաղաքական հաղթանակ է, որը թույլ է տալիս նրանց պահանջել գործողություններ արհեստական ​​ինտելեկտի վերաբերյալ՝ առանց փաստացի օրենսդրության կամ կարգավորող վերահսկողության խառնաշփոթ բիզնեսի: Սա նաև հսկայական հաղթանակ է Big Tech-ի համար՝ նրանց ժամանակ և ազատություն ձեռք բերելով պոտենցիալ ծանրաբեռնված կանոնակարգերից, որոնք կարող են դանդաղեցնել նրանց նորարարությունը կամ ազդել դրանց վերջնական արդյունքի վրա: Բայց մեզանից մնացածի համար՝ տեխնոլոգիական մասնագետների համար, որոնք կառուցում են այս համակարգերը, բիզնեսների համար, որոնք ապավինելու են դրանց, և ընդհանրապես հասարակության համար, դա վտանգավոր նախադեպ է: Այն ազդարարում է արհեստական ​​ինտելեկտի կառավարման նախընտրելի մոտեցում, որն առաջնահերթություն է տալիս կորպորատիվ ինքնավարությանը հանրային անվտանգության և հաշվետվողականության փոխարեն:

Անջատում. կառուցում անկայուն հիմքերի վրա

Ահա անհարմար ճշմարտությունը. մենք միաժամանակ չենք կարողանում ապահովել մեր ներկան և վտանգավոր կերպով սխալ կառավարում ենք մեր ապագան: Մենք կառուցում ենք ավելի ու ավելի բարդ AI համակարգեր թվային անկայունության հիմքի վրա, որտեղ կարևորագույն ենթակառուցվածքը սովորաբար վտանգվում է բարդ հակառակորդների կողմից: Արդյունաբերության միևնույն առաջնորդներին, ովքեր, թվում է, չեն կարող կանխել իրենց արտադրանքը գլոբալ հարձակման վեկտոր դառնալուց, այժմ խնդրում են «ինքնաոստիկանություն» անել ընդհանուր արհեստական ​​ինտելեկտի էթիկական և անվտանգության հետևանքները:

Սա պարզապես անջատում չէ. դա խորը բաց է: Քանի որ CTO-ները և ճարտարագիտությունը առաջատար են, մենք հայտնվել ենք մեջտեղում: Մեզ հանձնարարված է կարկատել այնպիսի անմիջական, էկզիստենցիալ սպառնալիքները, ինչպիսին է Citrix-ի զրոյական օրերը, միևնույն ժամանակ մեզ ասվում է, որ պատրաստվել AI-ի վրա հիմնված ապագային, որտեղ կանոնները մշակվում են, երբ մենք գնում ենք, հիմնականում հենց խաղացողների կողմից:

Կամավոր AI համաձայնագիրը լուծում չէ. դա ուշացման մարտավարություն է: Այն հետաձգում է հաշվետվողականությունը՝ ապահովելով, որ երբ AI-ի անխուսափելի էթիկական խախտումները, կողմնակալությունները կամ նույնիսկ աղետալի ձախողումները տեղի ունենան, հանրությունը կմնա զարմանալու, թե ինչու ի սկզբանե չի եղել ամուր, անկախ վերահսկողություն: Եվ երբ այդ ձախողումները տեղի ունենան, դրանք տեսական չեն լինի։ Դրանք կլինեն նույնքան իրական և նույնքան վնասակար, որքան RCE-ն ձեր NetScaler-ում, միայն պոտենցիալ շատ ավելի լայն սոցիալական հետևանքներով:

Մենք պետք է ավելին պահանջենք. Մեզ անհրաժեշտ է ամուր, ակտիվ անվտանգություն մեր վաճառողների կողմից, այլ ոչ միայն ռեակտիվ կարկատաններ փաստից հետո: Եվ մեզ անհրաժեշտ է արհեստական ​​ինտելեկտի իրական, անկախ կարգավորում, այլ ոչ միայն քաղաքական գործիչների և կորպորացիաների միջև ձեռքսեղմման համաձայնագիր: Որովհետև եթե մենք չենք կարող նույնիսկ ապահովել մեր հիմնական ենթակառուցվածքը, ինչպե՞ս կարող ենք վստահել ճարտարապետներին, որ քաղաքակրթության հաջորդ սերունդը պատասխանատու կերպով կառուցեն: Պատասխանը, առայժմ, այն է, որ մենք չենք կարող:

Աղբյուրներ

[1] CISA-ն ավելացնում է Citrix NetScaler ADC և Gateway խոցելիությունը (CVE-2023-4966) հայտնի շահագործվող խոցելիությունների կատալոգում. https://www.cisa.gov/news-events/alerts/2023/10/24/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [2] Citrix անվտանգության տեղեկագիր CVE-2023-4966-ի և CVE-2023-4967-ի համար — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967 [3] Mandiant. UNC4841 Exploits Citrix NetScaler ADC and Gateway Zero-Day (CVE-2023-4966) — https://www.mandiant.com/resources/blog/citrix-bleed-zero-day-exploitation [4] CISA-ն ավելացնում է Citrix NetScaler ADC և Gateway խոցելիությունը (CVE-2023-3519) հայտնի շահագործվող խոցելիության կատալոգում. https://www.cisa.gov/news-events/alerts/2023/07/21/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [5] Ուղիղ թարմացումներ. Թրամփը կամավոր համաձայնագիր է ստորագրում AI առաջնորդների հետ տեխնոլոգիաների համար ... — https://apnews.com/live/trump-cnn-media-midterm-elections-news-updates-09-29-2026