सम्राटाचे नवीन एआय सुरक्षा कपडे: आम्ही म्युझकडे पाहत असताना, फाउंडेशन कोसळले

सम्राटाचे नवीन एआय सुरक्षा कपडे: आम्ही म्युझकडे पाहत असताना, पाया कोसळला

चला थेट होऊया: तंत्रज्ञान उद्योगाला एक नवीन वेड आहे आणि त्याला "AI सुरक्षा" म्हणतात. आम्ही सर्वांनी प्रॉम्ट इंजेक्शन, मॉडेल पॉइझनिंग आणि मोठ्या भाषेच्या मॉडेलमधून डेटा उत्सर्जनावर लक्ष केंद्रित करण्याची अपेक्षा केली आहे. दरम्यान, वास्तविक, भौतिक, डिजिटल पायाभूत सुविधा ज्या आमच्या उपक्रमांना एकत्र ठेवत आहेत त्या शून्य दिवसांच्या अथक बॅरेजद्वारे सक्रियपणे पेटल्या आहेत. एक प्रमुख AI प्लॅटफॉर्मचा समावेश असलेली अलीकडील घटना, AI पायाभूत सुविधा सुरक्षित करण्याच्या व्यापक आव्हानांचे उदाहरण देते, या धोकादायक द्विभाजनावर प्रकाश टाकते [१].

मेटा या कंपनीच्या "मुव्ह फास्ट अँड ब्रेक थिंग्ज" लोकांसाठी ओळखल्या जाणाऱ्या कंपनीला तिच्या एआय प्लॅटफॉर्ममधील सुरक्षा त्रुटींबद्दल छाननीला सामोरे जावे लागले आहे. उदाहरणार्थ, बग बाउंटी प्रोग्रामने वापरकर्त्याला व्हर्च्युअल मशीन्स उघड करणारी महत्त्वपूर्ण त्रुटी उघड केली. हा सूक्ष्म डेटा लीक किंवा हुशार प्रॉम्प्ट बायपास नव्हता, तर मूलभूत, पायाभूत सुविधा-स्तरीय त्रुटी ज्याने वापरकर्ता VM उघड केले. ही काही गूढ एआय-विशिष्ट भेद्यता नाही; ही मूलभूत व्हीएम अलगाव आहे, ही समस्या एक दशकापूर्वी आम्ही मुख्यत्वे विचारात घेतली होती. हे गोपनीयता आणि डेटा अखंडतेचे गंभीर उल्लंघन दर्शवते, थेट वापरकर्ते आणि संभाव्य एंटरप्राइझ क्लायंटवर अशा AI पायाभूत सुविधांचा लाभ घेते.

या प्रकारचा दोष, वास्तविक परिणामकारक असला तरी, कादंबरी "AI सुरक्षा" आव्हानासारखा कमी आणि AI हॅट परिधान केलेल्या उत्कृष्ट पायाभूत सुविधांच्या अपयशासारखा वाटतो. हे एक स्मरणपत्र आहे की अगदी प्रगत AI प्लॅटफॉर्म देखील पारंपारिक गणना, नेटवर्किंग आणि आभासीकरणाच्या स्तरांवर तयार केले जातात. जर ते पायाभूत स्तर छिद्रांनी भरलेले असतील, तर तुमचे एआय मॉडेल किती अत्याधुनिक आहे हे महत्त्वाचे नाही; संपूर्ण यंत्रणा असुरक्षित राहते. या कथेचा "एआय" पैलू जवळजवळ एक विचलित करणारा आहे, एक चुकीची दिशा जी पॉलिश केलेल्या फ्लोअरबोर्डच्या खाली सडलेल्या लाकडापासून आपली नजर हटवते.

CISA चे KEV बॅरेज: एक गंभीर सूचक

आम्ही संवेदनशील चॅटबॉट्सचे नैतिक परिणाम आणि AI सुरक्षिततेच्या बारकावे यावर चर्चा करण्यात व्यस्त असताना, CISA त्याच्या ज्ञात शोषित असुरक्षा (KEV) कॅटलॉगमध्ये सक्रियपणे शोषित असुरक्षांची अभूतपूर्व संख्या टाकत आहे. हा एक सैद्धांतिक व्यायाम नाही. ही "पॅच एखाद्या दिवशी" यादी नाही. ही तातडीची "तुमच्या घराला आग लागली आहे आत्ता" यादी आहे.

अलिकडच्या आठवड्यात, CISA ने असंख्य नोंदी जोडल्या आहेत, ज्यामुळे सक्रियपणे शोषण झालेल्या असुरक्षा अल्प कालावधीत आश्चर्यकारक संख्येपर्यंत पोहोचल्या आहेत [2]. हे फक्त "सुरक्षा वाईट आहे" असे नाही; हे एक प्रणालीगत, वाढणारे संकट आहे जे आपले जग चालवणाऱ्या अत्यंत गंभीर एंटरप्राइझ सॉफ्टवेअरवर परिणाम करते.

KEV कॅटलॉगमध्ये अलीकडील जोडणीचा विचार करा:

• CVE-2023-46214: CISA पॅच डेडलाइनसह स्प्लंक एंटरप्राइझ रिमोट कोड एक्झिक्यूशन व्हल्नरेबिलिटी (CVSS 9.8), अनपॅच नसलेल्या सिस्टीमला अत्यंत असुरक्षित बनवते.
• CVE-2023-29357: मायक्रोसॉफ्ट शेअरपॉईंट सर्व्हर विशेषाधिकार वाढीची असुरक्षा, असंख्य कॉर्पोरेट इंट्रानेटच्या पाठीचा कणा प्रभावित करते.
• CVE-2023-42824: Apple iOS/iPadOS कर्नल असुरक्षितता, लक्ष्यित हल्ल्यांमध्ये आधीच शोषली गेली आहे, हे दाखवून देते की नियंत्रित इकोसिस्टम देखील अभेद्य नाहीत.
• CVE-2023-30799: MikroTik RouterOS रिमोट कोड एक्झिक्युशन त्रुटी, जे सर्व काही कनेक्ट करणाऱ्या राउटरवर परिणाम करते, नेटवर्कच्या सर्वात खोल कोपऱ्यात अनेकदा अनपॅच केले जाते.

मायक्रोसॉफ्ट, ऍपल, स्प्लंक, मायक्रोटिक, लिनक्स, जेफ्रॉग - प्रमुख विक्रेत्यांमध्ये सक्रियपणे शोषण केलेल्या शून्य-दिवसांच्या या जलद-फायर जोडण्याकडे त्वरित, वेडसर लक्ष देण्याची मागणी आहे. ही सर्वसाधारण चेतावणी नाही; प्रत्येक आयटी आणि सुरक्षा टीमवर थेट सायरन वाजतो. CISA ची KEV यादी केवळ फेडरल एजन्सींसाठी एक सूचना नाही; सर्व संस्थांसाठी हा एक गंभीर इशारा आहे. तुमच्या धोक्यात त्याकडे दुर्लक्ष करा.

"AI सुरक्षा" चा भ्रम आणि विचलित होण्याची किंमत

हे अस्वस्थ सत्य आहे: AI प्लॅटफॉर्म आणि CISA KEV बॅरेजमधील मूलभूत त्रुटी एकाच समस्येचे परस्परांशी जोडलेले पैलू आहेत. ते दोघेही सॉफ्टवेअर सुरक्षिततेतील मूलभूत बिघाडाबद्दल ओरडतात, परंतु आमच्या उद्योगाची सामूहिक दृष्टी धोकादायकपणे चुकीची आहे. आम्ही "AI" च्या वचनाने आणि संकटाने इतके मोहित झालो आहोत की आम्ही मूलभूत डिजिटल पायाभूत सुविधांना सडू देत आहोत.

सल्लागार आणि उत्पादन व्यवस्थापकांसाठी "एआय सुरक्षा" हा एक गूढ शब्द बनला आहे. पण खरंच काय आहे? बऱ्याचदा, ते AI सिस्टीमवर फक्त सुरक्षा लागू होते. होय, AI नवीन अटॅक वेक्टर आणि अनन्य आव्हाने सादर करते, परंतु "AI सुरक्षा" चा एक महत्त्वाचा भाग म्हणजे फक्त मजबूत अभियांत्रिकी, सुरक्षित कोडींग पद्धती आणि परिश्रमपूर्वक पॅचिंग – तीच सामग्री ज्यामध्ये आम्ही अनेक दशकांपासून अयशस्वी होतो. आधी उल्लेख केलेला VM अलगाव समस्या हे एक उत्तम उदाहरण आहे: AI प्लॅटफॉर्मच्या जटिलतेमुळे वाढलेली क्लासिक भेद्यता.

आम्ही वाढत्या नाजूक आणि सक्रियपणे शोषित पायाच्या शीर्षस्थानी अविश्वसनीयपणे जटिल AI प्रणाली तयार करत आहोत. चाके घसरत असताना आणि इंजिन थुंकत असताना हे प्रगत AI नेव्हिगेशनसह सेल्फ-ड्रायव्हिंग कार काळजीपूर्वक डिझाइन करण्यासारखे आहे. "AI सुरक्षेवर" लक्ष केंद्रित करणे हे अनेकदा विचलित होणे, संसाधने आणि सांसारिक, निंदनीय, परंतु विद्यमान पायाभूत सुविधा सुरक्षित करण्याच्या अत्यंत गंभीर कामापासून लक्ष वळवल्यासारखे वाटते.

पुढच्या मोठ्या गोष्टीचा पाठलाग करण्यात आपण इतके व्यस्त आहोत का की सध्याच्या मोठ्या गोष्टींना आपण जळून जाऊ देत आहोत? KEV धोक्यांचे प्रमाण आणि रुंदी मूलभूत डिजिटल इन्फ्रास्ट्रक्चरला एक पद्धतशीर आणि तातडीचे आव्हान दर्शवते, जे मागील AI-केंद्रित शून्य-दिवसीय चर्चांपेक्षा वेगळे आहे. हे AI च्या भविष्याबद्दल नाही; हे आपल्या डिजिटल अस्तित्वाच्या सध्याच्या स्थितीबद्दल आहे.

आता काय, सीटीओ?

अभियांत्रिकी लीड्स आणि सीटीओसाठी, संदेश स्पष्ट आणि तात्काळ आहे:

1. KEV सूचीला प्राधान्य द्या: सर्वकाही टाका. या भेद्यता पॅच करा. आज्ञा द्यावी. त्याची अंमलबजावणी करा. हे ऐच्छिक नाही.
2. मूलभूत गोष्टींच्या खर्चावर "AI सुरक्षा" हाईपमध्ये अडकू नका: होय, AI चे अनन्य धोके समजून घ्या, परंतु लक्षात ठेवा की मजबूत अभियांत्रिकी, सुरक्षित विकास जीवनचक्र आणि परिश्रमपूर्वक पॅचिंग हे अजूनही तुमचे सर्वोत्तम संरक्षण आहे. एखाद्या आक्रमणकर्त्याकडे तुमचा अंतर्निहित VM किंवा तुमचा SharePoint सर्व्हर असल्यास फॅन्सी AI मॉडेल तुम्हाला वाचवणार नाही.
3. मूलभूत सुरक्षिततेमध्ये गुंतवणूक करा: याचा अर्थ फक्त दुसरे सुरक्षा साधन खरेदी करण्यापेक्षा अधिक आहे. याचा अर्थ लोक, प्रक्रिया आणि संस्कृतीत गुंतवणूक करणे जे सुरक्षिततेला मुख्य अभियांत्रिकी विषय म्हणून महत्त्व देते, विचार न करता. बग बाउंटी प्रोग्राम उत्कृष्ट आहेत, परंतु ते सुरक्षा जाळे असले पाहिजेत, तुमची प्राथमिक सुरक्षा धोरण नाही.

AI प्लॅटफॉर्म पायाभूत सुविधांचा समावेश असलेली घटना ही एक वेक-अप कॉल आहे, परंतु CISA KEV यादी ही तातडीची अलार्म आहे. आम्हाला नवीनतम एआय सुरक्षा उपक्रमांचे कौतुक करणे थांबवावे लागेल आणि आमच्या वास्तविक संरक्षणामध्ये छिद्र पाडणे सुरू केले पाहिजे. AI चे भविष्य रोमांचक आहे, परंतु आपल्या सुरक्षिततेची सध्याची स्थिती भयानक आहे.

स्रोत

[१] एआय सुरक्षा एक गोंधळ आहे, आणि ती आणखी वाईट होणार आहे — https://techcrunch.com/2023/10/11/ai-security-is-a-mess-and-its-about-to-get-worse/ [२] ज्ञात शोषित असुरक्षा कॅटलॉग — https://www.cisa.gov/known-exploited-vulnerabilities-catalog