చక్రవర్తి యొక్క కొత్త AI భద్రతా దుస్తులు: మేము మ్యూజ్‌ని చూస్తున్నప్పుడు, ఫౌండేషన్ విరిగిపోతుంది

చక్రవర్తి యొక్క కొత్త AI భద్రతా దుస్తులు: మేము మ్యూస్‌ని చూస్తున్నప్పుడు, ఫౌండేషన్ విరిగిపోతుంది

నేరుగా చెప్పండి: టెక్ పరిశ్రమకు కొత్త అభిరుచి ఉంది మరియు దీనిని "AI భద్రత" అని పిలుస్తారు. పెద్ద భాషా నమూనాల నుండి ప్రాంప్ట్ ఇంజెక్షన్, మోడల్ పాయిజనింగ్ మరియు డేటా ఎక్స్‌ఫిల్ట్రేషన్‌పై దృష్టి పెట్టాలని మనమందరం భావిస్తున్నాము. ఇంతలో, సున్నా-రోజుల కనికరంలేని బ్యారేజీ ద్వారా మా ఎంటర్‌ప్రైజెస్‌ని కలిపి ఉంచే వాస్తవ, భౌతిక, డిజిటల్ మౌలిక సదుపాయాలు చురుకుగా అగ్నికి ఆహుతవుతున్నాయి. ఒక ప్రధాన AI ప్లాట్‌ఫారమ్‌తో కూడిన ఇటీవలి సంఘటన, AI అవస్థాపనను భద్రపరచడంలో విస్తృత సవాళ్లను వివరిస్తుంది, ఈ ప్రమాదకరమైన డైకోటమీని హైలైట్ చేస్తుంది [1].

మెటా, దాని "త్వరగా కదిలి, వస్తువులను విచ్ఛిన్నం చేయడం" తత్వానికి ప్రసిద్ధి చెందిన సంస్థ, దాని AI ప్లాట్‌ఫారమ్‌లలో భద్రతా లోపాలపై పరిశీలనను ఎదుర్కొంది. ఉదాహరణకు, బగ్ బౌంటీ ప్రోగ్రామ్ వినియోగదారు వర్చువల్ మెషీన్‌లను బహిర్గతం చేసే ఒక ముఖ్యమైన లోపాన్ని వెలికితీసింది. ఇది సూక్ష్మ డేటా లీకేజ్ లేదా తెలివైన ప్రాంప్ట్ బైపాస్ కాదు, అయితే వినియోగదారు VMలను బహిర్గతం చేసే ప్రాథమిక, మౌలిక-స్థాయి లోపం. ఇది కొన్ని రహస్య AI-నిర్దిష్ట దుర్బలత్వం కాదు; ఇది ప్రాథమిక VM ఐసోలేషన్, ఒక దశాబ్దం క్రితం మనం ఎక్కువగా ఆలోచించిన సమస్య. ఇది గోప్యత మరియు డేటా సమగ్రత యొక్క క్లిష్టమైన ఉల్లంఘనను సూచిస్తుంది, నేరుగా వినియోగదారులు మరియు అటువంటి AI అవస్థాపనను ప్రభావితం చేసే ఎంటర్‌ప్రైజ్ క్లయింట్‌లను ప్రభావితం చేస్తుంది.

ఈ రకమైన లోపం, నిజంగా ప్రభావవంతంగా ఉన్నప్పటికీ, నవల "AI సెక్యూరిటీ" ఛాలెంజ్ లాగా మరియు AI టోపీని ధరించే క్లాసిక్ ఇన్‌ఫ్రాస్ట్రక్చర్ వైఫల్యంలాగా అనిపిస్తుంది. అత్యంత అధునాతన AI ప్లాట్‌ఫారమ్‌లు కూడా సంప్రదాయ కంప్యూట్, నెట్‌వర్కింగ్ మరియు వర్చువలైజేషన్ యొక్క పొరలపై నిర్మించబడిందని ఇది రిమైండర్. ఆ పునాది పొరలు రంధ్రాలతో చిక్కుకుపోయి ఉంటే, మీ AI మోడల్ ఎంత అధునాతనంగా ఉన్నా పర్వాలేదు; మొత్తం వ్యవస్థ బలహీనంగానే ఉంది. ఈ కథలోని "AI" అంశం దాదాపుగా పరధ్యానంగా ఉంది, పాలిష్ చేసిన ఫ్లోర్‌బోర్డ్‌ల క్రింద కుళ్ళిపోతున్న కలప నుండి మన చూపులను దూరం చేసే ఒక తప్పు దిశ.

CISA యొక్క KEV బ్యారేజ్: ఒక క్లిష్టమైన సూచిక

మేము సెంటియెంట్ చాట్‌బాట్‌ల యొక్క నైతిక చిక్కులను మరియు AI భద్రత యొక్క సూక్ష్మ నైపుణ్యాలను చర్చించడంలో బిజీగా ఉన్నప్పుడు, CISA అపూర్వమైన సంఖ్యలో సక్రియంగా దోపిడీ చేయబడిన దుర్బలత్వాలను దాని తెలిసిన దోపిడీకి గురైన దుర్బలత్వాల (KEV) కేటలాగ్‌లోకి వదులుతోంది. ఇది సైద్ధాంతిక వ్యాయామం కాదు. ఇది "ఏదో ఒక రోజు ప్యాచ్" జాబితా కాదు. ఇది అత్యవసరమైన "మీ ఇల్లు మంటల్లో ఉంది ప్రస్తుతం" జాబితా.

ఇటీవలి వారాల్లో, CISA అనేక ఎంట్రీలను జోడించింది, తక్కువ వ్యవధిలో [2] చురుగ్గా ఉపయోగించబడిన మొత్తం దుర్బలత్వాలను అస్థిరపరిచేలా చేసింది. ఇది కేవలం "భద్రత చెడ్డది" కాదు; ఇది మన ప్రపంచాన్ని నడుపుతున్న చాలా క్లిష్టమైన ఎంటర్‌ప్రైజ్ సాఫ్ట్‌వేర్‌ను ప్రభావితం చేసే దైహిక, పెరుగుతున్న సంక్షోభం.

KEV కేటలాగ్‌కు ఇటీవలి జోడింపులను పరిగణించండి:

• CVE-2023-46214: CISA ప్యాచ్ గడువుతో స్ప్లంక్ ఎంటర్‌ప్రైజ్ రిమోట్ కోడ్ ఎగ్జిక్యూషన్ వల్నరబిలిటీ (CVSS 9.8), అన్‌ప్యాచ్డ్ సిస్టమ్‌లు చాలా హాని కలిగిస్తాయి.
• CVE-2023-29357: మైక్రోసాఫ్ట్ షేర్‌పాయింట్ సర్వర్ ప్రివిలేజ్ ఎస్కలేషన్ దుర్బలత్వం, లెక్కలేనన్ని కార్పొరేట్ ఇంట్రానెట్‌ల వెన్నెముకను ప్రభావితం చేస్తుంది.
• CVE-2023-42824: ఒక Apple iOS/iPadOS కెర్నల్ దుర్బలత్వం, ఇప్పటికే లక్షిత దాడులలో దోపిడీ చేయబడింది, నియంత్రిత పర్యావరణ వ్యవస్థలు కూడా అభేద్యంగా లేవని నిరూపిస్తుంది.
• CVE-2023-30799: MikroTik RouterOS రిమోట్ కోడ్ అమలు లోపం, అన్నింటినీ కనెక్ట్ చేసే రూటర్‌లను ప్రభావితం చేస్తుంది, తరచుగా నెట్‌వర్క్‌లోని లోతైన మూలల్లో ప్యాచ్ చేయబడదు.

మైక్రోసాఫ్ట్, యాపిల్, స్ప్లంక్, మైక్రోటిక్, లైనక్స్, జెఫ్రాగ్ - ప్రధాన విక్రేతలలో చురుకుగా వినియోగించబడిన జీరో-డేస్ యొక్క ఈ వేగవంతమైన జోడింపు తక్షణ, వెఱ్ఱి దృష్టిని కోరుతుంది. ఇది సాధారణ హెచ్చరిక కాదు; ఇది ప్రతి IT మరియు భద్రతా బృందం వద్ద నేరుగా మోగించే సైరన్. CISA యొక్క KEV జాబితా కేవలం ఫెడరల్ ఏజెన్సీలకు సూచన మాత్రమే కాదు; ఇది అన్ని సంస్థలకు కీలకమైన హెచ్చరిక. మీ ప్రమాదంలో దానిని విస్మరించండి.

"AI భద్రత" యొక్క భ్రమ మరియు పరధ్యానానికి సంబంధించిన ఖర్చు

ఇక్కడ అసహ్యకరమైన నిజం ఉంది: AI ప్లాట్‌ఫారమ్‌లలోని పునాది లోపాలు మరియు CISA KEV బ్యారేజీ ఒకే సమస్య యొక్క పరస్పరం అనుసంధానించబడిన అంశాలు. సాఫ్ట్‌వేర్ భద్రతలో ప్రాథమిక విచ్ఛిన్నం గురించి వారిద్దరూ అరుస్తున్నారు, కానీ మా పరిశ్రమ యొక్క సామూహిక దృష్టి ప్రమాదకరంగా తప్పుగా అమర్చబడింది. "AI" యొక్క వాగ్దానం మరియు ప్రమాదంతో మేము ఎంతగానో ఆకర్షితులయ్యాము, మేము పునాది డిజిటల్ మౌలిక సదుపాయాలను కుళ్ళిపోతున్నాము.

"AI భద్రత" అనేది ఒక బజ్‌వర్డ్‌గా మారింది, కన్సల్టెంట్‌లు మరియు ఉత్పత్తి నిర్వాహకులకు కొత్త సరిహద్దు. కానీ అది నిజంగా ఏమిటి? తరచుగా, ఇది కేవలం భద్రత మాత్రమే AI సిస్టమ్‌లకు వర్తించబడుతుంది. అవును, AI కొత్త అటాక్ వెక్టార్‌లను మరియు ప్రత్యేకమైన సవాళ్లను పరిచయం చేసింది, అయితే "AI భద్రత"లో ముఖ్యమైన భాగం కేవలం బలమైన ఇంజనీరింగ్, సురక్షిత కోడింగ్ పద్ధతులు మరియు శ్రద్ధతో కూడిన ప్యాచింగ్- మనం దశాబ్దాలుగా విఫలమవుతున్న అదే అంశం. ముందుగా పేర్కొన్న VM ఐసోలేషన్ సమస్య సరైన ఉదాహరణ: AI ప్లాట్‌ఫారమ్ యొక్క సంక్లిష్టత ద్వారా విస్తరించబడిన క్లాసిక్ దుర్బలత్వం.

మేము పెరుగుతున్న పెళుసుగా మరియు చురుగ్గా ఉపయోగించబడుతున్న పునాదుల పైన చాలా క్లిష్టమైన AI సిస్టమ్‌లను నిర్మిస్తున్నాము. ఇది అధునాతన AI నావిగేషన్‌తో సెల్ఫ్ డ్రైవింగ్ కారును నిశితంగా డిజైన్ చేయడం లాంటిది, చక్రాలు పడిపోతున్నప్పుడు మరియు ఇంజిన్ చిందరవందరగా ఉంటుంది. "AI భద్రత"పై దృష్టి అనేది తరచుగా పరధ్యానంగా అనిపిస్తుంది, వనరులు మరియు దృష్టిని లౌకికమైన, అవాంఛనీయమైన, కానీ ఇప్పటికే ఉన్న మౌలిక సదుపాయాలను భద్రపరచడంలో పూర్తిగా క్లిష్టమైన పని నుండి మళ్లిస్తుంది.

మేము తదుపరి పెద్ద విషయాన్ని వెంబడించడంలో చాలా బిజీగా ఉన్నాము, ప్రస్తుత పెద్ద వస్తువులను కాలిపోయేలా చేస్తున్నామా? KEV బెదిరింపుల యొక్క సంపూర్ణ వాల్యూమ్ మరియు వెడల్పు, మునుపటి AI-సెంట్రిక్ జీరో-డే చర్చల నుండి భిన్నమైన, పునాది డిజిటల్ అవస్థాపనకు దైహిక మరియు అత్యవసర సవాలును సూచిస్తున్నాయి. ఇది AI యొక్క భవిష్యత్తు గురించి కాదు; ఇది మన డిజిటల్ ఉనికి యొక్క ప్రస్తుత స్థితికి సంబంధించినది.

ఇప్పుడు ఏమిటి, CTOలు?

ఇంజనీరింగ్ లీడ్స్ మరియు CTOల కోసం, సందేశం పూర్తిగా మరియు తక్షణమే:

1. KEV జాబితాకు ప్రాధాన్యత ఇవ్వండి: ప్రతిదీ వదలండి. ఈ దుర్బలత్వాలను ప్యాచ్ చేయండి. దానిని తప్పనిసరి చేయండి. దాన్ని అమలు చేయండి. ఇది ఐచ్ఛికం కాదు.
2. ఫండమెంటల్స్ ఖర్చుతో "AI భద్రత" హైప్‌లో మునిగిపోకండి: అవును, AI యొక్క ప్రత్యేక నష్టాలను అర్థం చేసుకోండి, అయితే బలమైన ఇంజనీరింగ్, సురక్షితమైన అభివృద్ధి జీవితచక్రాలు మరియు శ్రద్ధతో కూడిన ప్యాచింగ్ ఇప్పటికీ మీ ఉత్తమ రక్షణ అని గుర్తుంచుకోండి. దాడి చేసే వ్యక్తి మీ అంతర్లీన VM లేదా మీ షేర్‌పాయింట్ సర్వర్‌ను కలిగి ఉంటే, ఫాన్సీ AI మోడల్ మిమ్మల్ని సేవ్ చేయదు.
3. ఫౌండేషనల్ సెక్యూరిటీలో పెట్టుబడి పెట్టండి: దీని అర్థం కేవలం మరొక భద్రతా సాధనాన్ని కొనుగోలు చేయడం కంటే ఎక్కువ. దీని అర్థం వ్యక్తులు, ప్రక్రియలు మరియు సంస్కృతిలో పెట్టుబడి పెట్టడం అంటే భద్రతను ఒక ప్రధాన ఇంజనీరింగ్ క్రమశిక్షణగా విలువైనదిగా పరిగణించడం, తర్వాత ఆలోచన కాదు. బగ్ బౌంటీ ప్రోగ్రామ్‌లు అద్భుతమైనవి, కానీ అవి మీ ప్రాథమిక భద్రతా వ్యూహంగా కాకుండా భద్రతా వలయంగా ఉండాలి.

AI ప్లాట్‌ఫారమ్ ఇన్‌ఫ్రాస్ట్రక్చర్‌కు సంబంధించిన సంఘటన ఒక మేల్కొలుపు కాల్, అయితే CISA KEV జాబితా అత్యవసర అలారం. మేము తాజా AI భద్రతా కార్యక్రమాలను మెచ్చుకోవడం మానేయాలి మరియు మా వాస్తవ రక్షణలో రంధ్రాలను సరిచేయడం ప్రారంభించాలి. AI యొక్క భవిష్యత్తు ఉత్తేజకరమైనది, కానీ మన భద్రత యొక్క ప్రస్తుత స్థితి భయానకంగా ఉంది.

మూలాలు

[1] AI భద్రత గందరగోళంగా ఉంది మరియు ఇది మరింత దిగజారబోతోంది - https://techcrunch.com/2023/10/11/ai-security-is-a-mess-and-its-about-to-get-worse/ [2] తెలిసిన ఎక్స్‌ప్లోయిటెడ్ వల్నరబిలిటీస్ కేటలాగ్ — https://www.cisa.gov/known-exploited-vulnerabilities-catalog