Новий штучний інтелект імператора та гниюча основа під ним
Пам’ятаєте, коли ШІ збирався врятувати нас усіх? Виявляється, тепер рятівники просять тайм-аут. Зовсім нещодавно ті самі архітектори нашого майбутнього, керованого штучним інтелектом, — «передові» дослідники та фінансові ваговики — колективно натиснули на гальма, вимагаючи уповільнення розвитку через «загострення проблем безпеки» [1]. Ринок, який завжди був тупим інструментом, відповів легким кашлем: акції чіпів і основні гравці штучного інтелекту впали [2]. Пекін, як можна було передбачити, висміяв попередження, тоді як гіганти чіпів у Сеулі відмовилися від авансових платежів за майбутні досягнення ШІ [2].
Це не просто філософська дискусія про вежу зі слонової кістки. Це сейсмічний зсув, публічне визнання безрозсудності з боку еліти галузі. І, чесно кажучи, це занадто зручно.
Пауза штучного інтелекту: альтруїзм чи влада?
Давайте прояснимо: коли люди, які побудували ракету, раптом розуміють, що забули парашути після запуску, це не момент глибокого етичного пробудження. Це запізніла, корислива сварка. Це не широкоокі ідеалісти; це титани, які натискали педаль до кінця, переслідуючи експоненціальне зростання та домінування на ринку. Тепер, коли нависає привид «непередбачуваних наслідків» — і, можливо, більш цинічно, усвідомлення того, що нинішній темп є нестійким або що їм потрібно консолідувати свою лідерську позицію, — вони закликають до колективного подиху.
Реакція ринку показова. Падіння акцій мікросхем — це не лише страх; мова йде про безпосередні фінансові наслідки потенційного уповільнення. Відмова Пекіна? Чіткий сигнал того, що національні стратегічні переваги переважають над абстрактними проблемами безпеки. А сеульські виробники мікросхем відмовляються від авансових платежів? Це звук капіталу, який ставить під сумнів довгострокову стабільність і прибутковість раптово невизначеного майбутнього.
Для нас, технічних директорів та інженерів, це безпосередньо перетворюється на хаотичний ландшафт. Очікуйте, що регуляторні втручання прискоряться, що змусить змінити пріоритети проектів ШІ. Принцип «швидко рухайся і ламай речі» для штучного інтелекту офіційно мертвий, замінений несамовитим пошуком фреймворків «етичної розробки штучного інтелекту», які повинні були бути закладені з першого дня. Інвестиції стануть більш обережними, стратегії змінюватимуться, і так, ринки праці відчують холод, оскільки золота лихоманка поступиться місцем більш зваженому та, сподіваємось, більш відповідальному підходу. Але давайте не сприймати це як чистий альтруїзм. Ця «пауза» стосується контролю та повторного калібрування ринку, а також справжньої безпеки.
Поки титани сперечаються, фундамент руйнується
Зараз, поки еліта штучного інтелекту переживає екзистенційну кризу, дебатуючи про етику майбутнього суперінтелекту, давайте поговоримо про дуже реальну, дуже сучасну та абсолютно катастрофічну кризу безпеки, яка розгортається прямо зараз.
Цього тижня CISA додала кілька нових CVE до свого каталогу відомих використаних уразливостей [3]. Ми говоримо про підтверджений кореневий RCE у Cisco Secure Email Gateway (CVE-2023-20269) [4], проходження шляху CVSS 10.0 у GitLab (CVE-2023-2825) [3] і нещодавно виправлений Chrome zero-day (CVE-2023-4863) [3], який вимагав негайної уваги.
Але справжній удар, який повинен змусити кожного професіонала безпеки кричати в порожнечу, — це постійна загроза фундаментальних недоліків. Розглянемо CVE-2021-1647, локальну вразливість підвищення привілеїв у механізмі захисту від зловмисного програмного забезпечення Microsoft Defender [5]. Це не був якийсь незрозумілий недолік; він мав публічне підтвердження концепції та активно використовувався в дикій природі, підкреслюючи, як критичні компоненти нашого цифрового захисту можуть бути скомпрометовані та залишатися вразливими протягом певного періоду.
Поки ми обговорюємо етику сприйняття штучного інтелекту, було показано, що програмне забезпечення, призначене для захисту наших кінцевих точок, основного рівня нашого цифрового захисту, містить загальновідомі та активно використовувані недоліки, які дозволяють зловмисникам підвищувати привілеї. Це все одно, що сперечатися про філософські наслідки варп-приводу, коли у вашої машини відмовляють гальма, а двигун горить.
Розплата: дві сторони однієї медалі
Це не окремі історії. Це дві сторони однієї й тієї ж глибоко помилкової медалі: технологічна індустрія, яка постійно віддає перевагу швидкості, новизні та сприйманим інноваціям над фундаментальною безпекою, стабільністю та відповідальністю.
Раптовий заклик керівників штучного інтелекту до уповільнення — це реактивна, корислива спроба виправити курс після того, як вони вже випустили потужні, погано зрозумілі системи в дику природу. Це визнання того, що мантра «рухайся швидко і ламай речі» у застосуванні до технологій, які потенційно можуть змінити світ, є не просто безвідповідальною, а й небезпечною.
Натиск нульового дня, особливо критична вразливість Defender, є прямим, болючим наслідком того самого мислення, застосованого до базових ІТ. Це результат культури, яка часто розглядає безпеку як запізнілу думку, прапорець відповідності або центр витрат, а не невід’ємний компонент кожного окремого продукту та системи, який не підлягає обговоренню. Ми настільки зайняті гонитвою за наступним блискучим об’єктом — наступним магістром права, наступним агентом штучного інтелекту, — що дозволили землі під нашими ногами згнити.
Для технічних директорів і керівників інженерів це повідомлення є різким і миттєвим. Припиніть переслідувати кожну тенденцію штучного інтелекту, яка перетинає вашу стрічку. Подвоїти основні принципи. Надайте пріоритет виправленню, особливо критичним, активно використовуваним уразливостям, як-от уразливості Cisco, GitLab, і постійній загрозі, прикладом якої є минулі LPE Defender. Впроваджуйте надійні засоби пом'якшення. Вимагайте від своїх постачальників відповідальності за їхню безпеку, а не лише за їхні плани функцій.
Падіння ринку та невирішені основні проблеми безпеки — це не просто новини. Вони є розрахою. Технологічний світ надто швидкий, надто безрозсудний і, зрештою, надто відкритий. Настав час подорослішати, захистити наші фундаменти, а потім, лише тоді, обережно розглянути наступний рубіж.
Джерела
[1] Future of Life Institute — Pause Giant AI Experiments: An Open Letter — https://futureoflife.org/open-letter/pause-giant-ai-experiments/ [2] CNBC — Експерти зі штучного інтелекту закликають призупинити розробку передових систем штучного інтелекту — https://www.cnbc.com/2023/03/29/ai-experts-call-for-pause-in-development-of-advanced-ai-systems.html [3] CISA — Каталог відомих використаних вразливостей — https://www.cisa.gov/known-exploited-vulnerabilities-catalog [4] Порада Cisco щодо безпеки — уразливості Cisco Secure Email and Web Manager, Cisco Email Security Appliance та Cisco Web Security Appliance — https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-sma-rce-q5Q8SXu [5] Microsoft Security Response Center — Microsoft Defender Local Privilege Escalation Vulnerability — https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1647