Эзэн хааны шинэ хиймэл оюун ухааны хамгаалалтын хувцас: Бид Музыг харж байхад суурь нь нурж унана
Шууд хэлье: технологийн салбарт шинэ сонирхол бий болсон бөгөөд үүнийг "AI аюулгүй байдал" гэж нэрлэдэг. Бид бүгд хурдан тарилга хийх, загварын хордлого, том хэлний загвараас өгөгдөл гадагшлуулах зэрэгт анхаарлаа хандуулна гэж найдаж байна. Үүний зэрэгцээ, манай аж ахуйн нэгжүүдийг нэгтгэж буй бодит, биет, дижитал дэд бүтэц нь 0 өдрийн тасралтгүй цохилтоор идэвхтэй шатаж байна. AI дэд бүтцийг хамгаалахад тулгарч буй өргөн хүрээний сорилтуудыг харуулсан хиймэл оюун ухааны томоохон платформтой холбоотой саяхан болсон явдал нь энэхүү аюултай дихотомийг онцолж байна [1].
"Хурдан хөдөлж, эвдэх" ёс суртахуунаараа алдартай Мета компани хиймэл оюун ухаантай платформуудынхаа аюулгүй байдлын алдаатай тулгараад байна. Жишээлбэл, алдааны шагналын хөтөлбөр нь хэрэглэгчийн Виртуал машиныг илчилсэн томоохон алдааг илрүүлсэн. Энэ нь нууц мэдээлэл алдагдсан эсвэл ухаалаг шуурхай алгассан хэрэг биш, харин хэрэглэгчийн VM-ийг ил болгосон суурь, дэд бүтцийн түвшний алдаа байв. Энэ бол хиймэл оюун ухаанд хамаарах зарим нэг нууцлагдмал байдал биш; Энэ бол VM-ийн үндсэн тусгаарлалт бөгөөд бидний 10 жилийн өмнө шийдэгдсэн гэж бодож байсан асуудал юм. Энэ нь ийм хиймэл оюун ухааны дэд бүтцийг ашиглаж буй хэрэглэгчид болон бизнесийн үйлчлүүлэгчдэд шууд нөлөөлж, нууцлал, мэдээллийн бүрэн бүтэн байдлыг ноцтой зөрчиж байгааг харуулж байна.
Энэ төрлийн дутагдал нь үнэхээр нөлөөлсөн ч "AI аюулгүй байдлын" шинэ сорилт шиг биш харин хиймэл оюун ухааны малгай өмссөн сонгодог дэд бүтцийн доголдол шиг санагддаг. Хамгийн дэвшилтэт AI платформууд ч гэсэн ердийн тооцоолол, сүлжээ, виртуалчлалын давхарга дээр бүтээгдсэн гэдгийг сануулж байна. Хэрэв эдгээр суурийн давхаргууд нь цоорхойтой байвал таны AI загвар хэр боловсронгуй байх нь хамаагүй; систем бүхэлдээ эмзэг хэвээр байна. Энэ түүхийн "AI" тал нь бараг л анхаарал сарниулах, өнгөлсөн шалны доорхи ялзарч буй модноос бидний харцыг буруу чиглүүлсэн явдал юм.
CISA-ийн KEV Barrage: Чухал үзүүлэлт
Бид мэдрэмтгий чатботуудын ёс зүйн үр дагавар болон хиймэл оюун ухааны аюулгүй байдлын талаар ярилцаж завгүй байх зуур CISA нь урьд өмнө байгаагүй олон тооны идэвхтэй ашиглаж буй сул талуудыг Мэдэгдэж буй ашиглалтын эмзэг байдлын (KEV) каталогт оруулж байна. Энэ бол онолын дасгал биш. Энэ бол "хэзээ нэгэн цагт засвар хийх" жагсаалт биш юм. Энэ бол яаралтай "таны байшин шатаж байна яг одоо" жагсаалт юм.
Сүүлийн долоо хоногт CISA олон тооны оруулгуудыг нэмж, идэвхтэй ашигласан нийт эмзэг байдлын тоог богино хугацаанд гайхалтай тоонд хүргэсэн [2]. Энэ нь зөвхөн "аюулгүй байдал муу" биш юм; Энэ бол манай дэлхийг удирдаж буй нэн чухал аж ахуйн нэгжийн програм хангамжид нөлөөлж буй системчилсэн, хурцадмал хямрал юм.
KEV каталогийн сүүлийн үеийн нэмэлтүүдийг авч үзье.
- CVE-2023-46214: CISA нөхөөсийн эцсийн хугацаатай Splunk Enterprise-ийн алсаас код гүйцэтгэх эмзэг байдал (CVSS 9.8) нь засварлаагүй системийг маш эмзэг болгодог.
- CVE-2023-29357: Майкрософт SharePoint Серверийн эрхийг нэмэгдүүлэх эмзэг байдал нь тоо томшгүй олон корпорацийн дотоод сүлжээнүүдэд нөлөөлдөг.
- CVE-2023-42824: Хяналттай экосистем хүртэл нэвтэрч болохгүй гэдгийг харуулсан Apple iOS/iPadOS цөмийн эмзэг байдал нь зорилтот халдлагад аль хэдийн ашиглагдаж байна.
- CVE-2023-30799: MikroTik RouterOS-ийн алсын зайнаас кодын гүйцэтгэх алдаа нь бүх зүйлийг холбодог чиглүүлэгчид нөлөөлж, сүлжээний хамгийн гүн буланд засваргүй орхигддог.
Майкрософт, Apple, Splunk, MikroTik, Linux, JFrog зэрэг томоохон үйлдвэрлэгчид идэвхтэй ашиглагдаж буй тэг өдрүүдийн энэхүү хурдацтай нэмэгдэл нь яаралтай, галзуу анхаарал шаарддаг. Энэ бол ерөнхий сэрэмжлүүлэг биш; Энэ бол мэдээллийн технологийн болон аюулгүй байдлын баг бүр дээр шууд хангинах дуут дохио юм. CISA-ийн KEV жагсаалт нь зөвхөн холбооны агентлагуудад зориулсан санал биш юм; Энэ нь бүх байгууллагуудад маш чухал анхааруулга юм. Үүнийг үл тоомсорлож, эрсдэлд оруулаарай.
"AI аюулгүй байдлын" хуурмаг байдал ба анхаарал сарниулах зардал
Энд эвгүй үнэн байна: AI платформуудын үндсэн дутагдал ба CISA KEV саад нь ижил асуудлын харилцан уялдаатай талууд юм. Тэд хоёулаа програм хангамжийн аюулгүй байдлын үндсэн эвдрэлийн талаар хашгирч байгаа ч манай салбарын хамтын харц аюултай байдлаар буруу байрлалтай байна. Бид "AI"-ын амлалт, аюулд маш их татагдаж, дижитал дэд бүтцийг ялзруулж байна.
"AI-ийн аюулгүй байдал" гэдэг нь зөвлөхүүд болон бүтээгдэхүүний менежерүүдийн шинэ хил хязгаар болсон хэллэг болжээ. Гэхдээ энэ үнэхээр юу вэ? Ихэнхдээ энэ нь хиймэл оюун ухааны системд зөвхөн аюулгүй байдал хэрэглэгдэж байдаг. Тийм ээ, хиймэл оюун ухаан нь довтолгооны шинэ векторууд болон өвөрмөц сорилтуудыг нэвтрүүлдэг боловч "AI аюулгүй байдлын" чухал хэсэг нь зүгээр л хүчирхэг инженерчлэл, аюулгүй кодчилол, хичээнгүй засвар хийх явдал юм. Өмнө дурьдсан VM-ийн тусгаарлах асуудал бол төгс жишээ юм: AI платформын нарийн төвөгтэй байдлаас үүдэлтэй сонгодог эмзэг байдал.
Бид улам эмзэг, идэвхтэй ашиглагдаж буй суурийн дээр гайхалтай нарийн төвөгтэй хиймэл оюун ухааны системийг барьж байна. Энэ нь дугуй нь унаж, хөдөлгүүр нь цацарч байхад дэвшилтэт хиймэл оюун ухаантай өөрөө жолооддог машиныг нарийн зохион бүтээхтэй адил юм. "AI-ийн аюулгүй байдал"-д анхаарлаа төвлөрүүлэх нь одоо байгаа дэд бүтцийн аюулгүй байдлыг хангах энгийн, бүдүүлэг, гэхдээ туйлын чухал ажилаас нөөц, анхаарлыг сарниулах, анхаарал сарниулах мэт санагддаг.
Бид дараагийн том зүйлийн хойноос хөөцөлдөж, одоогийн том зүйлсийг шатааж орхиод завгүй байна уу? KEV-ийн аюул заналхийллийн хэмжээ, өргөн цар хүрээ нь өмнөх хиймэл оюун ухаанд төвлөрсөн тэг өдрийн хэлэлцүүлгээс ялгаатай үндсэн дижитал дэд бүтцэд системчилсэн бөгөөд яаралтай сорилт байгааг харуулж байна. Энэ бол хиймэл оюун ухааны ирээдүйн тухай биш; Энэ нь бидний дижитал оршихуйн өнөөгийн байдлын тухай юм.
Одоо яах вэ, CTO?
Инженерийн удирдагчид болон CTO-уудын хувьд мессеж нь маш хурц бөгөөд шууд байна:
- KEV жагсаалтыг эрэмбэлэх: Бүгдийг хая. Эдгээр сул талуудыг нөхөх. Мандат өг. Үүнийг хэрэгжүүл. Энэ нь сонголт биш юм.
- Суурь зарчмаар "Хиймэл оюуны аюулгүй байдал"-ын талаар шуугиан дэгдээх хэрэггүй: Тийм ээ, хиймэл оюун ухааны өвөрмөц эрсдлийг ойлгоорой, гэхдээ хүчирхэг инженерчлэл, аюулгүй хөгжлийн амьдралын мөчлөг, хичээнгүй засвар хийх нь таны хамгийн сайн хамгаалалт хэвээр байдгийг санаарай. Халдагчид таны үндсэн VM эсвэл SharePoint серверийг эзэмшдэг бол хиймэл оюуны чамин загвар таныг аврахгүй.
- Суурийн аюулгүй байдалд хөрөнгө оруулах: Энэ нь зөвхөн өөр хамгаалалтын хэрэгсэл худалдаж авахаас илүү утгатай. Энэ нь хүн, үйл явц, аюулгүй байдлыг дараачийн санаа биш, инженерийн үндсэн салбар болгон үнэлдэг соёлд хөрөнгө оруулалт хийхийг хэлнэ. Алдааны шагналын хөтөлбөрүүд нь маш сайн, гэхдээ тэдгээр нь таны аюулгүй байдлын үндсэн стратеги биш харин аюулгүй байдлын сүлжээ байх ёстой.
AI платформын дэд бүтэцтэй холбоотой хэрэг явдал нь сэрэмжлүүлэг боловч CISA KEV жагсаалт нь яаралтай дохио юм. Бид хиймэл оюун ухааны аюулгүй байдлын хамгийн сүүлийн үеийн санаачлагуудыг биширч, бодит хамгаалалтынхаа нүхийг нөхөж эхлэх хэрэгтэй. Хиймэл оюун ухааны ирээдүй сэтгэл хөдөлгөм хэдий ч бидний аюулгүй байдлын өнөөгийн байдал аймшигтай байна.
Эх сурвалж
[1] AI-ийн аюулгүй байдал нь эмх замбараагүй бөгөөд улам дордох гэж байна — https://techcrunch.com/2023/10/11/ai-security-is-a-mess-and-its-about-to-get-worse/ [2] Мэдэгдэж буй ашиглалтын эмзэг байдлын каталог — https://www.cisa.gov/known-exploited-vulnerabilities-catalog