The Emperor's New AI, and the Rotting Foundation Beneath It
Husker du da AI skulle redde oss alle? Det viser seg at frelserne nå ber om en timeout. For nylig tråkket selve arkitektene til vår AI-drevne fremtid – «frontier»-forskerne og økonomiske tungvektere – kollektivt på bremsen og krevde en nedbremsing i utviklingen på grunn av «eskalerende sikkerhetsbekymringer» [1]. Markedet, alltid det butte instrumentet, reagerte med å hoste opp en lunge: chipaksjer og store AI-aktører falt [2]. Beijing, forutsigbart, hånet advarslene, mens Seouls chipgiganter avviste forhåndsbetalinger for fremtidige AI-fremskritt [2].
Dette er ikke bare en filosofisk debatt for elfenbenstårnet. Dette er et seismisk skifte, en offentlig innrømmelse av hensynsløshet fra industriens elite. Og ærlig talt, det er litt for praktisk.
AI-pausen: Altruisme eller maktspill?
La oss være klare: når menneskene som bygde raketten plutselig innser at de glemte fallskjermene etter oppskyting, er det ikke et øyeblikk med dyp etisk oppvåkning. Det er et forsinket, selvtjenende kappløp. Dette er ikke storøyde idealister; dette er titanene som har presset pedalen til metallet, jaget etter eksponentiell vekst og markedsdominans. Nå, med spøkelset av "uforutsette konsekvenser" som truer stort – og kanskje mer kynisk, erkjennelsen av at det nåværende tempoet er uholdbart eller at de trenger å konsolidere ledelsen – krever de et kollektivt pust.
Markedets reaksjon er talende. Et fall i sjetonger handler ikke bare om frykt; det handler om de umiddelbare økonomiske konsekvensene av en potensiell nedgang. Beijings tilbakeslag? Et klart signal om at nasjonal strategisk fordel trumfer abstrakte sikkerhetshensyn. Og Seouls brikkeprodusenter som nekter forhåndsbetalinger? Det er lyden av kapital som stiller spørsmål ved den langsiktige stabiliteten og lønnsomheten til en plutselig usikker fremtid.
For oss, CTOene og ingeniørlederne, oversettes dette direkte til et kaotisk landskap. Forvent at regulatoriske inngrep vil akselerere, noe som tvinger frem en omprioritering av AI-prosjekter. «Move fast and break things»-etosen for AI er offisielt død, erstattet av et hektisk søk etter «etisk AI-utvikling»-rammeverk som burde vært bakt inn fra dag én. Investeringer vil bli mer forsiktige, strategier vil svinge, og ja, arbeidsmarkedene vil føle kulden når gullrushet gir plass til en mer målt og forhåpentligvis mer ansvarlig tilnærming. Men la oss ikke forveksle dette med ren altruisme. Denne "pausen" handler like mye om kontroll og markedsrekalibrering som om ekte sikkerhet.
Mens Titans-debatten smuldrer stiftelsen
Nå, mens AI-eliten har sin eksistensielle krise, og diskuterer etikken til fremtidig superintelligens, la oss snakke om den veldig virkelige, svært nåværende og fullstendig katastrofale sikkerhetskrisen som utspiller seg akkurat nå.
Denne uken la CISA til flere nye CVE-er til sin katalog over kjente utnyttede sårbarheter [3]. Vi snakker om en bekreftet rot-RCE i Cisco Secure Email Gateway (CVE-2023-20269) [4], en CVSS 10.0-banegjennomgang i GitLab (CVE-2023-2825) [3], og en nylig oppdatert Chrome zero-day (CVE-2023-4863) som krevde oppmerksomhet [umiddelbar].
Men den virkelige magen, den som burde få alle sikkerhetseksperter til å skrike ut i tomrommet, er den vedvarende trusselen om grunnleggende feil. Vurder CVE-2021-1647, et lokalt sikkerhetsproblem med eskalering av rettigheter i Microsoft Defenders Malware Protection Engine [5]. Dette var ikke en obskur feil; den hadde et offentlig Proof-of-Concept og ble aktivt utnyttet i naturen, og fremhevet hvordan kritiske komponenter i vårt digitale forsvar kan kompromitteres og forbli sårbare i en periode.
La det synke inn. Mens vi diskuterer etikken til AI-sansen, har selve programvaren utviklet for å beskytte endepunktene våre, det grunnleggende laget av vårt digitale forsvar, vist seg å inneholde offentlig kjente, aktivt utnyttede feil som lar en angriper heve privilegier. Det er som å krangle om de filosofiske implikasjonene av warp-drift mens bilens bremser svikter og motoren står i brann.
Oppgjøret: To sider av samme mynt
Dette er ikke separate historier. De er to sider av den samme dypt mangelfulle mynten: en teknologiindustri som konsekvent har prioritert hastighet, nyhet og oppfattet innovasjon fremfor grunnleggende sikkerhet, stabilitet og ansvar.
AI-ledernes plutselige oppfordring om en nedgang er et reaktivt, selvbetjent forsøk på å korrigere kurs etter at de allerede har sluppet løs kraftige, dårlig forstått systemer ut i naturen. Det er en innrømmelse at "beveg deg raskt og knekk ting"-mantraet, når det brukes på potensielt verdensendrende teknologi, ikke bare er uansvarlig, men farlig.
Null-dagers angrep, spesielt den kritiske Defender-sårbarheten, er den direkte, smertefulle konsekvensen av denne samme tankegangen brukt på grunnleggende IT. Det er et resultat av en kultur som ofte behandler sikkerhet som en ettertanke, en avmerkingsboks for samsvar eller et kostnadssenter, snarere enn en integrert, ikke-omsettelig komponent av hvert enkelt produkt og system. Vi er så opptatt av å jage det neste skinnende objektet – den neste LLM, den neste AI-agenten – at vi har latt selve bakken under føttene våre råtne.
For CTOer og ingeniørledere er meldingen skarp og umiddelbar. Slutt å jage hver AI-trend som krysser feeden din. Dobbelt ned på det grunnleggende. Prioriter patching, spesielt for kritiske, aktivt utnyttede sårbarheter som de i Cisco, GitLab og den vedvarende trusselen eksemplifisert av Defenders tidligere LPE-er. Implementer robuste avbøtende tiltak. Krev ansvarlighet fra leverandørene for deres sikkerhetsstilling, ikke bare deres funksjonsveikart.
Markedets fall og de uadresserte grunnleggende sikkerhetsproblemene er ikke bare nyheter. De er et oppgjør. En teknologiverden som er for rask, for hensynsløs og til slutt for eksponert. Det er på tide å vokse opp, sikre grunnlaget vårt, og så først da, forsiktig vurdere neste grense.
Kilder
[1] Future of Life Institute – Pause Giant AI Experiments: An Open Letter – https://futureoflife.org/open-letter/pause-giant-ai-experiments/ [2] CNBC – AI-eksperter krever pause i utviklingen av avanserte AI-systemer – https://www.cnbc.com/2023/03/29/ai-experts-call-for-pause-in-development-of-advanced-ai-systems.html [3] CISA — Known Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog [4] Cisco Security Advisory — Cisco Secure Email and Web Manager, Cisco Email Security Appliance og Cisco Web Security Appliance Vulnerabilities — https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-sma-rce-q5Q8SXu [5] Microsoft Security Response Center – Microsoft Defender Local Privilege Escalation Vulnerability – https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1647