Lielais tehniskais aprēķins: kad mākslīgā intelekta sapnis satiekas ar nulles dienas murgu
Lai gan tehnoloģiju nozares uzmanība bieži tiek pievērsta pakāpeniskiem LLM atjauninājumiem un filozofiskām debatēm par mākslīgo intelektu, notiek nopietna realitātes pārbaude. Tas nav tikai tirgus "korekcija"; tā ir sistēmiska vērtības, efektivitātes un riska pārvērtēšana, kas notiek, sarežģītiem draudiem neatlaidīgi vēršoties pret mūsu digitālo infrastruktūru. Aizmirstiet mīksto piezemēšanos; pēdējie gadi ir atklājuši dziļu problēmu tehnoloģiju nozarē.
Kritiska problēma, kas bieži tiek ignorēta, ir talantu nerimstošais samazinājums. 2023. gadā vien tika likvidētas vairāk nekā 263 000 tehnoloģiju darbavietas [1]. Tas neaprobežojas tikai ar grūtībās nonākušiem jaunizveidotiem uzņēmumiem; galvenie spēlētāji, piemēram, Google, Amazon, Microsoft un Meta, ir ievērojami samazinājuši savu darbaspēku. Tas atspoguļo plašu, noturīgu tendenci, nevis atsevišķu gadījumu.
AI paradokss: efektivitāte par kādu cenu?
Stāstījums, protams, ir efektivitāte. "Optimizācija izaugsmei", "operāciju racionalizēšana", "resursu pārdalīšana stratēģiskām prioritātēm" — lasiet: AI. Mums ir teikts, ka mākslīgais intelekts radīs jaunas darbavietas, taču šobrīd šķiet aizdomīgi, ka tas aizstāj esošās vai vismaz ļauj uzņēmumiem paveikt vairāk, izmantojot mazāk. AI virzītas produktivitātes solījums tiek īstenots, nevis paplašinot darbaspēku, bet gan samazinot to.
Tas attiecas ne tikai uz ekonomikas cikliem. Šīs ir būtiskas izmaiņas tajā, kā vērtība tiek uztverta un sniegta. Uzņēmumi apzinās, ka gadiem ilgā hiper-izaugsme ir izraisījusi uzpūšanos, liekām lomām un neilgtspējīgu degšanas līmeni. Tagad, kad mākslīgais intelekts sola automatizēt visu, sākot no koda ģenerēšanas līdz klientu atbalstam, cirvis visvairāk attiecas uz tām lomām, kuras tiek uzskatītas par "nebūtiskām" vai, precīzāk, "automātiskām".
Ironija ir jūtama. Miljardi tiek ieguldīti mākslīgā intelekta pētniecībā un izvēršanā, tiecoties pēc nākamās tehnoloģiskās robežas, vienlaikus likvidējot pašas komandas, kas ir atbildīgas par pamata infrastruktūras izveidi un uzturēšanu. Šī pieeja atgādina sarežģītas ēkas celtniecību uz nestabilas bāzes.
Zero-Day Blitzkrieg: Multi-front kiberkarš
Un, runājot par brūkošiem pamatiem, parunāsim par nepieredzētu aktīvi izmantoto ievainojamību pieaugumu. Tas nav vispārējs brīdinājums; tā ir tūlītēja, daudzpusīga kiberkrīze.
Apple, kas bieži tiek slavēta par savu drošību, pēdējo mēnešu laikā ir atklājusi vairākas aktīvi izmantotas nulles dienas, piemēram, CVE-2024-23225, ko izmanto "ārkārtīgi sarežģītos uzbrukumos" [2]. Google Chrome, interneta visuresošā vārteja, šogad vien ir piedzīvojusi daudzas aktīvi izmantotas nulles dienas, tostarp CVE-2024-4671 un CVE-2024-4761, abas tika apskatītas maijā [3]. Šī straujā kritisko trūkumu virkne norāda, ka drošības komandas pastāvīgi reaģē uz jauniem draudiem.
Kiberdrošības un infrastruktūras drošības aģentūra (CISA) savam katalogam ir konsekventi pievienojusi jaunas zināmās izmantotās ievainojamības [4]. Tie ietver Zyxel ugunsmūra trūkumu (CVE-2023-28771), ko izmantoja "ķīniešu valodā runājošs aktieris", lai apdraudētu gandrīz 1000 ierīces, un F5 BIG-IP RCE (CVE-2023-46747). CISA bieži izdod steidzamas direktīvas, bieži vien ar īsiem atlīdzināšanas termiņiem, lai federālajām aģentūrām sakārtotu kritisko infrastruktūru pret sarežģītiem valsts atbalstītiem draudiem. Tika aktīvi izmantota arī Veeam dublēšanas un replikācijas ievainojamība (CVE-2023-27532) ar publisku koncepcijas pierādījumu [4].
Tas nav amatieru hakeru darbs; tie ir profesionāli, labi resursēti pretinieki, kas sistemātiski mērķēti uz kritisko infrastruktūru, uzņēmuma sistēmām un galalietotāju ierīcēm. Viņi izmanto ievainojamības brīdī, kad tās tiek atklātas, vai pat pirms tās.
Neredzētais savienojums: vājas komandas, necaurlaidīga aizsardzība
Tagad savienojiet punktus. Vai tā ir sakritība, ka mēs redzam rekordlielas darbinieku atlaišanas, tajā pašā laikā saskaroties ar nepieredzētu skaitu sarežģītu, aktīvi izmantotu ievainojamību? Šo korelāciju ir grūti ignorēt.
Ja tiek likvidēts vairāk nekā ceturtdaļmiljons darbavietu, tas nav tikai “nāves svars”. Tas nozīmē, ka tiek zaudētas institucionālās zināšanas, pieredzējuši drošības inženieri, čaklās kvalitātes nodrošināšanas komandas un tās pašas personas, kuras ir atbildīgas par šo draudu identificēšanu, lāpīšanu un reaģēšanu uz tiem. Pārējās komandas ir izstieptas, un bieži vien tām ir jādod prioritāte objekta ātrumam, nevis būtiskai drošības higiēnai. Tādējādi tiek radīta vide, kurā mantra "pārvietoties ātri un sabojāt lietas" tagad riskē atstāt kritiskās sistēmas atklātas.
Tiekšanās pēc AI virzītas efektivitātes, lai arī teorētiski ir izdevīga, rada bīstamu nelīdzsvarotību. Mēs optimizējam rezultātus, vienlaikus atstājot novārtā cilvēkkapitālu un stingro drošības pozīciju, kas ir visa pamatā. Lai gan talantu tirgus var kļūt stingrāks attiecībā uz vispārējiem speciālistiem, pieprasījums pēc augsti specializētiem drošības speciālistiem, incidentu reaģētājiem un draudu meklētājiem joprojām ir ārkārtīgi augsts. Tomēr vai uzņēmumi patiešām iegulda šajās svarīgajās lomās, vai arī viņi vienkārši cer, ka viņu jaunie AI rīki maģiski atrisinās viņu drošības problēmas? Pēdējā ir nereāla cerība.
Aicinājums uz pragmatismu
Tehnoloģiju vadītājiem un vadošajiem inženieriem tas nav tikai jaunums, kas jāpārdomā. Šī ir mirgojoša sarkana gaisma.
1. Atkārtoti novērtējiet savas “efektivitātes” spēles: vai jūsu atlaišanas stratēģijas patiešām padara jūs noturīgāku, vai arī jūs veidojat atsevišķus neveiksmes punktus un drošības nepilnības? Pārkāpuma izmaksas ievērojami pārsniedz ietaupījumus no dažiem darbinieku skaita samazinājumiem. 2. ** Piešķiriet prioritāti drošībai ar patiesu apņemšanos.** Būtiskas drošības prakses, piemēram, lāpīšana, spēcīga reaģēšana uz incidentiem un proaktīva draudu meklēšana, nav izvēles greznība; tās ir eksistenciālas prasības. Ja CISA nosaka trīs dienu atlīdzināšanas termiņu, jūsu sistēmām bija jābūt aizsargātām jau sen. 3. Ieguldiet savos cilvēkos: augstākā līmeņa drošības un infrastruktūras inženieru talantu tirgus kļūst arvien karstāks. Saglabājiet tos, apmāciet viņus, dodiet viņiem spēku. Jūsu AI stratēģija ir bezjēdzīga, ja jūsu galvenās sistēmas ir apdraudētas. 4. ** Pieprasiet labāk no pārdevējiem:** Apple, Google, F5, Zyxel — tie nav neskaidri atskaņotāji. Viņu ievainojamība ietekmē miljonus. Centieties iegūt drošākus pēc dizaina produktus un ātrāku, pārskatāmāku ielāpu.
Tehnoloģiju nozare atrodas kritiskā situācijā. Mēs varam turpināt censties pēc mākslīgā intelekta vadītas efektivitātes, kas, iespējams, ir apžilbināta ar tās solījumu, kamēr mūsu digitālie pamati tiek sabojāti un mūsu sistēmas saskaras ar aktīvu ekspluatāciju. Alternatīvi, mēs varam stāties pretī šīm sistēmiskajām problēmām tieši, pāršķirot prioritātes stabilitātei, stabilai drošībai un neaizstājamai cilvēku zināšanām, kas patiesi veido un aizsargā mūsu digitālo pasauli. Izvēle un tās dziļās sekas ir mūsu ziņā.
Avoti
[1] Layoffs.fyi — https://layoffs.fyi/ [2] Apple drošības atjauninājumi — https://support.apple.com/en-us/HT214080 [3] Google Chrome laidieni — https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [4] CISA zināmo izmantoto ievainojamību katalogs — https://www.cisa.gov/known-exploited-vulnerabilities-catalog