Τα νέα ρούχα ασφαλείας του αυτοκράτορα: Ενώ κοιτάμε το Muse, το ίδρυμα καταρρέει
Ας είμαστε άμεσοι: η βιομηχανία της τεχνολογίας έχει μια νέα εμμονή και ονομάζεται "AI ασφάλεια". Αναμένεται όλοι να επικεντρωθούμε στην έγκαιρη έγχυση, τη δηλητηρίαση μοντέλων και τη διήθηση δεδομένων από μεγάλα γλωσσικά μοντέλα. Εν τω μεταξύ, η πραγματική, φυσική, ψηφιακή υποδομή που συγκρατεί τις επιχειρήσεις μας ενωμένη πυρπολείται ενεργά από ένα ανελέητο μπαράζ μηδενικών ημερών. Ένα πρόσφατο περιστατικό που αφορά μια μεγάλη πλατφόρμα τεχνητής νοημοσύνης, ενδεικτικό των ευρύτερων προκλήσεων όσον αφορά την ασφάλεια της υποδομής τεχνητής νοημοσύνης, υπογραμμίζει αυτήν την επικίνδυνη διχοτόμηση [1].
Η Meta, μια εταιρεία γνωστή για το ήθος της «κίνηση γρήγορα και σπάσιμο των πραγμάτων», έχει αντιμετωπίσει έλεγχο σχετικά με ελαττώματα ασφαλείας στις πλατφόρμες τεχνητής νοημοσύνης της. Για παράδειγμα, ένα πρόγραμμα επιβράβευσης σφαλμάτων αποκάλυψε ένα σημαντικό ελάττωμα που αποκάλυπτε τις εικονικές μηχανές των χρηστών. Αυτό δεν ήταν μια ανεπαίσθητη διαρροή δεδομένων ή μια έξυπνη παράκαμψη, αλλά ένα θεμελιώδες σφάλμα σε επίπεδο υποδομής που εξέθεσε user VMs. Δεν πρόκειται για κάποια εσωτερική ευπάθεια που σχετίζεται με την τεχνητή νοημοσύνη. Αυτή είναι η βασική απομόνωση VM, ένα πρόβλημα που σε μεγάλο βαθμό πιστεύαμε ότι εξημερώσαμε πριν από μια δεκαετία. Αντιπροσωπεύει μια κρίσιμη παραβίαση του απορρήτου και της ακεραιότητας των δεδομένων, επηρεάζοντας άμεσα τους χρήστες και δυνητικά εταιρικούς πελάτες που αξιοποιούν μια τέτοια υποδομή AI.
Αυτός ο τύπος ελαττώματος, παρόλο που έχει πραγματικά αντίκτυπο, μοιάζει λιγότερο σαν μια νέα πρόκληση "ασφάλειας τεχνητής νοημοσύνης" και περισσότερο σαν μια κλασική αποτυχία υποδομής με καπέλο τεχνητής νοημοσύνης. Είναι μια υπενθύμιση ότι ακόμη και οι πιο προηγμένες πλατφόρμες τεχνητής νοημοσύνης είναι χτισμένες σε επίπεδα συμβατικών υπολογιστών, δικτύων και εικονικοποίησης. Εάν αυτά τα βασικά στρώματα είναι γεμάτα τρύπες, δεν έχει σημασία πόσο εξελιγμένο είναι το μοντέλο τεχνητής νοημοσύνης σας. ολόκληρο το σύστημα παραμένει ευάλωτο. Η πτυχή "AI" αυτής της ιστορίας είναι σχεδόν μια απόσπαση της προσοχής, μια λάθος κατεύθυνση που απομακρύνει το βλέμμα μας από τα σάπια ξύλα κάτω από τις γυαλισμένες σανίδες δαπέδου.
CISA's KEV Barrage: A Critical Indicator
Ενώ είμαστε απασχολημένοι με τη συζήτηση των ηθικών επιπτώσεων των αισθησιακών chatbot και των αποχρώσεων της ασφάλειας της τεχνητής νοημοσύνης, η CISA ρίχνει έναν άνευ προηγουμένου αριθμό τρωτών σημείων που εκμεταλλεύονται ενεργά στον κατάλογό της με τα γνωστά εκμεταλλευόμενα τρωτά σημεία (KEV). Αυτό δεν είναι μια θεωρητική άσκηση. Αυτή δεν είναι μια λίστα "patch someday". Αυτή είναι μια επείγουσα λίστα "το σπίτι σας καίγεται αυτή τη στιγμή".
Τις τελευταίες εβδομάδες, η CISA έχει προσθέσει πολυάριθμες εγγραφές, ανεβάζοντας το σύνολο των ενεργά εκμεταλλευόμενων τρωτών σημείων σε έναν εκπληκτικό αριθμό σε σύντομο χρονικό διάστημα [2]. Αυτό δεν είναι απλώς «η ασφάλεια είναι κακή». Πρόκειται για μια συστημική, κλιμακούμενη κρίση που επηρεάζει το πολύ κρίσιμο επιχειρηματικό λογισμικό που διαχειρίζεται τον κόσμο μας.
Εξετάστε τις πρόσφατες προσθήκες στον κατάλογο KEV:
- CVE-2023-46214: Μια ευπάθεια απομακρυσμένης εκτέλεσης κώδικα Splunk Enterprise (CVSS 9.8) με προθεσμία ενημέρωσης κώδικα CISA, καθιστώντας τα μη επιδιορθωμένα συστήματα εξαιρετικά ευάλωτα.
- CVE-2023-29357: Μια ευπάθεια κλιμάκωσης προνομίου διακομιστή Microsoft SharePoint, που επηρεάζει τη ραχοκοκαλιά αμέτρητων εταιρικών ενδοδικτύων.
- CVE-2023-42824: Μια ευπάθεια του πυρήνα της Apple iOS/iPadOS, η οποία έχει ήδη αξιοποιηθεί σε στοχευμένες επιθέσεις, αποδεικνύοντας ότι ακόμη και τα ελεγχόμενα οικοσυστήματα δεν είναι αδιαπέραστα.
- CVE-2023-30799: Ένα ελάττωμα της απομακρυσμένης εκτέλεσης κώδικα MikroTik RouterOS, που επηρεάζει τους δρομολογητές που συνδέουν τα πάντα, που συχνά δεν έχει επιδιορθωθεί στις βαθύτερες γωνίες του δικτύου.
Αυτή η γρήγορη προσθήκη ενεργά εκμεταλλευόμενων zero-days σε μεγάλους προμηθευτές – Microsoft, Apple, Splunk, MikroTik, Linux, JFrog – απαιτεί άμεση, ξέφρενη προσοχή. Αυτό δεν είναι μια γενική προειδοποίηση. είναι μια σειρήνα που χτυπά απευθείας σε κάθε ομάδα πληροφορικής και ασφάλειας. Η λίστα KEV της CISA δεν είναι απλώς μια πρόταση για ομοσπονδιακές υπηρεσίες. είναι μια κρίσιμη προειδοποίηση για όλους τους οργανισμούς. Αγνοήστε το με κίνδυνο.
Η ψευδαίσθηση της "AI Security" και το κόστος της απόσπασης της προσοχής
Εδώ είναι η δυσάρεστη αλήθεια: τα θεμελιώδη ελαττώματα στις πλατφόρμες τεχνητής νοημοσύνης και το μπαράζ CISA KEV είναι αλληλένδετες πτυχές του ίδιου προβλήματος. Και οι δύο ουρλιάζουν για μια θεμελιώδη κατάρρευση στην ασφάλεια λογισμικού, αλλά η συλλογική ματιά του κλάδου μας είναι επικίνδυνα εσφαλμένη. Είμαστε τόσο γοητευμένοι από την υπόσχεση και τον κίνδυνο του "AI" που αφήνουμε τη βασική ψηφιακή υποδομή να σαπίσει.
Η "ασφάλεια της τεχνητής νοημοσύνης" έχει γίνει ένα τσιτάτο, ένα νέο σύνορο για συμβούλους και διαχειριστές προϊόντων. Τι είναι όμως, αλήθεια; Συχνά, είναι απλώς ασφάλεια που εφαρμόζεται σε συστήματα τεχνητής νοημοσύνης. Ναι, η τεχνητή νοημοσύνη εισάγει νέους φορείς επίθεσης και μοναδικές προκλήσεις, αλλά ένα σημαντικό μέρος της «ασφάλειας AI» είναι απλώς ισχυρή μηχανική, ασφαλείς πρακτικές κωδικοποίησης και επιμελής επιδιόρθωση - τα ίδια πράγματα στα οποία αποτυγχάνουμε εδώ και δεκαετίες. Το ζήτημα της απομόνωσης VM που αναφέρθηκε προηγουμένως είναι ένα τέλειο παράδειγμα: μια κλασική ευπάθεια που ενισχύεται από την πολυπλοκότητα μιας πλατφόρμας AI.
Χτίζουμε απίστευτα πολύπλοκα συστήματα τεχνητής νοημοσύνης πάνω από ολοένα και πιο εύθραυστα και ενεργά αξιοποιούμενα θεμέλια. Είναι σαν να σχεδιάζετε σχολαστικά ένα αυτοοδηγούμενο αυτοκίνητο με προηγμένη πλοήγηση με τεχνητή νοημοσύνη, ενώ οι τροχοί πέφτουν και ο κινητήρας εκτοξεύεται. Η εστίαση στην "ασφάλεια της τεχνητής νοημοσύνης" συχνά φαίνεται σαν απόσπαση της προσοχής, εκτρέποντας τους πόρους και την προσοχή από την κοσμική, απίθανη, αλλά απολύτως κρίσιμη εργασία της διασφάλισης της υπάρχουσας υποδομής.
Είμαστε τόσο απασχολημένοι κυνηγώντας το επόμενο μεγάλο πράγμα που αφήνουμε τα τρέχοντα μεγάλα πράγματα να καούν; Ο τεράστιος όγκος και το εύρος των απειλών KEV υποδηλώνουν μια συστημική και επείγουσα πρόκληση για τη θεμελιώδη ψηφιακή υποδομή, διαφορετική από προηγούμενες συζητήσεις μηδενικής ημέρας με επίκεντρο την τεχνητή νοημοσύνη. Δεν πρόκειται για το μέλλον της τεχνητής νοημοσύνης. πρόκειται για την παρούσα κατάσταση της ψηφιακής μας ύπαρξης.
Τι τώρα, ΚΟΤ;
Για τους επικεφαλής μηχανικών και τους ΚΟΤ, το μήνυμα είναι ξεκάθαρο και άμεσο:
- Δώστε προτεραιότητα στη λίστα KEV: Αποθέστε τα πάντα. Επιδιορθώστε αυτά τα τρωτά σημεία. Εντολή το. Επιβολή του. Αυτό δεν είναι προαιρετικό.
- Μην παρασυρθείτε στη διαφημιστική εκστρατεία "Ασφάλεια τεχνητής νοημοσύνης" σε βάρος των βασικών στοιχείων: Ναι, κατανοήστε τους μοναδικούς κινδύνους της τεχνητής νοημοσύνης, αλλά να θυμάστε ότι η ισχυρή μηχανική, οι ασφαλείς κύκλοι ζωής ανάπτυξης και η επιμελής ενημέρωση εξακολουθούν να είναι η καλύτερη άμυνά σας. Ένα φανταχτερό μοντέλο τεχνητής νοημοσύνης δεν θα σας σώσει εάν ένας εισβολέας είναι ιδιοκτήτης του υποκείμενου VM σας ή του διακομιστή σας SharePoint.
- Επενδύστε στη βασική ασφάλεια: Αυτό σημαίνει περισσότερα από την απλή αγορά ενός άλλου εργαλείου ασφαλείας. Σημαίνει επένδυση σε ανθρώπους, διαδικασίες και μια κουλτούρα που εκτιμά την ασφάλεια ως βασικό κλάδο της μηχανικής και όχι ως εκ των υστέρων σκέψη. Τα προγράμματα επιβράβευσης σφαλμάτων είναι εξαιρετικά, αλλά θα πρέπει να αποτελούν ένα δίχτυ ασφαλείας, όχι την κύρια στρατηγική ασφαλείας σας.
Το περιστατικό που αφορά την υποδομή πλατφόρμας τεχνητής νοημοσύνης είναι μια κλήση αφύπνισης, αλλά η λίστα CISA KEV είναι ο επείγων συναγερμός. Πρέπει να σταματήσουμε να θαυμάζουμε τις πιο πρόσφατες πρωτοβουλίες ασφάλειας της τεχνητής νοημοσύνης και να αρχίσουμε να επιδιορθώνουμε τις τρύπες στην πραγματική μας άμυνα. Το μέλλον της τεχνητής νοημοσύνης είναι συναρπαστικό, αλλά η παρούσα κατάσταση της ασφάλειάς μας είναι τρομακτική.
Πηγές
[1] Η ασφάλεια της τεχνητής νοημοσύνης είναι ένα χάος και πρόκειται να χειροτερέψει — https://techcrunch.com/2023/10/11/ai-security-is-a-mess-and-its-about-to-get-worse/ [2] Γνωστός Κατάλογος Εκμεταλλευόμενων Ευπαθειών — https://www.cisa.gov/known-exploited-vulnerabilities-catalog