Zero-egunak eta Zero gainbegiratzea: bi errealitate teknologikoen istorioa
Imajinatu zure SOC taldea, begi lazkurtuta, alerta gorri distiratsu bati begira. 2023ko urrian goizeko 03:00ak dira, eta albistea ez da ona: zure Citrix NetScaler ADC eta Gateway-n bi zero-egun kritiko, aktiboki ustiatzen direnak, urruneko kodearen exekuzioa (RCE) gaituta, malware pertsonalizatua basatian behatuta. CISA Known Exploited Vulnerabilities (KEV) katalogoak gehitu berri ditu [1, 2, 3, 4]. Hau ez da mehatxu teorikoa; Ipar Amerikako eta Europako gobernu, finantza, hezkuntza eta lege sektoreetan enpresa azpiegitura kritikoetan eragina duen nazioarteko gertakari esanguratsu bat da. Zure taldeak odoljarioa edukitzeko borrokan ari diren bitartean, amorruz adabakitzen eta haustura hondamendia izan daitekeenaren inguruko ikerketa forentseak abiatzen ari diren bitartean, beste titular bat jaisten da: Trump presidenteak "borondatezko akordioa" lortu du AI garapenerako goi mailako teknologia-enpresekin, industriaren auto-polizia aginduz [5].
Juxtaposizioa guztiz inkongruentea da. Alde batetik, gure egungo ingurune digitalaren errealitate basati eta ukaezinari aurre egiten diogu: gure mundu modernoaren oinarrian dagoen azpiegituran oinarrizko ahuleziak baliatzen dituen aurkari sofistikatuen aurkako borroka etengabea eta apustu handikoa. Bestetik, teknologia eraldatzaileenaren etorkizuna segurtasunez eta autogobernu etikoarekin etengabe borrokatzen duen industria berberak segurtasunez kudeatu dezakeela iradokitzen duen ikuskizun politikoa.
Citrix hondamendia: usteltze sakonaren sintoma
Argi izan dezagun: Citrix zero-egunak, CVE-2023-4966 (Citrix Bleed izenez ezagutzen dena) eta CVE-2023-3519 bezalakoak, ez dira "beste ahultasun bat". Datu-zentroan premiazko krisia adierazten dute, etengabeko eraso kanpaina zuzena eta berehalako erantzuna eskatzen duena [1, 2, 3, 4]. ADC edo Gateway batean urruneko kodearen exekuzioa agerian geratzen den sarbide-puntu kritiko baten baliokide digitala da. Hau ez da adabakia egitea bakarrik; gure enpresa-arkitekturaren hauskortasun sistemikoari buruzkoa da.
Urteetan zehar, sistema konplexuak eta interkonektatuak eraiki ditugu, sarritan oinarrizko azpiegiturarako hornitzaile kritiko gutxi batzuetan oinarrituz. Citrix-ek, beste askok bezala, ezinbesteko zerbitzuak eskaintzen ditu, baina zentraltasun horrekin arrisku izugarria dakar. NetScaler bezalako oinarrizko osagai bat zero eguneko mailan arriskuan jartzen denean, uhin-efektua suntsitzailea da. Porrot-puntu bakarrean konfiantza izatearen berezko akatsa agerian uzten du, uste* izan daitekeen sendoa izan arren. "Adabaki berehala" zuzentaraua, beharrezkoa den arren, arazo sistemiko baten azaleko erremedio bat bezala sentitzen da. Ez ditu azpian dauden arazoei aurre egiten: ahultasunak sortzen dituen konplexutasuna, saltzaile batzuen segurtasun-eguneratzeen erritmo motela eta perimetroa puntu kritikoenean urratzen direnean huts egiten duten defentsa-estrategiak askotan ez dira nahikoak.
Hau ez da arazo tekniko bat soilik; negozioaren jarraipenaren amesgaiztoa da. Datu-hausteak, operazio-etenaldiak, arauzko isunak, ospearen kalteak - kostuak astronomikoak dira. Eta zertarako? Sare bat eraginkortasunez exekutatzeko? Prezio handia ordaintzen ari gara erosotasunagatik eta hautematen den eraginkortasunagatik, lorik gabeko gauetan neurtzen den prezioa CTOentzat eta segurtasun taldeentzat, eta potentzialki, publikoaren konfiantzaren higaduragatik. Zero-egunak aktiboki ustiatu izateak, malware pertsonalizatua erabiliz, esaten digu hauek ez direla script kiddies. Baliabide oneko aktore iraunkorrak dira, balio handiko aktiboei begira [3]. Gure mundu digitalaren oinarrizko geruzak segurtatu ezin baditugu, zer itxaropen dugu etorkizun esponentzialki konplexuagorako?
AIren mendebalde basatia: norberaren interesan konfiantza izatea segurtasuna diktatzeko
Eta etorkizun horretaz hitz eginez, AI "autopolizia" akordiora jo dezagun. Trump presidentearen iragarpena, politikoki esanguratsua izan arren, kontuak alboratzeko testuliburua da [5]. "Borontarioa" eta "autopolizia" azken bi hamarkadetan teknologiaren industriak funtzionatzen ikusi duen edonorengan beldurra piztu beharko luketen terminoak dira. Eredu hori lehenago ikusi dugu, ezta? Sare sozialetako enpresek gorroto hizkera "borondatez" kontrolatzen dute, bilatzaileek datuen pribatutasuna "autoerregulatzen" dute eta aplikazio-dendak "independenteki" lehia zuzena bermatuz. Ibilbidea, nolabait esateko, izugarria da.
AI sistema indartsuak garatzeko eta zabaltzeko lasterka dabiltzan enpresek (ekonomiak birmoldatzeko, hauteskundeetan eragiteko eta baita gizarte-arrisku forma berriak sortzeko ahalmena duten sistemak ere) fida daitezkeela beren etiko- eta segurtasun-jarraibideak ezartzen eta betearazten dituzten ideia inozoa da onenean, eta arriskutsuki arduragabekeriarik txarrenean. Hauek irabaziak eta merkatuaren nagusitasunak bultzatutako korporazioak dira. Haien fiduziario-betebehar nagusia akziodunekikoa da, ez ondasun publikoaren edo AI etikoaren kontzeptu abstraktuarekiko.
"Akordio" hau administrazioaren garaipen politikoa da, eta ahalbidetzen die AIren inguruko ekintzak erreklamatzeko benetako legediaren edo araudiaren gainbegiratze nahasirik gabe. Big Tech-entzat ere garaipen izugarria da, berrikuntza moteldu edo emaitzan eragina izan dezaketen araudi astunetatik denbora eta askatasuna erosiz. Baina gainontzekoentzat –sistema hauek eraikitzen dituzten teknologiako profesionalentzat, haietan oinarrituko diren enpresentzat eta gizartearentzat oro har– aurrekari arriskutsua da. AI gobernantzaren ikuspegi hobetsia adierazten du, autonomia korporatiboa lehenesten duena segurtasun publikoaren eta erantzukizunaren gainetik.
Deskonektatzea: oinarri ezegonkorretan eraikitzea
Hona hemen egia deserosoa: aldi berean gure oraina ziurtatzen ari gara eta gure etorkizuna arriskutsuki gaizki kudeatzen ari gara. Gero eta AI sistema sofistikatuagoak eraikitzen ari gara ezegonkortasun digitalaren oinarrian, non azpiegitura kritikoa etengabe arriskuan jartzen duten arerio sofistikatuek. Badirudi beren produktuak eraso-bektore global bihurtzea eragotzi ezin duten industriako lider berdinei adimen artifizial orokorraren ondorio etikoak eta segurtasunari buruz "autopoliziatzeko" eskatzen zaie.
Hau ez da deskonexio bat bakarrik; hutsune sakona da. CTOak eta ingeniaritza gidari gisa, erdian harrapatuta gaude. Citrix zero-egunak bezalako mehatxu existentzialak eta berehalako mehatxuak adabakitzea arduratzen zaigu, eta, aldi berean, AI-k gidatutako etorkizun baterako prestatzeko esaten digute, non arauak aurrera egin ahala, jokalariek beraiek, neurri handi batean.
Borondatezko AI akordioa ez da irtenbidea; atzeratzeko taktika da. Erantzukizuna atzeratu egiten du, AIren urratze etiko saihestezinak, alborapenak edo are hutsegite hondamendiak gertatzen direnean, publikoak galdetzen utziko duela hasieratik zergatik ez den gainbegiratze sendo eta independentea izan. Eta porrot horiek gertatzen direnean, ez dira teorikoak izango. Zure NetScaler-en RCE bat bezain errealak eta kaltegarriak izango dira, gizartearen inplikazio zabalagoak izan ditzaketenak soilik.
Gehiago exijitu behar dugu. Segurtasun sendoa eta proaktiboa behar dugu gure saltzaileek, ez soilik adabaki erreaktiboak. Eta benetako araudi independentea behar dugu IArako, ez soilik politikarien eta korporazioen arteko esku-ematea. Zeren eta gure azpiegitura nagusia ziurtatzerik ere ezin badugu, nola fida gaitezke arkitektoek hurrengo zibilizazioaren belaunaldia arduraz eraikitzeko? Erantzuna, oraingoz, ezin dugula da.
Iturriak
[1] CISAk Citrix NetScaler ADC eta Gateway Vulnerability (CVE-2023-4966) ustiatutako ahultasun ezagunen katalogora gehitzen ditu — https://www.cisa.gov/news-events/alerts/2023/10/24/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [2] CVE-2023-4966 eta CVE-2023-4967rako Citrix Segurtasun Buletina — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve6202349620234 [3] Mandiant: UNC4841 Citrix NetScaler ADC eta Gateway Zero-Day ustiatzen ditu (CVE-2023-4966) - https://www.mandiant.com/resources/blog/citrix-bleed-zero-day-exploitation [4] CISAk Citrix NetScaler ADC eta Gateway Vulnerability gehitzen ditu (CVE-2023-3519) Ustiatutako Ahultasunen Katalogoan — https://www.cisa.gov/news-events/alerts/2023/07/21/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [5] Zuzeneko eguneraketak: Trumpek borondatezko akordioa sinatu du teknologiarako AI buruzagiekin ... - https://apnews.com/live/trump-cnn-media-midterm-elections-news-updates-09-29-2026