Нулти дани и нула надзора: прича о две техничке реалности
Замислите да ваш СОЦ тим, мутних очију, буљи у трепћуће црвено упозорење. Октобра 2023. је 3 ујутро, а вести нису добре: два критична нула дана у вашем Цитрик НетСцалер АДЦ-у и Гатеваи-у, активно експлоатисани, омогућавајући Ремоте Цоде Екецутион (РЦЕ), са прилагођеним малвером примећеним у дивљини. Каталог познатих експлоатисаних рањивости ЦИСА (КЕВ) их је управо додао [1, 2, 3, 4]. Ово није теоретска претња; то је значајан међународни инцидент који утиче на критичну инфраструктуру предузећа у владиним, финансијским, образовним и правним секторима у Северној Америци и Европи. Док се ваши тимови труде да обуздају крварење, бесно се крпе и покрећу форензичке истраге о томе шта би могло бити катастрофално кршење, други наслов пада: председник Трамп је обезбедио „добровољни споразум“ са врхунским технолошким фирмама за развој вештачке интелигенције, обећавајући самоконтролу индустрије [5].
Супротстављање је изразито нескладно. С једне стране, суочавамо се са бруталном, непобитном реалношћу нашег тренутног дигиталног окружења: сталном борбом са високим улозима против софистицираних противника који искоришћавају фундаменталне слабости саме инфраструктуре која је у основи нашег модерног света. С друге стране, политички спектакл који сугерише да будућност најтрансформативније, али дубоко неизвесне технологије може безбедно да управља иста индустрија која се доследно бори са основном безбедношћу и етичком самоуправом.
Цитрик катастрофа: симптом дубље трулежи
Да будемо јасни: Цитрик зеро-даис, као што су ЦВЕ-2023-4966 (познат као Цитрик Блеед) и ЦВЕ-2023-3519, нису само „још једна рањивост“. Они представљају хитну кризу у центру података, директну, текућу кампању напада која захтева хитан одговор свих руку на палуби [1, 2, 3, 4]. Даљинско извршавање кода на АДЦ-у или мрежном пролазу је дигитални еквивалент критичне приступне тачке која је остала изложена. Не ради се само о закрпању; ради се о системској крхкости наше архитектуре предузећа.
Годинама смо градили сложене, међусобно повезане системе, често се ослањајући на неколико критичних добављача за основну инфраструктуру. Цитрик, као и многи други, пружа основне услуге, али са том централношћу долази и огроман ризик. Када је фундаментална компонента попут НетСцалер-а угрожена на нивоу нултог дана, ефекат таласања је разоран. Она открива инхерентну ману ослањања на једну тачку неуспеха, без обзира на то колико робусна треба да буде. Директива „одмах закрпи“, иако је неопходна, делује као површан лек за системски проблем. Не бави се основним проблемима: сложеношћу која ствара рањивости, спорим темпом безбедносних ажурирања од неких добављача и често недовољним стратегијама дубинске одбране које не успевају када се периметар пробије на најкритичнијој тачки.
Ово није само технички проблем; то је ноћна мора за континуитет пословања. Кршење података, прекид рада, регулаторне казне, оштећење репутације – трошкови су астрономски. И за шта? Да бисте ефикасно покренули мрежу? Плаћамо високу цену за удобност и уочену ефикасност, цену која се мери бесаним ноћима за техничке директоре и безбедносне тимове, а потенцијално и за ерозију поверења јавности. Чињеница да се ово активно експлоатише нула дана, користећи прилагођени малвер, говори нам да ово нису клинци са скриптама. То су добро опремљени, упорни актери претњи који циљају на имовину високе вредности [3]. Ако не можемо да обезбедимо темељне слојеве нашег постојећег дигиталног света, какву наду имамо за експоненцијално сложенију будућност?
Дивљи запад вештачке интелигенције: поверење у сопствени интерес да диктира безбедност
А када смо већ код те будућности, хајде да се окренемо споразуму о „самоконтролисању“ АИ. Најава председника Трампа, иако политички значајна, представља школски пример избегавања одговорности [5]. „Добровољно“ и „самоконтролисање“ су термини који би требало да изазову стрепњу код свакога ко је посматрао рад технолошке индустрије у последње две деценије. Већ смо приметили овај образац, зар не? Компаније друштвених медија „добровољно“ контролишу говор мржње, претраживачи „саморегулишу“ приватност података, а продавнице апликација „независно“ обезбеђују фер конкуренцију. Рекорд је, најблаже речено, лош.
Идеја да се баш компанијама које се утркују да развију и примене моћне АИ системе – системе са потенцијалом да преобликују економије, утичу на изборе, па чак и створе нове облике друштвеног ризика – може веровати да постављају и спроводе сопствене етичке и безбедносне смернице је у најбољем случају наивна, а у најгорем опасно неодговорна. То су корпорације вођене профитом и доминацијом на тржишту. Њихова примарна фидуцијарна дужност је према акционарима, а не према апстрактном концепту јавног добра или етичке АИ.
Овај „споразум“ је политичка победа за администрацију, омогућавајући им да захтевају акцију у вези са вештачком интелигенцијом без неуредног посла стварног законодавства или регулаторног надзора. То је такође огромна победа за Биг Тецх, купујући им време и слободу од потенцијално оптерећујућих прописа који би могли успорити њихову иновацију или утицати на њихов резултат. Али за нас остале – за технолошке професионалце који граде ове системе, за предузећа која ће се ослањати на њих, и за друштво у целини – то је опасан преседан. То указује на преферирани приступ управљању вештачком интелигенцијом који даје приоритет корпоративној аутономији у односу на јавну безбедност и одговорност.
Дисцоннецт: Изградња на нестабилним темељима
Ево непријатне истине: ми истовремено не успевамо да обезбедимо своју садашњост и опасно лоше управљамо својом будућношћу. Конструишемо све софистицираније системе вештачке интелигенције на темељу дигиталне нестабилности, где критичну инфраструктуру рутински компромитују софистицирани противници. Исти лидери индустрије који изгледа не могу да спрече да њихови производи постану глобални вектори напада сада су замољени да „самоконтролишу” етичке и безбедносне импликације опште вештачке интелигенције.
Ово није само прекид везе; то је дубок јаз. Као технички директори и инжењери, ухваћени смо у средини. Имамо задатак да закрпимо непосредне, егзистенцијалне претње као што је Цитрик зеро-даис, док нам је истовремено речено да се припремимо за будућност вођену вештачком интелигенцијом у којој правила измишљају како напредујемо, углавном од стране самих играча.
Добровољни споразум о вештачкој интелигенцији није решење; то је тактика одлагања. Он одлаже одговорност, осигуравајући да када дође до неизбежних етичких кршења, пристрасности или чак катастрофалних неуспеха вештачке интелигенције, јавност ће остати да се пита зашто није било снажног, независног надзора од самог почетка. А када се ти неуспеси догоде, они неће бити теоретски. Они ће бити стварни и штетни као РЦЕ на вашем НетСцалер-у, само са потенцијално далеко ширим друштвеним импликацијама.
Морамо тражити више. Потребна нам је снажна, проактивна сигурност наших добављача, а не само реактивне закрпе након чињенице. И потребна нам је истинска, независна регулатива за АИ, а не само споразум о руковању између политичара и корпорација. Јер ако не можемо чак ни да обезбедимо своју основну инфраструктуру, како можемо веровати архитектама да ће одговорно изградити следећу генерацију цивилизације? Одговор је, за сада, да не можемо.
Извори
[1] ЦИСА додаје рањивост Цитрик НетСцалер АДЦ и гатеваи-а (ЦВЕ-2023-4966) у каталог познатих искоришћених рањивости — хттпс://ввв.циса.гов/невс-евентс/алертс/2023/10/24/циса-аддс-цитрик-нетсцалер-адц-анд-гатеваи-вулнерабилити-кновн-екплоитед-вулнерабилитиес-цаталог [2] Цитрик безбедносни билтен за ЦВЕ-2023-4966 и ЦВЕ-2023-4967 — хттпс://суппорт.цитрик.цом/артицле/ЦТКС579459/цитрик-нетсцалер-адц-анд-цитрик-нетсцалер-гатеваи-сецурити-буллетин-фор-цве20234966-анд-цве20234967 [3] Мандиант: УНЦ4841 експлоатише Цитрик НетСцалер АДЦ и Гатеваи Зеро-Даи (ЦВЕ-2023-4966) — хттпс://ввв.мандиант.цом/ресоурцес/блог/цитрик-блеед-зеро-даи-екплоитатион [4] ЦИСА додаје рањивост Цитрик НетСцалер АДЦ и гатеваи-а (ЦВЕ-2023-3519) у Каталог познатих искоришћених рањивости — хттпс://ввв.циса.гов/невс-евентс/алертс/2023/07/21/циса-аддс-цитрик-нетсцалер-адц-анд-гатеваи-вулнерабилити-кновн-екплоитед-вулнерабилитиес-цаталог [5] Ажурирања уживо: Трамп потписује добровољни споразум са лидерима вештачке интелигенције за технологију ... — хттпс://апневс.цом/ливе/трумп-цнн-медиа-мидтерм-елецтионс-невс-упдатес-09-29-2026