די נייַע אַי זיכערהייט קליידער פון די עמפּעראָר: בשעת מיר קוקן אין די מוסע, די יסוד קראַמבאַלז

זאל ס זיין דירעקט: די טעק אינדוסטריע האט אַ נייַע באַנעמעניש, און עס איז גערופֿן "AI זיכערהייט." מיר זענען אַלע דערוואַרט צו פאָקוס אויף פּינטלעך ינדזשעקשאַן, מאָדעל פאַרסאַמונג און דאַטן עקספילטריישאַן פון גרויס שפּראַך מאָדעלס. דערווייַל, די פאַקטיש, גשמיות, דיגיטאַל ינפראַסטראַקטשער וואָס האַלטן אונדזער ענטערפּריסעס צוזאַמען, איז אַקטיוולי באַשטימט דורך אַ רילענטלאַס בעראַזש פון נול-טעג. א פריש אינצידענט מיט אַ הויפּט אַי פּלאַטפאָרמע, ילאַסטראַטיוו פון די ברייטערער טשאַלאַנדזשיז אין סיקיורינג אַי ינפראַסטראַקטשער, כיילייץ דעם געפערלעך דיטשאָטאָמי [1].

Meta, אַ פירמע באַוווסט פֿאַר זיין "מאַך שנעל און ברעכן טינגז" יטאָס, האט פייסט דורכקוק איבער זיכערהייט פלאָז אין זייַן אַי פּלאַטפאָרמס. פֿאַר בייַשפּיל, אַ זשוק ברייטהאַרציקייט פּראָגראַם אַנקאַווערד אַ באַטייטיק פלאָ יקספּאָוזינג באַניצער ווירטואַל מאשינען. דאָס איז נישט אַ סאַטאַל דאַטן ליקאַדזש אָדער אַ קלוג פּינטלעך בייפּאַס, אָבער אַ פונדאַמענטאַל טעות אין ינפראַסטראַקטשער מדרגה וואָס יקספּאָוזד * באַניצער VMs *. דאָס איז נישט עטלעכע עסאָוטעריק אַי-ספּעציפיש וואַלנעראַביליטי; דאָס איז יקערדיק VM אפגעזונדערטקייט, אַ פּראָבלעם וואָס מיר לאַרגעלי געדאַנק צו האָבן אַ יאָרצענדלינג צוריק. עס רעפּראַזענץ אַ קריטיש בריטש פון פּריוואַטקייט און דאַטן אָרנטלעכקייַט, גלייך ימפּאַקטינג יוזערז און פּאַטענטשאַלי פאַרנעמונג קלייאַנץ ליווערידזשינג אַזאַ אַי ינפראַסטראַקטשער.

דער טיפּ פון פלאָ, כאָטש טאַקע ימפּרעסיוו, פילז ווייניקער ווי אַ ראָמאַן "AI זיכערהייט" אַרויסרופן און מער ווי אַ קלאַסיש ינפראַסטראַקטשער דורכפאַל וואָס טראָגן אַן אַי הוט. עס איז אַ דערמאָנונג אַז אפילו די מערסט אַוואַנסירטע אַי פּלאַטפאָרמס זענען געבויט אויף לייַערס פון קאַנווענשאַנאַל קאַמפּיוטינג, נעטוואָרקינג און ווירטואַליזאַטיאָן. אויב די יסודות לייַערס זענען רידדעד מיט האָלעס, עס טוט נישט ענין ווי סאַפיסטאַקייטיד דיין אַי מאָדעל איז; די גאנצע סיסטעם בלייבט שפּירעוודיק. דער "AI" אַספּעקט פון דער געשיכטע איז כּמעט אַ דיסטראַקשאַן, אַ מיסדירעקטיאָן וואָס דראָז אונדזער בליק אַוועק פון די ראַטינג טימבערז אונטער די פּאַלישט פלאָרבאָרדז.

CISA's KEV Barrage: אַ קריטיש ינדיקאַטאָר

בשעת מיר זענען פאַרנומען מיט דעבאַטינג די עטישע ימפּלאַקיישאַנז פון סענטיענט טשאַטבאָץ און די נואַנסיז פון אַי זיכערקייַט, CISA איז דראַפּינג אַן אַנפּרעסידענטיד נומער פון אַקטיוולי עקספּלויטאַד וואַלנעראַביליטיז אין זיין באַוווסט עקספּלאָיטעד וואַלנעראַביליטיז (KEV) קאַטאַלאָג. דאָס איז נישט אַ טעאָרעטיש געניטונג. דאָס איז נישט אַ "לאַטע סאַמדיי" רשימה. דאָס איז אַ דרינגלעך "דיין הויז איז אויף פייַער * רעכט איצט *" רשימה.

אין די לעצטע וואָכן, CISA האט צוגעלייגט פילע איינסן, ברענגען די גאַנץ פון אַקטיוולי עקספּלויטאַד וואַלנעראַביליטיז צו אַ סטאַגערינג נומער אין אַ קורץ צייט [2]. דאָס איז ניט נאָר "זיכערקייט איז שלעכט"; דאָס איז אַ סיסטעמיק, עסקאַלייטינג קריזיס וואָס ימפּאַקטינג די זייער קריטיש פאַרנעמונג ווייכווארג וואָס לויפט אונדזער וועלט.

באַטראַכטן לעצטע אַדישאַנז צו די KEV קאַטאַלאָג:

• CVE-2023-46214: א ספּלונק ענטערפּרייז ווייַט קאָד דורכפירונג וואַלנעראַביליטי (CVSS 9.8) מיט אַ סיסאַ לאַטע טערמין, וואָס מאכט אַנפּאַטשט סיסטעמען העכסט שפּירעוודיק.
• CVE-2023-29357: א וואַלנעראַביליטי פון Microsoft SharePoint Server פּריווילעגיע עסקאַלירונג, וואָס אַפעקץ די באַקבאָון פון קאַונטלאַס פֿירמע ינטראַנץ.
• CVE-2023-42824: אַן עפּל יאָס/יפּאַדאָס קערן וואַלנעראַביליטי, שוין עקספּלויטאַד אין טאַרגעטעד אנפאלן, דעמאַנסטרייטינג אַז אפילו קאַנטראָולד יקאָוסיסטאַמז זענען נישט ימפּענאַטראַבאַל.
• CVE-2023-30799: א MikroTik RouterOS ווייַט קאָד דורכפירונג פלאָ, וואָס פּראַל אויף די ראָוטערס וואָס פאַרבינדן אַלץ, אָפט לינקס אַנפּאַטשט אין די דיפּאַסט עקן פון די נעץ.

דעם גיך-פייַער אַדישאַן פון אַקטיוולי עקספּלויטאַד נול-טעג צווישן הויפּט ווענדאָרס - מייקראָסאָפֿט, עפּל, ספּלונק, מיקראָטיק, לינוקס, דזשפראָג - פארלאנגט גלייך, פראַנטיק ופמערקזאַמקייט. דאָס איז נישט אַן אַלגעמיינע ווארענונג; עס איז אַ סירענע גלייך אין יעדער IT און זיכערהייט מאַנשאַפֿט. CISA's KEV רשימה איז ניט בלויז אַ פאָרשלאָג פֿאַר פעדעראלע יידזשאַנסיז; דאָס איז אַ קריטיש ווארענונג פֿאַר * אַלע * אָרגאַנאַזיישאַנז. איגנאָרירן עס אין דיין געפאַר.

די אילוזיע פון "AI Security" און די קאָס פון דיסטראַקטיאָן

דאָ איז די ומבאַקוועם אמת: די גרונט פלאָז אין אַי פּלאַטפאָרמס און די CISA KEV בעראַזש זענען ינטערקאַנעקטיד אַספּעקץ פון דער זעלביקער פּראָבלעם. זיי ביידע שרייען וועגן אַ פונדאַמענטאַל ברייקדאַון אין ווייכווארג זיכערהייט, אָבער אונדזער ינדאַסטרי ס קאָלעקטיוו אָנקוקן איז דיינדזשעראַסלי מיסאַליינד. מיר זענען אַזוי קאַפּטיווייטיד דורך די צוזאָג און געפאַר פון "AI" אַז מיר לאָזן די פונדאַמענטאַל דיגיטאַל ינפראַסטראַקטשער פוילן.

"AI זיכערהייט" איז געווארן אַ בוזזוואָרד, אַ נייַע גרענעץ פֿאַר קאַנסאַלטאַנץ און פּראָדוקט מאַנאַדזשערז. אבער וואָס איז עס, טאַקע? אָפט, עס איז נאָר * זיכערהייט * געווענדט צו אַי סיסטעמען. יאָ, אַי ינטראַדוסיז נייַ באַפאַלן וועקטאָרס און יינציק טשאַלאַנדזשיז, אָבער אַ באַטייטיק טייל פון "AI זיכערהייט" איז פשוט שטאַרק ינזשעניעריע, זיכער קאָדירונג פּראַקטיסיז און פלייַסיק פּאַטטשינג - די זעלבע שטאָפּן מיר האָבן שוין פיילינג פֿאַר דעקאַדעס. די VM אפגעזונדערטקייט אַרויסגעבן פריער דערמאנט איז אַ גאנץ בייַשפּיל: אַ קלאַסיש וואַלנעראַביליטי אַמפּלאַפייד דורך די קאַמפּלעקסיטי פון אַן אַי פּלאַטפאָרמע.

מיר בויען ינקרעדאַבלי קאָמפּלעקס אַי סיסטעמען אויף שפּיץ פון ינקריסינגלי שוואַך און אַקטיוולי עקספּלויטאַד יסודות. עס איז ווי מאַטיקיאַלאַסלי דיזיינינג אַ זיך-דרייווינג מאַשין מיט אַוואַנסירטע אַי נאַוויגאַציע, בשעת די ווילז פאַלן אַוועק און דער מאָטאָר איז ספּאַטערינג. דער פאָקוס אויף "AI זיכערהייט" אָפט פילז ווי אַ דיסטראַקשאַן, דיווערטינג רעסורסן און ופמערקזאַמקייט פון די מאַנדיין, אַנגלאַמאָראָוס, אָבער לעגאַמרע קריטיש אַרבעט פון סיקיורינג יגזיסטינג ינפראַסטראַקטשער.

זענען מיר אַזוי פאַרנומען מיט יאָגן די ווייַטער גרויס זאַך אַז מיר לאָזן די קראַנט גרויס זאכן ברענען? די לויטער באַנד און ברייט פון די KEV טרעץ אָנווייַזן אַ סיסטעמיק און דרינגלעך אַרויסרופן צו די פונדאַמענטאַל דיגיטאַל ינפראַסטראַקטשער, אַנדערש פון די פריערדיקע אַי-סענטריק נול-טאָג דיסקוסיעס. דאָס איז נישט וועגן דער צוקונפֿט פון אַי; עס איז וועגן די איצטיקע שטאַט פון אונדזער דיגיטאַל עקזיסטענץ.

וואָס איצט, CTOs?

פֿאַר ינזשעניעריע פירט און קטאָס, דער אָנזאָג איז שטרענג און באַלדיק:

1. ** פּרייאָראַטייז די KEV רשימה: ** פאַלן אַלץ. פאַרריכטן די וואַלנעראַביליטיז. מאַנדאַט עס. דורכפירן עס. דאָס איז נישט אַפּשאַנאַל.
2. ** דו זאלסט נישט זיין סוועפּט אַרויף אין די "AI זיכערהייט" כייפּ אויף די קאָסט פון פאַנדאַמענטאַלז: ** יאָ, פֿאַרשטיין די יינציק ריסקס פון אַי, אָבער געדענקען אַז שטאַרק ינזשעניעריע, זיכער אַנטוויקלונג לייפסייקאַלז, און פלייַסיק פּאַטטשינג זענען נאָך דיין בעסטער פאַרטיידיקונג. א פאַנטאַזיע אַי מאָדעל וועט נישט ראַטעווען איר אויב אַ אַטאַקער אָונז דיין אַנדערלייינג VM אָדער דיין שאַרעפּאָינט סערווער.
3. ** ינוועסטירן אין פאָונדאַטיאָנאַל זיכערהייט: ** דעם מיטל מער ווי נאָר בייינג אן אנדער זיכערהייט געצייַג. עס מיטל ינוועסטינג אין מענטשן, פּראַסעסאַז און אַ קולטור וואָס וואַלועס זיכערהייט ווי אַ האַרץ ינזשעניעריע דיסציפּלין, נישט אַ אַפטערטהאָוגה. זשוק ברייטהאַרציקייט מגילה זענען ויסגעצייכנט, אָבער זיי זאָל זיין אַ זיכערקייַט נעץ, נישט דיין ערשטיק זיכערהייט סטראַטעגיע.

דער אינצידענט מיט אַי פּלאַטפאָרמע ינפראַסטראַקטשער איז אַ וועקן-אַרויף רופן, אָבער די CISA KEV רשימה איז די דרינגלעך שרעק. מיר דאַרפֿן צו האַלטן באַווונדערן די לעצטע אַי זיכערהייט ינישאַטיווז און אָנהייבן פּאַטטשינג די האָלעס אין אונדזער פאַקטיש דיפענסיז. די צוקונפֿט פון אַי איז יקסייטינג, אָבער די איצטיקע שטאַט פון אונדזער זיכערהייט איז טעראַפייינג.

# קוואלן

[1] אַי זיכערהייט איז אַ באַלאַגאַן און עס וועט זיין ערגער - https://techcrunch.com/2023/10/11/ai-security-is-a-mess-and-its-about-to-get-worse/ [2] באַוווסט עקספּלאָיטעד וואַלנעראַביליטיז קאַטאַלאָג - https://www.cisa.gov/known-exploited-vulnerabilities-catalog