સમ્રાટના નવા AI સુરક્ષા કપડાં: જ્યારે અમે મ્યુઝ પર નજર કરીએ છીએ, ત્યારે ફાઉન્ડેશન તૂટી જાય છે
ચાલો સીધા થઈએ: ટેક ઉદ્યોગમાં એક નવો જુસ્સો છે, અને તેને "AI સુરક્ષા" કહેવામાં આવે છે. અમે બધાને પ્રોમ્પ્ટ ઈન્જેક્શન, મોડેલ પોઈઝનિંગ અને મોટા ભાષાના મોડલમાંથી ડેટા એક્સફિલ્ટરેશન પર ધ્યાન કેન્દ્રિત કરવાની અપેક્ષા રાખીએ છીએ. દરમિયાન, વાસ્તવિક, ભૌતિક, ડિજિટલ ઈન્ફ્રાસ્ટ્રક્ચર જે અમારા સાહસોને એકસાથે પકડી રાખે છે તે શૂન્ય-દિવસના અવિરત બેરેજ દ્વારા સક્રિયપણે આગ લગાવી રહ્યું છે. AI ઈન્ફ્રાસ્ટ્રક્ચરને સુરક્ષિત કરવામાં વ્યાપક પડકારોનું ઉદાહરણ આપતી મુખ્ય AI પ્લેટફોર્મ સાથે સંકળાયેલી તાજેતરની ઘટના, આ ખતરનાક દ્વિભાષા [1] પર પ્રકાશ પાડે છે.
મેટા, એક કંપની જે તેના "મૂવ ફાસ્ટ એન્ડ બ્રેક થિંગ્સ" એથોસ માટે જાણીતી છે, તેણે તેના AI પ્લેટફોર્મ્સમાં સુરક્ષા ખામીઓ પર તપાસનો સામનો કરવો પડ્યો છે. દાખલા તરીકે, બગ બાઉન્ટી પ્રોગ્રામે વપરાશકર્તાની વર્ચ્યુઅલ મશીનોને ઉજાગર કરતી નોંધપાત્ર ખામીનો પર્દાફાશ કર્યો. આ કોઈ સૂક્ષ્મ ડેટા લિકેજ અથવા હોંશિયાર પ્રોમ્પ્ટ બાયપાસ નહોતું, પરંતુ મૂળભૂત, ઈન્ફ્રાસ્ટ્રક્ચર-લેવલની ભૂલ હતી જેણે વપરાશકર્તા VM ને ખુલ્લા પાડ્યા હતા. આ કોઈ વિશિષ્ટ AI-વિશિષ્ટ નબળાઈ નથી; આ મૂળભૂત VM આઇસોલેશન છે, જે સમસ્યા અમે મોટે ભાગે એક દાયકા પહેલા કાબૂમાં લેવાનું વિચાર્યું હતું. તે ગોપનીયતા અને ડેટા અખંડિતતાના ગંભીર ઉલ્લંઘનનું પ્રતિનિધિત્વ કરે છે, જે વપરાશકર્તાઓ અને સંભવિત એન્ટરપ્રાઇઝ ક્લાયન્ટ્સને સીધી અસર કરે છે જે આવા AI ઇન્ફ્રાસ્ટ્રક્ચરનો લાભ લે છે.
આ પ્રકારની ખામી, વાસ્તવિક રીતે અસરકારક હોવા છતાં, નવલકથા "AI સુરક્ષા" પડકાર જેવી ઓછી અને AI ટોપી પહેરીને ક્લાસિક ઇન્ફ્રાસ્ટ્રક્ચર નિષ્ફળતા જેવી લાગે છે. તે એક રીમાઇન્ડર છે કે સૌથી અદ્યતન AI પ્લેટફોર્મ પણ પરંપરાગત ગણતરી, નેટવર્કિંગ અને વર્ચ્યુઅલાઈઝેશનના સ્તરો પર બનેલ છે. જો તે પાયાના સ્તરો છિદ્રોથી ભરેલા હોય, તો તમારું AI મોડેલ કેટલું અત્યાધુનિક છે તેનાથી કોઈ ફરક પડતો નથી; સમગ્ર સિસ્ટમ સંવેદનશીલ રહે છે. આ વાર્તાનું "AI" પાસું લગભગ એક વિક્ષેપ છે, એક ખોટી દિશા જે પોલિશ્ડ ફ્લોરબોર્ડની નીચે સડતા લાકડામાંથી આપણી નજર દૂર કરે છે.
CISA ના KEV બેરેજ: એક જટિલ સૂચક
જ્યારે અમે સંવેદનશીલ ચેટબોટ્સની નૈતિક અસરો અને AI સલામતીની ઘોંઘાટ પર ચર્ચામાં વ્યસ્ત છીએ, ત્યારે CISA તેની જાણીતી શોષિત નબળાઈઓ (KEV) સૂચિમાં સક્રિય રીતે શોષિત નબળાઈઓની અભૂતપૂર્વ સંખ્યાને છોડી રહી છે. આ કોઈ સૈદ્ધાંતિક કસરત નથી. આ "પેચ કોઈ દિવસ" સૂચિ નથી. આ એક તાકીદનું છે "તમારા ઘરમાં આગ લાગી છે અત્યારે" સૂચિ.
તાજેતરના સપ્તાહોમાં, CISA એ અસંખ્ય એન્ટ્રીઓ ઉમેરી છે, જે સક્રિય રીતે શોષિત નબળાઈઓની સંખ્યાને ટૂંકા ગાળામાં આશ્ચર્યજનક સંખ્યામાં લાવી છે [2]. આ માત્ર "સુરક્ષા ખરાબ છે" નથી; આ એક પ્રણાલીગત, વધતી કટોકટી છે જે આપણા વિશ્વને ચલાવતા અત્યંત જટિલ એન્ટરપ્રાઇઝ સોફ્ટવેરને અસર કરે છે.
KEV કૅટેલોગમાં તાજેતરના ઉમેરાઓનો વિચાર કરો:
- CVE-2023-46214: CISA પેચ ડેડલાઈન સાથે Splunk Enterprise રિમોટ કોડ એક્ઝિક્યુશન નબળાઈ (CVSS 9.8), અનપેચ્ડ સિસ્ટમ્સને અત્યંત સંવેદનશીલ બનાવે છે.
- CVE-2023-29357: માઇક્રોસોફ્ટ શેરપોઇન્ટ સર્વર વિશેષાધિકાર વૃદ્ધિની નબળાઈ, અસંખ્ય કોર્પોરેટ ઇન્ટ્રાનેટ્સની કરોડરજ્જુને અસર કરે છે.
- CVE-2023-42824: Apple iOS/iPadOS કર્નલ નબળાઈ, લક્ષિત હુમલાઓમાં પહેલેથી જ ઉપયોગમાં લેવાય છે, જે દર્શાવે છે કે નિયંત્રિત ઇકોસિસ્ટમ્સ પણ અભેદ્ય નથી.
- CVE-2023-30799: એક MikroTik RouterOS રીમોટ કોડ એક્ઝિક્યુશન ખામી, જે રાઉટર્સને અસર કરે છે જે દરેક વસ્તુને જોડે છે, ઘણીવાર નેટવર્કના સૌથી ઊંડા ખૂણામાં પેચ કર્યા વિના રહે છે.
માઈક્રોસોફ્ટ, એપલ, સ્પ્લંક, માઈક્રોટિક, લિનક્સ, જેફ્રોગ - મુખ્ય વિક્રેતાઓમાં સક્રિય રીતે શોષિત શૂન્ય-દિવસનો આ ઝડપી-ફાયર ઉમેરો તાત્કાલિક, ઉગ્ર ધ્યાનની માંગ કરે છે. આ સામાન્ય ચેતવણી નથી; તે દરેક IT અને સુરક્ષા ટીમ પર સીધો જ સાયરન વગાડે છે. CISA ની KEV યાદી માત્ર ફેડરલ એજન્સીઓ માટેનું સૂચન નથી; તે તમામ સંસ્થાઓ માટે ગંભીર ચેતવણી છે. તમારા જોખમે તેને અવગણો.
"AI સુરક્ષા" નો ભ્રમ અને વિક્ષેપની કિંમત
અહીં અસ્વસ્થતાજનક સત્ય છે: AI પ્લેટફોર્મ અને CISA KEV બેરેજમાં પાયાની ખામીઓ સમાન સમસ્યાના પરસ્પર જોડાયેલા પાસાઓ છે. તેઓ બંને સૉફ્ટવેર સુરક્ષામાં મૂળભૂત ભંગાણ વિશે ચીસો પાડે છે, પરંતુ અમારા ઉદ્યોગની સામૂહિક ત્રાટકશક્તિ ખતરનાક રીતે ખોટી છે. અમે "AI" ના વચન અને જોખમથી એટલા મોહિત થયા છીએ કે અમે પાયાના ડિજિટલ ઈન્ફ્રાસ્ટ્રક્ચરને સડવા દઈએ છીએ.
"AI સુરક્ષા" એ એક બઝવર્ડ બની ગયો છે, જે કન્સલ્ટન્ટ્સ અને પ્રોડક્ટ મેનેજરો માટે નવી સીમા છે. પરંતુ તે ખરેખર શું છે? મોટે ભાગે, તે AI સિસ્ટમ પર માત્ર સુરક્ષા લાગુ પડે છે. હા, AI નવા હુમલા વેક્ટર્સ અને અનન્ય પડકારો રજૂ કરે છે, પરંતુ "AI સુરક્ષા" નો નોંધપાત્ર ભાગ ફક્ત મજબૂત એન્જિનિયરિંગ, સુરક્ષિત કોડિંગ પ્રેક્ટિસ અને મહેનતું પેચિંગ છે - તે જ સામગ્રી જેમાં આપણે દાયકાઓથી નિષ્ફળ રહ્યા છીએ. અગાઉ ઉલ્લેખિત VM આઇસોલેશન ઇશ્યુ એ એક સંપૂર્ણ ઉદાહરણ છે: AI પ્લેટફોર્મની જટિલતા દ્વારા વિસ્તૃત ક્લાસિક નબળાઈ.
અમે વધુને વધુ નાજુક અને સક્રિય રીતે શોષિત પાયાની ટોચ પર અવિશ્વસનીય જટિલ AI સિસ્ટમ્સ બનાવી રહ્યા છીએ. તે અદ્યતન AI નેવિગેશન સાથે સ્વ-ડ્રાઇવિંગ કારને સાવચેતીપૂર્વક ડિઝાઇન કરવા જેવું છે, જ્યારે પૈડા પડી રહ્યાં છે અને એન્જિન સ્ફટર થઈ રહ્યું છે. "AI સિક્યોરિટી" પર ધ્યાન કેન્દ્રિત કરવું ઘણીવાર વિક્ષેપ જેવું લાગે છે, સંસાધનો અને ધ્યાન ભૌતિક, અદ્ભુત, પરંતુ અસ્તિત્વમાંના માળખાને સુરક્ષિત કરવા માટે એકદમ જટિલ કાર્યથી દૂર કરે છે.
શું આપણે પછીની મોટી વસ્તુનો પીછો કરવામાં એટલા વ્યસ્ત છીએ કે આપણે વર્તમાન મોટી વસ્તુઓને બળી જવા દઈએ છીએ? KEV ધમકીઓની તીવ્ર માત્રા અને પહોળાઈ પાયાના ડિજિટલ ઈન્ફ્રાસ્ટ્રક્ચર માટે પ્રણાલીગત અને તાત્કાલિક પડકાર સૂચવે છે, જે અગાઉની AI-કેન્દ્રિત શૂન્ય-દિવસની ચર્ચાઓથી અલગ છે. આ AI ના ભવિષ્ય વિશે નથી; તે આપણા ડિજિટલ અસ્તિત્વની વર્તમાન સ્થિતિ વિશે છે.
હવે શું, સીટીઓ?
એન્જિનિયરિંગ લીડ્સ અને સીટીઓ માટે, સંદેશ સખત અને તાત્કાલિક છે:
- KEV સૂચિને પ્રાધાન્ય આપો: બધું છોડી દો. આ નબળાઈઓને પેચ કરો. તેને આદેશ આપો. તેને લાગુ કરો. આ વૈકલ્પિક નથી.
- મૂળભૂત બાબતોના ભોગે "AI સુરક્ષા" હાઇપમાં ડૂબી જશો નહીં: હા, AI ના અનોખા જોખમોને સમજો, પરંતુ યાદ રાખો કે મજબૂત એન્જિનિયરિંગ, સુરક્ષિત વિકાસ જીવનચક્ર અને મહેનતુ પેચિંગ હજી પણ તમારું શ્રેષ્ઠ સંરક્ષણ છે. જો કોઈ હુમલાખોર તમારા અંતર્ગત VM અથવા તમારા SharePoint સર્વરની માલિકી ધરાવતો હોય તો ફેન્સી AI મોડલ તમને બચાવશે નહીં.
- ફાઉન્ડેશનલ સિક્યોરિટીમાં રોકાણ કરો: આનો અર્થ માત્ર અન્ય સુરક્ષા સાધન ખરીદવા કરતાં વધુ છે. તેનો અર્થ એ છે કે લોકો, પ્રક્રિયાઓ અને સંસ્કૃતિમાં રોકાણ કરવું જે સુરક્ષાને કોર એન્જીનીયરીંગ શિસ્ત તરીકે મહત્વ આપે છે, પછીનો વિચાર નહીં. બગ બાઉન્ટી પ્રોગ્રામ્સ ઉત્તમ છે, પરંતુ તે તમારી પ્રાથમિક સુરક્ષા વ્યૂહરચના નહીં પણ સલામતી જાળ હોવી જોઈએ.
AI પ્લેટફોર્મ ઈન્ફ્રાસ્ટ્રક્ચર સાથે સંકળાયેલી ઘટના એ વેક-અપ કોલ છે, પરંતુ CISA KEV લિસ્ટ એ તાત્કાલિક એલાર્મ છે. અમારે નવીનતમ AI સુરક્ષા પહેલોની પ્રશંસા કરવાનું બંધ કરવાની જરૂર છે અને અમારા વાસ્તવિક સંરક્ષણમાં છિદ્રોને પેચ કરવાનું શરૂ કરવું પડશે. AIનું ભવિષ્ય રોમાંચક છે, પરંતુ આપણી સુરક્ષાની વર્તમાન સ્થિતિ ભયાનક છે.
સ્ત્રોતો
[1] AI સુરક્ષા એક ગડબડ છે, અને તે વધુ ખરાબ થવા જઈ રહી છે — https://techcrunch.com/2023/10/11/ai-security-is-a-mess-and-its-about-to-get-worse/ [2] જાણીતા શોષિત નબળાઈઓ કેટેલોગ — https://www.cisa.gov/known-exploited-vulnerabilities-catalog