Nová AI cisára a pod ňou hnijúca základňa
Pamätáte si, keď nás AI všetkých mala zachrániť? Ukázalo sa, že záchrancovia teraz žiadajú časový limit. Len nedávno samotní architekti našej budúcnosti riadenej AI – „hraniční“ výskumníci a finančné ťažké váhy – spoločne stlačili brzdu a požadovali spomalenie vývoja v dôsledku „stupňujúcich sa obáv o bezpečnosť“ [1]. Trh, vždy neomalený nástroj, zareagoval kašľom na pľúca: akcie čipov a hlavní hráči AI sa prepadli [2]. Peking sa predvídateľne posmieval varovaniam, zatiaľ čo giganti v Soule sa vyhýbali platbám vopred za budúci pokrok v AI [2].
Toto nie je len filozofická debata o veži zo slonoviny. Ide o seizmický posun, verejné priznanie bezohľadnosti zo strany elity tohto odvetvia. A úprimne povedané, je to až príliš pohodlné.
Pauza AI: Altruizmus alebo presilová hra?
Povedzme si to jasne: keď si ľudia, ktorí raketu postavili, zrazu uvedomia, že zabudli na padáky po štarte, nie je to moment hlbokého etického prebudenia. Je to oneskorený, samoúčelný ťahák. Toto nie sú idealisti so širokými očami; toto sú titáni, ktorí tlačia pedál na kov, ženú exponenciálny rast a dominanciu na trhu. Teraz, keď sa vo veľkom vynára strašidlo „nepredvídaných dôsledkov“ – a možno ešte cynickejšie – uvedomenie si, že súčasné tempo je neudržateľné alebo že potrebujú upevniť svoj náskok – volajú po kolektívnom nádychu.
Reakcia trhu hovorí. Pokles zásob čipov nie je len o strachu; ide o bezprostredné finančné dôsledky potenciálneho spomalenia. Odpor Pekingu? Jasný signál, že národná strategická výhoda prevyšuje abstraktné obavy o bezpečnosť. A výrobcovia čipov v Soule odmietajú platby vopred? To je zvuk kapitálu spochybňujúceho dlhodobú stabilitu a ziskovosť náhle neistej budúcnosti.
Pre nás, CTO a inžinierov, sa to priamo premieta do chaotickej krajiny. Očakávajte zrýchlenie regulačných zásahov, čo si vynúti zmenu priorít projektov AI. Etos „pohybuj sa rýchlo a rozbi veci“ pre AI je oficiálne mŕtvy, nahradilo ho zúrivé hľadanie rámcov „etického vývoja AI“, ktoré mali byť zapečené od prvého dňa. Investície budú opatrnejšie, stratégie sa budú otáčať a áno, trhy práce pocítia chlad, keď zlatá horúčka ustúpi odmeranejšiemu a dúfajme, že aj zodpovednejšiemu prístupu. Ale nemýľme si to s čistým altruizmom. Táto „pauza“ je rovnako o kontrole a rekalibrácii trhu, ako aj o skutočnej bezpečnosti.
Kým Titani diskutujú, Nadácia sa rozpadá
Teraz, keď má elita AI svoju existenčnú krízu a diskutuje o etike budúcej superinteligencie, poďme sa rozprávať o skutočnej, veľmi súčasnej a úplne katastrofickej bezpečnostnej kríze, ktorá sa odohráva práve teraz.
Tento týždeň CISA pridala niekoľko nových CVE do svojho katalógu známych zneužitých zraniteľností [3]. Hovoríme o potvrdenom koreňovom RCE v Cisco Secure Email Gateway (CVE-2023-20269) [4], prechode cesty CVSS 10.0 v GitLab (CVE-2023-2825) [3] a nedávno opravenom nultom dni prehliadača Chrome (CVE-2023-4863), ktorý si vyžiadal okamžitú pozornosť [3]
Ale skutočným úderom, ktorý by mal prinútiť každého bezpečnostného profesionála kričať do prázdna, je pretrvávajúca hrozba základných nedostatkov. Zvážte CVE-2021-1647, chybu zabezpečenia eskalácie miestnych privilégií v nástroji Microsoft Defender Malware Protection Engine [5]. Toto nebola nejaká nejasná chyba; mala verejný dôkaz o koncepcii a bola aktívne využívaná vo voľnej prírode, čo poukazuje na to, ako môžu byť kritické komponenty našej digitálnej obrany ohrozené a môžu zostať istý čas zraniteľné.
Nechajte to zapadnúť. Kým diskutujeme o etike vnímania AI, ukázalo sa, že samotný softvér navrhnutý na ochranu našich koncových bodov, základná vrstva našej digitálnej obrany, obsahuje verejne známe, aktívne využívané chyby, ktoré umožňujú útočníkovi zvýšiť privilégiá. Je to ako dohadovať sa o filozofických dôsledkoch warp pohonu, zatiaľ čo vášmu autu zlyhávajú brzdy a horí motor.
Reckoning: Dve strany tej istej mince
Toto nie sú samostatné príbehy. Sú to dve strany tej istej hlboko chybnej mince: technologický priemysel, ktorý dôsledne uprednostňuje rýchlosť, novosť a vnímanú inováciu pred základnou bezpečnosťou, stabilitou a zodpovednosťou.
Náhle volanie lídrov AI na spomalenie je reaktívnym, samoúčelným pokusom o nápravu kurzu po, čo už vypustili do divočiny silné, zle pochopené systémy. Je to priznanie, že mantra „pohybuj sa rýchlo a rozbi veci“, keď sa aplikuje na technológiu, ktorá môže zmeniť svet, je nielen nezodpovedná, ale aj nebezpečná.
Útok nultého dňa, najmä kritická zraniteľnosť Defenderu, je priamym bolestivým dôsledkom rovnakého zmýšľania aplikovaného na základné IT. Je to výsledok kultúry, ktorá často považuje bezpečnosť za dodatočný nápad, začiarkavacie políčko zhody alebo nákladové stredisko, a nie za integrálnu súčasť každého jednotlivého produktu a systému, o ktorej nemožno vyjednávať. Sme tak zaneprázdnení prenasledovaním ďalšieho lesklého objektu – ďalšieho LLM, ďalšieho agenta AI –, že sme nechali hniť celú zem pod našimi nohami.
Pre CTO a vedúcich inžinierov je správa strohá a okamžitá. Prestaňte naháňať každý trend AI, ktorý prekračuje váš informačný kanál. Zdvojnásobte základy. Uprednostňujte opravy, najmä pre kritické, aktívne využívané zraniteľnosti, ako sú tie v Cisco, GitLab a pretrvávajúca hrozba, ktorej príkladom sú minulé LPE Defender. Implementujte robustné zmiernenia. Požadujte od svojich predajcov zodpovednosť za ich bezpečnostný postoj, nielen za ich plán funkcií.
Prepad trhu a neriešené základné bezpečnostné problémy nie sú len novinky. Sú zúčtovaním. Technologický svet, ktorý je príliš rýchly, príliš bezohľadný a nakoniec príliš exponovaný. Je čas dospieť, zabezpečiť naše základy a potom, až potom, opatrne zvážiť ďalšiu hranicu.
Zdroje
[1] Future of Life Institute – Pause Giant AI Experiments: An Open Letter – https://futureoflife.org/open-letter/pause-giant-ai-experiments/ [2] CNBC – experti na AI vyzývajú na prerušenie vývoja pokročilých systémov AI – https://www.cnbc.com/2023/03/29/ai-experts-call-for-pause-in-development-of-advanced-ai-systems.html [3] CISA – Katalóg známych zneužitých zraniteľností – https://www.cisa.gov/known-exploited-vulnerabilities-catalog [4] Cisco Security Advisory – Cisco Secure Email and Web Manager, Cisco Email Security Appliance a Cisco Web Security Appliance slabé miesta – https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-sma-rce-q5Q8SX [5] Microsoft Security Response Center – Chyba zabezpečenia eskalácie miestnych oprávnení v programe Microsoft Defender – https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1647