Вялікі тэхнічны разлік: калі мара AI сустракаецца з кашмарам нулявога дня
Нягледзячы на тое, што ўвага індустрыі тэхналогій часта засяроджваецца на паступовых абнаўленнях LLM і філасофскіх дэбатах вакол штучнага інтэлекту, разгортваецца сур'ёзная праверка рэальнасці. Гэта не проста "выпраўленне" рынку; гэта сістэмная пераацэнка каштоўнасці, эфектыўнасці і рызыкі, якая адбываецца, калі складаныя пагрозы нястомна нацэльваюцца на нашу лічбавую інфраструктуру. Забудзьцеся аб мяккай пасадцы; апошнія гады выявілі глыбокую праблему ў тэхналагічным сектары.
Крытычнай праблемай, якую часта забываюць, з'яўляецца няспыннае скарачэнне талентаў. Толькі ў 2023 годзе было ліквідавана больш за 263 000 тэхнічных працоўных месцаў [1]. Гэта не абмяжоўваецца цяжкасцямі стартапаў; буйныя гульцы, такія як Google, Amazon, Microsoft і Meta, усе значна скарацілі сваю працоўную сілу. Гэта шырокая ўстойлівая тэндэнцыя, а не адзінкавы выпадак.
Парадокс штучнага інтэлекту: эфектыўнасць якой цаной?
Апавяданне, вядома, эфектыўнасць. «Аптымізацыя для росту», «рацыяналізацыя аперацый», «пераразмеркаванне рэсурсаў на стратэгічныя прыярытэты» — чытайце: AI. Нам сказалі, што штучны інтэлект створыць новыя працоўныя месцы, але зараз здаецца падазрона, што ён замяняе існуючыя або, па меншай меры, дазваляе кампаніям рабіць больш з меншымі расходамі. Абяцанне прадукцыйнасці, кіраванай штучным інтэлектам, выконваецца не за кошт пашырэння працоўнай сілы, а за кошт яе скарачэння.
Справа не толькі ў эканамічных цыклах. Гэта фундаментальны зрух у тым, як каштоўнасць успрымаецца і дастаўляецца. Кампаніі разумеюць, што гады гіпер-росту прывялі да раздуцця, лішніх роляў і няўстойлівай хуткасці спальвання. Цяпер, калі штучны інтэлект абяцае аўтаматызаваць усё, пачынаючы ад генерацыі кода і заканчваючы падтрымкай кліентаў, сякера больш за ўсё кладзецца на тыя ролі, якія лічацца «неістотнымі» або, дакладней, «аўтаматычнымі».
Іронія адчувальная. Мільярды ўліваюцца ў даследаванні і разгортванне штучнага інтэлекту, імкнучыся да наступнага тэхналагічнага рубяжа, адначасова дэмантуючы тыя самыя каманды, якія адказваюць за стварэнне і падтрыманне базавай інфраструктуры. Такі падыход нагадвае будаўніцтва складанага будынка на няўстойлівым падставе.
Бліцкрыг нулявога дня: шматфронтавая кібервайна
Калі казаць пра разбураюцца асновы, давайце пагаворым пра беспрэцэдэнтны ўсплёск уразлівасцяў, якія актыўна выкарыстоўваюцца. Гэта не агульнае папярэджанне; гэта неадкладны, шматфронтавы кіберкрызіс.
Apple, якую часта хваляць за сваю бяспеку, раскрыла некалькі актыўна эксплуатаваных нулявых дзён у апошнія месяцы, такіх як CVE-2024-23225, якія выкарыстоўваюцца ў «надзвычай дасканалых атаках» [2]. У Google Chrome, паўсюдным шлюзе Інтэрнэту, толькі ў гэтым годзе было шмат актыўна выкарыстаных нулявых дзён, у тым ліку CVE-2024-4671 і CVE-2024-4761, абодва разглядаліся ў траўні [3]. Такая хуткая паслядоўнасць крытычных недахопаў паказвае, што службы бяспекі пастаянна рэагуюць на новыя пагрозы.
Агенцтва кібербяспекі і бяспекі інфраструктуры (CISA) паслядоўна дадавала ў свой каталог новыя вядомыя эксплуатаваныя ўразлівасці [4]. Сярод іх недахоп брандмаўэра Zyxel (CVE-2023-28771), выкарыстаны «кітайскамоўным акцёрам» для ўзлому амаль 1000 прылад, і F5 BIG-IP RCE (CVE-2023-46747). CISA часта выдае тэрміновыя дырэктывы, часта з кароткімі тэрмінамі выпраўлення, для федэральных агенцтваў, каб выправіць крытычна важную інфраструктуру супраць складаных пагроз, якія падтрымліваюцца дзяржавай. Таксама актыўна выкарыстоўвалася ўразлівасць Veeam Backup & Replication (CVE-2023-27532) з публічным доказам канцэпцыі [4].
Гэта не праца хакераў-аматараў; гэта прафесійныя праціўнікі з добрымі рэсурсамі, якія сістэматычна атакуюць крытычную інфраструктуру, карпаратыўныя сістэмы і прылады канчатковых карыстальнікаў. Яны выкарыстоўваюць уразлівасці ў той момант, калі іх выяўляюць ці нават раней.
Нябачная сувязь: худыя каманды, дзіравая абарона
Цяпер злучыце кропкі. Ці супадзенне, што мы назіраем рэкордныя звальненні ў той жа час, калі мы сутыкаемся з беспрэцэдэнтнай колькасцю складаных уразлівасцяў, якія актыўна выкарыстоўваюцца? Гэтую карэляцыю цяжка ігнараваць.
Калі скарачаецца больш за чвэрць мільёна працоўных месцаў, гэта не проста «мёртвы груз». Гэта азначае страту інстытуцыйных ведаў, вопытных інжынераў па бяспецы, старанных груп кантролю якасці і тых самых асоб, якія адказваюць за выяўленне, выпраўленне і рэагаванне на гэтыя пагрозы. Астатнія каманды не працуюць, часта вымушаныя аддаваць перавагу хуткасці функцыянавання, а не важнай гігіене бяспекі. Гэта стварае асяроддзе, у якім мантра "рухайцеся хутка і ламайце рэчы" зараз пагражае аголеннем крытычна важных сістэм.
Імкненне да эфектыўнасці, кіраванай штучным інтэлектам, хоць і прыносіць карысць, але стварае небяспечны дысбаланс. Мы аптымізуем вынікі, грэбуючы чалавечым капіталам і надзейнай сістэмай бяспекі, якая ляжыць у аснове ўсяго. У той час як рынак талентаў можа быць больш жорсткім для спецыялістаў шырокага профілю, попыт на вузкаспецыялізаваных спецыялістаў па бяспецы, рэагавання на інцыдэнты і паляўнічых за пагрозамі застаецца выключна высокім. Тым не менш, ці сапраўды кампаніі ўкладваюць грошы ў гэтыя важныя ролі, ці яны проста спадзяюцца, што іх новыя інструменты штучнага інтэлекту магічным чынам вырашаць іх праблемы бяспекі? Апошняе - нерэальныя чаканні.
Заклік да прагматызму
Для тэхнічных дырэктараў і вядучых інжынераў гэта не проста навіна, якую трэба бегла праглядзець. Гэта міргае чырвонае святло.
- Паўторна ацаніце сваю "эфектыўнасць" гульні: Ці вашы стратэгіі звальнення сапраўды робяць вас больш устойлівымі, ці вы ствараеце адзінкавыя кропкі адмовы і прабелы ў бяспецы? Кошт парушэння значна перавышае эканомію ад некалькіх скарачэнняў персаналу.
- Расстаўце прыярытэт бяспецы з сапраўднай прыхільнасцю: Асноўныя метады бяспекі, такія як выпраўленне, надзейнае рэагаванне на інцыдэнты і актыўны пошук пагроз, не з'яўляюцца дадатковай раскошай; яны экзістэнцыяльныя патрабаванні. Калі CISA выдае трохдзённы тэрмін выпраўлення, вашы сістэмы павінны былі быць абаронены задоўга да гэтага.
- Інвестуйце ў сваіх людзей: Рынак талентаў для інжынераў па бяспецы і інфраструктуры вышэйшага ўзроўню становіцца толькі больш гарачым. Утрымлівайце іх, навучайце, пашырайце магчымасці. Ваша стратэгія штучнага інтэлекту бескарысная, калі вашы асноўныя сістэмы скампраметаваны.
- Патрабуйце лепшага ад пастаўшчыкоў: Apple, Google, F5, Zyxel - гэта не незразумелыя гульцы. Іх уразлівасць ўплывае на мільёны. Настойвайце на больш бяспечных прадуктах і больш хуткім і празрыстым выпраўленні.
Індустрыя тэхналогій знаходзіцца на крытычным этапе. Мы можам працягваць імкненне да эфектыўнасці, кіраванай штучным інтэлектам, патэнцыйна аслепленыя яго абяцаннямі, у той час як нашы лічбавыя асновы размываюцца, а нашы сістэмы сутыкаюцца з актыўнай эксплуатацыяй. У якасці альтэрнатывы мы можам супрацьстаяць гэтым сістэмным праблемам наўпрост, пераставіўшы прыярытэты на стабільнасць, надзейную бяспеку і незаменны чалавечы вопыт, які сапраўды будуе і абараняе наш лічбавы свет. Выбар і яго глыбокія наступствы належаць нам.
Крыніцы
[1] Layoffs.fyi — https://layoffs.fyi/ [2] Абнаўленні бяспекі Apple — https://support.apple.com/en-us/HT214080 [3] Выпускі Google Chrome — https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [4] Каталог вядомых уразлівасцей CISA — https://www.cisa.gov/known-exploited-vulnerabilities-catalog