Нулявыя дні і нулявы кантроль: гісторыя пра дзве тэхналагічныя рэальнасці
Уявіце, што ваша каманда SOC з затуманенымі вачыма глядзіць на міргаючы чырвоны сігнал трывогі. Зараз 3 гадзіны ночы ў кастрычніку 2023 года, і навіны не вельмі добрыя: два крытычныя нулявыя дні ў вашым Citrix NetScaler ADC і шлюзе актыўна эксплуатуюцца, што дазваляе аддаленае выкананне кода (RCE), з прыстасаванымі шкоднаснымі праграмамі, якія назіраюцца ў дзікай прыродзе. Каталог CISA Known Exploited Vulnerabilities (KEV) толькі што дадаў іх [1, 2, 3, 4]. Гэта не тэарэтычная пагроза; гэта значны міжнародны інцыдэнт, які ўплывае на важную інфраструктуру прадпрыемства ў дзяржаўным, фінансавым, адукацыйным і юрыдычным сектарах Паўночнай Амерыкі і Еўропы. У той час як вашыя каманды спрабуюць спыніць крывацёк, люта робяць латкі і пачынаюць судова-медыцынскія расследаванні таго, што можа быць катастрафічным узломам, выпадае яшчэ адзін загаловак: прэзідэнт Трамп заключыў «добраахвотнае пагадненне» з вядучымі тэхналагічнымі фірмамі для распрацоўкі штучнага інтэлекту, абяцаючы самакантроль галіны [5].
Супастаўленне рэзка недарэчнае. З аднаго боку, мы сутыкаемся з жорсткай, бясспрэчнай рэальнасцю нашага цяперашняга лічбавага асяроддзя: пастаянная барацьба з высокімі стаўкамі супраць дасканалых праціўнікаў, якія выкарыстоўваюць фундаментальныя недахопы ў самой інфраструктуры, якая ляжыць у аснове нашага сучаснага свету. З іншага боку, палітычнае відовішча, якое сведчыць аб тым, што будучыняй самых трансфармацыйных, але вельмі нявызначаных тэхналогій можа бяспечна кіраваць тая ж галіна, якая пастаянна змагаецца з базавай бяспекай і этычным самакіраваннем.
Катастрофа Citrix: сімптом больш глыбокага гніення
Давайце растлумачым: нулявыя дні Citrix, такія як CVE-2023-4966 (вядомы як Citrix Bleed) і CVE-2023-3519, з'яўляюцца не проста «яшчэ адной уразлівасцю». Яны ўяўляюць сабой неадкладны крызіс у цэнтры апрацоўкі дадзеных, прамую бесперапынную кампанію нападу, якая патрабуе неадкладнага рэагавання з усіх бакоў [1, 2, 3, 4]. Аддаленае выкананне кода на АЛП або шлюзе - гэта лічбавы эквівалент важнай кропкі доступу, якая застаецца адкрытай. Справа не толькі ў выпраўленні; гаворка ідзе пра сістэмную хісткасць архітэктуры нашага прадпрыемства.
На працягу многіх гадоў мы стваралі складаныя ўзаемазвязаныя сістэмы, часта абапіраючыся на некалькі крытычна важных пастаўшчыкоў для асноўнай інфраструктуры. Citrix, як і многія іншыя, прадастаўляе асноўныя паслугі, але з гэтай цэнтральнай роляй звязана велізарная рызыка. Калі такі фундаментальны кампанент, як NetScaler, узламаны на ўзроўні нулявога дня, эфект рабізны разбуральны. Гэта выкрывае ўласцівы недахоп спадзявання на адну кропку адмовы, незалежна ад таго, наколькі надзейнай яна павінна быць. Дырэктыва «патч неадкладна» хоць і неабходная, але выглядае як павярхоўны сродак ад сістэмнай праблемы. Ён не вырашае асноўныя праблемы: складанасць, якая спараджае ўразлівасці, павольны тэмп абнаўленняў бяспекі ад некаторых пастаўшчыкоў і часта недастатковыя стратэгіі паглыбленай абароны, якія даюць збой, калі перыметр парушаецца ў самай крытычнай кропцы.
Гэта не проста тэхнічная праблема; гэта кашмар бесперапыннасці бізнесу. Парушэнне даных, збоі ў працы, нарматыўныя штрафы, страта рэпутацыі - выдаткі астранамічныя. А дзеля чаго? Для эфектыўнай працы сеткі? Мы плацім высокую цану за зручнасць і ўяўную эфектыўнасць, цану, якая вымяраецца бяссоннымі начамі для тэхнічных дырэктараў і службаў бяспекі, і, патэнцыйна, у размыванні грамадскага даверу. Той факт, што гэта актыўна эксплуатаваныя нулявыя дні з выкарыстаннем карыстальніцкіх шкоднасных праграм, кажа нам, што гэта не скрыптавыя дзеці. Гэта настойлівыя ўдзельнікі пагроз, якія маюць добрыя рэсурсы і нацэлены на каштоўныя актывы [3]. Калі мы не можам забяспечыць асноўныя ўзроўні нашага існуючага лічбавага свету, якая ў нас надзея на экспанентна больш складаную будучыню?
Дзікі Захад штучнага інтэлекту: давер уласным інтарэсам вызначае бяспеку
І калі казаць пра гэтую будучыню, давайце вернемся да пагаднення аб «самакантролі» ІІ. Заява прэзідэнта Трампа, хоць і палітычна значная, з'яўляецца хрэстаматыйным прыкладам ухілення ад адказнасці [5]. «Добраахвотны» і «самакантроль» - гэта тэрміны, якія павінны выклікаць асцярогу ў любога, хто назіраў за працай індустрыі тэхналогій на працягу апошніх двух дзесяцігоддзяў. Мы назіралі гэтую карціну раней, ці не так? Кампаніі сацыяльных сетак «добраахвотна» кантралююць мову нянавісці, пошукавыя сістэмы «самарэгулююць» прыватнасць даных, а крамы прыкладанняў «незалежна» забяспечваюць сумленную канкурэнцыю. Паслужны спіс, мякка кажучы, жахлівы.
Ідэя аб тым, што тым самым кампаніям, якія імкнуцца распрацоўваць і разгортваць магутныя сістэмы штучнага інтэлекту - сістэмы з патэнцыялам змяніць эканоміку, уплываць на выбары і нават ствараць новыя формы сацыяльнай рызыкі - можна давяраць, што яны будуць вызначаць і выконваць свае ўласныя прынцыпы этыкі і бяспекі, у лепшым выпадку наіўная, а ў горшым - небяспечна безадказная. Гэта карпарацыі, якія кіруюцца прыбыткам і дамінаваннем на рынку. Іх асноўны фідуцыярны абавязак - перад акцыянерамі, а не перад абстрактнай канцэпцыяй грамадскага дабра або этычнага штучнага інтэлекту.
Гэта «пагадненне» з'яўляецца палітычнай перамогай для адміністрацыі, дазваляючы ім запатрабаваць дзеянняў у дачыненні да штучнага інтэлекту без бязладнай справы фактычнага заканадаўства або нарматыўнага кантролю. Гэта таксама вялізная перамога для Big Tech, яна выйграе час і пазбавіцца ад патэнцыйна цяжкіх правілаў, якія могуць запаволіць іх інавацыі або паўплываць на іх прыбытак. Але для астатніх з нас - для тэхнічных спецыялістаў, якія ствараюць гэтыя сістэмы, для прадпрыемстваў, якія будуць абапірацца на іх, і для грамадства ў цэлым - гэта небяспечны прэцэдэнт. Гэта сігналізуе аб пераважным падыходзе да кіравання штучным інтэлектам, які аддае прыярытэт карпаратыўнай аўтаноміі перад грамадскай бяспекай і падсправаздачнасцю.
Адключэнне: абапіраючыся на няўстойлівыя асновы
Вось нязручная праўда: мы адначасова не можам забяспечыць нашу сучаснасць і небяспечна дрэнна кіруем сваёй будучыняй. Мы ствараем усё больш дасканалыя сістэмы штучнага інтэлекту на аснове лічбавай нестабільнасці, дзе крытычная інфраструктура рэгулярна падвяргаецца пагрозе дасканалым праціўнікам. Тым самым лідэрам галіны, якія, здаецца, не могуць перашкодзіць іх прадуктам ператварыцца ў глабальныя вектары нападаў, цяпер просяць «самакантраляваць» наступствы агульнага штучнага інтэлекту для этыкі і бяспекі.
Гэта не проста адключэнне; гэта глыбокі разрыў. Як тэхнічныя дырэктары і інжынерныя кіраўнікі, мы апынуліся пасярэдзіне. Нам даручана ліквідаваць непасрэдныя, экзістэнцыяльныя пагрозы, такія як Citrix zero-days, і адначасова нам загадваюць падрыхтавацца да будучыні, кіраванай штучным інтэлектам, дзе правілы ўсталёўваюцца па ходзе, у асноўным самімі гульцамі.
Добраахвотнае пагадненне аб AI не з'яўляецца рашэннем; гэта тактыка затрымкі. Гэта адкладае падсправаздачнасць, гарантуючы, што калі адбудуцца непазбежныя этычныя парушэнні, прадузятасці або нават катастрафічныя збоі штучнага інтэлекту, грамадскасць застанецца ў здзіўленні, чаму з самага пачатку не было надзейнага незалежнага кантролю. І калі гэтыя няўдачы адбудуцца, яны не будуць тэарэтычнымі. Яны будуць такімі ж рэальнымі і такімі ж шкоднымі, як RCE на вашым NetScaler, толькі з патэнцыяльна больш шырокімі грамадскімі наступствамі.
Трэба патрабаваць большага. Нам патрэбна надзейная, проактыўная бяспека ад нашых пастаўшчыкоў, а не толькі рэактыўныя патчы пасля факту. І нам патрэбна сапраўднае незалежнае рэгуляванне штучнага інтэлекту, а не проста пагадненне аб поціску рукі паміж палітыкамі і карпарацыямі. Таму што, калі мы нават не можам абараніць нашу асноўную інфраструктуру, як мы можам давяраць архітэктарам, што яны будуць адказна будаваць наступнае пакаленне цывілізацыі? Адказ пакуль такі: мы не можам.
Крыніцы
[1] CISA дадае Citrix NetScaler ADC і ўразлівасць шлюза (CVE-2023-4966) у каталог вядомых выкарыстоўваемых уразлівасцей — https://www.cisa.gov/news-events/alerts/2023/10/24/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [2] Бюлетэнь бяспекі Citrix для CVE-2023-4966 і CVE-2023-4967 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967 [3] Mandiant: UNC4841 выкарыстоўвае Citrix NetScaler ADC і Gateway Zero-Day (CVE-2023-4966) — https://www.mandiant.com/resources/blog/citrix-bleed-zero-day-exploitation [4] CISA дадае Citrix NetScaler ADC і ўразлівасць шлюза (CVE-2023-3519) у каталог вядомых выкарыстоўваемых уразлівасцей — https://www.cisa.gov/news-events/alerts/2023/07/21/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [5] Абнаўленні ў прамым эфіры: Трамп падпісвае добраахвотнае пагадненне з лідэрамі штучнага інтэлекту для тэхналогій ... — https://apnews.com/live/trump-cnn-media-midterm-elections-news-updates-09-29-2026