د امپراتور نوي AI امنیت جامې: پداسې حال کې چې موږ میوز ته ګورو ، بنسټ مات شو
راځئ چې مستقیم واوسو: د ټیک صنعت یو نوی جنون لري، او دا د "AI امنیت" په نوم یادیږي. له موږ ټولو تمه کیږي چې د لوی ژبې ماډلونو څخه د سمدستي انجیکشن ، ماډل زهر کولو ، او ډیټا ایستل باندې تمرکز وکړو. په عین وخت کې، ریښتینې، فزیکي، ډیجیټل زیربنا چې زموږ تصدۍ یوځای ساتي په فعاله توګه د صفر ورځو د نه ستړي کیدونکي بار لخوا سوځول کیږي. یوه وروستۍ پیښه چې د AI لوی پلیټ فارم پکې شامل دی، د AI زیربنا خوندي کولو کې د پراخو ننګونو بیلګه، دا خطرناک توپیر روښانه کوي [1].
میټا، یو شرکت چې د "چټک حرکت او شیانو ماتولو" اخلاقو لپاره پیژندل شوی، په خپل AI پلیټ فارمونو کې د امنیتي نیمګړتیاوو په اړه د څیړنې سره مخ شوی. د مثال په توګه ، د بګ فضل برنامه د کارونکي مجازی ماشینونو افشا کولو کې د پام وړ نیمګړتیا څرګنده کړه. دا د فرعي معلوماتو لیک یا یو هوښیار پرامپټ بای پاس نه و ، مګر د زیربنا په کچه یوه بنسټیزه تېروتنه وه چې د * کارن VMs * افشا کړه. دا یو څه باطني AI ځانګړي زیان منونکي ندي؛ دا د VM بنسټیز انزوا دی، یوه ستونزه چې موږ یې په لویه کچه فکر کاوه یوه لسیزه دمخه یې ساتلې وه. دا د محرمیت او ډیټا بشپړتیا یوه جدي سرغړونه نمایندګي کوي، په مستقیم ډول د کاروونکو او احتمالي تصدۍ پیرودونکي اغیزه کوي چې د AI زیربنا څخه ګټه پورته کوي.
دا ډول نیمګړتیا پداسې حال کې چې واقعیا اغیزمنه ده، د ناول "AI امنیت" ننګونې په څیر لږ احساس کوي او د AI خولۍ اغوستل د کلاسیک زیربنا ناکامۍ په څیر احساس کوي. دا د یادونې وړ ده چې حتی خورا پرمختللي AI پلیټ فارمونه د دودیز کمپیوټري ، شبکې کولو او مجازی کولو پرتونو باندې جوړ شوي. که دا بنسټیز پرتونه سوري وي، دا مهمه نده چې ستاسو د AI ماډل څومره پیچلی دی؛ ټول سیسټم زیانمن پاتې کیږي. د دې کیسې "AI" اړخ تقریبا یو ګډوډي ده، یو غلط لار چې زموږ سترګې د پالش شوي فرش تختو لاندې د سړې لرګیو څخه لیرې کوي.
د CISA KEV بیراج: یو مهم شاخص
پداسې حال کې چې موږ د احساساتي چټ بوټونو اخلاقي اغیزو او د AI خوندیتوب باریکیو په اړه بحث کولو بوخت یو ، CISA په خپل پیژندل شوي استحصال شوي زیان منونکي (KEV) کتلاګ کې بې ساري شمیر فعاله استحصال شوي زیان منونکي کموي. دا نظري تمرین نه دی. دا د "یوه ورځ پیچ" لیست ندی. دا یو عاجل دی "ستاسو کور اور دی * همدا اوس *" لیست.
په وروستیو اوونیو کې، CISA ډیری داخلې اضافه کړې، چې په لنډه موده کې یې د فعاله ګټه اخیستنې زیانمنتیاوې خورا حیرانونکي شمیر ته راوړي [2]. دا یوازې "امنیت خراب دی" ندی؛ دا یو سیسټمیک، مخ په زیاتیدونکي بحران دی چې خورا مهم تصدۍ سافټویر اغیزه کوي چې زموږ نړۍ پرمخ وړي.
د KEV کټګورۍ کې وروستي اضافې په پام کې ونیسئ:
- CVE-2023-46214: د CISA پیچ د نیټې نیټې سره د Splunk Enterprise ریموټ کوډ اجرا کولو زیانمنتیا (CVSS 9.8)، نه جوړ شوي سیسټمونه خورا زیان منونکي کوي.
- CVE-2023-29357: د مایکروسافټ د SharePoint سرور امتیازاتو زیاتوالی زیانمنونکي، د بې شمیره کارپوریټ انټرانیټ شاته اغیزه کوي.
- CVE-2023-42824: د Apple iOS/iPadOS کرنل زیانمنتیا، دمخه په نښه شوي بریدونو کې کارول شوي، دا په ډاګه کوي چې حتی کنټرول شوي ایکوسیستمونه هم د پام وړ ندي.
- CVE-2023-30799: د MikroTik RouterOS ریموټ کوډ اجرا کولو نیمګړتیا، په هغه روټرونو اغیزه کوي چې هر څه سره نښلوي، ډیری وختونه د شبکې په ژورو کونجونو کې بې برخې پاتې کیږي.
د لوی پلورونکو - مایکروسافټ ، ایپل ، سپلنک ، مایکرو ټیک ، لینکس ، JFrog - په اوږدو کې د فعاله ګټه اخیستنې صفر ورځو کې دا ګړندۍ اضافه د سمدستي ، جدي پاملرنې غوښتنه کوي. دا عمومي خبرداری نه دی؛ دا یو سایرن دی چې په مستقیم ډول په هر معلوماتي او امنیتي ټیم کې غږیږي. د CISA د KEV لیست یوازې د فدرالي ادارو لپاره وړاندیز نه دی؛ دا د ټولو سازمانونو لپاره یو مهم خبرداری دی. دا ستاسو په خطر کې له پامه غورځول.
د "AI امنیت" تصور او د ګډوډۍ لګښت
دلته نا آرامه حقیقت دی: د AI پلیټ فارمونو کې بنسټیز نیمګړتیاوې او د CISA KEV بیراج د ورته ستونزې یو بل سره تړلي اړخونه دي. دوی دواړه د سافټویر امنیت کې د بنسټیز ماتیدو په اړه چیغې کوي، مګر زموږ د صنعت ډله ایز نظر په خطرناک ډول غلط شوی. موږ د "AI" د ژمنې او خطر څخه دومره متاثره شوي یو چې موږ د ډیجیټل بنسټیز زیربنا ته اجازه ورکوو.
د "AI امنیت" د مشاورینو او محصول مدیرانو لپاره یو نوی محاذ ګرځیدلی. مګر دا څه دي، واقعیا؟ ډیری وختونه، دا یوازې * امنیت * د AI سیسټمونو لپاره پلي کیږي. هو، AI د برید نوي ویکتورونه او ځانګړي ننګونې معرفي کوي، مګر د "AI امنیت" د پام وړ برخه په ساده ډول پیاوړې انجنیري، خوندي کوډ کولو تمرینونه، او په زړه پورې پیچ کول دي - ورته توکي چې موږ د لسیزو راهیسې ناکام شوي یو. د VM انزوا مسله چې مخکې یې یادونه وشوه یوه ښه بیلګه ده: د AI پلیټ فارم پیچلتیا لخوا پراخه شوي کلاسیک زیان منونکي.
موږ د مخ په زیاتیدونکي نازک او فعاله استحصال شوي بنسټونو په سر کې په زړه پورې پیچلي AI سیسټمونه رامینځته کوو. دا د پرمختللي AI نیویګیشن سره په دقت سره د ځان چلولو موټر ډیزاین کولو په څیر دی ، پداسې حال کې چې ویلونه له مینځه ځي او انجن سپکیږي. د "AI امنیت" باندې تمرکز اکثرا د ګډوډۍ په څیر احساس کوي ، سرچینې او پام له غیر معمولي ، بې شرمه ، مګر د موجوده زیربنا خوندي کولو لپاره خورا مهم کار څخه لرې کوي.
ایا موږ د راتلونکي لوی شی په تعقیب دومره بوخت یو چې موږ اوسني لوی شیان سوځوي؟ د KEV ګواښونو بشپړ حجم او پراخوالی د بنسټیز ډیجیټل زیربنا لپاره سیسټمیک او عاجل ننګونه په ګوته کوي، د پخوانیو AI-مرکزي صفر ورځني بحثونو څخه توپیر لري. دا د AI راتلونکي په اړه ندي؛ دا زموږ د ډیجیټل شتون اوسني حالت په اړه دی.
اوس څه شی، CTOs؟
د انجینرۍ لیډونو او CTOs لپاره ، پیغام خورا سخت او سمدستي دی: ** د KEV لیست ته لومړیتوب ورکړئ: ** هرڅه پریږدئ. دا زیانمننې پیچ کړئ. امر یې کړئ. تطبیق یې کړئ. دا اختیاري نه ده. 2. ** د اساساتو په لګښت د "AI امنیت" هایپ کې مه ځړئ: ** هو، د AI ځانګړي خطرونه درک کړئ، مګر په یاد ولرئ چې پیاوړې انجینري، خوندي پرمختیایي ژوند، او په زړه پورې پیچ کول لاهم ستاسو غوره دفاع دي. یو په زړه پوری AI ماډل به تاسو ونه سپموي که چیرې برید کونکی ستاسو د لاندې VM یا ستاسو د SharePoint سرور مالکیت ولري. 3. په بنسټیز امنیت کې پانګه اچونه: دا پدې معنی ده چې یوازې د بلې امنیتي وسیلې اخیستلو څخه ډیر څه دي. دا پدې مانا ده چې په خلکو، پروسو، او یو کلتور کې پانګه اچونه چې امنیت ته د اصلي انجینرۍ ډسپلین په توګه ارزښت ورکوي، نه وروسته فکر. د بګ فضل پروګرامونه خورا ښه دي، مګر دوی باید د خوندیتوب جال وي، نه ستاسو لومړنۍ امنیتي ستراتیژي.
هغه پیښه چې د AI پلیټ فارم زیربنا پکې شامله ده د بیدارۍ کال دی ، مګر د CISA KEV لیست عاجل الارم دی. موږ اړتیا لرو چې د وروستي AI امنیتي نوښتونو ستاینه ودروو او زموږ په ریښتیني دفاع کې سوري پیل کړو. د AI راتلونکی په زړه پوری دی، مګر زموږ د امنیت اوسنی حالت ویرونکی دی.
سرچینې
[1] د AI امنیت یو ګډوډ دی، او دا د خرابیدو په حال کې دی - https://techcrunch.com/2023/10/11/ai-security-is-a-mess-and-its-about-to-get-worse/ [2] پیژندل شوي استحصال شوي زیان منونکي کتلاګ - https://www.cisa.gov/known-exploited-vulnerabilities-catalog