সম্রাটের নতুন এআই সুরক্ষা পোশাক: যখন আমরা মিউজের দিকে তাকাই, ফাউন্ডেশনটি ভেঙে যায়

সম্রাটের নতুন এআই সুরক্ষা পোশাক: যখন আমরা মিউজের দিকে তাকাই, ফাউন্ডেশনটি ভেঙে যায়

আসুন সরাসরি বলা যাক: প্রযুক্তি শিল্পের একটি নতুন আবেশ রয়েছে এবং এটিকে "এআই সুরক্ষা" বলা হয়। আমরা সকলেই প্রম্পট ইনজেকশন, মডেল পয়জনিং, এবং বৃহৎ ভাষার মডেল থেকে ডেটা অপসারণের উপর ফোকাস করার আশা করছি। ইতিমধ্যে, প্রকৃত, ভৌত, ডিজিটাল অবকাঠামো আমাদের উদ্যোগগুলিকে একত্রিত করে শূন্য-দিনের নিরলস ব্যারেজ দ্বারা সক্রিয়ভাবে আগুন লাগানো হচ্ছে। একটি বড় এআই প্ল্যাটফর্মের সাথে জড়িত একটি সাম্প্রতিক ঘটনা, এআই অবকাঠামো সুরক্ষিত করার বিস্তৃত চ্যালেঞ্জের উদাহরণ, এই বিপজ্জনক দ্বিধাবিভক্তিকে হাইলাইট করে [১]।

মেটা, একটি কোম্পানি যা তার "মুভ ফাস্ট অ্যান্ড ব্রেক থিংস" নীতির জন্য পরিচিত, তার এআই প্ল্যাটফর্মে নিরাপত্তা ত্রুটির জন্য তদন্তের সম্মুখীন হয়েছে। উদাহরণস্বরূপ, একটি বাগ বাউন্টি প্রোগ্রাম ব্যবহারকারী ভার্চুয়াল মেশিনগুলিকে উন্মুক্ত করার একটি উল্লেখযোগ্য ত্রুটি উন্মোচন করেছে। এটি একটি সূক্ষ্ম তথ্য ফাঁস বা একটি চতুর প্রম্পট বাইপাস ছিল না, তবে একটি মৌলিক, পরিকাঠামো-স্তরের ত্রুটি যা ব্যবহারকারীর ভিএমকে উন্মুক্ত করেছিল। এটি কিছু রহস্যময় এআই-নির্দিষ্ট দুর্বলতা নয়; এটি মৌলিক ভিএম বিচ্ছিন্নতা, এমন একটি সমস্যা যা আমরা এক দশক আগে অনেকাংশে সামলে নিয়েছিলাম। এটি গোপনীয়তা এবং ডেটা অখণ্ডতার একটি গুরুতর লঙ্ঘনের প্রতিনিধিত্ব করে, সরাসরি ব্যবহারকারীদের এবং সম্ভাব্য এন্টারপ্রাইজ ক্লায়েন্টদের প্রভাবিত করে যা এই ধরনের AI পরিকাঠামোর সুবিধা গ্রহণ করে।

এই ধরনের ত্রুটি, প্রকৃতপক্ষে প্রভাবশালী হলেও, একটি উপন্যাস "AI নিরাপত্তা" চ্যালেঞ্জের মতো কম এবং AI হ্যাট পরা একটি ক্লাসিক পরিকাঠামো ব্যর্থতার মতো অনুভব করে। এটি একটি অনুস্মারক যে এমনকি সবচেয়ে উন্নত AI প্ল্যাটফর্মগুলি প্রচলিত গণনা, নেটওয়ার্কিং এবং ভার্চুয়ালাইজেশনের স্তরগুলিতে নির্মিত। যদি এই ভিত্তি স্তরগুলি গর্ত দিয়ে ধাঁধাঁযুক্ত হয়, তবে আপনার এআই মডেলটি কতটা পরিশীলিত তা বিবেচ্য নয়; পুরো সিস্টেম অরক্ষিত থাকে। এই গল্পের "AI" দিকটি প্রায় একটি বিভ্রান্তি, একটি ভুল দিক যা আমাদের দৃষ্টিকে পালিশ করা ফ্লোরবোর্ডের নীচে পচা কাঠ থেকে দূরে সরিয়ে দেয়।

CISA-এর KEV ব্যারেজ: একটি গুরুত্বপূর্ণ নির্দেশক

আমরা যখন সংবেদনশীল চ্যাটবটগুলির নৈতিক প্রভাব এবং AI সুরক্ষার সূক্ষ্মতা নিয়ে বিতর্কে ব্যস্ত, তখন CISA তার পরিচিত শোষিত দুর্বলতা (KEV) ক্যাটালগে সক্রিয়ভাবে শোষিত দুর্বলতাগুলির একটি অভূতপূর্ব সংখ্যক বাদ দিচ্ছে৷ এটি একটি তাত্ত্বিক অনুশীলন নয়। এটি একটি "প্যাচ কোনোদিন" তালিকা নয়। এটি একটি জরুরী "আপনার বাড়িতে আগুন লেগেছে এখনই" তালিকা।

সাম্প্রতিক সপ্তাহগুলিতে, CISA অসংখ্য এন্ট্রি যুক্ত করেছে, যা সক্রিয়ভাবে শোষিত দুর্বলতার মোট সংখ্যাকে অল্প সময়ের মধ্যে একটি বিস্ময়কর সংখ্যায় নিয়ে এসেছে [2]। এটি শুধু "নিরাপত্তা খারাপ" নয়; এটি একটি সিস্টেমিক, ক্রমবর্ধমান সংকট যা আমাদের বিশ্বকে পরিচালনা করে এমন অত্যন্ত গুরুত্বপূর্ণ এন্টারপ্রাইজ সফ্টওয়্যারকে প্রভাবিত করে।

KEV ক্যাটালগে সাম্প্রতিক সংযোজন বিবেচনা করুন:

• CVE-2023-46214: একটি স্প্লঙ্ক এন্টারপ্রাইজ রিমোট কোড এক্সিকিউশন ভলনারেবিলিটি (CVSS 9.8) একটি CISA প্যাচের সময়সীমা সহ, যা আনপ্যাচড সিস্টেমগুলিকে অত্যন্ত ঝুঁকিপূর্ণ করে তোলে।
• CVE-2023-29357: একটি মাইক্রোসফ্ট শেয়ারপয়েন্ট সার্ভারের বিশেষাধিকার বৃদ্ধির দুর্বলতা, অগণিত কর্পোরেট ইন্ট্রানেটের মেরুদণ্ডকে প্রভাবিত করে।
• CVE-2023-42824: একটি Apple iOS/iPadOS কার্নেল দুর্বলতা, ইতিমধ্যেই লক্ষ্যবস্তু আক্রমণে শোষিত হয়েছে, এটি প্রমাণ করে যে এমনকি নিয়ন্ত্রিত ইকোসিস্টেমগুলিও দুর্ভেদ্য নয়।
• CVE-2023-30799: একটি MikroTik RouterOS রিমোট কোড এক্সিকিউশন ত্রুটি, যা রাউটারগুলিকে প্রভাবিত করে যা সবকিছুকে সংযুক্ত করে, প্রায়শই নেটওয়ার্কের গভীরতম কোণে প্যাচ ছাড়াই থাকে।

মাইক্রোসফট, অ্যাপল, স্প্লঙ্ক, মিক্রোটিক, লিনাক্স, জেফ্রগ - প্রধান বিক্রেতাদের মধ্যে সক্রিয়ভাবে শোষিত শূন্য-দিনের এই দ্রুত-আগুনের সংযোজন অবিলম্বে, উন্মত্ত মনোযোগের দাবি করে। এটি একটি সাধারণ সতর্কতা নয়; এটি প্রতিটি আইটি এবং নিরাপত্তা দলে সরাসরি সাইরেন বাজছে। CISA এর KEV তালিকা শুধুমাত্র ফেডারেল সংস্থাগুলির জন্য একটি পরামর্শ নয়; এটি সমস্ত প্রতিষ্ঠানের জন্য একটি গুরুত্বপূর্ণ সতর্কতা। আপনার বিপদে এটি উপেক্ষা করুন।

"AI নিরাপত্তা" এর বিভ্রম এবং বিভ্রান্তির খরচ

এখানে অস্বস্তিকর সত্য: এআই প্ল্যাটফর্ম এবং সিআইএসএ কেইভি ব্যারাজের মৌলিক ত্রুটিগুলি একই সমস্যার আন্তঃসংযুক্ত দিক। তারা উভয়ই সফ্টওয়্যার নিরাপত্তার একটি মৌলিক ভাঙ্গন সম্পর্কে চিৎকার করে, কিন্তু আমাদের শিল্পের সম্মিলিত দৃষ্টি বিপজ্জনকভাবে বিভ্রান্তিকর। আমরা "AI" এর প্রতিশ্রুতি এবং বিপদ দ্বারা এতটাই মুগ্ধ যে আমরা মৌলিক ডিজিটাল পরিকাঠামোকে পচে যেতে দিচ্ছি।

"AI নিরাপত্তা" একটি গুঞ্জন শব্দ হয়ে উঠেছে, পরামর্শদাতা এবং পণ্য পরিচালকদের জন্য একটি নতুন সীমান্ত। কিন্তু এটা কি, সত্যিই? প্রায়শই, এটি শুধুমাত্র নিরাপত্তা AI সিস্টেমে প্রয়োগ করা হয়। হ্যাঁ, এআই নতুন অ্যাটাক ভেক্টর এবং অনন্য চ্যালেঞ্জের পরিচয় দেয়, কিন্তু "এআই নিরাপত্তা" এর একটি উল্লেখযোগ্য অংশ হ'ল কেবল শক্তিশালী ইঞ্জিনিয়ারিং, সুরক্ষিত কোডিং অনুশীলন এবং পরিশ্রমী প্যাচিং - একই জিনিস যা আমরা কয়েক দশক ধরে ব্যর্থ হয়েছি। আগে উল্লিখিত VM বিচ্ছিন্নতা সমস্যাটি একটি নিখুঁত উদাহরণ: একটি এআই প্ল্যাটফর্মের জটিলতার দ্বারা প্রসারিত একটি ক্লাসিক দুর্বলতা।

আমরা ক্রমবর্ধমান ভঙ্গুর এবং সক্রিয়ভাবে শোষিত ভিত্তিগুলির উপরে অবিশ্বাস্যভাবে জটিল AI সিস্টেম তৈরি করছি। এটি উন্নত AI নেভিগেশন সহ একটি স্ব-ড্রাইভিং গাড়িকে সতর্কতার সাথে ডিজাইন করার মতো, যখন চাকা পড়ে যাচ্ছে এবং ইঞ্জিনটি ছিটকে পড়ছে। "AI নিরাপত্তা" এর উপর ফোকাস প্রায়শই একটি বিক্ষিপ্ততার মতো মনে হয়, সম্পদ এবং মনোযোগকে জাগতিক, অশ্লীল, কিন্তু বিদ্যমান পরিকাঠামো সুরক্ষিত করার জন্য একেবারে সমালোচনামূলক কাজ থেকে সরিয়ে দেয়।

আমরা কি পরবর্তী বড় জিনিস তাড়া করতে এতই ব্যস্ত যে আমরা বর্তমান বড় জিনিসগুলিকে পুড়ে যেতে দিচ্ছি? KEV হুমকির নিছক পরিমাণ এবং প্রস্থ পূর্ববর্তী AI-কেন্দ্রিক শূন্য-দিনের আলোচনা থেকে আলাদা, ভিত্তিগত ডিজিটাল অবকাঠামোর জন্য একটি পদ্ধতিগত এবং জরুরি চ্যালেঞ্জ নির্দেশ করে। এটি AI এর ভবিষ্যত সম্পর্কে নয়; এটা আমাদের ডিজিটাল অস্তিত্বের বর্তমান অবস্থা সম্পর্কে।

এখন কি, সিটিও?

ইঞ্জিনিয়ারিং লিডস এবং CTO-এর জন্য, বার্তাটি কঠোর এবং তাৎক্ষণিক:

1. KEV তালিকাকে অগ্রাধিকার দিন: সবকিছু বাদ দিন। এই দুর্বলতাগুলি প্যাচ করুন। এটা ম্যান্ডেট করুন। এটি প্রয়োগ করুন। এটি ঐচ্ছিক নয়।
2. মৌলিকতার খরচে "এআই সুরক্ষা" হাইপে ভেসে যাবেন না: হ্যাঁ, এআই-এর অনন্য ঝুঁকিগুলি বুঝুন, তবে মনে রাখবেন যে শক্তিশালী ইঞ্জিনিয়ারিং, নিরাপদ বিকাশের জীবনচক্র এবং পরিশ্রমী প্যাচিং এখনও আপনার সেরা প্রতিরক্ষা। একটি অভিনব এআই মডেল আপনাকে বাঁচাতে পারবে না যদি কোনো আক্রমণকারী আপনার অন্তর্নিহিত VM বা আপনার SharePoint সার্ভারের মালিক হয়।
3. ফাউন্ডেশনাল সিকিউরিটিতে ইনভেস্ট করুন: এর মানে অন্য সিকিউরিটি টুল কেনার চেয়েও বেশি কিছু। এর অর্থ হল মানুষ, প্রক্রিয়া এবং এমন একটি সংস্কৃতিতে বিনিয়োগ করা যা নিরাপত্তাকে একটি মূল প্রকৌশল শৃঙ্খলা হিসাবে মূল্য দেয়, পরবর্তী চিন্তা নয়। বাগ বাউন্টি প্রোগ্রামগুলি দুর্দান্ত, তবে সেগুলি একটি সুরক্ষা জাল হওয়া উচিত, আপনার প্রাথমিক সুরক্ষা কৌশল নয়।

AI প্ল্যাটফর্মের পরিকাঠামোর সাথে জড়িত ঘটনাটি একটি জেগে ওঠার কল, কিন্তু CISA KEV তালিকা হল জরুরী অ্যালার্ম। আমাদের সর্বশেষ এআই সুরক্ষা উদ্যোগের প্রশংসা করা বন্ধ করতে হবে এবং আমাদের প্রকৃত প্রতিরক্ষায় ছিদ্রগুলি প্যাচ করা শুরু করতে হবে। AI এর ভবিষ্যত উত্তেজনাপূর্ণ, কিন্তু আমাদের নিরাপত্তার বর্তমান অবস্থা ভয়ঙ্কর।

সূত্র

[১] এআই নিরাপত্তা একটি বিশৃঙ্খলা, এবং এটি আরও খারাপ হতে চলেছে — https://techcrunch.com/2023/10/11/ai-security-is-a-mess-and-its-about-to-get-worse/ [২] পরিচিত শোষিত দুর্বলতার ক্যাটালগ — https://www.cisa.gov/known-exploited-vulnerabilities-catalog