የንጉሠ ነገሥቱ አዲስ AI የደህንነት ልብሶች፡- ሙሴን ስንመለከት ፋውንዴሽኑ ይንኮታኮታል።

የንጉሠ ነገሥቱ አዲስ AI የደህንነት ልብሶች፡- ሙሴን እያየን ፋውንዴሽኑ ይንኮታኮታል።

ቀጥታ እንሁን፡ የቴክኖሎጂ ኢንዱስትሪው አዲስ አባዜ አለው፡ “AI ደህንነት” ይባላል። ሁላችንም በአፋጣኝ መርፌ፣ ሞዴል መመረዝ እና ከትልቅ የቋንቋ ሞዴሎች መረጃን በማውጣት ላይ እንድናተኩር ይጠበቃል። ይህ በእንዲህ እንዳለ ኢንተርፕራይዞቻችንን አንድ ላይ ያደረጉት ተጨባጭ፣ አካላዊ፣ ዲጂታል መሠረተ ልማቶች በማይቋረጡ የዜሮ ቀናት ውርጅብኝ በንቃት እየተቃጠሉ ነው። የ AI መሠረተ ልማትን ለመጠበቅ ሰፊ ተግዳሮቶችን የሚያሳይ አንድ ትልቅ የኤአይአይ መድረክን ያካተተ የቅርብ ጊዜ ክስተት ይህንን አደገኛ ዲኮቶሚ አጉልቶ ያሳያል።

"በፍጥነት ተንቀሳቀስ እና ነገሮችን ሰብሮ" በሚለው ስነ-ምግባር የሚታወቀው ሜታ ኩባንያ በ AI መድረኮች ላይ የደህንነት ጉድለቶች ላይ ምርመራ ገጥሞታል። ለምሳሌ፣ የሳንካ ጉርሻ ፕሮግራም የተጠቃሚ ቨርቹዋል ማሽኖችን የሚያጋልጥ ትልቅ ጉድለት አሳይቷል። ይህ ስውር የውሂብ መፍሰስ ወይም ብልህ ፈጣን ማለፊያ አልነበረም፣ ነገር ግን የተጠቃሚ ቪኤምዎችን ያጋለጠው መሰረታዊ የመሠረተ ልማት ደረጃ ስህተት ነው። ይህ አንዳንድ የይዝራህያህ AI-ተኮር ተጋላጭነት አይደለም; ይህ መሰረታዊ የቪኤም ማግለል ነው፣ ከአስር አመት በፊት በብዙ መልኩ ተገዝተናል ብለን ያሰብነው ችግር። ይህ የግላዊነት እና የውሂብ ታማኝነት ወሳኝ ጥሰትን ይወክላል፣ በቀጥታ በተጠቃሚዎች ላይ ተጽእኖ ያሳድራል እና የድርጅት ደንበኞች እንደዚህ አይነት AI መሠረተ ልማትን ይጠቀማሉ።

የዚህ ዓይነቱ ጉድለት፣ የምር ተፅዕኖ ያለው ቢሆንም፣ እንደ ልብ ወለድ "AI ሴኪዩሪቲ" ተግዳሮት ያነሰ ስሜት እና የ AI ኮፍያ እንደለበሰ ክላሲክ የመሰረተ ልማት ውድቀት ይመስላል። በጣም የላቁ የኤአይአይ መድረኮች እንኳን በተለመደው ስሌት፣ ኔትዎርኪንግ እና ቨርቹዋልላይዜሽን ላይ የተገነቡ መሆናቸውን የሚያስታውስ ነው። እነዚያ የመሠረት ንጣፎች በቀዳዳዎች ከተሞሉ፣ የእርስዎ AI ሞዴል ምን ያህል ውስብስብ እንደሆነ ምንም ችግር የለውም። አጠቃላይ ስርዓቱ ለአደጋ ተጋላጭ ነው። የዚህ ታሪክ "AI" ገጽታ ትኩረትን የሚከፋፍል ነው ማለት ይቻላል።

የCISA's KEV Barrage፡ ወሳኝ አመላካች

ስለ ተላላኪ ቻትቦቶች ሥነ ምግባራዊ አንድምታ እና ስለ AI ደኅንነት ልዩነቶች በክርክር በተጠመድንበት ጊዜ፣ ሲአይኤ ከዚህ በፊት ታይቶ የማይታወቅ ቁጥር በንቃት ጥቅም ላይ የዋሉ ተጋላጭነቶችን ወደ የታወቀ የተበዘበዙ ተጋላጭነቶች (KEV) ካታሎግ እየጣለ ነው። ይህ የንድፈ ሃሳብ ልምምድ አይደለም። ይህ የ"patch someday" ዝርዝር አይደለም። ይህ አስቸኳይ "ቤትዎ እየተቃጠለ ነው አሁን" ዝርዝር ነው።

በቅርብ ሳምንታት ውስጥ፣ CISA ብዙ ምዝግቦችን አክሏል፣ ይህም በአጠቃላይ በንቃት ጥቅም ላይ የዋሉ ተጋላጭነቶችን በአጭር ጊዜ ውስጥ ወደሚገርም ቁጥር በማምጣት [2]። ይህ "ደህንነት መጥፎ ነው" ብቻ አይደለም; ይህ ዓለማችንን በሚያስተዳድረው በጣም ወሳኝ የኢንተርፕራይዝ ሶፍትዌር ላይ ተጽእኖ የሚያሳድር ስልታዊ፣ እየጨመረ የሚሄድ ቀውስ ነው።

በKEV ካታሎግ ላይ የቅርብ ጊዜ ጭማሪዎችን አስቡባቸው፡- CVE-2023-46214: የስፕላንክ ኢንተርፕራይዝ የርቀት ኮድ የማስፈጸሚያ ተጋላጭነት (CVSS 9.8) ከCISA patch የጊዜ ገደብ ጋር፣ ያልተጣበቁ ስርዓቶችን በጣም ተጋላጭ ያደርገዋል። CVE-2023-29357: የማይክሮሶፍት SharePoint አገልጋይ ልዩ ጥቅም ተጋላጭነትን፣ ስፍር ቁጥር የሌላቸውን የኮርፖሬት ውስጠ አውታረ መረቦች የጀርባ አጥንት ላይ ተጽእኖ ያደርጋል። CVE-2023-42824: የApple iOS/iPadOS የከርነል ተጋላጭነት፣ አስቀድሞ በተነጣጠሩ ጥቃቶች ውስጥ ጥቅም ላይ የዋለ፣ ቁጥጥር የሚደረግበት ሥነ-ምህዳር እንኳን የማይገባ መሆኑን ያሳያል።

• CVE-2023-30799: የ MikroTik RouterOS የርቀት ኮድ ማስፈጸሚያ ጉድለት፣ ሁሉንም ነገር በሚያገናኙት ራውተሮች ላይ ተጽእኖ ያሳድራል፣ ብዙ ጊዜ በኔትወርኩ ጥልቅ ጥግ ላይ ሳይገለበጥ ይቀራል።

በዋና ዋና ሻጮች - ማይክሮሶፍት ፣ አፕል ፣ ስፕሉክ ፣ ሚክሮ ቲክ ፣ ሊኑክስ ፣ ጄፍሮግ - በንቃት ጥቅም ላይ የዋለ ዜሮ-ቀናት ፈጣን-እሳት መጨመር አፋጣኝ ትኩረትን ይፈልጋል። ይህ አጠቃላይ ማስጠንቀቂያ አይደለም; በእያንዳንዱ የአይቲ እና የደህንነት ቡድን ላይ በቀጥታ የሚጮህ ሳይረን ነው። የCISA's KEV ዝርዝር ለፌደራል ኤጀንሲዎች የቀረበ ሀሳብ ብቻ አይደለም፤ ለ ሁሉም ድርጅቶች ወሳኝ ማስጠንቀቂያ ነው። በአደጋዎ ላይ ችላ ይበሉት።

የ "AI ደህንነት" ቅዠት እና የመበታተን ዋጋ

የማይመች እውነት ይኸውና፡ በ AI መድረኮች ውስጥ ያሉት የመሠረታዊ ጉድለቶች እና የCISA KEV ባራጅ የአንድ ችግር ተያያዥነት ያላቸው ገጽታዎች ናቸው። ሁለቱም በሶፍትዌር ደኅንነት ውስጥ ስላለው መሠረታዊ ብልሽት ይጮኻሉ፣ ነገር ግን የኢንዱስትሪያችን የጋራ እይታ በአደገኛ ሁኔታ የተሳሳተ ነው። በ"AI" የተስፋ ቃል እና ስጋት በጣም ከመማረክ የተነሳ መሰረታዊ የዲጂታል መሠረተ ልማት እንዲበሰብስ እየፈቀድን ነው።

"AI ሴኪዩሪቲ" የአማካሪዎች እና የምርት አስተዳዳሪዎች አዲስ ድንበር ሆነ። ግን ምንድን ነው, በእውነቱ? ብዙውን ጊዜ በ AI ስርዓቶች ላይ * ደህንነት * ብቻ ነው የሚተገበረው። አዎ፣ AI አዲስ የጥቃት ቬክተሮችን እና ልዩ ተግዳሮቶችን ያስተዋውቃል፣ ነገር ግን የ"AI ደህንነት" ጉልህ ክፍል በቀላሉ ጠንካራ ምህንድስና፣ ደህንነቱ የተጠበቀ የኮድ አሰራር እና በትጋት መታጠፍ ነው - ለአስርተ አመታት እያሳነን ያለነው ተመሳሳይ ነገር። ቀደም ሲል የተጠቀሰው የቪኤም ማግለል ጉዳይ ፍጹም ምሳሌ ነው፡ በ AI መድረክ ውስብስብነት የተጠናከረ ክላሲክ ተጋላጭነት።

ከጊዜ ወደ ጊዜ ደካማ እና በንቃት ጥቅም ላይ በሚውሉ መሠረቶች ላይ በሚያስደንቅ ሁኔታ ውስብስብ AI ስርዓቶችን እየገነባን ነው። በላቁ AI ናቪጌሽን በራሱ የሚነዳ መኪናን በጥንቃቄ ዲዛይን ማድረግ ነው፣ ጎማዎቹ እየወደቁ እና ሞተሩ እየተረጨ ነው። በ"AI ሴኪዩሪቲ" ላይ ያለው ትኩረት ብዙውን ጊዜ እንደ ትኩረትን የሚከፋፍል፣ ሀብትን እና ትኩረትን ከመደበኛው፣ የማያስደስት ነገር ግን ያሉትን መሠረተ ልማቶችን የማስጠበቅ ፍፁም ወሳኝ ስራ ነው።

የሚቀጥለውን ትልቅ ነገር በማሳደድ ተጠምደን አሁን ያሉት ትልልቅ ነገሮች እንዲቃጠሉ እያደረግን ነው? የ KEV ስጋቶች ብዛት እና ስፋት ካለፉት AI-ማዕከል የዜሮ-ቀን ውይይቶች የተለየ ለመሠረታዊ ዲጂታል መሠረተ ልማት ስልታዊ እና አስቸኳይ ፈተናን ያመለክታሉ። ይህ ስለ AI የወደፊት ሁኔታ አይደለም; ስለ አሁኑ የዲጂታል ሕልውናችን ሁኔታ ነው።

ምን አሁን፣ CTOs?

ለኢንጂነሪንግ መሪዎች እና CTOs፣ መልእክቱ ፈጣን እና ፈጣን ነው፡-

1. ** ለ KEV ዝርዝር ቅድሚያ ይስጡ: ** ሁሉንም ነገር ይጣሉት. እነዚህን ድክመቶች ያስተካክሉ። እዘዝ። አስገድደው። ይህ አማራጭ አይደለም.
2. በ"AI ሴኪዩሪቲ" ማበረታቻ ውስጥ ከመሰረታዊ ነገሮች ጋር አትውሰዱ፡ አዎ፣ የ AI ልዩ አደጋዎችን ተረዱ፣ ነገር ግን ጠንካራ ምህንድስና፣ ደህንነቱ የተጠበቀ የእድገት የህይወት ኡደቶች እና በትጋት መታጠፍ አሁንም የእርስዎ ምርጥ መከላከያ እንደሆኑ ያስታውሱ። አንድ አጥቂ የእርስዎ ስር ያለው VM ወይም የ SharePoint አገልጋይዎ ባለቤት ከሆነ የሚያምር AI ሞዴል አያድናችሁም።
3. መሰረታዊ ደህንነት ላይ ኢንቨስት ማድረግ፡ ይህ ማለት ሌላ የደህንነት መሳሪያ ከመግዛት በላይ ማለት ነው። ደህንነትን እንደ ዋና የምህንድስና ትምህርት በሚመለከት በሰዎች፣ ሂደቶች እና ባህል ላይ መዋዕለ ንዋይ ማፍሰስ ማለት ነው እንጂ በኋላ ማሰብ አይደለም። የሳንካ ጉርሻ ፕሮግራሞች በጣም ጥሩ ናቸው፣ ግን ሴፍቲኔት መሆን አለባቸው፣ የእርስዎ ዋና የደህንነት ስትራቴጂ አይደሉም።

የ AI መድረክ መሠረተ ልማትን የሚያካትተው ክስተት የማንቂያ ደወል ነው፣ ነገር ግን የCISA KEV ዝርዝር አስቸኳይ ማንቂያ ነው። የቅርብ ጊዜዎቹን የ AI ደህንነት ተነሳሽነት ማድነቅ ማቆም እና በእውነተኛ መከላከያዎቻችን ውስጥ ያሉትን ቀዳዳዎች ማስተካከል መጀመር አለብን። የ AI የወደፊት ሁኔታ አስደሳች ነው, ነገር ግን አሁን ያለው የደህንነት ሁኔታ በጣም አስፈሪ ነው.

ምንጮች

[1] AI ደህንነት ምስቅልቅል ነው፣ እና እየባሰ ሊሄድ ነው - https://techcrunch.com/2023/10/11/ai-security-is-a-mess-and-its-about-to-get-berse/ [2] የታወቁ የተበዘበዙ ተጋላጭነቶች ካታሎግ — https://www.cisa.gov/known-exploited-vulnerabilities-catalog