सम्राट के नए एआई सुरक्षा कपड़े: जब हम संग्रहालय को देखते हैं, तो नींव ढह जाती है

सम्राट के नए एआई सुरक्षा कपड़े: जब हम संग्रहालय को देखते हैं, तो नींव ढह जाती है

आइए प्रत्यक्ष रहें: तकनीकी उद्योग में एक नया जुनून है, और इसे "एआई सुरक्षा" कहा जाता है। हम सभी से शीघ्र इंजेक्शन, मॉडल विषाक्तता और बड़े भाषा मॉडल से डेटा एक्सफ़िलिटेशन पर ध्यान केंद्रित करने की अपेक्षा की जाती है। इस बीच, हमारे उद्यमों को एक साथ रखने वाले वास्तविक, भौतिक, डिजिटल बुनियादी ढांचे को शून्य-दिनों की लगातार बौछार से सक्रिय रूप से आग लगाई जा रही है। एक प्रमुख एआई प्लेटफॉर्म से जुड़ी एक हालिया घटना, जो एआई बुनियादी ढांचे को सुरक्षित करने में व्यापक चुनौतियों का उदाहरण है, इस खतरनाक द्वंद्व को उजागर करती है [1]।

मेटा, एक कंपनी जो अपने "तेजी से आगे बढ़ें और चीजों को तोड़ें" लोकाचार के लिए जानी जाती है, को अपने एआई प्लेटफार्मों में सुरक्षा खामियों पर जांच का सामना करना पड़ा है। उदाहरण के लिए, एक बग बाउंटी प्रोग्राम ने उपयोगकर्ता वर्चुअल मशीन को उजागर करने वाली एक महत्वपूर्ण खामी को उजागर किया। यह कोई सूक्ष्म डेटा रिसाव या चतुर प्रॉम्प्ट बायपास नहीं था, बल्कि एक मौलिक, बुनियादी ढांचे-स्तर की त्रुटि थी जिसने उपयोगकर्ता वीएम को उजागर किया। यह कोई गूढ़ एआई-विशिष्ट भेद्यता नहीं है; यह बुनियादी वीएम अलगाव है, एक समस्या जिसे हमने एक दशक पहले काफी हद तक नियंत्रित करने के बारे में सोचा था। यह गोपनीयता और डेटा अखंडता के गंभीर उल्लंघन का प्रतिनिधित्व करता है, जो सीधे उपयोगकर्ताओं और ऐसे एआई बुनियादी ढांचे का लाभ उठाने वाले संभावित उद्यम ग्राहकों को प्रभावित करता है।

इस प्रकार की खामी, वास्तव में प्रभावशाली होते हुए भी, एक नवीन "एआई सुरक्षा" चुनौती की तरह कम और एआई टोपी पहनने वाली एक क्लासिक बुनियादी ढांचे की विफलता की तरह अधिक महसूस होती है। यह एक अनुस्मारक है कि सबसे उन्नत एआई प्लेटफॉर्म भी पारंपरिक गणना, नेटवर्किंग और वर्चुअलाइजेशन की परतों पर बनाए गए हैं। यदि उन मूलभूत परतों में छेद हैं, तो इससे कोई फर्क नहीं पड़ता कि आपका एआई मॉडल कितना परिष्कृत है; संपूर्ण व्यवस्था असुरक्षित बनी हुई है। इस कहानी का "एआई" पहलू लगभग एक व्याकुलता है, एक गलत दिशा है जो पॉलिश फर्शबोर्ड के नीचे सड़ती हुई लकड़ियों से हमारा ध्यान भटकाती है।

सीआईएसए का केईवी बैराज: एक महत्वपूर्ण संकेतक

जबकि हम संवेदनशील चैटबॉट्स के नैतिक निहितार्थों और एआई सुरक्षा की बारीकियों पर बहस करने में व्यस्त हैं, सीआईएसए अपने ज्ञात शोषित कमजोरियों (केईवी) कैटलॉग में सक्रिय रूप से शोषित कमजोरियों की एक अभूतपूर्व संख्या को छोड़ रहा है। यह कोई सैद्धांतिक अभ्यास नहीं है. यह कोई "पैच किसी दिन" सूची नहीं है। यह एक अत्यावश्यक "आपके घर अभी" में आग लगी हुई है सूची है।

हाल के सप्ताहों में, सीआईएसए ने कई प्रविष्टियाँ जोड़ी हैं, जिससे छोटी अवधि में सक्रिय रूप से शोषण की गई कमजोरियों की कुल संख्या चौंका देने वाली हो गई है [2]। यह सिर्फ "सुरक्षा ख़राब है" नहीं है; यह एक प्रणालीगत, बढ़ता संकट है जो हमारी दुनिया को चलाने वाले अत्यंत महत्वपूर्ण एंटरप्राइज़ सॉफ़्टवेयर को प्रभावित कर रहा है।

KEV कैटलॉग में हालिया परिवर्धन पर विचार करें:

• सीवीई-2023-46214: सीआईएसए पैच समय सीमा के साथ एक स्प्लंक एंटरप्राइज रिमोट कोड निष्पादन भेद्यता (सीवीएसएस 9.8), जो अप्रकाशित सिस्टम को अत्यधिक असुरक्षित बनाता है।
• सीवीई-2023-29357: एक माइक्रोसॉफ्ट शेयरपॉइंट सर्वर विशेषाधिकार वृद्धि भेद्यता, जो अनगिनत कॉर्पोरेट इंट्रानेट की रीढ़ को प्रभावित करती है।
• CVE-2023-42824: एक Apple iOS/iPadOS कर्नेल भेद्यता, जिसका पहले से ही लक्षित हमलों में शोषण किया गया है, यह दर्शाता है कि नियंत्रित पारिस्थितिकी तंत्र भी अभेद्य नहीं हैं।
• सीवीई-2023-30799: एक मिक्रोटिक राउटरओएस रिमोट कोड निष्पादन दोष, जो सब कुछ कनेक्ट करने वाले राउटर्स को प्रभावित करता है, अक्सर नेटवर्क के सबसे गहरे कोनों में बिना पैच किए छोड़ दिया जाता है।

प्रमुख विक्रेताओं - माइक्रोसॉफ्ट, ऐप्पल, स्प्लंक, मिक्रोटिक, लिनक्स, जेफ्रॉग - में सक्रिय रूप से उपयोग किए जाने वाले शून्य-दिनों का यह तेजी से संयोजन तत्काल, उन्मत्त ध्यान की मांग करता है। यह कोई सामान्य चेतावनी नहीं है; यह हर आईटी और सुरक्षा टीम पर सीधे बजने वाला एक सायरन है। सीआईएसए की केईवी सूची केवल संघीय एजेंसियों के लिए एक सुझाव नहीं है; यह सभी संगठनों के लिए एक गंभीर चेतावनी है। इसे अनदेखा करना आपके जोखिम पर है।

"एआई सुरक्षा" का भ्रम और ध्यान भटकाने की कीमत

यहां असुविधाजनक सच्चाई है: एआई प्लेटफॉर्म और सीआईएसए केईवी बैराज में मूलभूत खामियां एक ही समस्या के परस्पर जुड़े हुए पहलू हैं। वे दोनों सॉफ़्टवेयर सुरक्षा में मूलभूत खराबी के बारे में चिल्लाते हैं, लेकिन हमारे उद्योग की सामूहिक दृष्टि खतरनाक रूप से ग़लत है। हम "एआई" के वादे और खतरे से इतने मोहित हो गए हैं कि हम मूलभूत डिजिटल बुनियादी ढांचे को सड़ने दे रहे हैं।

"एआई सुरक्षा" एक लोकप्रिय शब्द बन गया है, जो सलाहकारों और उत्पाद प्रबंधकों के लिए एक नई सीमा है। लेकिन वास्तव में यह क्या है? अक्सर, यह सिर्फ एआई सिस्टम पर लागू सुरक्षा होती है। हां, एआई नए आक्रमण वैक्टर और अद्वितीय चुनौतियों का परिचय देता है, लेकिन "एआई सुरक्षा" का एक महत्वपूर्ण हिस्सा केवल मजबूत इंजीनियरिंग, सुरक्षित कोडिंग प्रथाएं और मेहनती पैचिंग है - वही चीजें जो हम दशकों से विफल हो रहे हैं। पहले उल्लिखित वीएम अलगाव मुद्दा एक आदर्श उदाहरण है: एआई प्लेटफॉर्म की जटिलता से बढ़ी हुई एक क्लासिक भेद्यता।

हम तेजी से नाजुक और सक्रिय रूप से उपयोग की जाने वाली नींव के शीर्ष पर अविश्वसनीय रूप से जटिल एआई सिस्टम का निर्माण कर रहे हैं। यह उन्नत एआई नेविगेशन के साथ एक सेल्फ-ड्राइविंग कार को सावधानीपूर्वक डिजाइन करने जैसा है, जबकि पहिए गिर रहे हैं और इंजन लड़खड़ा रहा है। "एआई सुरक्षा" पर ध्यान अक्सर ध्यान भटकाने वाला लगता है, जो मौजूदा बुनियादी ढांचे को सुरक्षित करने के सांसारिक, अस्वाभाविक, लेकिन बिल्कुल महत्वपूर्ण काम से संसाधनों और ध्यान को भटकाता है।

क्या हम अगली बड़ी चीज़ के पीछे इतने व्यस्त हैं कि मौजूदा बड़ी चीज़ों को जलने दे रहे हैं? केईवी खतरों की विशाल मात्रा और चौड़ाई मूलभूत डिजिटल बुनियादी ढांचे के लिए एक प्रणालीगत और तत्काल चुनौती का संकेत देती है, जो पिछले एआई-केंद्रित शून्य-दिवसीय चर्चाओं से अलग है। यह एआई के भविष्य के बारे में नहीं है; यह हमारे डिजिटल अस्तित्व की वर्तमान स्थिति के बारे में है।

अब क्या, सीटीओ?

इंजीनियरिंग लीड और सीटीओ के लिए, संदेश स्पष्ट और तत्काल है:

1. केईवी सूची को प्राथमिकता दें: सब कुछ छोड़ दें। इन कमजोरियों को दूर करें. इसे अधिदेशित करें. इसे लागू करें. यह वैकल्पिक नहीं है.
2. बुनियादी सिद्धांतों की कीमत पर "एआई सुरक्षा" के प्रचार में न फंसें: हां, एआई के अनूठे जोखिमों को समझें, लेकिन याद रखें कि मजबूत इंजीनियरिंग, सुरक्षित विकास जीवनचक्र और मेहनती पैचिंग अभी भी आपका सबसे अच्छा बचाव है। यदि कोई हमलावर आपके अंतर्निहित VM या SharePoint सर्वर का स्वामी है तो एक फैंसी AI मॉडल आपको नहीं बचाएगा।
3. बुनियादी सुरक्षा में निवेश करें: इसका मतलब सिर्फ एक अन्य सुरक्षा उपकरण खरीदने से कहीं अधिक है। इसका मतलब है लोगों, प्रक्रियाओं और एक ऐसी संस्कृति में निवेश करना जो सुरक्षा को एक मुख्य इंजीनियरिंग अनुशासन के रूप में महत्व देता है, न कि किसी बाद के विचार के रूप में। बग बाउंटी कार्यक्रम उत्कृष्ट हैं, लेकिन उन्हें एक सुरक्षा जाल होना चाहिए, न कि आपकी प्राथमिक सुरक्षा रणनीति।

एआई प्लेटफॉर्म इंफ्रास्ट्रक्चर से जुड़ी घटना एक चेतावनी है, लेकिन सीआईएसए केईवी सूची तत्काल अलार्म है। हमें नवीनतम एआई सुरक्षा पहलों की प्रशंसा करना बंद करना होगा और अपनी वास्तविक सुरक्षा में खामियों को दूर करना शुरू करना होगा। एआई का भविष्य रोमांचक है, लेकिन हमारी सुरक्षा की वर्तमान स्थिति भयावह है।

स्रोत

[1] एआई सुरक्षा एक गड़बड़ है, और यह बदतर होने वाली है - https://techcrunch.com/2023/10/11/ai-security-is-a-mess-and-its-about-to-get-worse/ [2] ज्ञात शोषित कमजोरियाँ कैटलॉग - https://www.cisa.gov/known-exploited-वल्नरेबिलिटीज-कैटलॉग