Ang Bag-ong AI Security Clothes sa Emperor: Samtang Nagtan-aw Kami sa Muse, Nahugno ang Pundasyon
Direkta ta: ang industriya sa tech adunay bag-ong obsession, ug gitawag kini nga "AI security." Kitang tanan gilauman nga mag-focus sa dali nga pag-inject, pagkahilo sa modelo, ug pag-exfiltrate sa datos gikan sa dagkong mga modelo sa pinulongan. Samtang, ang aktuwal, pisikal, digital nga imprastraktura nga nagkupot sa atong mga negosyo aktibo nga gisunog sa usa ka walay hunong nga barrage sa zero-days. Usa ka bag-o nga insidente nga naglambigit sa usa ka mayor nga plataporma sa AI, nga naghulagway sa mas lapad nga mga hagit sa pagsiguro sa imprastraktura sa AI, nagpasiugda niining makuyaw nga dichotomy [1].
Ang Meta, usa ka kompanya nga nailhan sa "move fast and break things" ethos, nag-atubang sa pagsusi sa mga sayup sa seguridad sa mga platform sa AI niini. Pananglitan, ang usa ka bug bounty program nakadiskubre sa usa ka mahinungdanong depekto nga nagbutyag sa user Virtual Machines. Dili kini usa ka maliputon nga pagtagas sa datos o usa ka maalamon nga pag-bypass, apan usa ka sukaranan, sayup nga lebel sa imprastraktura nga nagpadayag sa mga VM sa gumagamit. Dili kini usa ka esoteric AI-specific vulnerability; Kini ang sukaranan nga pag-inusara sa VM, usa ka problema nga gihunahuna namon nga naayo usa ka dekada na ang milabay. Nagrepresentar kini sa usa ka kritikal nga paglapas sa pagkapribado ug integridad sa datos, direkta nga nakaapekto sa mga tiggamit ug potensyal nga mga kliyente sa negosyo nga naggamit sa ingon nga imprastraktura sa AI.
Kini nga matang sa kasaypanan, samtang tinuod nga epekto, dili kaayo sama sa usa ka nobela nga "AI security" nga hagit ug mas sama sa usa ka klasiko nga kapakyasan sa imprastraktura nga nagsul-ob og AI nga kalo. Kini usa ka pahinumdom nga bisan ang labing abante nga mga platform sa AI gitukod sa mga layer sa naandan nga pagkalkula, networking, ug virtualization. Kung kana nga mga lut-od sa pundasyon puno sa mga lungag, dili igsapayan kung unsa ka sopistikado ang imong modelo sa AI; ang tibuok sistema nagpabilin nga huyang. Ang "AI" nga aspeto niini nga istorya halos usa ka makabalda, usa ka sayop nga direksyon nga nagpalayo sa atong panan-aw gikan sa mga nangadunot nga mga kahoy sa ilawom sa gipasinaw nga mga tabla.
KEV Barrage sa CISA: Usa ka Kritikal nga Timailhan
Samtang nagkapuliki kami sa pagdebate sa etikal nga mga implikasyon sa sentient chatbots ug ang mga nuances sa AI safety, ang CISA naghulog sa usa ka wala pa mahitabo nga gidaghanon sa aktibong gipahimuslan nga mga kahuyangan ngadto sa Known Exploited Vulnerabilities (KEV) catalog niini. Dili kini usa ka teoretikal nga ehersisyo. Dili kini usa ka lista nga "patch someday". Kini usa ka dinalian nga lista nga "nasunog ang imong balay *karon *".
Sa bag-ohay nga mga semana, ang CISA midugang og daghang mga entri, nga nagdala sa kinatibuk-an nga aktibong gipahimuslan nga mga kahuyangan ngadto sa usa ka makapakurat nga gidaghanon sa mubo nga panahon [2]. Dili lang kini "dili maayo ang seguridad"; Kini usa ka sistematiko, nagkadako nga krisis nga nakaapekto sa labi ka kritikal nga software sa negosyo nga nagpadagan sa atong kalibutan.
Ikonsiderar ang bag-o nga mga pagdugang sa KEV catalog:
- CVE-2023-46214: Usa ka Splunk Enterprise remote code execution vulnerability (CVSS 9.8) nga adunay usa ka CISA patch deadline, nga naghimo sa wala ma-patched nga mga sistema nga huyang kaayo.
- CVE-2023-29357: Usa ka Microsoft SharePoint Server privilege escalation vulnerability, nga nakaapekto sa backbone sa dili maihap nga corporate intranets.
- CVE-2023-42824: Usa ka Apple iOS/iPadOS kernel vulnerability, gipahimuslan na sa gipunting nga mga pag-atake, nga nagpakita nga bisan ang kontroladong ekosistema dili masudlan.
- CVE-2023-30799: Usa ka depekto sa pagpatuman sa hilit nga code sa MikroTik RouterOS, nga nakaapekto sa mga routers nga nagkonektar sa tanan, kanunay nga wala ma-patch sa kinahiladman nga suok sa network.
Kining paspas nga sunog nga pagdugang sa aktibong gipahimuslan nga mga zero-days sa mga dagkong vendor - Microsoft, Apple, Splunk, MikroTik, Linux, JFrog - nanginahanglan dayon, hinali nga pagtagad. Dili kini usa ka kinatibuk-ang pasidaan; kini usa ka sirena nga direkta nga naglanog sa matag IT ug security team. Ang lista sa KEV sa CISA dili lang usa ka sugyot alang sa mga ahensya sa federal; kini usa ka kritikal nga pasidaan alang sa tanan nga mga organisasyon. Ibaliwala kini sa imong peligro.
Ang Ilusyon sa "AI Security" ug ang Gasto sa Pagkalinga
Ania ang dili komportable nga kamatuoran: ang sukaranan nga mga sayup sa mga platform sa AI ug ang CISA KEV barrage mga managsama nga aspeto sa parehas nga problema. Pareho silang nagsinggit bahin sa usa ka sukaranan nga pagkaguba sa seguridad sa software, apan ang kolektibo nga pagtan-aw sa among industriya peligro nga dili masaligon. Nadani kaayo kami sa saad ug peligro sa "AI" nga gipasagdan namon nga madunot ang pundasyon sa digital nga imprastraktura.
Ang "AI security" nahimong usa ka buzzword, usa ka bag-ong utlanan alang sa mga consultant ug managers sa produkto. Pero unsa man gyud? Kasagaran, kini lang seguridad nga gipadapat sa mga sistema sa AI. Oo, gipaila sa AI ang bag-ong mga vector sa pag-atake ug talagsaon nga mga hagit, apan usa ka hinungdanon nga bahin sa "AI security" yano nga lig-on nga engineering, luwas nga mga gawi sa coding, ug makugihon nga pag-patching - parehas nga butang nga napakyas kami sa mga dekada. Ang isyu sa pag-inusara sa VM nga gihisgutan sa sayo pa usa ka hingpit nga pananglitan: usa ka klasiko nga kahuyangan nga gipadako sa pagkakomplikado sa usa ka platform sa AI.
Nagtukod kami og dili katuohan nga komplikado nga mga sistema sa AI sa ibabaw sa labi ka mahuyang ug aktibo nga gipahimuslan nga mga pundasyon. Sama kini sa makuti nga pagdesinyo sa usa ka self-driving nga awto nga adunay advanced AI navigation, samtang ang mga ligid nangahulog ug ang makina nag-sputtering. Ang pagtutok sa "AI security" sa kasagaran gibati sama sa usa ka pagkalinga, pag-ilis sa mga kahinguhaan ug pagtagad gikan sa kalibutanon, dili maayo, apan hingpit nga kritikal nga trabaho sa pagsiguro sa kasamtangan nga imprastraktura.
Busy ba kaayo kita sa paggukod sa sunod nga dagkong butang nga atong gipasagdan nga masunog ang mga dagkong butang karon? Ang kadaghan ug gilapdon sa mga hulga sa KEV nagpaila sa usa ka sistematiko ug dinalian nga hagit sa pundasyon nga digital nga imprastraktura, lahi sa miaging AI-centric zero-day nga mga diskusyon. Dili kini bahin sa kaugmaon sa AI; mahitungod kini sa karon nga kahimtang sa atong digital nga kinabuhi.
Unsa Karon, mga CTO?
Alang sa mga nanguna sa engineering ug mga CTO, ang mensahe klaro ug dayon:
- I-priyoridad ang listahan sa KEV: Ihulog ang tanan. I-patch kini nga mga kahuyangan. Imando kini. Ipatuman kini. Dili kini opsyonal.
- Ayaw pag-ilog sa "AI security" hype sa gasto sa mga sukaranan: Oo, sabta ang talagsaon nga mga risgo sa AI, apan hinumdumi nga ang lig-on nga engineering, luwas nga development lifecycles, ug makugihong pag-patching mao gihapon ang imong pinakamaayong depensa. Ang usa ka nindot nga modelo sa AI dili makaluwas kanimo kung tag-iya sa usa ka tig-atake ang imong nagpahiping VM o imong SharePoint server.
- Pagpuhunan sa pundasyon nga seguridad: Kini nagpasabot ug labaw pa sa pagpalit ug laing himan sa seguridad. Nagpasabot kini sa pagpamuhunan sa mga tawo, mga proseso, ug usa ka kultura nga nagpabili sa seguridad isip usa ka kinauyokan nga disiplina sa inhenyero, dili usa ka afterthought. Ang mga programa sa bug bounty maayo kaayo, apan kini kinahanglan nga usa ka safety net, dili ang imong panguna nga estratehiya sa seguridad.
Ang insidente nga naglambigit sa AI platform infrastructure usa ka wake-up call, apan ang CISA KEV list mao ang dinalian nga alarma. Kinahanglan natong hunongon ang pagdayeg sa pinakabag-o nga mga inisyatibo sa seguridad sa AI ug magsugod sa pag-patch sa mga lungag sa atong aktwal nga mga depensa. Ang kaugmaon sa AI makapahinam, apan ang karon nga kahimtang sa atong seguridad makalilisang.
Mga Tinubdan
[1] Ang seguridad sa AI usa ka gubot, ug kini hapit na mograbe - https://techcrunch.com/2023/10/11/ai-security-is-a-mess-and-its-about-to-get-worse/ [2] Nailhan nga Gipahimuslan nga Katalogo sa Pagkahuyang — https://www.cisa.gov/known-exploited-vulnerabilities-catalog