Nouvo rad sekirite AI Anperè a: Pandan n ap gade Muse, Fondasyon an kraze.
Se pou nou dirèk: endistri teknoloji a gen yon nouvo mani, epi li rele "AI security." Nou tout espere konsantre sou piki rapid, anpwazònman modèl, ak èksfiltrasyon done ki soti nan modèl gwo langaj. Pandan se tan, aktyèl, fizik, enfrastrikti dijital kenbe antrepriz nou yo ansanm aktivman ap mete dife nan yon baraj inplakabl nan zewo-jou. Yon dènye ensidan ki enplike yon gwo platfòm AI, ilistrasyon defi yo pi laj nan sekirize enfrastrikti AI, mete aksan sou dikotomi danjere sa a [1].
Meta, yon konpayi li te ye pou ethos "deplase vit epi kraze bagay" li yo, te fè fas a envestigasyon sou defo sekirite nan platfòm AI li yo. Pou egzanp, yon pwogram bounty ensèk te dekouvri yon defo enpòtan ki te ekspoze itilizatè Virtual Machines. Sa a pa t 'yon flit done sibtil oswa yon kontoune rapid entelijan, men yon erè fondamantal, nivo enfrastrikti ki ekspoze * VM itilizatè *. Sa a se pa kèk esoterik AI-espesifik vilnerabilite; sa a se izolasyon debaz VM, yon pwoblèm nou lajman te panse donte yon dekad de sa. Li reprezante yon vyolasyon kritik nan vi prive ak entegrite done, ki afekte dirèkteman itilizatè yo ak potansyèlman kliyan antrepriz ki pwofite enfrastrikti AI sa yo.
Kalite defo sa a, byenke gen yon enpak reyèl, santi l mwens tankou yon nouvo defi "Sekirite AI" ak plis tankou yon echèk enfrastrikti klasik mete yon chapo AI. Li se yon rapèl ke menm platfòm AI ki pi avanse yo bati sou kouch konvansyonèl enfòmatik, rezo, ak Virtualization. Si kouch fondasyon sa yo plen twou, li pa enpòtan ki jan sofistike modèl AI ou a; tout sistèm nan rete vilnerab. Aspè "AI" nan istwa sa a se prèske yon distraksyon, yon move direksyon ki trase gade nou lwen bwa yo pouri anba planche yo poli.
KEV Barrage CISA a: Yon endikatè kritik
Pandan n ap okipe deba sou enplikasyon etik chatbots sansib yo ak nuans sekirite AI, CISA ap lage yon kantite vilnerabilite ki san parèy eksplwate aktivman nan katalòg Known Exploited Vulnerabilities (KEV) li yo. Sa a se pa yon egzèsis teyorik. Sa a se pa yon lis "patch yon jou". Sa a se yon lis ijan "kay ou an dife kounye a".
Nan semèn ki sot pase yo, CISA te ajoute anpil antre, yo pote total vilnerabilite aktivman eksplwate nan yon kantite stupéfiants nan yon peryòd kout [2]. Sa a se pa sèlman "sekirite se move"; sa a se yon kriz sistemik, eskalade ki afekte lojisyèl antrepriz ki trè kritik ki kouri mond nou an.
Konsidere dènye ajoute nan katalòg KEV la:
- CVE-2023-46214: Yon vilnerabilite nan ekzekisyon kòd aleka Splunk Enterprise (CVSS 9.8) ak yon dat limit patch CISA, ki fè sistèm san patch trè vilnerab.
- CVE-2023-29357: Yon vilnerabilite pou ogmante privilèj Microsoft SharePoint Server, ki afekte kolòn vètebral la nan yon pakèt intranet antrepriz.
- CVE-2023-42824: Yon vilnerabilite nwayo Apple iOS/iPadOS, deja eksplwate nan atak vize, ki demontre ke menm ekosistèm kontwole yo pa enpénétrabl.
- CVE-2023-30799: Yon defo nan ekzekisyon kòd aleka MikroTik RouterOS, ki afekte routeurs ki konekte tout bagay, souvan kite san patch nan kwen ki pi pwofon rezo a.
Adisyon rapid-dife sa a nan aktivman eksplwate zewo-jou atravè gwo fournisseurs - Microsoft, Apple, Splunk, MikroTik, Linux, JFrog - mande atansyon imedyat, éfréné. Sa a se pa yon avètisman jeneral; se yon sirèn k ap sonnen dirèkteman nan chak ekip IT ak sekirite. Lis KEV CISA a se pa sèlman yon sijesyon pou ajans federal yo; se yon avètisman kritik pou tout òganizasyon yo. Inyore li nan danje ou.
Illusion "AI Security" ak pri distraksyon
Men verite a alèz: defo fondamantal nan platfòm AI ak baraj CISA KEV yo se aspè ki konekte nan menm pwoblèm nan. Yo tou de rele sou yon pann fondamantal nan sekirite lojisyèl, men gade kolektif endistri nou an danjerezman mal aliye. Nou tèlman kaptive pa pwomès ak danje "AI" ke nou ap kite fondasyon enfrastrikti dijital la pouri.
"Sekirite AI" te vin tounen yon mo, yon nouvo fwontyè pou konsiltan ak manadjè pwodwi yo. Men, ki sa li ye, reyèlman? Souvan, se jis sekirite aplike nan sistèm AI. Wi, AI entwodui nouvo vektè atak ak defi inik, men yon pati enpòtan nan "sekirite AI" se tou senpleman jeni solid, pratik kodaj ki an sekirite, ak patch dilijan - menm bagay sa yo nou te echwe nan pou dè dekad. Pwoblèm izolasyon VM mansyone pi bonè a se yon egzanp pafè: yon vilnerabilite klasik anplifye pa konpleksite yon platfòm AI.
Nou ap konstwi sistèm AI ekstrèmman konplèks sou fondasyon de pli zan pli frajil ak eksplwate aktivman. Se tankou yon fason metikuleu desine yon machin oto-kondwi ak navigasyon AI avanse, pandan y ap wou yo ap tonbe epi motè a ap sputtering. Konsantre sou "Sekirite AI" souvan santi l tankou yon distraksyon, detounen resous ak atansyon soti nan travay la mundan, san selèb, men absoliman kritik nan sekirize enfrastrikti ki egziste deja.
Èske nou tèlman okipe ap kouri dèyè pwochen gwo bagay la ke nou ap kite gwo bagay aktyèl yo boule? Gwo volim ak lajè menas KEV yo endike yon defi sistemik ak ijan pou enfrastrikti dijital debaz yo, diferan de diskisyon zewo jou ki te fèt anvan yo ki te santre sou AI. Sa a se pa sou lavni AI; li nan sou eta aktyèl la nan egzistans dijital nou an.
Ki sa ki kounye a, CTOs?
Pou dirijan jeni ak CTOs, mesaj la se strik e imedya:
- Priyorite lis KEV la: Lage tout bagay. Patch frajilite sa yo. Manda li. Ranfòse li. Sa a se pa opsyonèl.
- Pa kite battage "Sekirite AI" sou depans fondamantal yo: Wi, konprann risk inik ki genyen nan AI, men sonje ke jeni solid, sik devlòpman an sekirite, ak patch dilijan yo toujou pi bon defans ou. Yon modèl AI anpenpan pa pral sove ou si yon atakè posede VM ki kache oswa sèvè SharePoint ou.
- Envesti nan sekirite fondamantal: Sa vle di plis pase jis achte yon lòt zouti sekirite. Sa vle di envesti nan moun, pwosesis, ak yon kilti ki valè sekirite kòm yon disiplin jeni debaz, pa yon apre panse. Pwogram bounty bug yo ekselan, men yo ta dwe yon rezo sekirite, pa estrateji prensipal sekirite ou.
Ensidan an ki enplike enfrastrikti platfòm AI se yon apèl reveye, men lis CISA KEV la se alam ijan an. Nou bezwen sispann admire dènye inisyativ sekirite AI yo epi kòmanse patche twou yo nan defans aktyèl nou yo. Lavni AI se enteresan, men eta aktyèl sekirite nou an se tèt chaje.
Sous
[1] Sekirite AI se yon dezòd, epi li pral vin pi mal - https://techcrunch.com/2023/10/11/ai-security-is-a-mess-and-its-about-to-get-worse/ [2] Katalòg vilnerabilite ki te eksplwate yo konnen — https://www.cisa.gov/known-exploited-vulnerabilities-catalog