صفر ڏينهن ۽ زيرو نگراني: ٻن ٽيڪني حقيقتن جي هڪ ڪهاڻي

صفر-ڏينهن ۽ زيرو نگراني: ٻن ٽيڪنيڪي حقيقتن جو هڪ قصو

پنهنجي SOC ٽيم جو تصور ڪريو، ٻرندڙ اکين سان، چمڪندڙ لال الرٽ تي گھورڻ. اهو آهي 3 AM آڪٽوبر 2023 ۾، ۽ خبر سٺي ناهي: توهان جي Citrix NetScaler ADC ۽ گيٽ وي ۾ ٻه نازڪ صفر ڏينهن، فعال طور تي استحصال ڪيو ويو، ريموٽ ڪوڊ ايگزيڪيوشن (RCE) کي فعال ڪرڻ، جهنگلي ۾ مشاهدو ڪيل ڪسٽم مالويئر سان. CISA Known Exploited Vulnerabilities (KEV) فهرست صرف انهن کي شامل ڪيو [1, 2, 3, 4]. هي هڪ نظرياتي خطرو ناهي؛ اهو هڪ اهم، بين الاقوامي واقعو آهي جيڪو اتر آمريڪا ۽ يورپ ۾ حڪومت، ماليات، تعليم، ۽ قانوني شعبن ۾ اهم ادارن جي بنيادي ڍانچي کي متاثر ڪري ٿو. جڏهن ته توهان جون ٽيمون خونريزي تي ضابطو آڻڻ لاءِ ڪوششون ڪري رهيون آهن، سختيءَ سان پيچيدگيون، ۽ فارنزڪ تحقيقات شروع ڪري رهيون آهن ته ڇا ٿي سگهي ٿو هڪ تباهي واري ڀڃڪڙي، هڪ ٻي سرخي هيٺ اچي ٿي: صدر ٽرمپ AI ترقي لاءِ اعليٰ ٽيڪ فرمن سان ”رضاڪارانه معاهدو“ حاصل ڪيو آهي، صنعت جي خود پوليسنگ جو واعدو ڪندي [5].

جُزٽپوزيشن بلڪل بي ترتيب آهي. هڪ طرف، اسان اسان جي موجوده ڊجيٽل ماحول جي وحشي، ناقابل ترديد حقيقت کي منهن ڏئي رهيا آهيون: هڪ مسلسل، اعلي سطحي جنگ نفيس مخالفن جي خلاف بنيادي ڪمزورين جو استحصال ڪري رهيا آهن بنيادي ڪمزورين کي بنيادي بنيادن تي جيڪو اسان جي جديد دنيا کي هيٺ ڪري ٿو. ٻئي طرف، هڪ سياسي تماشو پيش ڪري ٿو ته سڀ کان وڌيڪ بدلجندڙ، اڃا تائين تمام گهڻي غير يقيني، ٽيڪنالاجي جو مستقبل محفوظ طور تي ساڳئي صنعت طرفان منظم ڪري سگهجي ٿو جيڪا مسلسل بنيادي سيڪيورٽي ۽ اخلاقي خود حڪمراني سان جدوجهد ڪري ٿي.

The Citrix Catastrofe: گہرے روٽ جي علامت

اچو ته صاف رهون: Citrix zero-days، جهڙوڪ CVE-2023-4966 (سڃاتل آهي Citrix Bleed) ۽ CVE-2023-3519، صرف "ٻيو خطرو" ناهي. اهي ڊيٽا سينٽر ۾ هڪ تڪڙي بحران جي نمائندگي ڪن ٿا، هڪ سڌي، جاري حملي واري مهم جيڪا فوري طور تي، سڀني هٿن تي ڊيڪ جواب جو مطالبو ڪري ٿي [1، 2، 3، 4]. هڪ ADC يا گيٽ وي تي ريموٽ ڪوڊ جي عملدرآمد هڪ نازڪ رسائي واري نقطي جي ڊجيٽل برابر آهي. اهو صرف پيچنگ بابت ناهي؛ اهو اسان جي ڪاروباري فن تعمير جي سسٽماتي ڪمزوري بابت آهي.

سالن تائين، اسان پيچيده، هڪٻئي سان ڳنڍيل سسٽم ٺاهيا آهن، اڪثر ڪري بنيادي انفراسٽرڪچر لاءِ چند نازڪ وينڊرز تي ڀروسو ڪندا آهيون. Citrix، ٻين ڪيترن ئي وانگر، ضروري خدمتون مهيا ڪري ٿي، پر انهي مرڪزيت سان گڏ وڏو خطرو اچي ٿو. جڏهن هڪ بنيادي جزو جهڙوڪ NetScaler صفر-ڏينهن جي سطح تي سمجهوتو ڪيو ويندو آهي، ريپل اثر تباهه ڪندڙ آهي. اهو ناڪاميءَ جي هڪ نقطي تي ڀروسو ڪرڻ ۾ موروثي نقص کي ظاهر ڪري ٿو، ان کان سواءِ اهو ڪيترو به مضبوط هجي * ٿيڻ گهرجي. "پيچ فوري طور تي" هدايت، جڏهن ته ضروري هجي، محسوس ٿئي ٿو هڪ سسٽماتي مسئلي لاء هڪ سطحي علاج. اهو بنيادي مسئلن کي حل نٿو ڪري: پيچيدگي جيڪا ڪمزورين کي جنم ڏئي ٿي، ڪجهه وينڊرز کان سيڪيورٽي اپڊيٽ جي سست رفتار، ۽ اڪثر-ناکافي دفاعي-گہرا حڪمت عمليون جيڪي ناڪام ٿينديون آهن جڏهن ان جي انتهائي نازڪ نقطي تي حد جي ڀڃڪڙي ٿئي ٿي.

اهو صرف هڪ ٽيڪنيڪل مسئلو ناهي؛ اهو هڪ ڪاروباري تسلسل خواب آهي. ڊيٽا جي ڀڃڪڙي، آپريشنل رڪاوٽ، ريگيوليٽري ڏنڊ، وقار نقصان - قيمتون astronomical آهن. ۽ ڇا لاءِ؟ نيٽ ورڪ کي موثر طريقي سان هلائڻ لاء؟ اسان سهولت ۽ سمجھيل ڪارڪردگيءَ لاءِ وڏي قيمت ادا ڪري رهيا آهيون، سي ٽي اوز ۽ سيڪيورٽي ٽيمن لاءِ بي نياز راتين ۾ ماپيل قيمت، ۽ امڪاني طور تي، عوام جي اعتماد جي خاتمي ۾. حقيقت اها آهي ته اهي آهن فعال طور تي استحصال صفر ڏينهن، استعمال ڪندي ڪسٽم مالويئر، اسان کي ٻڌائي ٿو ته اهي اسڪرپٽ ٻار نه آهن. اهي سٺا وسيلا آهن، مسلسل خطري وارا اداڪار اعلي قيمتي اثاثن کي نشانو بڻائڻ [3]. جيڪڏهن اسان پنهنجي موجوده ڊجيٽل دنيا جي بنيادي پرتن کي محفوظ نه ٿا ڪري سگهون، اسان کي اميد آهي ته اسان کي وڌيڪ پيچيده مستقبل لاء ڇا آهي؟

AI جي وائلڊ ويسٽ: حفاظت کي ترتيب ڏيڻ لاءِ ذاتي مفاد تي ڀروسو ڪرڻ

۽ انهي مستقبل جي باري ۾ ڳالهائيندي، اچو ته AI "خود-پوليسنگ" معاهدي ڏانهن اشارو ڪيو. صدر ڊونلڊ ٽرمپ جو اعلان، سياسي طور تي اهم، احتساب جي پاسداري جو درسي ڪتاب مثال آهي [5]. "رضاڪار" ۽ "خود-پوليسنگ" اصطلاح آهن جيڪي هر ڪنهن ۾ خوف کي ڦهلائڻ گهرجي، جيڪو گذريل ٻن ڏهاڪن کان ٽيڪني صنعت کي هلندي ڏٺو آهي. اسان هن نموني کي اڳي ئي ڏٺو آهي، نه؟ سوشل ميڊيا ڪمپنيون ”رضاڪاريءَ سان“ پوليسنگ نفرت واري تقرير، سرچ انجڻ ”خود ضابطي“ واري ڊيٽا رازداري، ۽ ايپ اسٽور ”آزاديءَ سان“ منصفاڻي مقابلي کي يقيني بڻائين ٿيون. ٽريڪ رڪارڊ آهي، ان کي نرمي سان رکڻ لاء، بيحد.

اهو خيال ته تمام گهڻيون ڪمپنيون طاقتور AI سسٽم کي ترقي ۽ ترتيب ڏيڻ لاءِ ڊوڙي رهيون آهن - نظام جيڪي معيشتن کي نئين شڪل ڏيڻ جي صلاحيت سان ، چونڊون تي اثرانداز ٿي سگهن ٿا ۽ سماجي خطري جا نوان فارم پڻ ٺاهي سگهن ٿا - انهن جي پنهنجي اخلاقي ۽ حفاظت جي هدايتن کي ترتيب ڏيڻ ۽ لاڳو ڪرڻ تي ڀروسو ڪري سگهجي ٿو بهترين طور تي بيوقوف آهي ، ۽ بدترين طور تي خطرناڪ طور تي غير ذميواراڻو آهي. اهي ڪارپوريشن آهن جيڪي منافعي ۽ مارڪيٽ جي تسلط ذريعي هلائي رهيا آهن. انهن جو بنيادي باضابطه فرض شيئر هولڊرز لاءِ آهي، نه ته عوامي ڀلائي يا اخلاقي AI جي تجريدي تصور ڏانهن.

هي ”معاهدو“ انتظاميه لاءِ هڪ سياسي فتح آهي، انهن کي اجازت ڏئي ٿي ته AI تي ڪارروائي جي دعويٰ ڪرڻ کان سواءِ حقيقي قانون سازي يا ريگيوليٽري نگراني جي گندي ڪاروبار جي. اهو پڻ بگ ٽيڪ لاءِ هڪ وڏي فتح آهي، انهن کي خريد ڪرڻ وقت ۽ ممڪن طور تي بوجھل ضابطن کان آزادي جيڪا انهن جي جدت کي سست ڪري سگهي ٿي يا انهن جي هيٺئين لڪير کي متاثر ڪري سگهي ٿي. پر اسان جي باقي لاءِ - ٽيڪنالاجي پروفيشنلز لاءِ اهي سسٽم ٺاهي رهيا آهن ، انهن ڪاروبار لاءِ جيڪي انهن تي ڀروسو ڪندا ، ۽ سماج لاءِ وڏي پئماني تي - اهو هڪ خطرناڪ مثال آهي. اهو AI گورننس لاءِ هڪ ترجيح واري طريقي کي اشارو ڪري ٿو جيڪو عوامي حفاظت ۽ احتساب تي ڪارپوريٽ خودمختياري کي ترجيح ڏئي ٿو.

ڊسڪنيڪٽ: غير مستحڪم بنيادن تي تعمير

هتي اڻ وڻندڙ حقيقت آهي: اسان هڪ ئي وقت پنهنجي حال کي محفوظ ڪرڻ ۾ ناڪام رهيا آهيون ۽ پنهنجي مستقبل کي خطرناڪ طور تي خراب ڪري رهيا آهيون. اسان ڊجيٽل عدم استحڪام جي بنياد تي هميشه کان وڌيڪ نفيس AI سسٽم ٺاهي رهيا آهيون، جتي نازڪ انفراسٽرڪچر معمولي طور تي نفيس مخالفن طرفان سمجهوتو ڪيو ويندو آهي. ساڳيا صنعت جا اڳواڻ جيڪي پنهنجي پروڊڪٽس کي عالمي حملي آور بڻجڻ کان روڪي نٿا سگهن هاڻي انهن کي عام مصنوعي ذهانت جي اخلاقي ۽ حفاظتي اثرن کي ”سيلف پوليس“ ڪرڻ لاءِ چيو پيو وڃي.

هي صرف هڪ ڌار ڌار نه آهي؛ اهو هڪ وڏو خال آهي. جيئن ته CTOs ۽ انجنيئرنگ ليڊز، اسان وچ ۾ پکڙيل آهيون. اسان کي فوري، وجودي خطرن کي پيچ ڪرڻ جو ڪم سونپيو ويو آهي جهڙوڪ Citrix zero-days، جڏهن ته گڏو گڏ چيو پيو وڃي ته هڪ AI تي هلندڙ مستقبل لاءِ تيار ڪيو وڃي جتي ضابطا ٺاهيا ويندا آهن جيئن اسان هلون ٿا، گهڻو ڪري پاڻ رانديگرن طرفان.

رضاڪارانه AI معاهدو ڪو حل ناهي؛ اها دير جي حڪمت عملي آهي. اهو احتساب ملتوي ڪري ٿو، انهي کي يقيني بڻائي ٿو ته جڏهن ناگزير اخلاقي خلاف ورزي، تعصب، يا AI جي تباهي واري ناڪامي به ٿيندي آهي، عوام حيران ٿي ويندي آهي ڇو ته شروع کان مضبوط، آزاد نگراني نه هئي. ۽ جڏهن اهي ناڪاميون ٿين ٿيون، اهي نظرياتي نه هوندا. اهي توهان جي NetScaler تي هڪ RCE وانگر حقيقي ۽ نقصانڪار هوندا، صرف ممڪن طور تي تمام وسيع سماجي اثرن سان.

اسان کي وڌيڪ مطالبو ڪرڻو پوندو. اسان کي اسان جي وينڊرز کان مضبوط، فعال سيڪيورٽي جي ضرورت آهي، نه رڳو حقيقت کان پوء رد عمل واري پيچ. ۽ اسان کي AI لاءِ حقيقي، آزاد ضابطي جي ضرورت آهي، نه رڳو سياستدانن ۽ ڪارپوريشنن جي وچ ۾ هٿ ملائڻ وارو معاهدو. ڇو ته جيڪڏهن اسان پنهنجي بنيادي بنيادي ڍانچي کي به محفوظ نه ٿا ڪري سگهون ته پوءِ اسان ڪيئن ممڪن طور تي ڀروسو ڪري سگهون ٿا آرڪيٽيڪٽ جي ايندڙ نسل کي ذميواري سان تعمير ڪرڻ لاءِ؟ جواب، في الحال، اسان نٿا ڪري سگهون.

ذريعا

[1] CISA شامل ڪري ٿو Citrix NetScaler ADC ۽ Gateway Vulnerability (CVE-2023-4966) Known Exploited Vulnerabilities Catalog ۾ - https://www.cisa.gov/news-events/alerts/2023/10/24/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog CVE-2023-4966 ۽ CVE-2023-4967 لاءِ Citrix سيڪيورٽي بلٽن — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967 [3] مينڊيٽ: UNC4841 Citrix NetScaler ADC ۽ گيٽ وي زيرو-ڊي (CVE-2023-4966) جو استحصال ڪري ٿو - https://www.mandiant.com/resources/blog/citrix-bleed-zero-day-exploitation [4] CISA شامل ڪري ٿو Citrix NetScaler ADC ۽ Gateway Vulnerability (CVE-2023-3519) ڄاتل استحصالي ڪمزورين جي فهرست ۾ - https://www.cisa.gov/news-events/alerts/2023/07/21/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [5] لائيو تازه ڪاريون: ٽرمپ ٽيڪن لاءِ AI اڳواڻن سان رضاڪارانه معاهدي تي دستخط ڪري ٿو ... - https://apnews.com/live/trump-cnn-media-midterm-elections-news-updates-09-29-2026