Zero-days agus Zero Oversight: Sgeulachd mu dhà fhìrinn teignigeach
Smaoinich air an sgioba SOC agad, le sùilean dubha, a’ coimhead air rabhadh dearg a’ lasadh. Is e 3 AM a th’ ann san Dàmhair 2023, agus chan eil an naidheachd math: dà latha neoni èiginneach anns an Citrix NetScaler ADC agus Gateway agad, air an cleachdadh gu gnìomhach, a’ comasachadh Cur an gnìomh Còd Iomallach (RCE), le malware àbhaisteach air fhaicinn san dùthaich. Tha catalog CISA Known Exploited Vulnerabilities (KEV) dìreach gan cur ris [1, 2, 3, 4]. Chan e bagairt teòiridheach a tha seo; is e tachartas cudromach eadar-nàiseanta a th’ ann a bheir buaidh air bun-structar iomairt deatamach thar roinnean riaghaltais, ionmhais, foghlaim agus laghail ann an Ameireaga a Tuath agus san Roinn Eòrpa. Fhad ‘s a tha na sgiobaidhean agad a’ sporghail gus an t-sèididh a chumail a-steach, a ’gleusadh gu fiadhaich, agus a’ tòiseachadh sgrùdaidhean forensic air dè a dh ’fhaodadh a bhith na bhriseadh tubaisteach, tha ceann-naidheachd eile a’ tuiteam: tha an Ceann-suidhe Trump air “aonta saor-thoileach” fhaighinn le prìomh chompanaidhean teignigeach airson leasachadh AI, a ’gealltainn fèin-phoileas gnìomhachais [5].
Tha an suidheachadh gu tur mì-fhreagarrach. Air aon làimh, tha sinn a’ toirt aghaidh air fìrinn bhrùideil, gun àicheadh na h-àrainneachd dhidseatach a th’ againn an-dràsta: blàr seasmhach, àrd an aghaidh nàimhdean sòlaimte a’ gabhail brath air laigsean bunaiteach anns a’ bhun-structar a tha mar bhunait air saoghal an latha an-diugh. Air an làimh eile, sealladh poilitigeach a tha a’ moladh gum faod àm ri teachd an teicneòlas as cruth-atharrachail, ach a tha gu math mì-chinnteach, a bhith air a riaghladh gu sàbhailte leis an aon ghnìomhachas a bhios gu cunbhalach a’ strì ri tèarainteachd bunaiteach agus fèin-riaghladh beusach.
Mòr-thubaist Citrix: Comharradh air grodadh nas doimhne
Biodh sinn soilleir: chan e dìreach “so-leòntachd eile a th’ anns na làithean neoni Citrix, leithid CVE-2023-4966 (ris an canar Citrix Bleed) agus CVE-2023-3519. Tha iad a’ riochdachadh èiginn èiginneach anns an ionad dàta, iomairt ionnsaigh dhìreach, leantainneach a dh’ fheumas freagairt sa bhad, uile-làmh-air-deic [1, 2, 3, 4]. Tha Cur an gnìomh Còd Iomallach air ADC no Gateway co-ionann didseatach ri puing inntrigidh èiginneach a tha air fhàgail fosgailte. Chan eil seo dìreach mu dheidhinn a bhith a’ gleusadh; tha e mu dheidhinn cugallachd siostamach na h-ailtireachd iomairt againn.
Airson bliadhnaichean, tha sinn air siostaman iom-fhillte, eadar-cheangailte a thogail, gu tric an urra ri dòrlach de luchd-reic riatanach airson bun-structar bunaiteach. Tha Citrix, mar mòran eile, a’ toirt seachad seirbheisean riatanach, ach leis a’ mheadhan sin thig cunnart mòr. Nuair a tha pàirt bunaiteach mar NetScaler air a chuir an cunnart aig ìre latha neoni, tha a’ bhuaidh ripple sgriosail. Tha e a’ nochdadh an locht gnèitheach ann a bhith an urra ri aon phuing fàiligeadh, ge bith dè cho làidir sa tha e * a rèir coltais *. Tha an stiùireadh “patch sa bhad”, ged a tha feum air, a’ faireachdainn mar leigheas uachdarach airson cùis siostamach. Cha bhith e a’ dèiligeadh ris na duilgheadasan bunaiteach: an iom-fhillteachd a bhios a’ briodadh so-leòntachd, astar slaodach ùrachaidhean tèarainteachd bho chuid de luchd-reic, agus na ro-innleachdan dìon domhainn a bhios gu tric a’ fàiligeadh nuair a thèid an iomall a bhriseadh aig an ìre as deatamaiche.
Chan e dìreach duilgheadas teicnigeach a tha seo; is e trom-laighe leantainneachd gnìomhachais a th’ ann. Briseadh dàta, aimhreit obrachaidh, càin riaghlaidh, milleadh cliù - tha na cosgaisean speurail. Agus airson dè? Gus lìonra a ruith gu h-èifeachdach? Tha sinn a’ pàigheadh prìs cas airson goireasachd agus èifeachd a thathar a’ faicinn, prìs air a thomhas ann an oidhcheannan gun chadal airson CTOn agus sgiobaidhean tèarainteachd, agus is dòcha, ann a bhith a’ crìonadh earbsa a’ phobaill. Leis gu bheil iad sin air an cleachdadh gu gnìomhach * gun làithean, a’ cleachdadh * custom malware *, ag innse dhuinn nach e kiddies sgriobt a th’ annta. Tha iad sin nan cleasaichean bagairt le deagh ghoireasan a tha ag amas air maoin àrd-luach [3]. Mura h-urrainn dhuinn na sreathan bunaiteach den t-saoghal dhidseatach a th’ againn mar-thà a dhèanamh tèarainte, dè an dòchas a th’ againn airson an ama ri teachd a tha nas iom-fhillte?
AI's Wild West: Ag earbsa fèin-ùidh gus sàbhailteachd a dhearbhadh
Agus a’ bruidhinn air an àm ri teachd sin, leig dhuinn sùil a thoirt air aonta “fèin-phoilis” AI. Tha an naidheachd aig a’ Cheann-suidhe Trump, ged a tha e cudromach gu poilitigeach, na eisimpleir leabhar-teacsa de chunntachalachd taobh-taobh [5]. Tha “saor-thoileach” agus “fèin-phoilis” nam briathran a bu chòir dragh a thogail do dhuine sam bith a tha air a bhith a’ coimhead gnìomhachas an teic ag obair thar an dà dheichead a dh’ fhalbh. Tha sinn air am pàtran seo fhaicinn roimhe, nach eil? Companaidhean meadhanan sòisealta “gu saor-thoileach” a’ poileis cainnt gràin, einnseanan luirg “fèin-riaghlaidh” prìobhaideachd dàta, agus stòran app “gu neo-eisimeileach” a’ dèanamh cinnteach à farpais chothromach. Tha an eachdraidh, airson a chuir gu socair, mì-mhodhail.
Tha a’ bheachd gum faodar earbsa a chur anns na dearbh chompanaidhean a tha a’ rèiseadh gus siostaman cumhachdach AI a leasachadh agus a chleachdadh - siostaman le comas eaconamaidhean ath-dhealbhadh, buaidh a thoirt air taghaidhean, agus eadhon cruthan ùra de chunnart sòisealta a chruthachadh - gus na stiùiridhean beusanta is sàbhailteachd aca fhèin a shuidheachadh agus a chuir an gnìomh naive aig a’ char as fheàrr, agus cunnartach neo-chùramach aig a’ char as miosa. Is iad sin corporaidean air an stiùireadh le prothaid agus ceannas margaidh. Is e am prìomh dhleastanas earbsa aca a bhith aig luchd-earrannan, chan ann ris a’ bhun-bheachd eas-chruthach air math poblach no AI beusach.
Tha an “aonta” seo na bhuannachd phoilitigeach don rianachd, a’ leigeil leotha gnìomh a dhèanamh air AI às aonais a’ ghnìomhachas meallta a thaobh fìor reachdas no stiùireadh riaghlaidh. Tha e cuideachd na bhuannachadh mòr dha Big Tech, a’ ceannach ùine agus saorsa dhaibh bho riaghailtean a dh’ fhaodadh a bhith trom a dh’ fhaodadh an innleachdas aca a lughdachadh no buaidh a thoirt air an loidhne as ìsle aca. Ach don chòrr againn - dha na proifeiseantaich teignigeach a bhios a’ togail nan siostaman sin, dha na gnìomhachasan a bhios an urra riutha, agus don chomann-shòisealta san fharsaingeachd - tha e na fasach cunnartach. Tha e a’ comharrachadh dòigh-obrach as fheàrr leotha a thaobh riaghladh AI a tha a’ toirt prìomhachas do neo-eisimeileachd corporra a thaobh sàbhailteachd poblach agus cunntachalachd.
An Disconnect: A’ togail air bunaitean neo-sheasmhach
Seo an fhìrinn mhì-chofhurtail: tha sinn aig an aon àm a 'fàiligeadh ar n-àm an-diugh agus gu cunnartach a' dèanamh mì-rianachd air ar n-àm ri teachd. Tha sinn a’ togail shiostaman AI a tha a’ sìor fhàs nas ionnsaichte air bunait de neo-sheasmhachd dhidseatach, far a bheil bun-structar èiginneach air a chuir an cunnart gu cunbhalach le nàimhdean sòlaimte. Thathas a-nis ag iarraidh air na h-aon stiùirichean gnìomhachais nach eil coltach gu bheil iad a’ cur casg air na toraidhean aca a bhith nan vectaran ionnsaigh cruinneil “fèin-phoileas” a dhèanamh air na buaidhean beusanta agus sàbhailteachd a tha aig inntleachd fuadain san fharsaingeachd.
Chan e dìreach dì-cheangal a tha seo; tha e na bheàrn domhainn. Mar CTOn agus innleadaireachd a’ stiùireadh, tha sinn air ar glacadh sa mheadhan. Tha e mar dhleastanas oirnn na cunnartan a tha sa bhad, leithid na làithean neoni Citrix, a chumail suas, agus aig an aon àm thathar ag iarraidh oirnn ullachadh airson àm ri teachd air a stiùireadh le AI far a bheil na riaghailtean air an dèanamh suas mar a thèid sinn air adhart, gu ìre mhòr leis na cluicheadairean fhèin.
Chan e fuasgladh a th’ ann an aonta AI saor-thoileach; tha e na innleachd dàil. Bidh e a’ cur dheth cunntachalachd, a’ dèanamh cinnteach nuair a thachras brisidhean beusanta do-sheachanta, claon-bhreith, no eadhon fàilligidhean tubaisteach AI, gum bi am poball air fhàgail a’ faighneachd carson nach robh sùil làidir neo-eisimeileach ann bhon toiseach. Agus nuair a thachras na fàilligidhean sin, cha bhith iad teòiridheach. Bidh iad cho fìor agus cho millteach ri RCE air an NetScaler agad, dìreach le builean sòisealta a dh’ fhaodadh a bhith fada nas fharsainge.
Feumaidh sinn barrachd iarraidh. Feumaidh sinn tèarainteachd làidir, for-ghnìomhach bhon luchd-reic againn, chan e dìreach pìosan reactive às deidh an fhìrinn. Agus feumaidh sinn fìor riaghladh neo-eisimeileach airson AI, chan e dìreach aonta crathadh làimhe eadar luchd-poilitigs agus corporaidean. Oir mura h-urrainn dhuinn eadhon ar bun-structar bunaiteach a dhèanamh tèarainte, ciamar as urrainn dhuinn earbsa a chuir anns na h-ailtirean gus an ath ghinealach de shìobhaltachd a thogail gu ciallach? Is e am freagairt, airson a-nis, nach urrainn dhuinn.
Stòran
[1] Bidh CISA a’ cur Citrix NetScaler ADC agus So-leòntachd Gateway (CVE-2023-4966) ri Catalog So-leòntachd a chaidh a Chleachdadh - https://www.cisa.gov/news-events/alerts/2023/10/24/cisa-adds-citrix-netscaler-expladc-and-vulnerability-catalog-citrix-netscaler-expladc-and-vulnerability [2] Iris Tèarainteachd Citrix airson CVE-2023-4966 agus CVE-2023-4967 - https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-34cve202 [3] Mandiant: UNC4841 a’ gabhail brath air Citrix NetScaler ADC agus Gateway Zero-Day (CVE-2023-4966) - https://www.mandiant.com/resources/blog/citrix-bleed-zero-day-exploitation [4] Bidh CISA a’ cur Citrix NetScaler ADC agus So-leòntachd Gateway (CVE-2023-3519) ri Catalog So-leòntachd a tha aithnichte - https://www.cisa.gov/news-events/alerts/2023/07/21/cisa-adds-citrix-netscaler-expladc-and-vulnerability catalog [5] Ùrachaidhean beò: Tha Trump a’ soidhnigeadh aonta saor-thoileach le stiùirichean AI airson teicneòlas ... - https://apnews.com/live/trump-cnn-media-midterm-elections-news-updates-09-29-2026