Carev novi AI i truli temelj ispod njega
Sjećate li se kad nas je umjetna inteligencija sve htjela spasiti? Ispostavilo se da spasitelji sada traže timeout. Nedavno su sami arhitekti naše budućnosti vođene umjetnom inteligencijom - "granični" istraživači i financijski teškaši - kolektivno pritisnuli kočnice, zahtijevajući usporavanje razvoja zbog "eskalacije zabrinutosti za sigurnost" [1]. Tržište, uvijek tupi instrument, odgovorilo je iskašljavanjem: dionice čipova i glavni igrači AI-ja su pali [2]. Peking se, očekivano, rugao upozorenjima, dok su seulski divovi čipova odbijali plaćanja unaprijed za budući napredak AI [2].
Ovo nije samo filozofska rasprava za kulu od bjelokosti. Ovo je seizmički pomak, javno priznanje nesmotrenosti unutar elite industrije. I iskreno, malo je prezgodan.
Pauza umjetne inteligencije: altruizam ili igra moći?
Budimo jasni: kada ljudi koji su izgradili raketu odjednom shvate da su zaboravili padobrane nakon lansiranja, to nije trenutak dubokog etičkog buđenja. To je zakašnjela, samoposlužna strka. Ovo nisu razrogačeni idealisti; ovo su titani koji su gurali papučicu do kraja, jureći za eksponencijalnim rastom i dominacijom na tržištu. Sada, s avetom "nepredviđenih posljedica" koje se prijete - i možda, što je ciničnije, spoznajom da je trenutni tempo neodrživ ili da moraju konsolidirati svoje vodstvo - oni pozivaju na kolektivni dah.
Reakcije tržišta govore. Pad dionica žetona nije samo zbog straha; radi se o neposrednim financijskim implikacijama potencijalnog usporavanja. Povratak Pekinga? Jasan signal da nacionalna strateška prednost nadmašuje apstraktne sigurnosne brige. A proizvođači čipova u Seulu odbijaju plaćanja unaprijed? To je zvuk kapitala koji dovodi u pitanje dugoročnu stabilnost i profitabilnost iznenada neizvjesne budućnosti.
Za nas, tehničke direktore i voditelje inženjeringa, to se izravno pretvara u kaotičan krajolik. Očekujte da će se regulatorne intervencije ubrzati, što će dovesti do ponovnog određivanja prioriteta projekata umjetne inteligencije. Etika "kreni brzo i razbijaj stvari" za umjetnu inteligenciju službeno je mrtva, zamijenjena bjesomučnom potragom za okvirima "etičkog razvoja umjetne inteligencije" koji su se trebali ugraditi od prvog dana. Ulaganja će postati opreznija, strategije će se okrenuti, i da, tržišta rada će osjetiti hladnoću jer zlatna groznica ustupi mjesto odmjerenijem i, nadamo se, odgovornijem pristupu. Ali nemojmo to zamijeniti s čistim altruizmom. Ova "stanka" se tiče kontrole i ponovne kalibracije tržišta koliko i stvarne sigurnosti.
Dok titani raspravljaju, temelj se urušava
Sada, dok AI elita ima svoju egzistencijalnu krizu, raspravljajući o etici buduće superinteligencije, razgovarajmo o vrlo stvarnoj, vrlo sadašnjoj i krajnje katastrofalnoj sigurnosnoj krizi koja se odvija upravo sada.
Ovaj tjedan CISA je dodala više novih CVE-ova u svoj katalog poznatih iskorištenih ranjivosti [3]. Govorimo o potvrđenom korijenskom RCE-u u Cisco Secure Email Gatewayu (CVE-2023-20269) [4], CVSS 10.0 prolazu staze u GitLabu (CVE-2023-2825) [3] i nedavno zakrpanom Chrome zero-day (CVE-2023-4863) [3] koji je zahtijevao hitnu pozornost.
Ali pravi udarac u stomak, onaj koji bi trebao natjerati svakog sigurnosnog profesionalca da vrišti u prazno, je stalna prijetnja temeljnih nedostataka. Razmotrite CVE-2021-1647, lokalnu ranjivost eskalacije privilegija u sustavu za zaštitu od zlonamjernog softvera Microsoft Defender [5]. Ovo nije bila neka nejasna mana; imao je javni dokaz koncepta i aktivno se iskorištavao u divljini, ističući kako kritične komponente naše digitalne obrane mogu biti ugrožene i ostati ranjive neko vrijeme.
Dok raspravljamo o etici AI osjećaja, pokazalo se da sam softver dizajniran za zaštitu naših krajnjih točaka, temeljnog sloja naše digitalne obrane, krije javno poznate, aktivno iskorištavane nedostatke koji omogućuju napadaču da podigne privilegije. To je kao da raspravljate o filozofskim implikacijama warp pogona dok kočnice vašeg auta otkazuju, a motor gori.
Obračun: Dvije strane istog novčića
To nisu odvojene priče. To su dvije strane istog duboko pogrešnog novčića: tehnološka industrija koja dosljedno daje prednost brzini, novosti i percipiranoj inovaciji u odnosu na temeljnu sigurnost, stabilnost i odgovornost.
Iznenadni poziv čelnika umjetne inteligencije na usporavanje je reaktivan, sebičan pokušaj ispravljanja kursa nakon što su već pustili moćne, slabo razumljive sustave u divljinu. To je priznanje da mantra "kreni brzo i razbijaj stvari", kada se primijeni na tehnologiju koja potencijalno mijenja svijet, nije samo neodgovorna, nego i opasna.
Napad nultog dana, posebice kritična ranjivost Defendera, izravna je, bolna posljedica istog načina razmišljanja primijenjenog na temeljni IT. To je rezultat kulture koja često tretira sigurnost kao naknadnu misao, potvrdni okvir usklađenosti ili troškovno središte, a ne integralnu komponentu o kojoj se ne može pregovarati svakog pojedinog proizvoda i sustava. Toliko smo zauzeti jurnjavom za sljedećim sjajnim predmetom – sljedećim LLM-om, sljedećim agentom umjetne inteligencije – da smo dopustili da nam istrune tlo pod nogama.
Za tehničke direktore i voditelje inženjera poruka je jasna i neposredna. Prestanite loviti svaki AI trend koji prelazi preko vašeg feeda. Udvostručite osnove. Dajte prioritet krpanju, posebno za kritične, aktivno iskorištavane ranjivosti poput onih u Ciscu, GitLabu i trajne prijetnje kao što su Defenderovi prošli LPE-ovi. Provedite snažne mjere ublažavanja. Zahtijevajte odgovornost svojih dobavljača za njihovo sigurnosno stanje, a ne samo za njihov plan značajki.
Pad tržišta i neriješena temeljna sigurnosna pitanja nisu samo vijesti. Oni su obračun. Svijet tehnologije koji je prebrz, previše bezobziran i konačno, previše izložen. Vrijeme je da odrastemo, osiguramo svoje temelje i onda, tek tada, oprezno razmotrimo sljedeću granicu.
Izvori
[1] Institut za budućnost života — Pause Giant AI Experiments: Otvoreno pismo — https://futureoflife.org/open-letter/pause-giant-ai-experiments/ [2] CNBC — Stručnjaci za umjetnu inteligenciju pozivaju na pauzu u razvoju naprednih sustava umjetne inteligencije — https://www.cnbc.com/2023/03/29/ai-experts-call-for-pause-in-development-of-advanced-ai-systems.html [3] CISA — Katalog poznatih iskorištenih ranjivosti — https://www.cisa.gov/known-exploited-vulnerabilities-catalog [4] Ciscovo sigurnosno savjetovanje — Cisco Secure Email and Web Manager, Cisco Email Security Appliance i Cisco Web Security Appliance Ranjivosti — https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-sma-rce-q5Q8SXu [5] Microsoft Security Response Center — Ranjivost eskalacije lokalnih privilegija Microsoft Defendera — https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1647