Naujasis imperatoriaus AI ir po juo esantis pūvantis fondas
Prisimeni, kai AI ketino mus visus išgelbėti? Pasirodo, gelbėtojai dabar prašo skirti laiko. Visai neseniai patys mūsų dirbtinio intelekto varomos ateities architektai – „paribių“ tyrinėtojai ir finansų sunkiasvoriai – kartu paspaudė stabdžius, reikalaudami sulėtinti plėtrą dėl „išaugusių saugos problemų“ [1]. Rinka, kuri visada buvo bukas instrumentas, į tai sureagavo: lustų atsargos ir pagrindiniai AI žaidėjai krito [2]. Pekinas, kaip buvo galima nuspėti, šaipėsi iš įspėjimų, o Seulo lustų milžinai atsisakė išankstinių mokėjimų už būsimus dirbtinio intelekto pažangą [2].
Tai ne tik filosofinės diskusijos dėl dramblio kaulo bokšto. Tai seisminis poslinkis, viešas pripažinimas neapdairumu iš pramonės elito. Ir jei atvirai, tai šiek tiek per patogu.
AI pauzė: altruizmas ar jėgos žaidimas?
Būkime aiškūs: kai žmonės, sukūrę raketą, staiga supranta, kad pamiršo parašiutus po paleidimo, tai nėra gilaus etinio pabudimo akimirka. Tai pavėluota, savanaudiška peštynės. Tai nėra plačių akių idealistai; Tai titanai, kurie spaudė pedalą prie metalo, vaikydami eksponentinį augimą ir dominavimą rinkoje. Dabar, kai siautėja „nenumatytų pasekmių“ šmėkla, o galbūt, ciniškiau, suvokimas, kad dabartinis tempas yra netvarus arba kad jiems reikia sustiprinti savo lyderystę, jie ragina kolektyviai atsikvėpti.
Rinkos reakcija iškalbinga. Traškučių atsargų kritimas reiškia ne tik baimę; kalbama apie tiesioginius finansinius galimo sulėtėjimo padarinius. Pekino atstūmimas? Aiškus signalas, kad nacionalinis strateginis pranašumas pranoksta abstrakčias saugos problemas. O Seulo lustų gamintojai atsisako išankstinių mokėjimų? Taip skamba kapitalas, kvestionuojantis ilgalaikį stabilumą ir pelningumą staiga neapibrėžtoje ateityje.
Mums, techniniams vadovams ir inžinerijos vadovams, tai tiesiogiai virsta chaotišku kraštovaizdžiu. Tikimasi, kad reguliavimo intervencijos paspartės ir privers iš naujo nustatyti AI projektų prioritetus. Dirbtinio intelekto principas „greitai judėk ir sulaužyk dalykus“ oficialiai miręs, pakeistas pašėlusiomis „etiško AI kūrimo“ sistemomis, kurios turėjo būti sukurtos nuo pat pirmos dienos. Investicijos taps atsargesnės, strategijos pasisuks, ir taip, darbo rinkos pajus šaltį, nes aukso karštinė užleis vietą labiau pamatuotam ir, tikiuosi, atsakingesniam požiūriui. Tačiau nesupainiokime to su grynu altruizmu. Ši „pauzė“ yra susijusi su valdymu ir rinkos perkalibravimu, taip pat su tikru saugumu.
Kol titanai diskutuoja, fondas griūva
Dabar, kol dirbtinio intelekto elitas išgyvena savo egzistencinę krizę, diskutuoja apie ateities superintelekto etiką, pakalbėkime apie labai realią, labai dabartinę ir visiškai katastrofišką saugumo krizę, kuri atsiskleidžia šiuo metu.
Šią savaitę CISA įtraukė kelis naujus CVE į žinomų išnaudotų pažeidžiamumų katalogą [3]. Kalbame apie patvirtintą šakninį RCE sistemoje „Cisco Secure Email Gateway“ (CVE-2023-20269) [4], CVSS 10.0 kelio perėjimą sistemoje „GitLab“ (CVE-2023-2825) [3] ir neseniai pataisytą „Chrome zero-day“ (CVE-2025) [3], kuriam reikėjo nedelsiant atkreipti dėmesį3.
Tačiau tikrasis smūgis, dėl kurio kiekvienas apsaugos specialistas turėtų rėkti į tuštumą, yra nuolatinė pagrindinių trūkumų grėsmė. Apsvarstykite CVE-2021-1647, vietinių privilegijų eskalavimo pažeidžiamumą Microsoft Defender apsaugos nuo kenkėjiškų programų variklyje [5]. Tai nebuvo kažkoks neaiškus trūkumas; jis turėjo viešą koncepcijos įrodymą ir buvo aktyviai naudojamas laukinėje gamtoje, pabrėžiant, kaip svarbūs mūsų skaitmeninės gynybos komponentai gali būti pažeisti ir kurį laiką išlikti pažeidžiami.
Leiskite tai įsiskverbti. Kol diskutuojame apie AI suvokimo etiką, buvo įrodyta, kad pačioje programinėje įrangoje, skirtoje apsaugoti mūsų galutinius taškus, pagrindinį mūsų skaitmeninės gynybos lygmenį, yra viešai žinomų, aktyviai išnaudojamų trūkumų, leidžiančių užpuolikui padidinti privilegijas. Tai panašu į ginčą dėl filosofinių sukimosi pasekmių, kai jūsų automobilio stabdžiai sugenda ir variklis dega.
Atsiskaitymas: dvi tos pačios monetos pusės
Tai nėra atskiros istorijos. Tai dvi tos pačios giliai ydingos monetos pusės: technologijų pramonė, kuri nuosekliai teikia pirmenybę greičiui, naujumui ir suvokiamoms naujovėms, o ne esminiam saugumui, stabilumui ir atsakomybei.
AI lyderių staigus raginimas sulėtinti yra reaktyvus, savanaudiškas bandymas pakoreguoti kursą po to, kai jie jau paleido į lauką galingas, prastai suprantamas sistemas. Tai pripažinimas, kad mantra „greitai judėk ir sulaužyk dalykus“, taikoma potencialiai pasaulį keičiančioms technologijoms, yra ne tik neatsakinga, bet ir pavojinga.
Nulinės dienos puolimas, ypač kritinis „Defender“ pažeidžiamumas, yra tiesioginė, skausminga to paties mąstymo, taikomo pagrindinei IT, pasekmė. Tai yra kultūros, kurioje saugumas dažnai laikomas pasekme, atitikties žymimuoju langeliu arba išlaidų centru, o ne neatsiejama, neaptarta kiekvieno produkto ir sistemos sudedamąja dalimi, rezultatas. Esame taip užsiėmę, kad gaudydavome kitą blizgantį objektą – kitą LLM, kitą AI agentą –, kad leidžiame pačiai žemei po kojomis supūti.
Technikos vadovams ir inžinierių vadovams žinutė yra aiški ir betarpiška. Nustokite vaikytis kiekvienos AI tendencijos, kuri kerta jūsų kanalą. Padvigubinkite pagrindinius dalykus. Pirmenybę teikite pataisymui, ypač esant kritinėms, aktyviai išnaudojamoms pažeidžiamoms vietoms, tokioms kaip „Cisco“, „GitLab“, ir nuolatinei grėsmei, kurią iliustruoja ankstesni „Defender“ LPE. Įgyvendinti tvirtas švelninimo priemones. Reikalaukite, kad pardavėjai būtų atsakingi už jų saugumo laikyseną, o ne tik už funkcijų planą.
Rinkos nuosmukis ir neišspręstos pagrindinės saugumo problemos nėra tik naujienos. Jie yra atsiskaitymas. Technologijų pasaulis, kuris yra per greitas, per neapgalvotas ir galiausiai per daug atviras. Atėjo laikas suaugti, užsitikrinti savo pamatus ir tada, tik tada, atsargiai apsvarstyti kitą sieną.
Šaltiniai
[1] „Future of Life Institute“ – „Pause Giant AI Experiments: An Open Letter“ – https://futureoflife.org/open-letter/pause-giant-ai-experiments/ [2] CNBC – DI ekspertai ragina pristabdyti pažangių AI sistemų kūrimą – https://www.cnbc.com/2023/03/29/ai-experts-call-for-pause-in-development-of-advanced-ai-systems.html [3] CISA – žinomų išnaudotų pažeidžiamumų katalogas – https://www.cisa.gov/known-exploited-vulnerabilities-catalog [4] „Cisco Security Advisory“ – „Cisco Secure Email“ ir „Web Manager“, „Cisco Email Security Appliance“ ir „Cisco Web Security Appliance“ pažeidžiamumas – https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-uqmaQ-8-esa-uqma [5] „Microsoft“ saugos reagavimo centras – „Microsoft Defender“ vietinių privilegijų eskalavimo pažeidimas – https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1647