Zero-Days và Zero Oversight: Câu chuyện về hai thực tế công nghệ
Hãy tưởng tượng nhóm SOC của bạn, mắt lờ đờ, nhìn chằm chằm vào cảnh báo màu đỏ nhấp nháy. Bây giờ là 3 giờ sáng tháng 10 năm 2023 và có tin không tốt: hai ngày 0 quan trọng trong Citrix NetScaler ADC và Gateway của bạn, bị khai thác tích cực, kích hoạt Thực thi mã từ xa (RCE), với phần mềm độc hại tùy chỉnh được quan sát thấy trong tự nhiên. Danh mục các lỗ hổng bị khai thác đã biết (KEV) của CISA vừa bổ sung chúng [1, 2, 3, 4]. Đây không phải là một mối đe dọa về mặt lý thuyết; đây là một sự cố quốc tế nghiêm trọng ảnh hưởng đến cơ sở hạ tầng quan trọng của doanh nghiệp trong các lĩnh vực chính phủ, tài chính, giáo dục và pháp lý ở Bắc Mỹ và Châu Âu. Trong khi các nhóm của bạn đang cố gắng ngăn chặn tình trạng chảy máu, vá lỗi khẩn cấp và bắt đầu các cuộc điều tra pháp y về những gì có thể là một vi phạm thảm khốc, thì một tiêu đề khác lại giảm xuống: Tổng thống Trump đã đạt được một "thỏa thuận tự nguyện" với các công ty công nghệ hàng đầu về phát triển AI, hứa hẹn sẽ tự kiểm soát ngành [5].
Sự đặt cạnh nhau hoàn toàn không phù hợp. Một mặt, chúng ta phải đối mặt với thực tế tàn khốc, không thể phủ nhận của môi trường kỹ thuật số hiện tại: một cuộc chiến liên tục, có tính quyết định cao chống lại những đối thủ tinh vi đang khai thác những điểm yếu cơ bản trong chính cơ sở hạ tầng làm nền tảng cho thế giới hiện đại của chúng ta. Mặt khác, một cảnh tượng chính trị cho thấy rằng tương lai của công nghệ mang tính biến đổi nhất nhưng vô cùng bất ổn có thể được quản lý một cách an toàn bởi cùng một ngành luôn đấu tranh với an ninh cơ bản và quyền tự quản có đạo đức.
Thảm họa Citrix: Triệu chứng của bệnh thối rữa sâu hơn
Hãy nói rõ: các lỗ hổng zero-day của Citrix, chẳng hạn như CVE-2023-4966 (được gọi là Citrix Bleed) và CVE-2023-3519, không chỉ là "một lỗ hổng khác". Chúng đại diện cho một cuộc khủng hoảng khẩn cấp trong trung tâm dữ liệu, một chiến dịch tấn công trực tiếp, đang diễn ra đòi hỏi phản ứng ngay lập tức, chung tay [1, 2, 3, 4]. Thực thi mã từ xa trên ADC hoặc Gateway tương đương với kỹ thuật số của một điểm truy cập quan trọng bị lộ. Đây không chỉ là việc vá lỗi; đó là về sự mong manh mang tính hệ thống của kiến trúc doanh nghiệp của chúng ta.
Trong nhiều năm, chúng tôi đã xây dựng các hệ thống phức tạp, liên kết với nhau, thường dựa vào một số nhà cung cấp quan trọng cho cơ sở hạ tầng cốt lõi. Citrix, giống như nhiều công ty khác, cung cấp các dịch vụ thiết yếu, nhưng đi kèm với đó là rủi ro to lớn. Khi một thành phần cơ bản như NetScaler bị xâm phạm ở mức độ 0 ngày, hiệu ứng gợn sóng sẽ rất nghiêm trọng. Nó bộc lộ lỗ hổng cố hữu khi dựa vào một điểm thất bại duy nhất, bất kể nó được cho là mạnh đến mức nào. Chỉ thị "bản vá ngay lập tức" tuy cần thiết nhưng lại giống như một biện pháp khắc phục hời hợt cho một vấn đề mang tính hệ thống. Nó không giải quyết được các vấn đề tiềm ẩn: sự phức tạp tạo ra các lỗ hổng, tốc độ cập nhật bảo mật chậm từ một số nhà cung cấp và các chiến lược bảo vệ chuyên sâu thường không đủ sẽ thất bại khi vành đai bị vi phạm ở điểm quan trọng nhất.
Đây không chỉ là vấn đề kỹ thuật; đó là một cơn ác mộng về tính liên tục trong kinh doanh. Vi phạm dữ liệu, gián đoạn hoạt động, phạt theo quy định, thiệt hại về danh tiếng – chi phí là rất lớn. Và để làm gì? Để vận hành mạng hiệu quả? Chúng ta đang phải trả một cái giá đắt cho sự tiện lợi và hiệu quả được nhận thức, một cái giá được đo bằng những đêm mất ngủ đối với các CTO và đội an ninh, và có thể là sự xói mòn lòng tin của công chúng. Thực tế là đây là những tích cực khai thác zero-day, sử dụng phần mềm độc hại tùy chỉnh, cho chúng ta biết đây không phải là những tập lệnh nhỏ. Đây là những tác nhân đe dọa liên tục, có nguồn lực tốt nhắm vào các tài sản có giá trị cao [3]. Nếu chúng ta không thể bảo đảm các lớp nền tảng của thế giới kỹ thuật số hiện tại thì chúng ta còn hy vọng gì cho một tương lai phức tạp hơn theo cấp số nhân?
Miền Tây hoang dã của AI: Tin tưởng lợi ích cá nhân để ra lệnh an toàn
Và nói về tương lai đó, hãy chuyển sang hiệp định "tự kiểm soát" AI. Thông báo của Tổng thống Trump, mặc dù có ý nghĩa về mặt chính trị, nhưng lại là một ví dụ trong sách giáo khoa về việc né tránh trách nhiệm giải trình [5]. “Tự nguyện” và “tự kiểm soát” là những thuật ngữ có thể gây ra sự e ngại đối với bất kỳ ai đã theo dõi ngành công nghệ hoạt động trong hai thập kỷ qua. Chúng ta đã quan sát mô hình này trước đây phải không? Các công ty truyền thông xã hội “tự nguyện” kiểm soát lời nói căm thù, công cụ tìm kiếm “tự điều chỉnh” quyền riêng tư dữ liệu và các cửa hàng ứng dụng “độc lập” đảm bảo cạnh tranh công bằng. Thành tích, nói một cách nhẹ nhàng, là rất tệ.
Ý tưởng rằng chính các công ty đang chạy đua để phát triển và triển khai các hệ thống AI mạnh mẽ – những hệ thống có tiềm năng định hình lại nền kinh tế, ảnh hưởng đến bầu cử và thậm chí tạo ra các hình thức rủi ro xã hội mới – có thể được tin cậy để thiết lập và thực thi các nguyên tắc đạo đức và an toàn của riêng họ là ngây thơ và tệ nhất là vô trách nhiệm một cách nguy hiểm. Đây là những tập đoàn được thúc đẩy bởi lợi nhuận và sự thống trị thị trường. Nghĩa vụ ủy thác chính của họ là đối với các cổ đông, không phải đối với khái niệm trừu tượng về lợi ích công cộng hoặc AI đạo đức.
"Hiệp định" này là một chiến thắng chính trị cho chính quyền, cho phép họ yêu cầu hành động về AI mà không cần phải lo lắng về luật pháp thực tế hoặc giám sát quy định. Đây cũng là một chiến thắng lớn cho Big Tech, giúp họ có thời gian và sự tự do khỏi những quy định tiềm ẩn gánh nặng có thể làm chậm quá trình đổi mới hoặc ảnh hưởng đến lợi nhuận của họ. Nhưng đối với phần còn lại của chúng ta – đối với các chuyên gia công nghệ đang xây dựng các hệ thống này, đối với các doanh nghiệp sẽ dựa vào chúng và đối với xã hội nói chung – đó là một tiền lệ nguy hiểm. Nó báo hiệu một cách tiếp cận ưa thích đối với quản trị AI, ưu tiên quyền tự chủ của doanh nghiệp đối với an toàn công cộng và trách nhiệm giải trình.
Ngắt kết nối: Xây dựng trên nền tảng không ổn định
Đây là một sự thật khó chịu: chúng ta vừa thất bại trong việc đảm bảo hiện tại và quản lý sai lầm tương lai một cách nguy hiểm. Chúng tôi đang xây dựng các hệ thống AI ngày càng tinh vi hơn trên nền tảng của sự bất ổn kỹ thuật số, nơi cơ sở hạ tầng quan trọng thường xuyên bị các đối thủ tinh vi xâm phạm. Các nhà lãnh đạo ngành dường như không thể ngăn chặn sản phẩm của họ trở thành vật trung gian tấn công toàn cầu hiện đang được yêu cầu "tự kiểm soát" các tác động về mặt đạo đức và an toàn của trí tuệ nhân tạo nói chung.
Đây không chỉ là sự ngắt kết nối; đó là một khoảng cách sâu sắc. Với tư cách là CTO và lãnh đạo kỹ thuật, chúng ta bị kẹt ở giữa. Chúng tôi được giao nhiệm vụ vá các mối đe dọa hiện hữu, tức thời như Citrix zero-days, đồng thời được yêu cầu chuẩn bị cho một tương lai do AI điều khiển, nơi các quy tắc được đưa ra khi chúng tôi thực hiện, phần lớn là do chính người chơi thực hiện.
Hiệp định AI tự nguyện không phải là một giải pháp; đó là một chiến thuật trì hoãn. Nó trì hoãn trách nhiệm giải trình, đảm bảo rằng khi xảy ra những vi phạm đạo đức, thành kiến không thể tránh khỏi hoặc thậm chí là những thất bại thảm khốc của AI, công chúng sẽ thắc mắc tại sao không có sự giám sát độc lập, mạnh mẽ ngay từ đầu. Và khi những thất bại đó xảy ra, chúng sẽ không mang tính lý thuyết. Chúng sẽ chân thực và có hại như RCE trên NetScaler của bạn, chỉ với những tác động xã hội có khả năng rộng hơn nhiều.
Chúng ta cần yêu cầu nhiều hơn nữa. Chúng tôi cần khả năng bảo mật mạnh mẽ, chủ động từ các nhà cung cấp của mình chứ không chỉ là các bản vá phản hồi sau sự việc. Và chúng ta cần những quy định thực sự, độc lập đối với AI, chứ không chỉ là một thỏa thuận bắt tay giữa các chính trị gia và tập đoàn. Bởi vì nếu chúng ta thậm chí không thể bảo đảm cơ sở hạ tầng cốt lõi của mình, làm sao chúng ta có thể tin tưởng các kiến trúc sư sẽ xây dựng thế hệ nền văn minh tiếp theo một cách có trách nhiệm? Câu trả lời hiện tại là chúng ta không thể.
Nguồn
[1] CISA bổ sung lỗ hổng Citrix NetScaler ADC và Gateway (CVE-2023-4966) vào danh mục các lỗ hổng bị khai thác đã biết — https://www.cisa.gov/news-events/alerts/2023/10/24/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [2] Bản tin bảo mật Citrix cho CVE-2023-4966 và CVE-2023-4967 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967 [3] Mandiant: UNC4841 Khai thác Citrix NetScaler ADC và Gateway Zero-Day (CVE-2023-4966) — https://www.mandiant.com/resources/blog/citrix-bleed-zero-day-exploitation [4] CISA bổ sung lỗ hổng Citrix NetScaler ADC và Gateway (CVE-2023-3519) vào danh mục các lỗ hổng bị khai thác đã biết — https://www.cisa.gov/news-events/alerts/2023/07/21/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [5] Cập nhật trực tiếp: Trump ký thỏa thuận tự nguyện với các nhà lãnh đạo AI về công nghệ ... — https://apnews.com/live/trump-cnn-media-midterm-elections-news-updates-09-29-2026