Новый ИИ Императора и гниющее основание под ним
Помните, когда ИИ собирался спасти нас всех? Оказывается, теперь спасители просят тайм-аут. Совсем недавно сами архитекторы нашего будущего, основанного на искусственном интеллекте, — «передовые» исследователи и финансовые тяжеловесы — коллективно нажали на тормоза, требуя замедления развития из-за «растущих проблем безопасности» [1]. Рынок, который всегда был грубым инструментом, отреагировал на это кашлем: акции производителей микросхем и основные игроки рынка искусственного интеллекта упали [2]. Пекин, как и ожидалось, посмеялся над этими предупреждениями, в то время как сеульские гиганты микросхем отказались от авансовых платежей за будущие разработки в области искусственного интеллекта [2].
Это не просто философские дебаты в пользу башни из слоновой кости. Это сейсмический сдвиг, публичное признание безрассудства внутри элиты отрасли. И, честно говоря, это слишком удобно.
Пауза ИИ: альтруизм или игра во власть?
Давайте проясним: когда люди, построившие ракету, внезапно осознают, что забыли парашюты после запуска, это не момент глубокого этического пробуждения. Это запоздалая, корыстная борьба. Это не идеалисты с широко раскрытыми глазами; это титаны, которые нажимают на педаль до упора, гонясь за экспоненциальным ростом и доминированием на рынке. Теперь, когда надвигается призрак «непредвиденных последствий» — и, возможно, что более цинично, осознание того, что нынешние темпы неустойчивы или что им необходимо укрепить свое лидерство — они призывают к коллективному вздоху.
Реакция рынка показательна. Падение акций чипов связано не только со страхом; речь идет о непосредственных финансовых последствиях потенциального замедления темпов роста. Сопротивление Пекина? Явный сигнал о том, что национальное стратегическое преимущество превосходит абстрактные проблемы безопасности. А сеульские производители микросхем отказываются от авансовых платежей? Это звук капитала, ставящего под сомнение долгосрочную стабильность и прибыльность неожиданно неопределенного будущего.
Для нас, технических директоров и технических специалистов, это приводит к хаосу. Ожидается, что регуляторное вмешательство ускорится, что приведет к изменению приоритетов проектов ИИ. Идея «двигаться быстро и ломать вещи» для ИИ официально мертва, и ее заменил лихорадочный поиск рамок «этичной разработки ИИ», которые должны были быть заложены с первого дня. Инвестиции станут более осторожными, стратегии изменятся, и да, рынки труда почувствуют охлаждение, поскольку золотая лихорадка уступит место более взвешенному и, будем надеяться, более ответственному подходу. Но давайте не будем путать это с чистым альтруизмом. Эта «пауза» связана не только с контролем и перекалибровкой рынка, но и с подлинной безопасностью.
Пока Титаны спорят, Фонд рушится
Теперь, пока элита ИИ переживает экзистенциальный кризис, обсуждая этику будущего сверхразума, давайте поговорим об очень реальном, очень настоящем и совершенно катастрофическом кризисе безопасности, разворачивающемся прямо сейчас.
На этой неделе CISA добавило несколько новых CVE в свой каталог известных эксплуатируемых уязвимостей [3]. Мы говорим о подтвержденном корневом RCE в Cisco Secure Email Gateway (CVE-2023-20269) [4], обходе пути CVSS 10.0 в GitLab (CVE-2023-2825) [3] и недавно исправленном Chrome нулевого дня (CVE-2023-4863) [3], которые потребовали немедленного внимания.
Но настоящий удар под дых, который должен заставить каждого специалиста по безопасности кричать в пустоту, — это постоянная угроза фундаментальных недостатков. Рассмотрим CVE-2021-1647, локальную уязвимость повышения привилегий в механизме защиты от вредоносных программ Microsoft Defender [5]. Это не был какой-то неясный недостаток; у него было общедоступное подтверждение концепции, и он активно использовался в реальных условиях, подчеркивая, как критические компоненты нашей цифровой защиты могут быть скомпрометированы и оставаться уязвимыми в течение определенного периода времени.
Позвольте этому усвоиться. Пока мы обсуждаем этику разума ИИ, было показано, что само программное обеспечение, предназначенное для защиты наших конечных точек, фундаментального уровня нашей цифровой защиты, содержит общеизвестные и активно эксплуатируемые недостатки, которые позволяют злоумышленнику повысить привилегии. Это все равно, что спорить о философском значении варп-двигателя, когда у вашей машины отказывают тормоза и горит двигатель.
Расплата: две стороны одной медали
Это не отдельные истории. Это две стороны одной и той же глубоко ошибочной медали: технологическая индустрия, которая последовательно отдает приоритет скорости, новизне и воспринимаемым инновациям над фундаментальной безопасностью, стабильностью и ответственностью.
Внезапный призыв лидеров ИИ к замедлению — это ответная, корыстная попытка скорректировать курс после того, как они уже выпустили на волю мощные, плохо изученные системы. Это признание того, что мантра «двигайся быстро и ломай вещи» применительно к технологиям, потенциально меняющим мир, не просто безответственна, но и опасна.
Нападение нулевого дня, особенно критическая уязвимость Defender, является прямым и болезненным следствием того же подхода, примененного к базовым ИТ-инфраструктурам. Это результат культуры, которая часто рассматривает безопасность как второстепенную мысль, флажок соответствия требованиям или центр затрат, а не как неотъемлемый, не подлежащий обсуждению компонент каждого отдельного продукта и системы. Мы настолько заняты погоней за следующим блестящим объектом — следующим LLM, следующим агентом ИИ — что позволяем самой земле гнить под нашими ногами.
Для технических директоров и технических руководителей это сообщение является резким и немедленным. Перестаньте гоняться за каждой ИИ-тенденцией, которая попадает в вашу ленту. Удвойте внимание к основам. Отдавайте приоритет исправлениям, особенно критическим, активно эксплуатируемым уязвимостям, таким как уязвимости Cisco, GitLab, а также постоянным угрозам, примером которых являются прошлые LPE Defender. Внедрите надежные меры по смягчению последствий. Требуйте от своих поставщиков ответственности за их состояние безопасности, а не только за их план действий.
Падение рынка и нерешенные фундаментальные проблемы безопасности — это не просто новости. Они являются расплатой. Мир технологий, который слишком быстр, слишком безрассуден и, наконец, слишком открыт. Пришло время повзрослеть, укрепить свои основы, а затем, только тогда, осторожно рассмотреть следующий рубеж.
Источники
[1] Институт будущего жизни — Приостановите эксперименты с гигантским ИИ: открытое письмо — https://futureoflife.org/open-letter/pause-giant-ai-experiments/ [2] CNBC — Эксперты по искусственному интеллекту призывают приостановить разработку передовых систем искусственного интеллекта — https://www.cnbc.com/2023/03/29/ai-experts-call-for-pause-in-development-of-advanced-ai-systems.html [3] CISA — Каталог известных эксплуатируемых уязвимостей — https://www.cisa.gov/known-exploited-vulnerabilities-catalog. [4] Рекомендации по безопасности Cisco — уязвимости Cisco Secure Email and Web Manager, Cisco Email Security Appliance и Cisco Web Security Appliance — https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-sma-rce-q5Q8SXu [5] Центр реагирования безопасности Microsoft — уязвимость локального повышения привилегий в Microsoft Defender — https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1647