Нулевой день и нулевой надзор: история двух технологических реалий
Представьте себе, что ваша команда SOC с затуманенными глазами смотрит на мигающий красный сигнал тревоги. Сейчас 3 часа ночи октября 2023 года, и новости неутешительные: два критических нулевых дня в вашем ADC и шлюзе Citrix NetScaler, активно эксплуатируемые, обеспечивающие удаленное выполнение кода (RCE), при этом в дикой природе наблюдаются специальные вредоносные программы. Каталог известных эксплуатируемых уязвимостей CISA (KEV) только что добавил их [1, 2, 3, 4]. Это не теоретическая угроза; Это серьезный международный инцидент, затронувший критически важную корпоративную инфраструктуру в государственном, финансовом, образовательном и юридическом секторах в Северной Америке и Европе. В то время как ваши команды изо всех сил пытаются остановить кровотечение, яростно латать и инициировать судебно-медицинские расследования того, что может быть катастрофическим нарушением, появляется еще один заголовок: президент Трамп заключил «добровольное соглашение» с ведущими технологическими фирмами о разработке ИИ, обещая самоконтроле в отрасли [5].
Сопоставление совершенно неуместно. С одной стороны, мы сталкиваемся с жестокой, неоспоримой реальностью нашей нынешней цифровой среды: постоянной битвой с высокими ставками против изощренных противников, эксплуатирующих фундаментальные слабости в самой инфраструктуре, которая лежит в основе нашего современного мира. С другой стороны, это политическое зрелище, предполагающее, что будущее самой преобразующей, но глубоко неопределенной технологии может безопасно управляться той же отраслью, которая постоянно борется с элементарной безопасностью и этическим самоуправлением.
Катастрофа Citrix: симптом более глубокой гнили
Давайте внесем ясность: нулевые дни Citrix, такие как CVE-2023-4966 (известный как Citrix Bleed) и CVE-2023-3519, — это не просто «еще одна уязвимость». Они представляют собой неотложный кризис в центре обработки данных, прямую, продолжающуюся кампанию атак, которая требует немедленного, всестороннего реагирования [1, 2, 3, 4]. Удаленное выполнение кода на АЦП или шлюзе — это цифровой эквивалент критически важной точки доступа, оставленной незащищенной. Речь идет не только об исправлениях; речь идет о системной хрупкости нашей корпоративной архитектуры.
В течение многих лет мы создавали сложные взаимосвязанные системы, часто полагаясь на поддержку нескольких критически важных поставщиков базовой инфраструктуры. Citrix, как и многие другие, предоставляет основные услуги, но эта центральная роль сопряжена с огромным риском. Когда такой фундаментальный компонент, как NetScaler, подвергается риску на уровне нулевого дня, волновой эффект оказывается разрушительным. Это обнажает врожденный недостаток полагаться на единственную точку отказа, какой бы надежной она ни была. Директива «немедленно исправить», хотя и необходима, кажется поверхностным средством решения системной проблемы. Он не решает основные проблемы: сложность, порождающую уязвимости, медленные темпы обновления безопасности от некоторых поставщиков и часто недостаточные стратегии глубокоэшелонированной защиты, которые терпят неудачу, когда периметр нарушается в самой критической точке.
Это не просто техническая проблема; это кошмар непрерывности бизнеса. Утечки данных, сбои в работе, штрафы регулирующих органов, репутационный ущерб – затраты астрономические. И для чего? Чтобы эффективно управлять сетью? Мы платим высокую цену за удобство и воспринимаемую эффективность, цену, измеряемую бессонными ночами для технических директоров и служб безопасности, а также, возможно, подрывом общественного доверия. Тот факт, что это активно эксплуатируемые нулевые дни с использованием специализированных вредоносных программ, говорит нам о том, что это не скрипт-киды. Это хорошо обеспеченные ресурсами и настойчивые злоумышленники, нацеленные на ценные активы [3]. Если мы не сможем защитить фундаментальные слои нашего существующего цифрового мира, какая у нас надежда на экспоненциально более сложное будущее?
Дикий Запад искусственного интеллекта: безопасность зависит от личных интересов
Говоря об этом будущем, давайте обратимся к соглашению о «самоконтроле» ИИ. Заявление президента Трампа, хотя и политически значимое, является хрестоматийным примером уклонения от ответственности [5]. «Добровольность» и «самоконтроль» — термины, которые должны вызвать опасения у любого, кто наблюдал за работой технологической индустрии на протяжении последних двух десятилетий. Мы уже наблюдали эту закономерность раньше, не так ли? Компании социальных сетей «добровольно» контролируют разжигание ненависти, поисковые системы «саморегулируют» конфиденциальность данных, а магазины приложений «независимо» обеспечивают честную конкуренцию. Послужной список, мягко говоря, плачевный.
Идея о том, что тем самым компаниям, которые стремятся разработать и внедрить мощные системы искусственного интеллекта – системы, способные изменить экономику, повлиять на выборы и даже создать новые формы социального риска – можно доверять в установлении и обеспечении соблюдения своих собственных принципов этики и безопасности, в лучшем случае наивна, а в худшем – опасно безответственна. Это корпорации, движимые стремлением к прибыли и доминированию на рынке. Их основной фидуциарный долг — перед акционерами, а не перед абстрактной концепцией общественного блага или этического ИИ.
Это «соглашение» является политической победой для администрации, позволяя ей требовать действий в отношении ИИ без путаницы в реальном законодательстве или нормативном надзоре. Это также огромная победа для крупных технологических компаний, поскольку она дает им время и свободу от потенциально обременительных правил, которые могут замедлить их инновации или повлиять на их прибыль. Но для остальных из нас – для технических специалистов, создающих эти системы, для предприятий, которые будут полагаться на них, и для общества в целом – это опасный прецедент. Это свидетельствует о предпочтительном подходе к управлению ИИ, который отдает приоритет корпоративной автономии над общественной безопасностью и подотчетностью.
Разрыв: построение на нестабильном фундаменте
Вот неприятная правда: мы одновременно не можем защитить наше настоящее и опасно неправильно управляем своим будущим. Мы создаем все более сложные системы искусственного интеллекта на основе цифровой нестабильности, когда критически важная инфраструктура регулярно подвергается риску со стороны изощренных противников. Тех же лидеров отрасли, которые, похоже, не могут предотвратить превращение своих продуктов в глобальные векторы атак, теперь просят «самоконтролировать» этические и безопасные последствия общего искусственного интеллекта.
Это не просто разрыв связи; это глубокий разрыв. Как технические директора и технические руководители, мы оказались посередине. Нам поручено исправлять непосредственные, экзистенциальные угрозы, такие как «нулевые дни» Citrix, и одновременно нам говорят подготовиться к будущему, управляемому искусственным интеллектом, где правила устанавливаются по мере нашего продвижения, в основном самими игроками.
Добровольное соглашение по искусственному интеллекту не является решением; это тактика отсрочки. Это откладывает ответственность, гарантируя, что в случае неизбежных этических нарушений, предвзятости или даже катастрофических сбоев ИИ общественность будет задаваться вопросом, почему с самого начала не было надежного независимого надзора. И когда эти неудачи произойдут, они не будут теоретическими. Они будут столь же реальными и разрушительными, как и RCE на вашем NetScaler, только с потенциально гораздо более широкими социальными последствиями.
Нам нужно требовать большего. Нам нужна надежная и проактивная безопасность от наших поставщиков, а не просто реактивные исправления постфактум. И нам нужно настоящее, независимое регулирование ИИ, а не просто рукопожатие между политиками и корпорациями. Потому что, если мы не можем защитить даже нашу основную инфраструктуру, как мы можем доверять архитекторам, которые ответственно построят следующее поколение цивилизации? Ответ на данный момент: мы не можем.
Источники
[1] CISA добавляет уязвимость Citrix NetScaler ADC и шлюза (CVE-2023-4966) в каталог известных эксплуатируемых уязвимостей — https://www.cisa.gov/news-events/alerts/2023/10/24/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [2] Бюллетень по безопасности Citrix для CVE-2023-4966 и CVE-2023-4967 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967 [3] Mandiant: UNC4841 использует Citrix NetScaler ADC и шлюз нулевого дня (CVE-2023-4966) — https://www.mandiant.com/resources/blog/citrix-bleed-zero-day-exploitation [4] CISA добавляет уязвимость Citrix NetScaler ADC и шлюза (CVE-2023-3519) в каталог известных эксплуатируемых уязвимостей — https://www.cisa.gov/news-events/alerts/2023/07/21/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [5] Постоянные обновления: Трамп подписывает добровольное соглашение с лидерами ИИ в области технологий… — https://apnews.com/live/trump-cnn-media-midterm-elections-news-updates-09-29-2026