Zero-days and Zero Oversight: រឿងនិទាននៃការពិតបច្ចេកវិទ្យាពីរ
ស្រមៃមើលក្រុម SOC របស់អ្នក ភ្នែកស្រវាំង សម្លឹងមើលការជូនដំណឹងពណ៌ក្រហមភ្លឺ។ វាម៉ោង 3 ព្រឹកក្នុងខែតុលា ឆ្នាំ 2023 ហើយព័ត៌មានមិនល្អទេ៖ សូន្យថ្ងៃដ៏សំខាន់ចំនួនពីរនៅក្នុង Citrix NetScaler ADC និង Gateway របស់អ្នកត្រូវបានកេងប្រវ័ញ្ចយ៉ាងសកម្ម បើកដំណើរការ Remote Code Execution (RCE) ជាមួយនឹងមេរោគផ្ទាល់ខ្លួនត្រូវបានសង្កេតឃើញនៅក្នុងព្រៃ។ កាតាឡុក CISA Known Exploited Vulnerabilities (KEV) ទើបតែបានបន្ថែមពួកវា [1, 2, 3, 4]។ នេះមិនមែនជាការគំរាមកំហែងខាងទ្រឹស្តីទេ។ វាជាឧបទ្ទវហេតុអន្តរជាតិដ៏សំខាន់មួយដែលជះឥទ្ធិពលដល់ហេដ្ឋារចនាសម្ព័ន្ធសហគ្រាសសំខាន់ៗនៅទូទាំងផ្នែករដ្ឋាភិបាល ហិរញ្ញវត្ថុ ការអប់រំ និងផ្នែកច្បាប់នៅអាមេរិកខាងជើង និងអឺរ៉ុប។ ខណៈពេលដែលក្រុមរបស់អ្នកកំពុងរើបម្រាស់ដើម្បីទប់ស្កាត់ការបង្ហូរឈាម បំណះដោយកំហឹង និងចាប់ផ្តើមការស៊ើបអង្កេតផ្នែកកោសល្យវិច្ច័យទៅលើអ្វីដែលអាចជាការបំពានមហន្តរាយ ចំណងជើងមួយទៀតបានធ្លាក់ចុះ៖ លោកប្រធានាធិបតី Trump បានធានានូវ "កិច្ចព្រមព្រៀងស្ម័គ្រចិត្ត" ជាមួយក្រុមហ៊ុនបច្ចេកវិទ្យាកំពូលសម្រាប់ការអភិវឌ្ឍន៍ AI ដោយសន្យាឧស្សាហកម្មប៉ូលីសដោយខ្លួនឯង [5] ។
ការដាក់គ្នាគឺមិនស៊ីសង្វាក់គ្នាខ្លាំងណាស់។ ម្យ៉ាងវិញទៀត យើងប្រឈមមុខនឹងការពិតដ៏ឃោរឃៅ និងមិនអាចប្រកែកបាននៃបរិយាកាសឌីជីថលបច្ចុប្បន្នរបស់យើង៖ ការប្រយុទ្ធដែលមានភាគហ៊ុនខ្ពស់ឥតឈប់ឈរប្រឆាំងនឹងសត្រូវដ៏ទំនើបដែលទាញយកប្រយោជន៍ពីភាពទន់ខ្សោយជាមូលដ្ឋាននៅក្នុងហេដ្ឋារចនាសម្ព័ន្ធដែលគាំទ្រពិភពលោកទំនើបរបស់យើង។ ម៉្យាងទៀត ទស្សនីយភាពនយោបាយដែលបង្ហាញថា អនាគតនៃការផ្លាស់ប្តូរច្រើនបំផុត ប៉ុន្តែមិនប្រាកដប្រជាយ៉ាងជ្រាលជ្រៅ បច្ចេកវិទ្យាអាចត្រូវបានគ្រប់គ្រងដោយសុវត្ថិភាពដោយឧស្សាហកម្មដូចគ្នាដែលតស៊ូជាប់លាប់ជាមួយសន្តិសុខជាមូលដ្ឋាន និងការគ្រប់គ្រងខ្លួនឯងប្រកបដោយក្រមសីលធម៌។
គ្រោះមហន្តរាយ Citrix: រោគសញ្ញានៃការរលួយកាន់តែជ្រៅ
សូមបញ្ជាក់ឱ្យច្បាស់៖ Citrix zero-days ដូចជា CVE-2023-4966 (ត្រូវបានគេស្គាល់ថា Citrix Bleed) និង CVE-2023-3519 មិនមែនគ្រាន់តែជា "ភាពងាយរងគ្រោះផ្សេងទៀត" នោះទេ។ ពួកគេតំណាងឱ្យវិបត្តិបន្ទាន់មួយនៅក្នុងមជ្ឈមណ្ឌលទិន្នន័យ ដែលជាយុទ្ធនាការវាយប្រហារដោយផ្ទាល់ និងបន្តដែលទាមទារឱ្យមានការឆ្លើយតបភ្លាមៗ ទាំងដៃនៅលើនាវា [1, 2, 3, 4] ។ ការប្រតិបត្តិលេខកូដពីចម្ងាយនៅលើ ADC ឬ Gateway គឺសមមូលឌីជីថលនៃចំណុចចូលដំណើរការដ៏សំខាន់ដែលត្រូវបានលាតត្រដាង។ នេះមិនមែនគ្រាន់តែអំពីការបិទភ្ជាប់ប៉ុណ្ណោះទេ វានិយាយអំពីភាពផុយស្រួយជាប្រព័ន្ធនៃស្ថាបត្យកម្មសហគ្រាសរបស់យើង។
អស់ជាច្រើនឆ្នាំមកនេះ យើងបានសាងសង់ប្រព័ន្ធដែលស្មុគស្មាញ និងទាក់ទងគ្នាទៅវិញទៅមក ដែលជារឿយៗពឹងផ្អែកលើអ្នកលក់សំខាន់ៗមួយចំនួនតូចសម្រាប់ហេដ្ឋារចនាសម្ព័ន្ធស្នូល។ Citrix ដូចជាអ្នកដទៃទៀតដែរ ផ្តល់សេវាកម្មសំខាន់ៗ ប៉ុន្តែជាមួយនឹងចំណុចកណ្តាលនោះនឹងមានហានិភ័យយ៉ាងខ្លាំង។ នៅពេលដែលសមាសធាតុជាមូលដ្ឋានដូចជា NetScaler ត្រូវបានសម្របសម្រួលនៅកម្រិតសូន្យថ្ងៃ ឥទ្ធិពលរលកកំពុងបំផ្លិចបំផ្លាញ។ វាលាតត្រដាងពីកំហុសដែលកើតចេញពីការពឹងផ្អែកលើចំណុចបរាជ័យតែមួយ មិនថាវារឹងមាំប៉ុណ្ណាក៏ដោយ * សន្មត់ថា * ។ ការណែនាំ "បំណះភ្លាមៗ" ខណៈពេលដែលចាំបាច់ មានអារម្មណ៍ដូចជាមធ្យោបាយដោះស្រាយដ៏វិសេសវិសាលសម្រាប់បញ្ហាជាប្រព័ន្ធ។ វាមិនដោះស្រាយបញ្ហាជាមូលដ្ឋានទេ៖ ភាពស្មុគស្មាញដែលបង្កើតភាពងាយរងគ្រោះ ល្បឿនយឺតនៃការអាប់ដេតសុវត្ថិភាពពីអ្នកលក់មួយចំនួន និងយុទ្ធសាស្ត្រការពារស៊ីជម្រៅជាញឹកញាប់មិនគ្រប់គ្រាន់ ដែលបរាជ័យនៅពេលដែលបរិវេណត្រូវបានបំពាននៅចំណុចសំខាន់បំផុតរបស់វា។
នេះមិនមែនគ្រាន់តែជាបញ្ហាបច្ចេកទេសប៉ុណ្ណោះទេ វាជាសុបិន្តអាក្រក់បន្តអាជីវកម្ម។ ការបំពានទិន្នន័យ ការរំខានប្រតិបត្តិការ ការផាកពិន័យបទប្បញ្ញត្តិ ការខូចខាតកេរ្តិ៍ឈ្មោះ - ការចំណាយគឺមានលក្ខណៈតារាសាស្ត្រ។ ហើយដើម្បីអ្វី? ដើម្បីដំណើរការបណ្តាញប្រកបដោយប្រសិទ្ធភាព? យើងកំពុងបង់ថ្លៃដ៏ថ្លៃថ្លាសម្រាប់ភាពងាយស្រួល និងប្រសិទ្ធភាពដែលយល់ឃើញ ជាតម្លៃដែលវាស់វែងក្នុងយប់ដែលគេងមិនលក់សម្រាប់ CTOs និងក្រុមសន្តិសុខ ហើយអាចមានសក្តានុពលក្នុងការបំផ្លាញទំនុកចិត្តសាធារណៈ។ ការពិតដែលថាទាំងនេះត្រូវបាន កេងប្រវ័ញ្ចយ៉ាងសកម្ម សូន្យថ្ងៃ ដោយប្រើ មេរោគផ្ទាល់ខ្លួន ប្រាប់យើងថា ទាំងនេះមិនមែនជាស្គ្រីបក្មេងទេ។ ទាំងនេះគឺជាតួអង្គគម្រាមកំហែងជាប់លាប់ដែលមានធនធានល្អ ដែលកំណត់គោលដៅលើទ្រព្យសម្បត្តិដែលមានតម្លៃខ្ពស់ [3] ។ ប្រសិនបើយើងមិនអាចធានាបាននូវស្រទាប់គ្រឹះនៃពិភពឌីជីថលដែលមានស្រាប់របស់យើងទេ តើយើងមានសង្ឃឹមអ្វីសម្រាប់អនាគតដ៏ស្មុគស្មាញជាងនេះ?
Wild West របស់ AI៖ ការជឿជាក់លើផលប្រយោជន៍ខ្លួនឯង ដើម្បីកំណត់សុវត្ថិភាព
ហើយនិយាយអំពីអនាគតនោះ ចូរយើងងាកទៅរកកិច្ចព្រមព្រៀង AI "ការពង្រឹងខ្លួនឯង" ។ សេចក្តីប្រកាសរបស់ប្រធានាធិបតី Trump ខណៈពេលដែលមានសារៈសំខាន់ខាងនយោបាយ គឺជាឧទាហរណ៍នៃសៀវភៅសិក្សាអំពីការទទួលខុសត្រូវ [5] ។ "ស្ម័គ្រចិត្ត" និង "ប៉ូលីសដោយខ្លួនឯង" គឺជាពាក្យដែលគួរតែជំរុញឱ្យមានការភ័យខ្លាចចំពោះនរណាម្នាក់ដែលបានមើលដំណើរការឧស្សាហកម្មបច្ចេកវិទ្យាក្នុងរយៈពេលពីរទសវត្សរ៍ចុងក្រោយនេះ។ យើងបានសង្កេតឃើញគំរូនេះពីមុនហើយមែនទេ? ក្រុមហ៊ុនប្រព័ន្ធផ្សព្វផ្សាយសង្គម "ស្ម័គ្រចិត្ត" ប៉ូលីសនិយាយពាក្យស្អប់ខ្ពើម ម៉ាស៊ីនស្វែងរក "គ្រប់គ្រងដោយខ្លួនឯង" ឯកជនភាពទិន្នន័យ និងហាងកម្មវិធី "ដោយឯករាជ្យ" ធានាការប្រកួតប្រជែងដោយយុត្តិធម៌។ កំណត់ត្រាបទគឺដើម្បីដាក់វាដោយស្លូតបូត, abysmal ។
គំនិតដែលក្រុមហ៊ុនប្រកួតប្រជែងគ្នាដើម្បីបង្កើត និងប្រើប្រាស់ប្រព័ន្ធ AI ដ៏មានអានុភាព – ប្រព័ន្ធដែលមានសក្តានុពលក្នុងការផ្លាស់ប្តូរសេដ្ឋកិច្ច ឥទ្ធិពលការបោះឆ្នោត និងថែមទាំងបង្កើតទម្រង់ថ្មីនៃហានិភ័យសង្គម – អាចជឿទុកចិត្តបានក្នុងការកំណត់ និងអនុវត្តគោលការណ៍ណែនាំអំពីក្រមសីលធម៌ និងសុវត្ថិភាពផ្ទាល់ខ្លួនរបស់ពួកគេគឺឆោតល្ងង់បំផុត ហើយគ្មានការទទួលខុសត្រូវយ៉ាងធ្ងន់ធ្ងរបំផុត។ ទាំងនេះគឺជាសាជីវកម្មដែលជំរុញដោយប្រាក់ចំណេញ និងការគ្រប់គ្រងទីផ្សារ។ កាតព្វកិច្ចចម្បងរបស់ពួកគេគឺចំពោះម្ចាស់ភាគហ៊ុន មិនមែនចំពោះគំនិតអរូបីនៃគុណសម្បត្តិសាធារណៈ ឬក្រមសីលធម៌ AI នោះទេ។
"កិច្ចព្រមព្រៀង" នេះគឺជាការឈ្នះផ្នែកនយោបាយសម្រាប់រដ្ឋបាល ដែលអនុញ្ញាតឱ្យពួកគេទាមទារសកម្មភាពលើ AI ដោយមិនមានភាពរញ៉េរញ៉ៃនៃច្បាប់ជាក់ស្តែង ឬការត្រួតពិនិត្យបទប្បញ្ញត្តិ។ វាក៏ជាការឈ្នះដ៏ធំសម្រាប់ Big Tech ដោយទិញពួកគេនូវពេលវេលា និងសេរីភាពពីបទប្បញ្ញត្តិដែលមានបន្ទុកដ៏មានសក្តានុពលដែលអាចពន្យឺតការច្នៃប្រឌិតរបស់ពួកគេ ឬប៉ះពាល់ដល់បន្ទាត់ខាងក្រោមរបស់ពួកគេ។ ប៉ុន្តែសម្រាប់ពួកយើងដែលនៅសល់ - សម្រាប់អ្នកជំនាញផ្នែកបច្ចេកវិទ្យាដែលបង្កើតប្រព័ន្ធទាំងនេះ សម្រាប់អាជីវកម្មដែលនឹងពឹងផ្អែកលើពួកគេ និងសម្រាប់សង្គមទាំងមូល - វាជាគំរូដ៏គ្រោះថ្នាក់មួយ។ វាបង្ហាញពីវិធីសាស្រ្តដែលពេញចិត្តចំពោះអភិបាលកិច្ច AI ដែលផ្តល់អាទិភាពដល់ស្វ័យភាពសាជីវកម្មលើសុវត្ថិភាពសាធារណៈ និងគណនេយ្យភាព។
ការផ្តាច់ទំនាក់ទំនង៖ ការកសាងលើគ្រឹះដែលមិនស្ថិតស្ថេរ
នេះជាការពិតដែលមិនស្រួល៖ យើងកំពុងតែបរាជ័យក្នុងពេលដំណាលគ្នាក្នុងការធានាបច្ចុប្បន្នរបស់យើង និងការគ្រប់គ្រងអនាគតរបស់យើងខុសដោយគ្រោះថ្នាក់។ យើងកំពុងសាងសង់ប្រព័ន្ធ AI ដ៏ទំនើបដែលមិនធ្លាប់មាននៅលើមូលដ្ឋាននៃអស្ថិរភាពឌីជីថល ដែលហេដ្ឋារចនាសម្ព័ន្ធសំខាន់ៗត្រូវបានសម្របសម្រួលជាប្រចាំដោយសត្រូវស្មុគ្រស្មាញ។ អ្នកដឹកនាំឧស្សាហកម្មដូចគ្នាដែលហាក់ដូចជាមិនអាចរារាំងផលិតផលរបស់ពួកគេពីការក្លាយជាវ៉ិចទ័រវាយប្រហារជាសកលឥឡូវនេះត្រូវបានស្នើសុំឱ្យ "ប៉ូលីសដោយខ្លួនឯង" ផលប៉ះពាល់សីលធម៌ និងសុវត្ថិភាពនៃបញ្ញាសិប្បនិម្មិតទូទៅ។
នេះមិនមែនគ្រាន់តែជាការផ្តាច់ទេ វាជាគម្លាតដ៏ជ្រាលជ្រៅ។ នៅពេលដែល CTOs និងវិស្វកម្មដឹកនាំ យើងត្រូវបានគេចាប់នៅកណ្តាល។ យើងមានភារកិច្ចដើម្បីជួសជុលការគំរាមកំហែងដែលមានស្រាប់ភ្លាមៗដូចជា Citrix zero-days ស្របពេលជាមួយគ្នាត្រូវបានប្រាប់ឱ្យរៀបចំសម្រាប់អនាគតដែលជំរុញដោយ AI ដែលច្បាប់ត្រូវបានបង្កើតឡើងនៅពេលយើងដំណើរការ ភាគច្រើនដោយអ្នកលេងខ្លួនឯង។
កិច្ចព្រមព្រៀង AI ស្ម័គ្រចិត្តមិនមែនជាដំណោះស្រាយទេ។ វាជាយុទ្ធសាស្ត្រពន្យារពេល។ វាពន្យារពេលការទទួលខុសត្រូវ ដោយធានាថា នៅពេលដែលការបំពានក្រមសីលធម៌ ភាពលំអៀង ឬសូម្បីតែការបរាជ័យដ៏មហន្តរាយនៃ AI កើតឡើង សាធារណជននឹងឆ្ងល់ថាហេតុអ្វីបានជាមិនមានការត្រួតពិនិត្យឯករាជ្យ និងរឹងមាំតាំងពីដំបូង។ ហើយនៅពេលដែលបរាជ័យទាំងនោះកើតឡើង ពួកគេនឹងមិនមានទ្រឹស្តីទេ។ ពួកវានឹងក្លាយជាការពិត និងខូចខាតដូច RCE នៅលើ NetScaler របស់អ្នក មានតែផលប៉ះពាល់សង្គមដ៏ធំទូលាយជាងនេះ។
យើងត្រូវទាមទារបន្ថែមទៀត។ យើងត្រូវការសន្តិសុខយ៉ាងសកម្ម និងរឹងមាំពីអ្នកលក់របស់យើង មិនមែនគ្រាន់តែបំណះប្រតិកម្មបន្ទាប់ពីការពិតនោះទេ។ ហើយយើងត្រូវការបទប្បញ្ញត្តិឯករាជ្យពិតប្រាកដសម្រាប់ AI មិនត្រឹមតែកិច្ចព្រមព្រៀងចាប់ដៃគ្នារវាងអ្នកនយោបាយ និងសាជីវកម្មប៉ុណ្ណោះទេ។ ព្រោះប្រសិនបើយើងមិនអាចធានាបាននូវហេដ្ឋារចនាសម្ព័ន្ធស្នូលរបស់យើង តើយើងអាចជឿជាក់លើស្ថាបត្យករដើម្បីកសាងអរិយធម៌ជំនាន់ក្រោយដោយការទទួលខុសត្រូវដោយរបៀបណា? ចម្លើយសម្រាប់ពេលនេះ គឺយើងមិនអាចទេ។
ប្រភព
[1] CISA បន្ថែម Citrix NetScaler ADC និង Gateway Vulnerability (CVE-2023-4966) ទៅកាន់កាតាឡុកភាពងាយរងគ្រោះដែលគេកេងប្រវ័ញ្ចដែលគេស្គាល់ — https://www.cisa.gov/news-events/alerts/2023/10/24/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [2] ព្រឹត្តិបត្រព័ត៌មានសុវត្ថិភាព Citrix សម្រាប់ CVE-2023-4966 និង CVE-2023-4967 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve262023 [3] Mandiant៖ UNC4841 Exploits Citrix NetScaler ADC និង Gateway Zero-Day (CVE-2023-4966) — https://www.mandiant.com/resources/blog/citrix-bleed-zero-day-exploitation [4] CISA បន្ថែម Citrix NetScaler ADC និង Gateway Vulnerability (CVE-2023-3519) ទៅកាន់កាតាឡុកភាពងាយរងគ្រោះដែលគេកេងប្រវ័ញ្ចដែលគេស្គាល់ — https://www.cisa.gov/news-events/alerts/2023/07/21/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [5] ការធ្វើបច្ចុប្បន្នភាពបន្តផ្ទាល់៖ Trump ចុះហត្ថលេខាលើកិច្ចព្រមព្រៀងស្ម័គ្រចិត្តជាមួយមេដឹកនាំ AI សម្រាប់បច្ចេកវិទ្យា ... — https://apnews.com/live/trump-cnn-media-midterm-elections-news-updates-09-29-2026