សំលៀកបំពាក់សន្តិសុខ AI ថ្មីរបស់អធិរាជ៖ ខណៈពេលដែលយើងសម្លឹងមើល Muse មូលនិធិដួលរលំ
ចូរនិយាយដោយផ្ទាល់៖ ឧស្សាហកម្មបច្ចេកវិទ្យាមានការស្រមើស្រមៃថ្មី ហើយវាត្រូវបានគេហៅថា "សុវត្ថិភាព AI" ។ យើងទាំងអស់គ្នាត្រូវបានគេរំពឹងថានឹងផ្តោតលើការចាក់ភ្លាមៗ ការពុលគំរូ និងការដកទិន្នន័យចេញពីគំរូភាសាធំៗ។ ទន្ទឹមនឹងនេះ ហេដ្ឋារចនាសម្ព័ន្ធរូបវន្ត និងឌីជីថលដែលកាន់កាប់សហគ្រាសរបស់យើងរួមគ្នាកំពុងត្រូវបានដុតបំផ្លាញយ៉ាងសកម្មដោយការរារាំងឥតឈប់ឈរនៃសូន្យថ្ងៃ។ ឧប្បត្តិហេតុនាពេលថ្មីៗនេះដែលពាក់ព័ន្ធនឹងវេទិកា AI ដ៏សំខាន់ដែលបង្ហាញពីបញ្ហាប្រឈមកាន់តែទូលំទូលាយក្នុងការធានាហេដ្ឋារចនាសម្ព័ន្ធ AI រំលេចនូវ dichotomy ដ៏គ្រោះថ្នាក់នេះ [1] ។
ក្រុមហ៊ុន Meta ដែលជាក្រុមហ៊ុនដែលគេស្គាល់ថា "ផ្លាស់ទីលឿន និងបំបែករឿង" របស់ខ្លួនបានប្រឈមមុខនឹងការត្រួតពិនិត្យលើកំហុសសុវត្ថិភាពនៅក្នុងវេទិកា AI របស់ខ្លួន។ ជាឧទាហរណ៍ កម្មវិធី bug bounty បានរកឃើញកំហុសយ៉ាងសំខាន់ដែលបង្ហាញពីអ្នកប្រើប្រាស់ Virtual Machines ។ នេះមិនមែនជាការលេចធ្លាយទិន្នន័យតូចតាច ឬជាការឆ្លងកាត់ការជម្រុញដ៏ឆ្លាតវៃនោះទេ ប៉ុន្តែជាកំហុសកម្រិតហេដ្ឋារចនាសម្ព័ន្ធជាមូលដ្ឋាន ដែលលាតត្រដាង user VMs។ នេះមិនមែនជាភាពងាយរងគ្រោះ AI-specific esoteric មួយចំនួនទេ។ នេះគឺជាការឯកោ VM មូលដ្ឋានដែលជាបញ្ហាមួយដែលយើងគិតថាបានដោះស្រាយកាលពីមួយទសវត្សរ៍មុន។ វាតំណាងឱ្យការបំពានយ៉ាងធ្ងន់ធ្ងរនៃភាពឯកជន និងសុវត្ថិភាពទិន្នន័យ ដែលជះឥទ្ធិពលដោយផ្ទាល់ដល់អ្នកប្រើប្រាស់ និងអតិថិជនសហគ្រាសដែលមានសក្តានុពលប្រើប្រាស់ហេដ្ឋារចនាសម្ព័ន្ធ AI បែបនេះ។
គុណវិបត្តិប្រភេទនេះ ខណៈពេលដែលមានផលប៉ះពាល់យ៉ាងពិតប្រាកដ មានអារម្មណ៍ថាមិនសូវដូចបញ្ហាប្រឈម "សុវត្ថិភាព AI" បែបប្រលោមលោកទេ ហើយច្រើនទៀតដូចជាការបរាជ័យផ្នែកហេដ្ឋារចនាសម្ព័ន្ធបុរាណដែលពាក់មួក AI ។ វាជាការរំលឹកថា សូម្បីតែវេទិកា AI កម្រិតខ្ពស់បំផុតក៏ត្រូវបានបង្កើតឡើងនៅលើស្រទាប់នៃការគណនាធម្មតា បណ្តាញ និងនិម្មិត។ ប្រសិនបើស្រទាប់គ្រឹះទាំងនោះត្រូវបានប្រេះដោយរន្ធ វាមិនមានបញ្ហាថាតើគំរូ AI របស់អ្នកមានភាពទំនើបយ៉ាងណានោះទេ។ ប្រព័ន្ធទាំងមូលនៅតែងាយរងគ្រោះ។ ទិដ្ឋភាព "AI" នៃរឿងនេះគឺស្ទើរតែជាការរំខាន ដែលជាទិសដៅខុសដែលទាក់ទាញការសម្លឹងរបស់យើងឱ្យឆ្ងាយពីឈើដែលរលួយនៅក្រោមកម្រាលឈើ។
KEV Barrage របស់ CISA៖ សូចនាករសំខាន់
ខណៈពេលដែលយើងកំពុងមមាញឹកក្នុងការពិភាក្សាអំពីផលប៉ះពាល់ខាងសីលធម៌នៃ chatbots អារម្មណ៍ និងភាពខុសគ្នានៃសុវត្ថិភាព AI នោះ CISA កំពុងទម្លាក់ចំនួនដែលមិនធ្លាប់មានពីមុនមកនៃភាពងាយរងគ្រោះដែលត្រូវបានកេងប្រវ័ញ្ចយ៉ាងសកម្មទៅក្នុងកាតាឡុក Known Exploited Vulnerabilities (KEV) ។ នេះមិនមែនជាលំហាត់ទ្រឹស្តីទេ។ នេះមិនមែនជាបញ្ជី "បំណះថ្ងៃណាមួយ" ទេ។ នេះជាបញ្ជីបន្ទាន់ "ផ្ទះរបស់អ្នកកំពុងឆេះ ឥឡូវនេះ"។
ក្នុងប៉ុន្មានសប្តាហ៍ថ្មីៗនេះ CISA បានបន្ថែមធាតុជាច្រើន ដែលនាំមកនូវភាពងាយរងគ្រោះសរុបដែលត្រូវបានកេងប្រវ័ញ្ចយ៉ាងសកម្មទៅជាចំនួនដ៏គួរឱ្យភ្ញាក់ផ្អើលក្នុងរយៈពេលខ្លី [2] ។ នេះមិនមែនគ្រាន់តែជា "សន្តិសុខគឺអាក្រក់" ទេ។ នេះគឺជាវិបត្ដិជាប្រព័ន្ធ ដែលកាន់តែកើនឡើង ដែលជះឥទ្ធិពលដល់កម្មវិធីសហគ្រាសសំខាន់ៗ ដែលដំណើរការលើពិភពលោករបស់យើង។
ពិចារណាការបន្ថែមថ្មីៗទៅកាតាឡុក KEV៖
- ** CVE-2023-46214:** ភាពងាយរងគ្រោះនៃការប្រតិបត្តិកូដពីចម្ងាយរបស់ Splunk Enterprise (CVSS 9.8) ជាមួយនឹងកាលបរិច្ឆេទកំណត់បំណះ CISA ដែលធ្វើឱ្យប្រព័ន្ធដែលមិនបានជួសជុលមានភាពងាយរងគ្រោះខ្លាំង។
- ** CVE-2023-29357:** ភាពងាយរងគ្រោះនៃការកើនឡើងឯកសិទ្ធិរបស់ Microsoft SharePoint Server ដែលប៉ះពាល់ដល់ឆ្អឹងខ្នងនៃ intranet របស់ក្រុមហ៊ុនរាប់មិនអស់។
- CVE-2023-42824: ភាពងាយរងគ្រោះខឺណែល Apple iOS/iPadOS ដែលត្រូវបានកេងប្រវ័ញ្ចរួចហើយនៅក្នុងការវាយប្រហារតាមគោលដៅ ដែលបង្ហាញថាសូម្បីតែប្រព័ន្ធអេកូដែលបានគ្រប់គ្រងក៏មិនអាចជ្រាបចូលបានដែរ។
- ** CVE-2023-30799:** កំហុសប្រតិបត្តិកូដពីចម្ងាយរបស់ MikroTik RouterOS ប៉ះពាល់ដល់រ៉ោតទ័រដែលភ្ជាប់អ្វីៗគ្រប់យ៉ាង ជារឿយៗត្រូវបានទុកចោលនៅជ្រុងជ្រៅបំផុតនៃបណ្តាញ។
ការបន្ថែមយ៉ាងឆាប់រហ័សនៃការកេងប្រវ័ញ្ចយ៉ាងសកម្មគ្មានថ្ងៃនៅទូទាំងអ្នកលក់ធំៗ ដូចជា Microsoft, Apple, Splunk, MikroTik, Linux, JFrog - ទាមទារការយកចិត្តទុកដាក់ភ្លាមៗ។ នេះមិនមែនជាការព្រមានទូទៅទេ។ វាជាសំឡេងស៊ីរ៉ែនផ្លុំដោយផ្ទាល់នៅគ្រប់ក្រុម IT និងសន្តិសុខ។ បញ្ជី KEV របស់ CISA មិនមែនគ្រាន់តែជាការផ្តល់យោបល់សម្រាប់ទីភ្នាក់ងារសហព័ន្ធប៉ុណ្ណោះទេ។ វាជាការព្រមានដ៏សំខាន់សម្រាប់ស្ថាប័ន ទាំងអស់។ មិនអើពើនឹងគ្រោះថ្នាក់របស់អ្នក។
ការបំភាន់នៃ "សន្តិសុខ AI" និងតម្លៃនៃការរំខាន
នេះគឺជាការពិតដែលមិនស្រួល៖ កំហុសជាមូលដ្ឋាននៅក្នុងវេទិកា AI និង CISA KEV barrage គឺជាទិដ្ឋភាពដែលទាក់ទងគ្នាទៅវិញទៅមកនៃបញ្ហាដូចគ្នា។ ពួកគេទាំងពីរស្រែកអំពីការវិភាគជាមូលដ្ឋាននៃសុវត្ថិភាពកម្មវិធី ប៉ុន្តែការសម្លឹងមើលរួមនៃឧស្សាហកម្មរបស់យើងគឺមិនត្រឹមត្រូវប្រកបដោយគ្រោះថ្នាក់។ យើងចាប់អារម្មណ៍យ៉ាងខ្លាំងចំពោះការសន្យា និងគ្រោះថ្នាក់នៃ "AI" ដែលយើងកំពុងធ្វើឱ្យហេដ្ឋារចនាសម្ព័ន្ធឌីជីថលរលួយ។
"សន្តិសុខ AI" បានក្លាយជាពាក្យចចាមអារ៉ាម ដែលជាព្រំដែនថ្មីសម្រាប់អ្នកប្រឹក្សា និងអ្នកគ្រប់គ្រងផលិតផល។ ប៉ុន្តែតើវាពិតជាអ្វី? ជាញឹកញយ វាគ្រាន់តែជា សុវត្ថិភាព ដែលអនុវត្តចំពោះប្រព័ន្ធ AI ប៉ុណ្ណោះ។ បាទ AI ណែនាំវ៉ិចទ័រវាយប្រហារថ្មី និងបញ្ហាប្រឈមពិសេស ប៉ុន្តែផ្នែកសំខាន់នៃ "សុវត្ថិភាព AI" គឺគ្រាន់តែជាវិស្វកម្មដ៏រឹងមាំ ការអនុវត្តការសរសេរកូដប្រកបដោយសុវត្ថិភាព និងការបិទភ្ជាប់ដោយឧស្សាហ៍ព្យាយាម ដែលជាវត្ថុដូចគ្នាដែលយើងបានបរាជ័យអស់ជាច្រើនទសវត្សរ៍មកហើយ។ បញ្ហាឯកោ VM ដែលបានរៀបរាប់ពីមុនគឺជាឧទាហរណ៍ដ៏ល្អឥតខ្ចោះមួយ៖ ភាពងាយរងគ្រោះបុរាណដែលត្រូវបានពង្រីកដោយភាពស្មុគស្មាញនៃវេទិកា AI ។
យើងកំពុងបង្កើតប្រព័ន្ធ AI ដ៏ស្មុគ្រស្មាញមិនគួរឱ្យជឿនៅលើមូលដ្ឋានដែលផុយស្រួយ និងកេងប្រវ័ញ្ចយ៉ាងសកម្ម។ វាដូចជាការរចនាយ៉ាងល្អិតល្អន់នូវរថយន្តដែលបើកបរដោយខ្លួនឯងជាមួយនឹងការរុករក AI កម្រិតខ្ពស់ ខណៈពេលដែលកង់កំពុងធ្លាក់ ហើយម៉ាស៊ីនកំពុងផ្ទុះ។ ការផ្តោតទៅលើ "សុវត្ថិភាព AI" ជារឿយៗមានអារម្មណ៍ថាដូចជាការរំខាន ការបង្វែរធនធាន និងការយកចិត្តទុកដាក់ពីការងារដ៏អាក្រក់ ដែលមិនគួរឱ្យជឿ ប៉ុន្តែពិតជាការងារដ៏សំខាន់នៃការធានាហេដ្ឋារចនាសម្ព័ន្ធដែលមានស្រាប់។
តើយើងរវល់តែដេញតាមរឿងធំបន្ទាប់ដែលយើងទុកឲ្យរឿងធំៗបច្ចុប្បន្នឆេះខ្ទេចខ្ទី? បរិមាណ និងភាពទូលំទូលាយនៃការគំរាមកំហែង KEV បង្ហាញពីបញ្ហាប្រឈមជាប្រព័ន្ធ និងបន្ទាន់ចំពោះហេដ្ឋារចនាសម្ព័ន្ធឌីជីថលជាមូលដ្ឋាន ខុសពីការពិភាក្សាមុនៗ AI-centric zero-day។ នេះមិនមែននិយាយអំពីអនាគតរបស់ AI ទេ។ វានិយាយអំពីស្ថានភាពបច្ចុប្បន្ននៃអត្ថិភាពឌីជីថលរបស់យើង។
តើពេលនេះ CTOs ជាអ្វី?
សម្រាប់អ្នកដឹកនាំផ្នែកវិស្វកម្ម និង CTOs សារគឺស្រឡះ និងភ្លាមៗ៖
- ផ្តល់អាទិភាពដល់បញ្ជី KEV: ទម្លាក់អ្វីៗទាំងអស់។ ជួសជុលភាពងាយរងគ្រោះទាំងនេះ។ អាណត្តិ។ ពង្រឹងវា។ នេះមិនមែនជាជម្រើសទេ។
- កុំមានការបំផ្លើសនៅក្នុង "សុវត្ថិភាព AI" ដោយចំណាយលើមូលដ្ឋានគ្រឹះ៖ បាទ យល់អំពីហានិភ័យពិសេសរបស់ AI ប៉ុន្តែត្រូវចាំថាវិស្វកម្មដ៏រឹងមាំ វដ្តនៃការអភិវឌ្ឍន៍ប្រកបដោយសុវត្ថិភាព និងការបិទភ្ជាប់ដោយឧស្សាហ៍ព្យាយាមនៅតែជាការការពារដ៏ល្អបំផុតរបស់អ្នក។ គំរូ AI ដ៏ប្រណិតនឹងមិនជួយសង្គ្រោះអ្នកទេ ប្រសិនបើអ្នកវាយប្រហារជាម្ចាស់ VM មូលដ្ឋានរបស់អ្នក ឬម៉ាស៊ីនមេ SharePoint របស់អ្នក។
- វិនិយោគលើសុវត្ថិភាពមូលដ្ឋាន៖ នេះមានន័យច្រើនជាងការទិញឧបករណ៍សុវត្ថិភាពមួយផ្សេងទៀត។ វាមានន័យថាការវិនិយោគលើមនុស្ស ដំណើរការ និងវប្បធម៌ដែលឱ្យតម្លៃលើសុវត្ថិភាពជាវិន័យផ្នែកវិស្វកម្មស្នូល មិនមែនជាការគិតក្រោយនោះទេ។ កម្មវិធីផ្តល់រង្វាន់គឺល្អឥតខ្ចោះ ប៉ុន្តែពួកវាគួរតែជាបណ្តាញសុវត្ថិភាព មិនមែនជាយុទ្ធសាស្ត្រសុវត្ថិភាពចម្បងរបស់អ្នកទេ។
ឧប្បត្តិហេតុដែលពាក់ព័ន្ធនឹងហេដ្ឋារចនាសម្ព័ន្ធវេទិកា AI គឺជាការដាស់តឿនមួយ ប៉ុន្តែបញ្ជី CISA KEV គឺជាការជូនដំណឹងបន្ទាន់។ យើងត្រូវបញ្ឈប់ការកោតសរសើរគំនិតផ្តួចផ្តើមសុវត្ថិភាព AI ចុងក្រោយបង្អស់ ហើយចាប់ផ្តើមជួសជុលរន្ធនៅក្នុងការការពារជាក់ស្តែងរបស់យើង។ អនាគតនៃ AI គឺគួរឱ្យរំភើប ប៉ុន្តែស្ថានភាពបច្ចុប្បន្ននៃសន្តិសុខរបស់យើងគឺគួរឱ្យភ័យខ្លាច។
ប្រភព
[1] សុវត្ថិភាព AI មានភាពរញ៉េរញ៉ៃ ហើយវានឹងកាន់តែអាក្រក់ទៅៗ — https://techcrunch.com/2023/10/11/ai-security-is-a-mess-and-its-about-to-get-worse/ [2] កាតាឡុកភាពងាយរងគ្រោះដែលបានកេងប្រវ័ញ្ចដែលគេស្គាល់ — https://www.cisa.gov/known-exploited-vulnerabilities-catalog