Didysis techninis skaičiavimas: kai AI svajonė susitinka su nulinės dienos košmaru
Nors technologijų pramonės dėmesys dažnai krypsta į laipsniškus LLM atnaujinimus ir filosofines diskusijas apie dirbtinį intelektą, vyksta ryškus tikrovės patikrinimas. Tai nėra tik rinkos „pataisymas“; tai sisteminis pakartotinis vertės, efektyvumo ir rizikos įvertinimas, atsirandantis sudėtingoms grėsmėms nenumaldomai nusitaikius į mūsų skaitmeninę infrastruktūrą. Pamirškite minkštą nusileidimą; Pastarieji metai atskleidė didelę technologijų sektoriaus problemą.
Kritinė problema, kuri dažnai nepastebima, yra nenumaldomas talentų mažinimas. Vien 2023 m. buvo panaikinta daugiau nei 263 000 technologijų darbo vietų [1]. Tai neapsiriboja sunkumus patiriančiais startuoliais; pagrindiniai žaidėjai, tokie kaip „Google“, „Amazon“, „Microsoft“ ir „Meta“, gerokai sumažino savo darbo jėgą. Tai yra plati, nuolatinė tendencija, o ne pavienis incidentas.
AI paradoksas: efektyvumas už kokią kainą?
Naratyvas, žinoma, yra efektyvumas. „Optimizavimas augimui“, „operacijų racionalizavimas“, „išteklių perskirstymas strateginiams prioritetams“ – skaitykite: AI. Mums sakoma, kad dirbtinis intelektas sukurs naujų darbo vietų, tačiau šiuo metu įtartinai atrodo, kad jis pakeičia esamas arba bent jau leidžia įmonėms padaryti daugiau su mažiau. Dirbtinio intelekto skatinamo produktyvumo pažadas įgyvendinamas ne plečiant darbo jėgą, o ją mažinant.
Tai ne tik ekonominiai ciklai. Tai esminis vertės suvokimo ir teikimo pokytis. Įmonės supranta, kad ilgus metus besitęsiantis didžiulis augimas lėmė išsipūtimą, perteklinius vaidmenis ir netvarų degimo greitį. Dabar, kai dirbtinis intelektas žada automatizuoti viską nuo kodo generavimo iki klientų aptarnavimo, didžiausias dėmesys tenka tiems vaidmenims, kurie laikomi „neesminiais“ arba, tiksliau, „automatizuojamais“.
Ironija juntama. Milijardai išleidžiami dirbtinio intelekto tyrimams ir diegimui, siekiant naujos technologinės pažangos, tuo pat metu išardant pačias komandas, atsakingas už pagrindinės infrastruktūros kūrimą ir priežiūrą. Šis metodas primena sudėtingo pastato statybą ant nestabilaus pagrindo.
Nulinės dienos žaibiškas karas: kelių frontų kibernetinis karas
O kalbant apie griūvančius pamatus, pakalbėkime apie precedento neturintį aktyviai išnaudojamų pažeidžiamumų antplūdį. Tai nėra bendras įspėjimas; tai tiesioginė, daugialypė kibernetinė krizė.
„Apple“, dažnai giriama už savo saugumą, pastaraisiais mėnesiais atskleidė keletą aktyviai išnaudotų nulinių dienų, pvz., CVE-2024-23225, naudojamą „itin sudėtingoms atakoms“ [2]. „Google Chrome“ – visur esantis interneto šliuzas, vien šiais metais buvo aktyviai išnaudota nulinė diena, įskaitant CVE-2024-4671 ir CVE-2024-4761, kurios abi buvo aptartos gegužę [3]. Šis greitas kritinių trūkumų pasikartojimas rodo, kad saugos komandos nuolat reaguoja į kylančias grėsmes.
Kibernetinio saugumo ir infrastruktūros saugumo agentūra (CISA) į savo katalogą nuolat įtraukė naujų žinomų išnaudotų spragų [4]. Tai apima „Zyxel“ ugniasienės trūkumą (CVE-2023-28771), kurį išnaudojo „kiniškai kalbantis veikėjas“, siekdamas pažeisti beveik 1000 įrenginių, ir F5 BIG-IP RCE (CVE-2023-46747). CISA dažnai išleidžia skubius nurodymus, dažnai su trumpais ištaisymo terminais, kad federalinės agentūros galėtų pataisyti kritinę infrastruktūrą nuo sudėtingų, valstybės remiamų grėsmių. Taip pat buvo aktyviai išnaudojamas Veeam atsarginės kopijos ir replikacijos pažeidžiamumas (CVE-2023-27532) su viešu koncepcijos įrodymu [4].
Tai ne įsilaužėlių mėgėjų darbas; Tai profesionalūs, pakankamai išteklių turintys priešai, sistemingai taikantys į kritinę infrastruktūrą, įmonės sistemas ir galutinio vartotojo įrenginius. Jie naudojasi pažeidžiamumu tuo momentu, kai juos aptinka, arba net anksčiau.
Neregėtas ryšys: silpnos komandos, nesandari gynyba
Dabar sujunkite taškus. Ar tai sutapimas, kad matome rekordinius atleidimus iš darbo ir tuo pat metu susiduriame su precedento neturinčiu skaičiumi sudėtingų, aktyviai išnaudojamų pažeidžiamumų? Šią koreliaciją sunku nepaisyti.
Kai atleidžiama daugiau nei ketvirtis milijono darbo vietų, tai nėra tik „svoris“. Tai reiškia, kad prarandamos institucinės žinios, patyrę saugos inžinieriai, kruopščios kokybės užtikrinimo komandos ir patys asmenys, atsakingi už šių grėsmių nustatymą, pataisymą ir atsaką į jas. Likusios komandos yra ištemptos, dažnai priverstos teikti pirmenybę elementų greičiui, o ne esminei saugumo higienai. Taip sukuriama aplinka, kurioje pagal mantrą „greitai judėkite ir sulaužykite dalykus“ dabar kyla pavojus, kad svarbios sistemos bus atviros.
Dirbtinio intelekto skatinamo efektyvumo siekimas, nors ir teoriškai naudingas, sukuria pavojingą disbalansą. Mes optimizuojame našumą, nepaisydami žmogiškojo kapitalo ir tvirtos saugumo pozicijos, kuri yra visa ko pagrindas. Nors talentų rinka gali susilpnėti dėl bendrininkų, labai specializuotų saugumo specialistų, reaguotojų į incidentus ir grėsmių medžiotojų paklausa išlieka ypač didelė. Tačiau ar įmonės tikrai investuoja į šiuos svarbius vaidmenis, ar jos tiesiog tikisi, kad nauji AI įrankiai stebuklingai išspręs jų saugumo iššūkius? Pastarasis yra nerealus lūkestis.
Pragmatizmo kvietimas
Technikos vadovams ir inžinieriams tai nėra tik naujiena. Tai mirksi raudona lemputė.
- Iš naujo įvertinkite savo „efektyvumo“ žaidimus: Ar dėl atleidimo strategijų tikrai esate atsparesni, ar sukuriate pavienius gedimo taškus ir saugumo spragas? Pažeidimo kaina gerokai viršija sutaupytas lėšas dėl kelių darbuotojų skaičiaus sumažinimo.
- Suteikite pirmenybę saugumui su tikru įsipareigojimu: esminės saugumo praktikos, pvz., pataisymas, patikimas atsakas į incidentus ir aktyvi grėsmių paieška, nėra pasirenkama prabanga; jie yra egzistenciniai reikalavimai. Jei CISA nustato trijų dienų ištaisymo terminą, jūsų sistemos turėjo būti apsaugotos jau seniai.
- Investuokite į savo žmones: Aukščiausio lygio saugos ir infrastruktūros inžinierių talentų rinka tik karštėja. Išlaikykite juos, mokykite, įgalinkite. Jūsų AI strategija yra nenaudinga, jei jūsų pagrindinės sistemos yra pažeistos.
- Geriau paklausa iš pardavėjų: Apple, Google, F5, Zyxel – tai neaiškūs grotuvai. Jų pažeidžiamumas paveikia milijonus. Siekite sukurti saugesnius produktus ir greitesnį, skaidresnį pataisymą.
Technologijų pramonė atsidūrė kritinėje padėtyje. Galime ir toliau siekti dirbtinio intelekto pagrįsto efektyvumo, galbūt apakinti jo pažadų, o mūsų skaitmeniniai pamatai griauna ir mūsų sistemos susiduria su aktyviu išnaudojimu. Arba galime tiesiogiai susidoroti su šiomis sisteminėmis problemomis, iš naujo suteikdami pirmenybę stabilumui, tvirtam saugumui ir nepakeičiamai žmogiškajai kompetencijai, kuri iš tikrųjų kuria ir gina mūsų skaitmeninį pasaulį. Pasirinkimas ir jo gilios pasekmės priklauso mums.
Šaltiniai
[1] Layoffs.fyi – https://layoffs.fyi/ [2] „Apple“ saugos naujinimai – https://support.apple.com/en-us/HT214080 [3] „Google Chrome“ leidimai – https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [4] CISA žinomų išnaudotų pažeidžiamumų katalogas – https://www.cisa.gov/known-exploited-vulnerabilities-catalog