Nulinės dienos ir nulinė priežiūra: pasakojimas apie dvi technines realijas
Įsivaizduokite, kad jūsų SOC komanda blankiomis akimis žiūri į mirksintį raudoną įspėjimą. 2023 m. spalio mėn. yra 3 val. ryto, o naujienos nėra geros: dvi kritinės nulio dienos jūsų Citrix NetScaler ADC ir „Gateway“, aktyviai išnaudojamos, įgalinant nuotolinį kodo vykdymą (RCE) su tinkinta kenkėjiška programa, stebima gamtoje. CISA žinomų išnaudotų pažeidžiamumų (KEV) katalogas ką tik juos įtraukė [1, 2, 3, 4]. Tai nėra teorinė grėsmė; tai reikšmingas tarptautinis incidentas, paveikiantis svarbiausią įmonių infrastruktūrą Šiaurės Amerikos ir Europos vyriausybės, finansų, švietimo ir teisiniuose sektoriuose. Kol jūsų komandos stengiasi suvaldyti kraujavimą, įnirtingai lopinėja ir inicijuoja teismo ekspertizę, kad išsiaiškintų, kas gali būti katastrofiškas pažeidimas, nukrenta kita antraštė: prezidentas Trumpas užsitikrino „savanorišką susitarimą“ su aukščiausiomis technologijų įmonėmis dėl dirbtinio intelekto plėtros, žadėdamas pramonės savikontrolę [5].
Sugretinimas yra akivaizdžiai nesuderinamas. Viena vertus, mes susiduriame su žiauria, nepaneigiama mūsų dabartinės skaitmeninės aplinkos tikrove: nuolatine, didelių įnašų kova su sudėtingais priešininkais, kurie naudojasi esminiais trūkumais pačioje infrastruktūroje, kuri yra mūsų šiuolaikinio pasaulio pagrindas. Kita vertus, politinis spektaklis, leidžiantis manyti, kad labiausiai transformuojančių, tačiau labai neaiškių technologijų ateitį gali saugiai valdyti ta pati pramonės šaka, kuri nuolat kovoja su pagrindiniu saugumu ir etine savivalda.
Citrix katastrofa: gilesnio puvimo požymis
Būkime aiškūs: „Citrix“ nulinės dienos, tokios kaip CVE-2023-4966 (žinoma kaip Citrix Bleed) ir CVE-2023-3519, nėra tik „dar vienas pažeidžiamumas“. Jie simbolizuoja neatidėliotiną duomenų centro krizę, tiesioginę, nuolatinę atakos kampaniją, kuri reikalauja neatidėliotino, visapusiško atsako [1, 2, 3, 4]. Nuotolinis kodo vykdymas ADC arba šliuzuose yra skaitmeninis kritinio prieigos taško atitikmuo. Tai ne tik pataisymas; kalbama apie sisteminį mūsų įmonės architektūros trapumą.
Daugelį metų kūrėme sudėtingas, tarpusavyje sujungtas sistemas, dažnai pasikliaudami keletu svarbiausių pagrindinių infrastruktūros tiekėjų. „Citrix“, kaip ir daugelis kitų, teikia esmines paslaugas, tačiau su šiuo centru kyla didžiulė rizika. Kai pagrindinis komponentas, pvz., NetScaler, yra pažeistas nulinės dienos lygiu, bangavimo efektas yra pražūtingas. Tai atskleidžia būdingą trūkumą, kai remiamasi vienu gedimo tašku, nesvarbu, koks tvirtas jis manoma būti. „Iš karto pataisyti“ direktyva, nors ir būtina, atrodo kaip paviršutiniška priemonė sisteminei problemai spręsti. Jame nesprendžiamos pagrindinės problemos: sudėtingumas, dėl kurio atsiranda pažeidžiamumų, lėtas kai kurių tiekėjų saugos naujinimų tempas ir dažnai nepakankamos nuodugnios gynybos strategijos, kurios žlunga, kai perimetras pažeidžiamas pačiame kritiškiausiame taške.
Tai ne tik techninė problema; tai verslo tęstinumo košmaras. Duomenų pažeidimai, veiklos sutrikimai, reguliavimo baudos, žala reputacijai – išlaidos yra astronominės. Ir už ką? Kad tinklas veiktų efektyviai? Mokame didelę kainą už patogumą ir suvokiamą efektyvumą, kainą, matuojamą bemiegėmis naktimis CTO ir apsaugos komandoms, ir galbūt už visuomenės pasitikėjimo eroziją. Faktas, kad tai yra aktyviai išnaudojama nulinės dienos, naudojant priskirtą kenkėjišką programą, rodo, kad tai nėra scenarijų vaikai. Tai pakankamai ištekliai, nuolatiniai grėsmės subjektai, kurie nusitaiko į didelės vertės turtą [3]. Jei negalime apsaugoti esamo skaitmeninio pasaulio pamatinių sluoksnių, kokių vilčių turime eksponentiškai sudėtingesnėje ateityje?
AI laukiniai vakarai: pasitikėjimas savo interesais diktuoja saugumą
O kalbant apie tą ateitį, pereikime prie AI „savitvarkos“ susitarimo. Prezidento Trumpo pranešimas, nors ir politiškai reikšmingas, yra vadovėlinis atskaitomybės aplenkimo pavyzdys [5]. „Savanoriška“ ir „savikontrolė“ yra terminai, kurie turėtų sukelti nerimą kiekvienam, stebėjusiam technologijų pramonės veiklą per pastaruosius du dešimtmečius. Mes jau anksčiau stebėjome šį modelį, ar ne? Socialinės žiniasklaidos įmonės „savanoriškai“ kontroliuoja neapykantą kurstančią kalbą, paieškos sistemos „savarankiškai reguliuoja“ duomenų privatumą, o programėlių parduotuvės „savarankiškai“ užtikrina sąžiningą konkurenciją. Sėkmių rekordas, švelniai tariant, pražūtingas.
Idėja, kad tos įmonės, kurios lenktyniauja kurdamos ir diegdamos galingas dirbtinio intelekto sistemas – sistemas, galinčias pakeisti ekonomiką, daryti įtaką rinkimams ir netgi sukurti naujas visuomenės rizikos formas – gali būti patikėtos, kad nustatytų ir įgyvendintų savo etikos ir saugos gaires, geriausiu atveju yra naivus, o blogiausiu – pavojingai neatsakingas. Tai korporacijos, kurias skatina pelnas ir dominavimas rinkoje. Jų pagrindinė patikėtinė pareiga yra akcininkams, o ne abstrakčiai visuomenės gėrio ar etinio AI sampratai.
Šis „susitarimas“ yra politinis administracijos laimėjimas, leidžiantis joms reikalauti veiksmų dėl dirbtinio intelekto be netvarkingos teisės aktų ar reguliavimo priežiūros. Tai taip pat didžiulis „Big Tech“ laimėjimas, atpirkdamas jiems laiko ir laisves nuo galimai apsunkinančių taisyklių, kurios gali sulėtinti naujoves arba turėti įtakos jų pelnui. Tačiau mums visiems – technologijų profesionalams, kuriantiems šias sistemas, įmonėms, kurios jomis pasikliaus, ir visai visuomenei – tai pavojingas precedentas. Tai rodo pageidaujamą dirbtinio intelekto valdymo metodą, kuris teikia pirmenybę įmonių savarankiškumui, o ne visuomenės saugumui ir atskaitomybei.
Atjungimas: kūrimas ant nestabilių pamatų
Štai nepatogi tiesa: mes tuo pat metu nesugebame užtikrinti savo dabarties ir pavojingai netinkamai valdome savo ateitį. Kuriame vis sudėtingesnes dirbtinio intelekto sistemas, remdamiesi skaitmeninio nestabilumo pagrindu, kai sudėtingi priešai nuolat kenkia kritinei infrastruktūrai. Tie patys pramonės lyderiai, kurie, atrodo, negali užkirsti kelio savo produktams tapti pasauliniais atakų vektoriais, dabar yra prašomi „savarankiškai kontroliuoti“ bendrojo dirbtinio intelekto etinius ir saugumo padarinius.
Tai ne tik atjungimas; tai gili spraga. Kaip CTO ir inžinierių lyderiai, esame pakliuvę į vidurį. Mums pavesta pataisyti tiesiogines, egzistencines grėsmes, tokias kaip „Citrix zero-days“, ir tuo pat metu liepiama pasiruošti dirbtinio intelekto varomai ateičiai, kurioje taisyklės bus kuriamos mums eidami, daugiausia pačių žaidėjų.
Savanoriškas AI susitarimas nėra sprendimas; tai delsimo taktika. Tai atideda atskaitomybę, užtikrinant, kad įvykus neišvengiamiems etiniams AI pažeidimams, šališkumui ar net katastrofiškoms DI nesėkmėms, visuomenei liks klausimas, kodėl nuo pat pradžių nebuvo tvirtos, nepriklausomos priežiūros. Ir kai tos nesėkmės atsitiks, jos nebus teorinės. Jie bus tokie pat tikri ir žalingi kaip RCE jūsų NetScaler, tik gali turėti daug platesnių socialinių padarinių.
Turime reikalauti daugiau. Mums reikia tvirtos, iniciatyvios mūsų pardavėjų apsaugos, o ne tik reaktyvių pataisų. Ir mums reikia tikro, nepriklausomo dirbtinio intelekto reguliavimo, o ne tik politikų ir korporacijų susitarimo. Nes jei net negalime apsaugoti savo pagrindinės infrastruktūros, kaip galime pasitikėti architektais, kurie atsakingai kurs naujos kartos civilizaciją? Atsakymas kol kas yra toks, kad negalime.
Šaltiniai
[1] CISA prideda Citrix NetScaler ADC ir šliuzo pažeidžiamumą (CVE-2023-4966) į žinomų išnaudotų pažeidžiamumų katalogą – https://www.cisa.gov/news-events/alerts/2023/10/24/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [2] „Citrix“ saugos biuletenis, skirtas CVE-2023-4966 ir CVE-2023-4967 – https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve26-3749626-37 [3] Mandiant: UNC4841 išnaudoja Citrix NetScaler ADC ir Gateway Zero-Day (CVE-2023-4966) – https://www.mandiant.com/resources/blog/citrix-bleed-zero-day-exploitation [4] CISA prideda Citrix NetScaler ADC ir šliuzo pažeidžiamumą (CVE-2023-3519) į žinomų išnaudotų pažeidžiamumų katalogą – https://www.cisa.gov/news-events/alerts/2023/07/21/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [5] Tiesioginiai atnaujinimai: Trumpas pasirašo savanorišką susitarimą su dirbtinio intelekto lyderiais dėl technologijų ... – https://apnews.com/live/trump-cnn-media-midterm-elections-news-updates-09-29-2026