Нулта-денови и нула надзор: приказна за две технички реалности
Замислете го вашиот тим на СПЦ, со мрачни очи, зјапа во трепкачки црвен аларм. Во октомври 2023 година е 03:00 часот, а вестите не се добри: два критични нула дена во вашиот Citrix NetScaler ADC и Gateway, активно експлоатирани, овозможувајќи далечинско извршување на кодот (RCE), со прилагоден малициозен софтвер забележан во дивината. Каталогот на CISA познати експлоатирани ранливости (KEV) штотуку ги додаде [1, 2, 3, 4]. Ова не е теоретска закана; тоа е значаен, меѓународен инцидент што влијае на критичната инфраструктура на претпријатијата низ владините, финансиите, образованието и правните сектори во Северна Америка и Европа. Додека вашите тимови се обидуваат да го задржат крварењето, бесно се закрпат и иницираат форензички истраги за тоа што би можело да биде катастрофално, паѓа уште еден наслов: претседателот Трамп обезбеди „доброволен договор“ со врвни технолошки фирми за развој на вештачка интелигенција, ветувајќи самополициско работење во индустријата [5].
Сопоставувањето е сосема несоодветно. Од една страна, се соочуваме со бруталната, непобитна реалност на нашата сегашна дигитална средина: постојана битка со високи влогови против софистицираните противници кои ги искористуваат основните слабости во самата инфраструктура што е основа на нашиот модерен свет. Од друга страна, политички спектакл што сугерира дека иднината на најтрансформативната, но сепак длабоко неизвесна, технологија може безбедно да се управува од истата индустрија која постојано се бори со основната безбедност и етичкото самоуправување.
Катастрофата на Цитрикс: Симптом на подлабоко гниење
Да бидеме јасни: Citrix нулта-деновите, како што се CVE-2023-4966 (познати како Citrix Bleed) и CVE-2023-3519, не се само „уште една ранливост“. Тие претставуваат итна криза во центарот за податоци, директна, тековна кампања за напад што бара итен, целосен одговор [1, 2, 3, 4]. Далечинското извршување на кодот на ADC или Gateway е дигитален еквивалент на критичната пристапна точка оставена изложена. Ова не е само за крпење; станува збор за системската кршливост на нашата архитектура на претпријатијата.
Со години изградивме сложени, меѓусебно поврзани системи, често потпирајќи се на неколку критични продавачи за основната инфраструктура. Citrix, како и многу други, обезбедува основни услуги, но со таа централност доаѓа огромен ризик. Кога фундаменталната компонента како NetScaler е компромитирана на ниво на нула ден, ефектот на бранување е катастрофален. Го разоткрива вродениот пропуст во потпирањето на една точка на неуспех, без разлика колку е робустен се претпоставува да биде. Директивата „закрпи веднаш“, иако е неопходна, се чувствува како површен лек за системско прашање. Не ги решава основните проблеми: комплексноста што создава ранливост, бавното темпо на безбедносни ажурирања од некои продавачи и често недоволните стратегии за одбрана во длабочина кои не успеваат кога периметарот е пробиен во најкритичната точка.
Ова не е само технички проблем; тоа е кошмар за континуитет на бизнисот. Прекршување на податоците, оперативно нарушување, регулаторни казни, оштетување на угледот - трошоците се астрономски. И за што? За да водите мрежа ефикасно? Плаќаме голема цена за практичноста и согледаната ефикасност, цена мерена во непроспиени ноќи за CTO и безбедносните тимови и потенцијално, за ерозијата на довербата на јавноста. Фактот дека овие се активно експлоатирани нула-денови, со користење на прилагоден малициозен софтвер, ни кажува дека ова не се скрипти за деца. Овие се актери со добри ресурси, постојани закани кои таргетираат средства со висока вредност [3]. Ако не можеме да ги обезбедиме основните слоеви на нашиот постоечки дигитален свет, каква надеж имаме за експоненцијално посложената иднина?
Дивиот Запад на вештачката интелигенција: Доверба на личниот интерес за да се диктира безбедноста
И кога зборуваме за таа иднина, да се свртиме кон договорот за „самополисирање“ со вештачка интелигенција. Најавата на претседателот Трамп, иако политички значајна, е учебнички пример за заобиколување на одговорноста [5]. „Доброволно“ и „самополициско работење“ се термини што треба да предизвикаат страв кај секој што ја гледал технолошката индустрија како функционира во последните две децении. Ја набљудувавме оваа шема и порано, нели? Компаниите за социјални медиуми „доброволно“ го следат говорот на омраза, пребарувачите „само ја регулираат“ приватноста на податоците и продавниците за апликации „независно“ обезбедуваат фер конкуренција. Евиденцијата на патеката е, благо кажано, бездна.
Идејата дека на самите компании кои се тркаат да развијат и распоредуваат моќни системи за вештачка интелигенција - системи со потенцијал да ги преобликуваат економиите, да влијаат на изборите, па дури и да создадат нови форми на општествен ризик - може да им се верува дека поставуваат и спроведуваат сопствени етички и безбедносни упатства е во најдобар случај наивно, а во најлош случај опасно неодговорно. Тоа се корпорации водени од профитот и доминацијата на пазарот. Нивната примарна доверлива должност е кон акционерите, а не кон апстрактниот концепт на јавно добро или етичка вештачка интелигенција.
Овој „договор“ е политичка победа за администрацијата, дозволувајќи ѝ да бараат акција за вештачката интелигенција без неуредна работа на вистинското законодавство или регулаторен надзор. Тоа е, исто така, голема победа за Big Tech, купувајќи им време и слобода од потенцијално оптоварувачките регулативи кои би можеле да ја забават нивната иновација или да влијаат на нивната крајна линија. Но, за останатите од нас – за технолошките професионалци кои ги градат овие системи, за бизнисите што ќе се потпрат на нив и за општеството во целина – тоа е опасен преседан. Тој сигнализира претпочитан пристап кон управувањето со вештачката интелигенција што и дава приоритет на корпоративната автономија пред јавната безбедност и одговорност.
Исклучување: Градење на нестабилни основи
Еве ја непријатната вистина: ние истовремено не успеваме да ја обезбедиме нашата сегашност и опасно погрешно управуваме со нашата иднина. Конструираме сè пософистицирани системи за вештачка интелигенција врз основа на дигитална нестабилност, каде критичната инфраструктура е рутински компромитирана од софистицирани противници. Истите лидери во индустријата кои не можат да ги спречат нивните производи да станат глобални вектори на напади сега се замолени да се „само-полициски“ за етичките и безбедносните импликации на општата вештачка интелигенција.
Ова не е само исклучување; тоа е длабока празнина. Како што водат CTO и инженерството, ние сме фатени во средината. Имаме задача да ги закрпиме непосредните, егзистенцијални закани како Citrix zero-days, а истовремено ни е кажано да се подготвиме за иднината водена од вештачката интелигенција каде што правилата се составуваат додека одиме напред, главно од самите играчи.
Доброволниот договор за вештачка интелигенција не е решение; тоа е тактика за одложување. Ја одложува одговорноста, обезбедувајќи дека кога ќе се појават неизбежните етички прекршувања, пристрасност, па дури и катастрофални неуспеси на вештачката интелигенција, јавноста ќе се прашува зошто немало силен, независен надзор од самиот почеток. И кога ќе се случат тие неуспеси, тие нема да бидат теоретски. Тие ќе бидат реални и штетни како RCE на вашиот NetScaler, само со потенцијално многу пошироки општествени импликации.
Треба да бараме повеќе. Потребна ни е силна, проактивна безбедност од нашите продавачи, а не само реактивни закрпи после фактот. И ни треба вистинска, независна регулатива за вештачката интелигенција, а не само договор за ракување меѓу политичарите и корпорациите. Затоа што ако не можеме ниту да ја обезбедиме нашата основна инфраструктура, како евентуално да им веруваме на архитектите одговорно да ја градат следната генерација на цивилизација? Одговорот, засега, е дека не можеме.
Извори
[1] CISA додава ранливост на Citrix NetScaler ADC и Gateway (CVE-2023-4966) во познат каталог на експлоатирани ранливости — https://www.cisa.gov/news-events/alerts/2023/10/24/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [2] Ситрикс безбедносен билтен за CVE-2023-4966 и CVE-2023-4967 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967 [3] Mandiant: UNC4841 Exploits Citrix NetScaler ADC and Gateway Zero-Day (CVE-2023-4966) — https://www.mandiant.com/resources/blog/citrix-bleed-zero-day-exploitation [4] CISA додава Citrix NetScaler ADC и ранливоста на порталот (CVE-2023-3519) во Каталогот на познати експлоатирани ранливости — https://www.cisa.gov/news-events/alerts/2023/07/21/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [5] Ажурирања во живо: Трамп потпиша доброволен договор со лидерите на вештачката интелигенција за технологија ... — https://apnews.com/live/trump-cnn-media-midterm-elections-news-updates-09-29-2026