सम्राटको नयाँ एआई सुरक्षा कपडाहरू: जब हामी म्यूजमा हेर्छौं, फाउन्डेशन टुक्रा टुक्रा हुन्छ

सम्राटको नयाँ एआई सुरक्षा कपडाहरू: जब हामी म्यूजमा हेर्छौं, फाउन्डेशन टुट्छ

प्रत्यक्ष बनौं: प्राविधिक उद्योगमा नयाँ जुनून छ, र यसलाई "AI सुरक्षा" भनिन्छ। हामी सबैले ठूला भाषा मोडेलहरूबाट द्रुत इंजेक्शन, मोडेल विषाक्तता, र डेटा निष्कासनमा ध्यान केन्द्रित गर्ने अपेक्षा गरिएको छ। यसैबीच, हाम्रा उद्यमहरूलाई एकसाथ समात्ने वास्तविक, भौतिक, डिजिटल पूर्वाधार शून्य-दिनको अथक ब्यारेजद्वारा सक्रिय रूपमा आगो लगाइँदैछ। एआई पूर्वाधार सुरक्षित गर्ने फराकिलो चुनौतिहरूको चित्रण गर्दै एउटा प्रमुख एआई प्लेटफर्म समावेश भएको हालैको घटनाले यस खतरनाक द्विविधालाई हाइलाइट गर्दछ [१]।

मेटा, यसको "मुभ फास्ट एण्ड ब्रेक थिंग्स" इथोसका लागि चिनिने कम्पनीले आफ्नो एआई प्लेटफर्महरूमा सुरक्षा त्रुटिहरूको लागि छानबिनको सामना गरेको छ। उदाहरणका लागि, बग बाउन्टी कार्यक्रमले प्रयोगकर्ता भर्चुअल मेसिनहरू उजागर गर्ने महत्त्वपूर्ण त्रुटिलाई उजागर गर्‍यो। यो एक सूक्ष्म डेटा चुहावट वा एक चतुर प्रम्प्ट बाइपास थिएन, तर एक आधारभूत, पूर्वाधार-स्तर त्रुटि जसले * प्रयोगकर्ता VMs* लाई उजागर गर्यो। यो केहि गूढ़ एआई-विशिष्ट जोखिम होइन; यो आधारभूत VM पृथकता हो, एउटा समस्या जुन हामीले धेरै हदसम्म एक दशक पहिले नियन्त्रणमा लिएको थियो। यसले गोपनीयता र डेटा अखण्डताको गम्भीर उल्लङ्घनलाई प्रतिनिधित्व गर्दछ, जसले प्रत्यक्ष रूपमा प्रयोगकर्ताहरूलाई असर गर्छ र सम्भावित उद्यम ग्राहकहरूलाई त्यस्ता AI पूर्वाधारको लाभ उठाउँछ।

यस प्रकारको त्रुटि, साँच्चै प्रभावशाली हुँदा, उपन्यास "AI सुरक्षा" चुनौती जस्तो कम र AI टोपी लगाएको क्लासिक पूर्वाधार विफलता जस्तै महसुस गर्दछ। यो एउटा रिमाइन्डर हो कि सबैभन्दा उन्नत एआई प्लेटफर्महरू पनि परम्परागत कम्प्युट, नेटवर्किङ र भर्चुअलाइजेशनको तहहरूमा निर्मित छन्। यदि ती आधारभूत तहहरू प्वालहरूले भरिएका छन् भने, यसले तपाईंको AI मोडेल कत्तिको परिष्कृत छ भन्ने फरक पर्दैन; सम्पूर्ण प्रणाली कमजोर रहन्छ। यस कथाको "एआई" पक्ष लगभग एक विचलित हो, एक गलत दिशा जसले हाम्रो नजरलाई पालिश फ्लोरबोर्डहरू मुनि सडेका काठहरूबाट टाढा लैजान्छ।

CISA को KEV ब्यारेज: एक महत्वपूर्ण सूचक

जब हामी संवेदनशील च्याटबटहरूको नैतिक प्रभावहरू र एआई सुरक्षाका सूक्ष्मताहरूबारे बहस गर्न व्यस्त छौं, CISA ले सक्रिय रूपमा शोषित कमजोरीहरूको अभूतपूर्व संख्यालाई यसको ज्ञात शोषण जोखिम (KEV) क्याटलगमा छोड्दैछ। यो सैद्धान्तिक अभ्यास होइन। यो "प्याच कुनै दिन" सूची होइन। यो अत्यावश्यक हो "तपाईको घरमा आगो लागेको छ अहिले" सूची।

हालैका हप्ताहरूमा, CISA ले धेरै प्रविष्टिहरू थपेको छ, जसले सक्रिय रूपमा शोषण गरिएका कमजोरीहरूलाई छोटो अवधिमा आश्चर्यजनक संख्यामा ल्याएको छ [२]। यो "सुरक्षा खराब छ" मात्र होइन; यो एक प्रणालीगत, बढ्दो संकट हो जसले हाम्रो संसारलाई चलाउने अत्यन्तै महत्वपूर्ण उद्यम सफ्टवेयरलाई असर गर्छ।

KEV सूचीमा भर्खरै थपिएकाहरूलाई विचार गर्नुहोस्:

• CVE-2023-46214: एक Splunk Enterprise रिमोट कोड कार्यान्वयन जोखिम (CVSS 9.8) एक CISA प्याच म्यादको साथ, अनप्याच प्रणालीहरूलाई अत्यधिक कमजोर बनाउँदै।
• CVE-2023-29357: एक Microsoft SharePoint Server विशेषाधिकार वृद्धि जोखिम, अनगिन्ती कर्पोरेट इन्ट्रानेटहरूको मेरुदण्डलाई असर गर्ने।
• CVE-2023-42824: एउटा Apple iOS/iPadOS कर्नेल कमजोरी, पहिले नै लक्षित आक्रमणहरूमा शोषण गरिएको, नियन्त्रित इकोसिस्टमहरू पनि अभेद्य छैनन् भनेर देखाउँदै।
• CVE-2023-30799: MikroTik RouterOS रिमोट कोड कार्यान्वयन त्रुटि, सबै कुरा जडान गर्ने राउटरहरूलाई असर गर्ने, नेटवर्कको गहिरो कुनाहरूमा प्राय: अनप्याच नगरी छोडिन्छ।

प्रमुख विक्रेताहरू - माइक्रोसफ्ट, एप्पल, स्प्लङ्क, MikroTik, लिनक्स, JFrog - मा सक्रिय रूपमा शोषण शून्य-दिनहरूको यो द्रुत-फायर थपले तत्काल, उन्मत्त ध्यानको माग गर्दछ। यो सामान्य चेतावनी होइन; यो प्रत्येक आईटी र सुरक्षा टोलीमा सीधै बजिरहेको साइरन हो। CISA को KEV सूची संघीय एजेन्सीहरूको लागि मात्र सुझाव होइन; यो सबै संस्थाहरूको लागि एक महत्वपूर्ण चेतावनी हो। तपाईंको खतरामा यसलाई बेवास्ता गर्नुहोस्।

"AI सुरक्षा" को भ्रम र विचलनको लागत

यहाँ असहज सत्य छ: AI प्लेटफर्म र CISA KEV ब्यारेजमा रहेका आधारभूत त्रुटिहरू एउटै समस्याका अन्तरसम्बन्धित पक्षहरू हुन्। तिनीहरू दुवै सफ्टवेयर सुरक्षामा आधारभूत ब्रेकडाउनको बारेमा चिच्याउछन्, तर हाम्रो उद्योगको सामूहिक नजर खतरनाक रूपमा गलत छ। हामी "AI" को प्रतिज्ञा र जोखिमबाट यति मोहित छौं कि हामीले आधारभूत डिजिटल पूर्वाधारलाई सड्न दिइरहेका छौं।

"एआई सुरक्षा" एक बजवर्ड भएको छ, सल्लाहकार र उत्पादन प्रबन्धकहरूको लागि नयाँ सीमा। तर यो के हो, साँच्चै? अक्सर, यो केवल सुरक्षा AI प्रणालीहरूमा लागू हुन्छ। हो, AI ले नयाँ आक्रमण भेक्टरहरू र अनौंठो चुनौतीहरू प्रस्तुत गर्दछ, तर "AI सुरक्षा" को एक महत्त्वपूर्ण भाग केवल बलियो इन्जिनियरिङ, सुरक्षित कोडिङ अभ्यासहरू, र लगनशील प्याचिङ हो - उही चीजहरू जुन हामी दशकौंदेखि असफल भइरहेका छौं। पहिले उल्लेख गरिएको VM अलगाव मुद्दा एक उत्तम उदाहरण हो: एआई प्लेटफर्मको जटिलता द्वारा विस्तारित क्लासिक भेद्यता।

हामी बढ्दो नाजुक र सक्रिय रूपमा शोषण गरिएको आधारहरूको शीर्षमा अविश्वसनीय रूपमा जटिल AI प्रणालीहरू निर्माण गर्दैछौं। यो उन्नत AI नेभिगेसनको साथ एक सेल्फ-ड्राइभिङ कारलाई सावधानीपूर्वक डिजाइन गर्नु जस्तै हो, जबकि पाङ्ग्राहरू झरिरहेका छन् र इन्जिन फटिरहेका छन्। "AI सुरक्षा" मा फोकस प्रायः एक विचलित, स्रोतहरू र सांसारिक, अस्पष्ट, तर अवस्थित पूर्वाधार सुरक्षित गर्ने एकदम महत्वपूर्ण कामबाट ध्यान हटाउने जस्तो महसुस हुन्छ।

के हामी अर्को ठूला कुराको पछि लाग्न यति व्यस्त छौं कि हामीले वर्तमान ठूला चीजहरूलाई जलाउन दिइरहेका छौं? KEV धम्कीहरूको सरासर मात्रा र चौडाइले आधारभूत डिजिटल पूर्वाधारको लागि प्रणालीगत र तत्काल चुनौतीलाई संकेत गर्दछ, जुन अघिल्लो एआई-केन्द्रित शून्य-दिन छलफलहरू भन्दा फरक छ। यो AI को भविष्यको बारेमा होइन; यो हाम्रो डिजिटल अस्तित्वको वर्तमान अवस्थाको बारेमा हो।

अब के हो, CTOs?

ईन्जिनियरिङ् लीडहरू र CTOs को लागि, सन्देश कडा र तत्काल छ:

1. KEV सूचीलाई प्राथमिकता दिनुहोस्: सबै कुरा छोड्नुहोस्। यी कमजोरीहरू प्याच गर्नुहोस्। जनादेश दिनुहोस्। यसलाई लागू गर्नुहोस्। यो ऐच्छिक होइन।
2. **आधारभूत कुराहरूको खर्चमा "AI सुरक्षा" हाइपमा नपर्नुहोस्: ** हो, AI को अद्वितीय जोखिमहरू बुझ्नुहोस्, तर याद गर्नुहोस् कि बलियो इन्जिनियरिङ, सुरक्षित विकास जीवनचक्र, र लगनशील प्याचिङ अझै पनि तपाईंको उत्कृष्ट सुरक्षा हो। यदि कुनै आक्रमणकारीले तपाईंको अन्तर्निहित VM वा तपाईंको SharePoint सर्भरको स्वामित्व लिन्छ भने एक फैंसी AI मोडेलले तपाईंलाई बचाउने छैन।
3. फाउण्डेशनल सेक्युरिटीमा लगानी गर्नुहोस्: यसको मतलब अर्को सुरक्षा उपकरण किन्नु मात्र होइन। यसको अर्थ मानिसहरू, प्रक्रियाहरू र संस्कृतिमा लगानी गर्नु हो जसले सुरक्षालाई मूल इन्जिनियरिङ अनुशासनको रूपमा महत्त्व दिन्छ, न कि पछिको विचार। बग बाउन्टी कार्यक्रमहरू उत्कृष्ट छन्, तर तिनीहरू सुरक्षा जाल हुनुपर्छ, तपाईंको प्राथमिक सुरक्षा रणनीति होइन।

एआई प्लेटफर्म इन्फ्रास्ट्रक्चर समावेश भएको घटना एक वेक-अप कल हो, तर CISA KEV सूची अत्यावश्यक अलार्म हो। हामीले नवीनतम एआई सुरक्षा पहलहरूको प्रशंसा गर्न छोड्नु पर्छ र हाम्रो वास्तविक प्रतिरक्षामा प्वालहरू प्याच गर्न सुरु गर्नुपर्छ। AI को भविष्य रोमाञ्चक छ, तर हाम्रो सुरक्षाको वर्तमान अवस्था डरलाग्दो छ।

स्रोतहरू

[१] AI सुरक्षा एक गडबड हो, र यो अझ खराब हुन लागेको छ — https://techcrunch.com/2023/10/11/ai-security-is-a-mess-and-its-about-to-get-worse/ [२] ज्ञात शोषण जोखिम सूची — https://www.cisa.gov/known-exploited-vulnerabilities-catalog