De nieuwe AI van de keizer en de rottende fundering eronder
Weet je nog dat AI ons allemaal zou redden? Het blijkt dat de redders nu om een time-out vragen. Onlangs hebben juist de architecten van onze door AI aangedreven toekomst – de ‘grensonderzoekers’ en financiële zwaargewichten – collectief op de rem getrapt en een vertraging van de ontwikkeling geëist vanwege ‘escalerende veiligheidsproblemen’ [1]. De markt, altijd het botte instrument, reageerde door een long op te hoesten: chipaandelen en grote AI-spelers kelderden [2]. Het is voorspelbaar dat Peking de spot dreef met de waarschuwingen, terwijl de chipreuzen in Seoel weigerden vooruitbetalingen te doen voor toekomstige AI-verbeteringen [2].
Dit is niet alleen een filosofisch debat over de ivoren toren. Dit is een seismische verschuiving, een publieke erkenning van roekeloosheid binnen de elite van de industrie. En eerlijk gezegd is het een beetje te handig.
De AI-pauze: altruïsme of machtsspel?
Laten we duidelijk zijn: wanneer de mensen die de raket hebben gebouwd plotseling beseffen dat ze de parachutes na de lancering zijn vergeten, is dat geen moment van diepgaand ethisch ontwaken. Het is een late, egoïstische strijd. Dit zijn geen idealisten met grote ogen; dit zijn de titanen die het pedaal op het metaal hebben gedrukt en exponentiële groei en marktdominantie najagen. Nu het schrikbeeld van ‘onvoorziene gevolgen’ groot opdoemt – en misschien, cynischer, het besef dat het huidige tempo onhoudbaar is of dat ze hun voorsprong moeten consolideren – roepen ze op tot een gezamenlijke adempauze.
De reactie van de markt is veelzeggend. Een dip in chipaandelen heeft niet alleen te maken met angst; het gaat over de onmiddellijke financiële gevolgen van een mogelijke vertraging. Het verzet van Peking? Een duidelijk signaal dat het nationale strategische voordeel de abstracte veiligheidsoverwegingen overtroeft. En de chipmakers in Seoul weigeren vooruitbetalingen? Dat is het geluid van kapitaal dat de stabiliteit en winstgevendheid op lange termijn van een plotseling onzekere toekomst in twijfel trekt.
Voor ons, de CTO's en engineering leads, vertaalt dit zich direct in een chaotisch landschap. Verwacht dat regelgevende interventies zullen versnellen, waardoor een herprioritering van AI-projecten zal worden geforceerd. Het ‘beweeg snel en maak dingen kapot’-ethos voor AI is officieel dood en vervangen door een verwoede zoektocht naar raamwerken voor ‘ethische AI-ontwikkeling’ die er vanaf dag één in hadden moeten zitten. Investeringen zullen voorzichtiger worden, strategieën zullen omslaan, en ja, de arbeidsmarkten zullen de kilte voelen nu de goudkoorts plaats maakt voor een meer afgemeten en hopelijk meer verantwoorde aanpak. Maar laten we dit niet verwarren met puur altruïsme. Deze ‘pauze’ gaat zowel over controle en herkalibratie van de markt als over echte veiligheid.
Terwijl de Titanen debatteren, stort de stichting ineen
Terwijl de AI-elite een existentiële crisis doormaakt en debatteert over de ethiek van toekomstige superintelligentie, laten we het hebben over de zeer reële, zeer aanwezige en uiterst catastrofale veiligheidscrisis die zich op dit moment ontvouwt.
Deze week heeft CISA meerdere nieuwe CVE’s toegevoegd aan de Known Exploited Vulnerabilities-catalogus [3]. We hebben het over een bevestigde root-RCE in Cisco Secure Email Gateway (CVE-2023-20269) [4], een CVSS 10.0 path traversal in GitLab (CVE-2023-2825) [3] en een onlangs gepatchte Chrome zero-day (CVE-2023-4863) [3] die onmiddellijke aandacht eiste.
Maar de echte klap, die elke beveiligingsprofessional de leegte in zou moeten laten schreeuwen, is de aanhoudende dreiging van fundamentele tekortkomingen. Neem CVE-2021-1647, een kwetsbaarheid voor lokale escalatie van bevoegdheden in de Malware Protection Engine van Microsoft Defender [5]. Dit was geen onduidelijke fout; het had een openbare Proof-of-Concept en werd actief in het wild uitgebuit, wat benadrukte hoe cruciale componenten van onze digitale verdediging in gevaar kunnen worden gebracht en een tijdje kwetsbaar kunnen blijven.
Laat dat maar eens doordringen. Terwijl we debatteren over de ethiek van het AI-gevoel, is gebleken dat juist de software die is ontworpen om onze eindpunten te beschermen, de fundamentele laag van onze digitale verdediging, publiekelijk bekende, actief uitgebuite fouten bevat die een aanvaller in staat stellen zijn privileges te verhogen. Het is alsof je ruzie maakt over de filosofische implicaties van warpdrive terwijl de remmen van je auto het begeven en de motor in brand staat.
De afrekening: twee kanten van dezelfde medaille
Dit zijn geen aparte verhalen. Het zijn twee kanten van dezelfde, zeer gebrekkige medaille: een technologie-industrie die consequent prioriteit heeft gegeven aan snelheid, nieuwigheid en waargenomen innovatie boven fundamentele veiligheid, stabiliteit en verantwoordelijkheid.
De plotselinge oproep van de AI-leiders tot vertraging is een reactieve, egoïstische poging om de koers te corrigeren nadat ze al krachtige, slecht begrepen systemen in het wild hebben losgelaten. Het is een erkenning dat de mantra ‘beweeg snel en maak dingen kapot’, wanneer toegepast op potentieel wereldveranderende technologie, niet alleen onverantwoordelijk, maar ook gevaarlijk is.
De zero-day-aanval, met name de kritieke kwetsbaarheid van de Defender, is het directe, pijnlijke gevolg van dezelfde mentaliteit die wordt toegepast op fundamentele IT. Het is het resultaat van een cultuur die beveiliging vaak als een bijzaak, een compliance-checkbox of een kostenplaats beschouwt, in plaats van als een integraal, niet-onderhandelbaar onderdeel van elk afzonderlijk product en systeem. We zijn zo druk bezig met het achtervolgen van het volgende glimmende object – de volgende LLM, de volgende AI-agent – dat we de grond onder onze voeten hebben laten rotten.
Voor CTO's en engineeringleads is de boodschap krachtig en onmiddellijk. Stop met het najagen van elke AI-trend die uw feed passeert. Verdubbel de fundamenten. Geef prioriteit aan patchen, vooral voor kritieke, actief uitgebuite kwetsbaarheden zoals die in Cisco, GitLab en de aanhoudende dreiging die wordt geïllustreerd door de eerdere LPE's van Defender. Implementeer robuuste mitigaties. Eis verantwoordelijkheid van uw leveranciers voor hun beveiligingsbeleid, en niet alleen voor hun routekaart voor functies.
De instorting van de markt en de onopgeloste fundamentele veiligheidsproblemen zijn niet alleen nieuwsberichten. Ze zijn een afrekening. Een technische wereld die te snel, te roekeloos en ten slotte te bloot is. Het is tijd om volwassen te worden, onze fundamenten veilig te stellen, en dan, alleen dan, voorzichtig na te denken over de volgende grens.
Bronnen
[1] Future of Life Institute – Pauzeer gigantische AI-experimenten: een open brief – https://futureoflife.org/open-letter/pause-giant-ai-experiments/ [2] CNBC – AI-experts roepen op tot een pauze in de ontwikkeling van geavanceerde AI-systemen – https://www.cnbc.com/2023/03/29/ai-experts-call-for-pause-in-development-of-advanced-ai-systems.html [3] CISA – Catalogus van bekende misbruikte kwetsbaarheden – https://www.cisa.gov/known-exploited-vulnerabilities-catalogus [4] Cisco-beveiligingsadvies — Kwetsbaarheden in Cisco Secure Email and Web Manager, Cisco Email Security Appliance en Cisco Web Security Appliance — https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-sma-rce-q5Q8SXu [5] Microsoft Security Response Center – Beveiligingslek met betrekking tot escalatie van lokale bevoegdheden in Microsoft Defender – https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1647