Սեպտեմբերյան անվտանգության դժոխք. Արդյո՞ք մենք արհեստական ​​ինտելեկտը կառուցում ենք վառվող հարթակի վրա:

Անվտանգության սեպտեմբերյան դժոխք. Արդյո՞ք մենք AI-ն կառուցում ենք վառվող հարթակի վրա:

Եթե ​​ձեր անվտանգության թիմն այս սեպտեմբեր ամսին չի աշխատում, ապա նրանք կամ գերմարդկային են, կամ վտանգավոր աննկատ: Սա հերթական երեքշաբթի օրը չէ. դա համատարած, կրիտիկական անվտանգության ճգնաժամ է ամբողջ թվային ենթակառուցվածքում: Մենք ականատես ենք լինում ակտիվորեն շահագործվող զրոյական օրերի աննախադեպ աճի, և թվում է, թե մենք փորձում ենք AI-ի ապագան կառուցել ավելի ու ավելի անկայուն հիմքի վրա:

2026 թվականի սեպտեմբերը դաժան, անողոք հարձակում էր: Google-ը կարկատել է Chrome-ի վեցերորդ ակտիվորեն շահագործվող տարվա զրոյական օրը, իսկ Microsoft-ի սեպտեմբերյան Patch երեքշաբթի օրը թողարկվել է ապշեցուցիչ 973 CVE, այդ թվում ևս երկու ակտիվորեն շահագործվող զրոյական օր [7]: Սա վրիպակ չէ. դա համակարգային խնդիր է մեր ընթացիկ ծրագրային ապահովման մշակման պարադիգմում: Ճնշմանը ավելացնելով, Splunk Enterprise-ը, որը շատ անվտանգության գործողությունների կարևոր բաղադրիչն է, ենթարկվել է CVSS 9.8 թերության (CVE-2026-20253) ակտիվ շահագործման պայմաններում, ինչը դրդել է CISA-ին դաշնային գործակալությունների համար հազվագյուտ, հրատապ 3-օրյա կարկատման հրահանգ տալ: 3-օրյա հրահանգը արտադրանքի համար, որը հաճախ պահանջում է զգալի ճարտարապետական ​​պլանավորում թարմացման համար, պահանջ չէ. դա հուսահատ աղերսանք է:

Եվ հենց այն ժամանակ, երբ կարծում էիք, որ կարող եք շունչ քաշել, Check Point VPN-ի կարևոր թերությունները (CVE-2026-93616) ակտիվորեն օգտագործվում են՝ առանց նույնականացման հեռավոր մուտք ստանալու համար [8]: CISA-ն, որը գործում է որպես թվային ոլորտի վաղ նախազգուշացման համակարգ, միայն վերջին շաբաթվա ընթացքում ավելացրել է 8 նոր խոցելիություն իր KEV կատալոգում՝ ազդելով բոլորի՝ Arista-ից մինչև F5-ից մինչև Zyxel-ը: Սա պարզապես «վատ ամիս» չէ. դա նոր նորմալ է. անողոք, աճող սպառնալիքի լանդշաֆտ, որտեղ խոցելիության հայտնաբերման և ակտիվ շահագործման միջև պատուհանը փոքրանում է մինչև զրոյի:

Հեղեղված կարկատաններով՝ հետապնդելով անորսալի սպառնալիքներ

Այս հարձակումների ահռելի ծավալն ու արագությունը բացահայտում են մեր ներկայիս անվտանգության դիրքորոշման հիմնարար թերությունը. մենք ներգրավված ենք պաշտպանության ռեակտիվ, անվերջանալի ցիկլում, և սպառնալիքներն ավելի արագ են զարգանում, քան մենք կարող ենք արձագանքել: Մեր խոցելիության կառավարման ծրագրերը, որոնք հաճախ կառուցված են եռամսյակային սկանավորումների և ամսական կարկատման ցիկլերի հիման վրա, պարզապես հագեցած չեն այս տեմպերով: Դաշնային գործակալությունները ստանում են 72 ժամ կարևոր բեկորների համար, բայց ինչ վերաբերում է բոլորին: Միջին ձեռնարկությունը՝ իր լայնածավալ, տարասեռ միջավայրով, հին համակարգերով և թերաշխատող թիմերով, մնում է խիստ խոցելի:

Խոսքը միայն խոշոր վաճառողների մասին չէ: Խոսքը մատակարարման ողջ շղթայի, մեր համակարգերի փոխկապակցվածության և սպառնալիքների դերակատարների աճող բարդության մասին է, որոնք ակնհայտորեն լավ ֆինանսավորվում են, լավ կազմակերպված և աներևակայելի արագ: Նրանք պարզապես խոցելիություններ չեն գտնում. նրանք սպառազինում են նրանց տագնապալի արդյունավետությամբ: Անգործության արժեքը միայն տեսական տվյալների կորուստ չէ. դա գործառնական կաթվածահար է, հեղինակության վնաս և, հնարավոր է, կարգավորող տուգանքներ, որոնք կարող են խեղել բիզնեսը:

Microsoft-ի AI Agent Gambit. Բնածին ռիսկերով հզոր գործիք

Թվային քաոսի այս ֆոնի վրա Microsoft-ը BUILD 2026-ին կրկնապատկում է բաց կոդով AI գործակալների թիվը: Նրանք հայտարարել են իրենց բաց կոդով Agent Framework-ի (MAF) զգալի թարմացումների մասին՝ SDK-ի և գործարկման ժամանակի՝ AI գործակալների և բազմագործակալների աշխատանքային հոսքերի կառուցման համար .NET-ում և Python-ում: Սա պարզապես AI-ի հերթական հայտարարություն չէ. դա կոնկրետ քայլ է՝ ստանդարտացնելու և ժողովրդավարացնելու ինքնավար AI համակարգերի զարգացումը [1, 2, 3]:

Արտաքինից սա ֆանտաստիկ նորություն է մշակողների և ճարտարապետների համար: Պատկերացրեք AI գործակալները, որոնք կարող են ավտոմատացնել բարդ աշխատանքային հոսքերը, վերլուծել հսկայական տվյալների հավաքածուներ և նույնիսկ ինքնուրույն ուղղել: Microsoft-ի նման խոշոր խաղացողի ամուր, բաց կոդով շրջանակը կարող է արագացնել նորարարությունը, խթանել փոխգործունակությունը և ապահովել ինժեներների համար անհրաժեշտ ինժեներների առաջադեմ AI կարողությունները իրենց հավելվածներում: Սա արհեստական ​​ինտելեկտի ընդհանուր հիպ չէ. դա խելացի համակարգերի հաջորդ սերնդի սանտեխնիկան է:

Հաշվի առեք ներուժը.

• Միջադեպի ավտոմատ արձագանք. Գործակալներ, որոնք հայտնաբերում են անոմալիաները, փոխկապակցում են սպառնալիքների հետախուզությունը և նույնիսկ նախաձեռնում են զսպման գործողություններ՝ առանց մարդու միջամտության:
• Խոցելիության պրոակտիվ կառավարում. Գործակալներ, որոնք անընդհատ սկանավորում են կոդերի բազաները, վերլուծում կոնֆիգուրացիաները և կանխատեսում հարձակման հավանական վեկտորները՝ հիմնված իրական ժամանակի սպառնալիքների հոսքերի վրա:
• Ինքնաբուժման ենթակառուցվածք. Գործակալներ, որոնք հայտնաբերում են համակարգի խափանումները կամ աշխատանքի խցանումները և ավտոմատ կերպով տեղակայում են ուղղումներ կամ մասշտաբային ռեսուրսներ:

Սա է խոստումը. AI գործակալները որպես ուժի վերջնական բազմապատկիչ ճնշված ՏՏ և անվտանգության թիմերի համար:

Անհանգստացնող պարադոքս

Բայց ահա, որտեղ այս երկու պատմությունները բախվում են՝ բացահայտելով անհանգստացնող պարադոքս: Մենք միաժամանակ պայքարում ենք մեր հիմնարար ծրագրաշարի ակտիվորեն շահագործվող խոցելիության աննախադեպ ալիքի դեմ՝ միաժամանակ եռանդով կառուցելով ինքնավար, խելացի համակարգերի հաջորդ շերտը: Արդյո՞ք մենք այնքան կենտրոնացած ենք ապագայի խոստման վրա, որ անտեսում ենք ներկայի հրատապ պահանջները:

Հենց այն շրջանակը, որը նախատեսված է AI գործակալներին հզորացնելու համար, հատկապես բաց կոդով, կարող է դառնալ հաջորդ կրիտիկական հարձակման մակերեսը: Ինքնավար գործակալը, եթե վտանգված է, պարզապես տվյալների խախտում չէ. դա ստահակ դերասան է՝ պոտենցիալ լայն հասանելիությամբ և որոշումներ կայացնելու ունակությամբ: Պատկերացրեք, որ շահագործվող AI գործակալի շրջանակն օգտագործվում է հետևյալի համար.

• Ավտոմատ հետախուզություն. Արագ քարտեզագրեք մի ամբողջ ցանց, բացահայտեք կարևոր ակտիվները և թվարկեք խոցելիությունները:
• Հարձակումներ կազմակերպել. Համակարգել բազմաստիճան հարձակումները տարբեր համակարգերի վրա՝ հարմարվելով իրական ժամանակում պաշտպանություններին:
• **Տվյալների արտազատում. ** Խելացիորեն նույնականացրեք և արդյունահանեք զգայուն տեղեկատվությունը՝ շրջանցելով անվտանգության ավանդական հսկողությունը:

Նույն գործիքները, որոնք կարող են օգնել մեզ կառավարել անվտանգության ճգնաժամը, սխալ ձեռքերում կարող են այն երկրաչափականորեն ուժեղացնել: Մենք այս գործակալներին տալիս ենք աճող ինքնավարություն, բայց արդյո՞ք առաջին իսկ օրվանից մենք կառուցում ենք անհրաժեշտ պաշտպանիչ վանդակները: Սեպտեմբերյան զրոյական գրոհի դասերը պետք է ծառայեն որպես կարևոր միջոց MAF-ի կամ ցանկացած այլ AI գործակալի հետ աշխատող յուրաքանչյուր մշակողի համար:

Ապահովեք դիզայնով, այլ ոչ թե մտածմունքով

Առաջի ուղին պարզ է, եթե դժվար: Մենք չենք կարող մեզ թույլ տալ անվտանգությանը վերաբերվել որպես AI գործակալների դարաշրջանի հետին պլան: «Secure by Design»-ը պետք է վերածվի «Secure by Agent Design»: Սա նշանակում է.

• Ակտիվ նույնականացում և թույլտվություն. Գործակալները պետք է գործեն նվազագույն արտոնությունների սկզբունքով, յուրաքանչյուր գործողություն գրանցված և ստուգման ենթակա:
• Մուտքի վավերացում և մաքրում. Տվյալների գործակալների մշակումը և դրանց վրա գործողությունները պետք է խստորեն վավերացվեն` ներարկման հարձակումները կամ վնասակար հուշումները կանխելու համար:
• Բացատրելիություն և թափանցիկություն. Մենք պետք է հասկանանք ինչու գործակալը որոշում կայացրեց, հատկապես, երբ այն ներառում է կարևոր համակարգեր:
• Անվտանգության շարունակական աուդիտ. Շրջանակները և դրանց վրա կառուցված գործակալները կարիք ունեն անվտանգության մշտական, խիստ փորձարկման, ոչ միայն ավանդական խոցելիության, այլ AI-ին հատուկ հարձակման վեկտորների համար:

Microsoft-ի հավատարմությունը բաց կոդով գործակալների շրջանակին հզոր քայլ է դեպի նորարարություն: Բայց դա նաև հսկայական պատասխանատվություն է դնում համայնքի վրա՝ ապահովելու այս հզոր գործիքների անվտանգ կառուցումը: Մենք արդեն պայքարում ենք այսօրվա հայտերն ապահովելու համար: Եկեք վաղվա ինքնավար համակարգերը չկառուցենք չփակված խոցելիության և ցանկությունների հիմքի վրա: Անվտանգության սեպտեմբերյան դժոխքը խիստ հիշեցում է. ապագան գալիս է, և այն պահանջում է անվտանգություն իր հիմքում, ոչ թե որպես կամընտիր լրացուցիչ:

Աղբյուրներ

[1] Ամենօրյա AI նորություններ 2026 թվականի սեպտեմբերի 24-ի համար | Երրորդ գործարկման ժամանակը — https://thirdruntime.com/ [2] AI & Tech News Today (2026) — Այսօրվա լավագույն պատմությունները, դասակարգված 8-րդ տեղում ... — https://orangebot.ai/ai-news-today [3] AI News Today — 24 սեպտեմբերի, 2026 | AI-ի վերջին թարմացումները | AI Herald — https://artificialintelligenceherald.com/ai-news-today [7] CVE համառոտ - սեպտեմբերի 24, 2026 — https://cvebrief.com/ [8] Microsoft CVE ցուցակ (սեպտեմբեր 2026). Exploit-Ranked, Free | Senserva — https://senserva.com/microsoft-cve-vulnerability-management.html