"אבטחת AI" הפכה למילת באז, חזית חדשה ליועצים ומנהלי מוצר. אבל מה זה בעצם? לעתים קרובות, זה רק מיושם אבטחה על מערכות AI. כן, בינה מלאכותית מציגה וקטורי תקיפה חדשים ואתגרים ייחודיים, אבל חלק נכבד מ"אבטחת AI" הוא פשוט הנדסה חזקה, שיטות קידוד מאובטחות ותיקון חרוץ - אותם דברים שאנחנו נכשלים בו במשך עשרות שנים. בעיית בידוד ה-VM שהוזכרה קודם לכן היא דוגמה מושלמת: פגיעות קלאסית המועצמת על ידי המורכבות של פלטפורמת AI.
אנו בונים מערכות AI מורכבות להפליא על גבי יסודות שבריריים יותר ויותר מנוצלים באופן פעיל. זה כמו לתכנן בצורה מדוקדקת מכונית לנהיגה עצמית עם ניווט מתקדם בינה מלאכותית, בזמן שהגלגלים נופלים והמנוע מקרטט. ההתמקדות ב"אבטחת AI" מרגישה לעתים קרובות כמו הסחת דעת, הפניית משאבים ותשומת לב מהעבודה היומיומית, הלא זוהרת, אך קריטית לחלוטין של אבטחת תשתית קיימת.
האם אנחנו כל כך עסוקים במרדף אחרי הדבר הגדול הבא שאנחנו נותנים לדברים הגדולים הנוכחיים להישרף? הנפח והרוחב העצום של איומי KEV מצביעים על אתגר מערכתי ודחוף לתשתית הדיגיטלית הבסיסית, נבדל מדיונים קודמים המתמקדים ב-AI. זה לא קשור לעתיד של AI; זה על המצב הנוכחי של הקיום הדיגיטלי שלנו.
מה עכשיו, CTOs?
עבור לידים הנדסיים ו-CTOs, המסר ברור ומיידי:
- תעדוף את רשימת ה-KEV: שחרר הכל. תקן את הפגיעויות האלה. מנדט את זה. לאכוף את זה. זה לא אופציונלי.
- אל תיסחף להייפ "אבטחת AI" על חשבון יסודות: כן, הבן את הסיכונים הייחודיים של AI, אבל זכור שהנדסה חזקה, מחזורי חיים של פיתוח מאובטח ותיקון חרוץ הם עדיין ההגנה הטובה ביותר שלך. מודל AI מפואר לא יציל אותך אם תוקף הוא הבעלים של ה-VM הבסיסי שלך או שרת SharePoint שלך.
- השקיעו באבטחה בסיסית: המשמעות היא יותר מסתם רכישת כלי אבטחה נוסף. משמעות הדבר היא השקעה באנשים, בתהליכים ובתרבות שמעריכה את האבטחה כדיסציפלינה הנדסית ליבה, ולא כאחרי מחשבה. תוכניות באגים הן מצוינות, אבל הן צריכות להיות רשת ביטחון, לא אסטרטגיית האבטחה העיקרית שלך.
התקרית הכוללת תשתית של פלטפורמת AI היא קריאת השכמה, אבל רשימת CISA KEV היא האזעקה הדחופה. אנחנו צריכים להפסיק להתפעל מיוזמות האבטחה האחרונות של AI ולהתחיל לתקן את החורים בהגנות שלנו בפועל. העתיד של AI מרגש, אבל המצב הנוכחי של הביטחון שלנו מפחיד.
מקורות
[1] אבטחת בינה מלאכותית היא בלגן, והיא עומדת להחמיר - https://techcrunch.com/2023/10/11/ai-security-is-a-mess-and-its-about-to-get-worse/ [2] קטלוג פגיעויות מנוצלות ידועות - https://www.cisa.gov/known-exploited-vulnerabilities-catalog