අධිරාජ්‍යයාගේ නව AI ආරක්‍ෂිත ඇඳුම්: අපි මියුස් දෙස බලා සිටින අතරතුර, පදනම බිඳ වැටේ

අධිරාජ්‍යයාගේ නව AI ආරක්ෂක ඇඳුම්: අපි මියුස් දෙස බලා සිටින අතරතුර, පදනම බිඳ වැටේ

අපි සෘජු වෙමු: තාක්ෂණික කර්මාන්තයට නව උමතුවක් ඇති අතර එය "AI ආරක්ෂාව" ලෙස හැඳින්වේ. විශාල භාෂා ආකෘතිවලින් ක්ෂණික එන්නත් කිරීම, ආකෘති විෂ වීම සහ දත්ත උකහා ගැනීම කෙරෙහි අවධානය යොමු කිරීමට අපි සියලු දෙනාම අපේක්ෂා කරමු. මේ අතර, අපගේ ව්‍යවසායන් එකට තබාගෙන සිටින සැබෑ, භෞතික, ඩිජිටල් යටිතල ව්‍යූහය ශුන්‍ය-දිනවල නිර්දය ප්‍රහාරයක් මගින් ක්‍රියාකාරීව ගිනි තබමින් තිබේ. ප්‍රධාන AI වේදිකාවක් සම්බන්ධ මෑත සිදුවීමක්, AI යටිතල පහසුකම් සුරක්ෂිත කිරීමේ පුළුල් අභියෝග නිදර්ශනය කිරීම, මෙම භයානක ද්විකෝටිය ඉස්මතු කරයි [1].

Meta, එහි "වේගයෙන් ගෙනයාම සහ දේවල් බිඳ දැමීම" යන ආචාර ධර්ම සඳහා ප්‍රසිද්ධ සමාගමක් වන අතර, එහි AI වේදිකාවල ඇති ආරක්ෂක දෝෂ පිළිබඳව විමර්ශනයට මුහුණ දී ඇත. නිදසුනක් ලෙස, දෝෂ ත්‍යාග වැඩසටහනක් පරිශීලක අතථ්‍ය යන්ත්‍ර හෙළිදරව් කරන සැලකිය යුතු දෝෂයක් අනාවරණය කළේය. මෙය සියුම් දත්ත කාන්දු වීමක් හෝ දක්ෂ කඩිනම් මග හැරීමක් නොව, පරිශීලක VMs නිරාවරණය කළ මූලික, යටිතල පහසුකම් මට්ටමේ දෝෂයකි. මෙය කිසියම් ගුප්ත AI-විශේෂිත අවදානමක් නොවේ; මෙය මූලික VM හුදකලා කිරීමකි, දශකයකට පෙර අපි බොහෝ දුරට හීලෑ කළ ගැටලුවකි. එය පුද්ගලිකත්වයේ සහ දත්ත අඛණ්ඩතාවයේ තීරණාත්මක කඩ කිරීමක් නියෝජනය කරයි, පරිශීලකයින්ට සහ එවැනි AI යටිතල පහසුකම් ප්‍රයෝජනයට ගත හැකි ව්‍යවසාය සේවාදායකයින්ට සෘජුවම බලපායි.

මෙම ආකාරයේ දෝෂයක්, අව්‍යාජ ලෙස බලපාන නමුත්, "AI ආරක්‍ෂාව" නවකතාවක් මෙන් අඩුවෙන් දැනෙන අතර AI තොප්පියක් පැළඳ සිටින සම්භාව්‍ය යටිතල පහසුකම් අසාර්ථක වීමක් වැනිය. වඩාත්ම දියුණු AI වේදිකා පවා සාම්ප්‍රදායික ගණනය කිරීම්, ජාලකරණය සහ අථත්‍යකරණය යන ස්ථර මත ගොඩනගා ඇති බව මතක් කිරීමකි. එම අත්තිවාරම් ස්ථර සිදුරුවලින් පිරී තිබේ නම්, ඔබේ AI ආකෘතිය කෙතරම් නවීන වුවත් කමක් නැත; සමස්ත පද්ධතියම අවදානමට ලක්ව ඇත. මෙම කතාවේ "AI" අංශය බොහෝ දුරට අවධානය වෙනතකට යොමු කිරීමකි, ඔප දැමූ බිම් පුවරුවට යටින් කුණුවෙමින් පවතින දැව වලින් අපගේ බැල්ම ඉවතට ඇද ගන්නා වැරදි මඟ පෙන්වීමකි.

CISA හි KEV බාධකය: තීරණාත්මක දර්ශකයක්

අපි සංවේදී චැට්බොට් වල සදාචාරාත්මක ඇඟවුම් සහ AI ආරක්‍ෂාවේ සූක්ෂ්මතා ගැන විවාද කිරීමට කාර්යබහුල වන අතර, CISA විසින් පෙර නොවූ විරූ ලෙස සක්‍රියව සූරාකන ලද අවදානම් සංඛ්‍යාවක් එහි දන්නා සූරාකෑමට ලක් වූ අවදානම් (KEV) නාමාවලියට හෙළයි. මෙය න්‍යායික අභ්‍යාසයක් නොවේ. මෙය "යම් දවසක පැච්" ලැයිස්තුවක් නොවේ. මෙය හදිසි "ඔබේ නිවස ගිනිගෙන ඇත දැන්" ලැයිස්තුවකි.

මෑත සතිවලදී, CISA විසින් සක්‍රීයව සූරාකන ලද අනාරක්‍ෂිතතාවයන් කෙටි කාලයක් තුළ විශ්මය ජනක සංඛ්‍යාවකට ගෙන එමින් බොහෝ ඇතුළත් කිරීම් එකතු කර ඇත [2]. මෙය "ආරක්ෂාව නරකයි" පමණක් නොවේ; මෙය අපගේ ලෝකය ක්‍රියාත්මක කරන ඉතා තීරණාත්මක ව්‍යවසාය මෘදුකාංගයට බලපාන පද්ධතිමය, උත්සන්න වන අර්බුදයකි.

KEV නාමාවලියට මෑත කාලීන එකතු කිරීම් සලකා බලන්න: *CVE-2023-46214: CISA පැච් කාලසීමාවක් සහිත Splunk Enterprise දුරස්ථ කේත ක්‍රියාත්මක කිරීමේ අවදානම (CVSS 9.8), නොගැලපෙන පද්ධති ඉතා අවදානමට ලක් කරයි.

• CVE-2023-29357: අසංඛ්‍යාත ආයතනික අභ්‍යන්තර ජාලවල කොඳු නාරටිය කෙරෙහි බලපාන Microsoft SharePoint Server වරප්‍රසාද තීව්‍ර කිරීමේ අවදානමක්. *CVE-2023-42824: Apple iOS/iPadOS කර්නල් අවදානමක්, දැනටමත් ඉලක්කගත ප්‍රහාරවලදී සූරාකෑමට ලක්ව ඇති අතර, පාලිත පරිසර පද්ධති පවා විනිවිද යා නොහැකි බව පෙන්නුම් කරයි.
• CVE-2023-30799: MikroTik RouterOS දුරස්ථ කේත ක්‍රියාත්මක කිරීමේ දෝෂයක්, සෑම දෙයක්ම සම්බන්ධ කරන රවුටර වලට බලපායි, බොහෝ විට ජාලයේ ගැඹුරුම කෙළවරේ නොගැලපේ.

ප්‍රධාන වෙළෙන්දන් - Microsoft, Apple, Splunk, MikroTik, Linux, JFrog - හරහා සක්‍රියව සූරාකන ලද ශුන්‍ය-දිනවල මෙම වේගවත්-ගිනි එකතු කිරීම ක්ෂණික, වියරු අවධානයක් ඉල්ලා සිටී. මෙය පොදු අනතුරු ඇඟවීමක් නොවේ; එය සෑම තොරතුරු තාක්‍ෂණ සහ ආරක්‍ෂක කණ්ඩායමක් වෙත ඍජුවම නැගෙන සයිරන් හඬකි. CISA හි KEV ලැයිස්තුව ෆෙඩරල් ආයතන සඳහා යෝජනාවක් පමණක් නොවේ; එය සියලු සංවිධාන සඳහා තීරණාත්මක අනතුරු ඇඟවීමකි. ඔබේ අනතුරේ දී එය නොසලකා හරින්න.

"AI ආරක්ෂාව" පිළිබඳ මායාව සහ අවධානය වෙනතකට යොමු කිරීමේ පිරිවැය

අපහසු සත්‍යය මෙන්න: AI වේදිකාවල ඇති මූලික දෝෂ සහ CISA KEV බාධකය එකම ගැටලුවේ අන්තර් සම්බන්ධිත අංගයන් වේ. ඔවුන් දෙදෙනාම මෘදුකාංග ආරක්ෂණයේ මූලික බිඳවැටීමක් ගැන කෑගසයි, නමුත් අපගේ කර්මාන්තයේ සාමූහික බැල්ම භයානක ලෙස නොගැලපේ. "AI" හි පොරොන්දුව සහ අන්තරායෙන් අප කෙතරම් ආකර්ශනීයද යත්, අපි පදනම් ඩිජිටල් යටිතල පහසුකම් කුණුවීමට ඉඩ දෙමු.

"AI ආරක්‍ෂාව" යනු උපදේශකයින් සහ නිෂ්පාදන කළමනාකරුවන් සඳහා නව මායිමක් වන ප්‍රසිද්ධ වචනයක් බවට පත්ව ඇත. නමුත් ඇත්තටම එය කුමක්ද? බොහෝ විට, එය AI පද්ධති සඳහා යොදන ආරක්ෂාව පමණි. ඔව්, AI නව ප්‍රහාරක දෛශික සහ අද්විතීය අභියෝග හඳුන්වා දෙයි, නමුත් "AI ආරක්‍ෂාව" හි සැලකිය යුතු කොටසක් හුදෙක් ශක්තිමත් ඉංජිනේරු විද්‍යාව, ආරක්‍ෂිත කේතීකරණ භාවිතයන් සහ කඩිසර පැච් කිරීම වේ - අපි දශක ගණනාවක් තිස්සේ අසාර්ථක වූ එකම දෙයයි. කලින් සඳහන් කළ VM හුදකලා ගැටළුව කදිම නිදසුනකි: AI වේදිකාවක සංකීර්ණත්වය මගින් විස්තාරණය කරන ලද සම්භාව්‍ය අවදානමක්.

අපි වඩ වඩාත් බිඳෙනසුලු සහ සක්‍රියව සූරාකන ලද පදනම් මත ඇදහිය නොහැකි තරම් සංකීර්ණ AI පද්ධති ගොඩනඟමු. එය හරියට දියුණු AI සංචලනය සහිත ස්වයංක්‍රීයව ධාවනය වන මෝටර් රථයක් ඉතා සූක්ෂම ලෙස සැලසුම් කිරීම වැනිය, රෝද කඩා වැටෙන අතර එන්ජිම ස්පූටර් වේ. "AI ආරක්‍ෂාව" කෙරෙහි අවධානය යොමු කිරීම බොහෝ විට දැනෙන්නේ අවධානය වෙනතකට යොමු කිරීම, සම්පත් සහ අවධානය ලෞකික, අශෝභන, නමුත් පවතින යටිතල පහසුකම් සුරක්ෂිත කිරීමේ පරම තීරනාත්මක කාර්යයෙන් වෙනතකට යොමු කිරීමක් ලෙසය.

අපි මීළඟ විශාල දේ පසුපස හඹා යාමේ කාර්යබහුලද, වර්තමාන විශාල දේවල් ගිනිබත් කිරීමට අපි ඉඩ දෙනවාද? KEV තර්ජනවල විශාල පරිමාව සහ පළල, පෙර AI-කේන්ද්‍රීය ශුන්‍ය දින සාකච්ඡාවලට වඩා වෙනස්, පදනම් ඩිජිටල් යටිතල පහසුකම් සඳහා පද්ධතිමය සහ හදිසි අභියෝගයක් පෙන්නුම් කරයි. මෙය AI හි අනාගතය ගැන නොවේ; එය අපගේ ඩිජිටල් පැවැත්මේ වර්තමාන තත්ත්වය ගැන ය.

දැන් මොකද CTOලා?

ඉංජිනේරු නායකයින් සහ CTOs සඳහා, පණිවිඩය පැහැදිලි සහ ක්ෂණික ය:

1. KEV ලැයිස්තුවට ප්‍රමුඛත්වය දෙන්න: සියල්ල අතහරින්න. මෙම දුර්වලතා අඳින්න. එය අනිවාර්ය කරන්න. එය බලාත්මක කරන්න. මෙය විකල්ප නොවේ.
2. මූලික කරුණුවල වියදමින් "AI ආරක්‍ෂාව" ප්‍රබෝධයට හසු නොවන්න: ඔව්, AI හි ඇති සුවිශේෂී අවදානම් තේරුම් ගන්න, නමුත් ශක්තිමත් ඉංජිනේරු විද්‍යාව, ආරක්ෂිත සංවර්ධන ජීවන චක්‍ර සහ කඩිසරව ඇලවීම තවමත් ඔබේ හොඳම ආරක්ෂාව බව මතක තබා ගන්න. ඔබේ යටින් පවතින VM හෝ ඔබේ SharePoint සේවාදායකය ප්‍රහාරකයෙකු සතු නම් විසිතුරු AI ආකෘතියක් ඔබව සුරැකෙන්නේ නැත.
3. ** අත්තිවාරම් ආරක්ෂාව සඳහා ආයෝජනය කරන්න:** මෙයින් අදහස් කරන්නේ වෙනත් ආරක්ෂක මෙවලමක් මිලදී ගැනීමට වඩා වැඩි දෙයක්. එයින් අදහස් කරන්නේ මිනිසුන්, ක්‍රියාවලි සහ සංස්කෘතියක් සඳහා ආයෝජනය කිරීම, ආරක්ෂාව අගය කරන මූලික ඉංජිනේරු විනයක් මිස පසු සිතීමක් නොවේ. දෝෂ ත්‍යාග වැඩසටහන් විශිෂ්ටයි, නමුත් ඒවා ඔබේ මූලික ආරක්ෂක උපාය මාර්ගයක් නොව ආරක්ෂිත දැලක් විය යුතුය.

AI වේදිකා යටිතල ව්‍යුහය සම්බන්ධ සිදුවීම අවදි කිරීමේ ඇමතුමකි, නමුත් CISA KEV ලැයිස්තුව හදිසි අනතුරු ඇඟවීමයි. අපි නවතම AI ආරක්‍ෂක මුලපිරීම් අගය කිරීම නැවැත්විය යුතු අතර අපගේ සැබෑ ආරක්‍ෂාවෙහි සිදුරු සකස් කිරීම ආරම්භ කළ යුතුය. AI හි අනාගතය උද්යෝගිමත් ය, නමුත් අපගේ ආරක්ෂාවේ වර්තමාන තත්ත්වය භයානක ය.

මූලාශ්‍ර

[1] AI ආරක්ෂාව අවුල් ජාලයක් වන අතර එය වඩාත් නරක අතට හැරෙමින් තිබේ - https://techcrunch.com/2023/10/11/ai-security-is-a-mess-and-its-about-to-get-worse/ [2] දන්නා සූරාකෑමේ දුර්වලතා නාමාවලිය — https://www.cisa.gov/known-exploited-vulnerabilities-catalog