ເຄື່ອງນຸ່ງຄວາມປອດໄພ AI ໃໝ່ຂອງ Emperor: ໃນຂະນະທີ່ພວກເຮົາເບິ່ງຢູ່ Muse, ມູນນິທິພັງທະລາຍລົງ.

ເຄື່ອງນຸ່ງຄວາມປອດໄພ AI ໃໝ່ຂອງ Emperor: ໃນຂະນະທີ່ພວກເຮົາເບິ່ງຢູ່ Muse, ມູນນິທິພັງທະລາຍລົງ

ຂໍໃຫ້ເວົ້າໂດຍກົງ: ອຸດສາຫະກໍາເຕັກໂນໂລຢີມີຄວາມຫຼົງໄຫຼໃຫມ່, ແລະມັນຖືກເອີ້ນວ່າ "ຄວາມປອດໄພ AI." ພວກເຮົາທຸກຄົນຄາດວ່າຈະສຸມໃສ່ການສີດທັນທີ, ການເປັນພິດຂອງຕົວແບບ, ແລະການຂູດຂໍ້ມູນຈາກຕົວແບບພາສາຂະຫນາດໃຫຍ່. ​ໃນ​ຂະນະ​ນັ້ນ, ພື້ນຖານ​ໂຄງ​ລ່າງ​ດ້ານ​ກາ​ຍະ​ພາບ, ດິ​ຈິ​ຕອນ​ທີ່​ຖື​ວິ​ສາ​ຫະກິດ​ຂອງ​ພວກ​ເຮົາ​ຮ່ວມ​ກັນ​ພວມ​ຖືກ​ດັບ​ເພີງ​ຢ່າງ​ຕັ້ງໜ້າ​ໂດຍ​ບໍ່​ມີ​ວັນ​ຢຸດ​ຢັ້ງ. ເຫດການທີ່ຜ່ານມາທີ່ກ່ຽວຂ້ອງກັບແພລະຕະຟອມ AI ທີ່ສໍາຄັນ, ເປັນຕົວຢ່າງຂອງສິ່ງທ້າທາຍທີ່ກວ້າງຂວາງໃນການຮັບປະກັນໂຄງສ້າງພື້ນຖານຂອງ AI, ຊີ້ໃຫ້ເຫັນເຖິງຄວາມອັນຕະລາຍນີ້ [1].

Meta, ບໍລິສັດທີ່ຮູ້ຈັກສໍາລັບການ "ເຄື່ອນທີ່ໄວແລະທໍາລາຍສິ່ງຕ່າງໆ" ethos, ໄດ້ປະເຊີນກັບການກວດສອບຂໍ້ບົກພ່ອງດ້ານຄວາມປອດໄພໃນເວທີ AI ຂອງຕົນ. ສໍາລັບຕົວຢ່າງ, ໂປລແກລມ bounty bug ໄດ້ເປີດເຜີຍຂໍ້ບົກພ່ອງທີ່ສໍາຄັນທີ່ເປີດເຜີຍຜູ້ໃຊ້ Virtual Machines. ນີ້​ບໍ່​ແມ່ນ​ການ​ຮົ່ວ​ໄຫລ​ຂອງ​ຂໍ້​ມູນ​ທີ່​ລະອຽດ​ອ່ອນ ຫຼື​ການ​ຜ່ານ​ການ​ເຕືອນ​ທີ່​ສະຫລາດ, ແຕ່​ເປັນ​ຄວາມ​ຜິດ​ພາດ​ຂັ້ນ​ພື້ນຖານ​ຂອງ​ພື້ນຖານ​ໂຄງ​ລ່າງ​ທີ່​ເປີດ​ເຜີຍ * VMs ​ຜູ້​ໃຊ້*. ນີ້ບໍ່ແມ່ນບາງຊ່ອງໂຫວ່ສະເພາະ AI esoteric; ນີ້ແມ່ນການໂດດດ່ຽວ VM ພື້ນຖານ, ເປັນບັນຫາທີ່ພວກເຮົາຄິດວ່າສ່ວນໃຫຍ່ຖືກແກ້ໄຂໃນທົດສະວັດກ່ອນ. ມັນສະແດງເຖິງການລະເມີດຄວາມເປັນສ່ວນຕົວແລະຄວາມຊື່ສັດຂອງຂໍ້ມູນ, ສົ່ງຜົນກະທົບໂດຍກົງຕໍ່ຜູ້ໃຊ້ແລະລູກຄ້າວິສາຫະກິດທີ່ອາດຈະໃຊ້ໂຄງສ້າງພື້ນຖານ AI ດັ່ງກ່າວ.

ຂໍ້ບົກພ່ອງປະເພດນີ້, ໃນຂະນະທີ່ມີຜົນກະທົບຢ່າງແທ້ຈິງ, ມີຄວາມຮູ້ສຶກຫນ້ອຍຄືກັບສິ່ງທ້າທາຍໃຫມ່ "ຄວາມປອດໄພ AI" ແລະຫຼາຍກວ່າຄວາມລົ້ມເຫຼວຂອງໂຄງສ້າງພື້ນຖານທີ່ໃສ່ຫມວກ AI. ມັນເປັນການເຕືອນວ່າແມ່ນແຕ່ແພລະຕະຟອມ AI ທີ່ກ້າວຫນ້າທາງດ້ານຫຼາຍທີ່ສຸດກໍ່ຖືກສ້າງຂຶ້ນໃນຊັ້ນຂອງຄອມພິວເຕີ້, ເຄືອຂ່າຍ, ແລະ virtualization. ຖ້າຊັ້ນພື້ນຖານເຫຼົ່ານັ້ນຖືກຂຸມ, ມັນບໍ່ສໍາຄັນວ່າຕົວແບບ AI ຂອງເຈົ້າມີຄວາມຊັບຊ້ອນແນວໃດ; ລະບົບທັງຫມົດຍັງຄົງມີຄວາມສ່ຽງ. ລັກສະນະ "AI" ຂອງເລື່ອງນີ້ແມ່ນເກືອບເປັນການລົບກວນ, ເປັນທິດທາງທີ່ບໍ່ຖືກຕ້ອງທີ່ເຮັດໃຫ້ການແນມເບິ່ງຂອງພວກເຮົາອອກໄປຈາກໄມ້ທີ່ເນົ່າເປື່ອຍພາຍໃຕ້ກະດານພື້ນເຮືອນທີ່ຂັດ.

CISA's KEV Barrage: ຕົວຊີ້ວັດທີ່ສໍາຄັນ

ໃນຂະນະທີ່ພວກເຮົາຫຍຸ້ງຢູ່ກັບການໂຕ້ວາທີກ່ຽວກັບຜົນສະທ້ອນດ້ານຈັນຍາບັນຂອງ chatbots ທີ່ມີຄວາມຮູ້ສຶກ ແລະຄວາມແຕກຕ່າງຂອງຄວາມປອດໄພຂອງ AI, CISA ກໍາລັງລຸດລົງຈໍານວນຊ່ອງໂຫວ່ທີ່ຖືກຂູດຮີດຢ່າງຈິງຈັງທີ່ບໍ່ເຄີຍມີມາກ່ອນເຂົ້າໄປໃນລາຍການທີ່ຮູ້ຈັກການຂູດຮີດ (KEV). ນີ້ບໍ່ແມ່ນການອອກກໍາລັງກາຍທາງທິດສະດີ. ນີ້ບໍ່ແມ່ນບັນຊີລາຍຊື່ "patch someday". ນີ້ແມ່ນລາຍການດ່ວນ "ເຮືອນຂອງເຈົ້າຖືກໄຟໄໝ້ * ດຽວນີ້*".

ໃນອາທິດທີ່ຜ່ານມາ, CISA ໄດ້ເພີ່ມລາຍການຈໍານວນຫລາຍ, ນໍາເອົາຈໍານວນຊ່ອງໂຫວ່ທີ່ຖືກຂຸດຄົ້ນຢ່າງຫ້າວຫັນເປັນຈໍານວນທີ່ຫນ້າປະຫລາດໃຈໃນໄລຍະເວລາສັ້ນໆ [2]. ນີ້ບໍ່ພຽງແຕ່ "ຄວາມປອດໄພແມ່ນບໍ່ດີ"; ນີ້​ແມ່ນ​ວິ​ກິດ​ການ​ທີ່​ເພີ່ມ​ຂຶ້ນ​ເປັນ​ລະ​ບົບ, ສົ່ງ​ຜົນ​ກະ​ທົບ​ຕໍ່​ຊອບ​ແວ​ວິ​ສາ​ຫະ​ກິດ​ທີ່​ສໍາ​ຄັນ​ຫຼາຍ​ທີ່​ດໍາ​ເນີນ​ການ​ໃນ​ໂລກ​ຂອງ​ພວກ​ເຮົາ.

ພິຈາລະນາການເພີ່ມຫຼ້າສຸດໃສ່ລາຍການ KEV:

• CVE-2023-46214: A Splunk Enterprise remote code execution vulnerability (CVSS 9.8) with a CISA patch deadline, ເຮັດໃຫ້ລະບົບ unpatched ມີຄວາມສ່ຽງສູງ.
• CVE-2023-29357: ຊ່ອງໂຫວ່ການຂະຫຍາຍສິດທິພິເສດຂອງ Microsoft SharePoint Server, ຜົນກະທົບຕໍ່ກະດູກສັນຫຼັງຂອງ intranets ຂອງບໍລິສັດນັບບໍ່ຖ້ວນ.
• CVE-2023-42824: ຊ່ອງໂຫວ່ຂອງ Apple iOS/iPadOS kernel, ໄດ້ຖືກນຳໃຊ້ແລ້ວໃນການໂຈມຕີແບບມີເປົ້າໝາຍ, ສະແດງໃຫ້ເຫັນວ່າເຖິງແມ່ນວ່າລະບົບນິເວດທີ່ຖືກຄວບຄຸມກໍຍັງບໍ່ສາມາດສະກັດກັ້ນໄດ້.
• CVE-2023-30799: ຂໍ້ບົກພ່ອງຂອງການປະຕິບັດລະຫັດທາງໄກຂອງ MikroTik RouterOS, ກະທົບຕໍ່ເຣົາເຕີທີ່ເຊື່ອມຕໍ່ທຸກຢ່າງ, ມັກຈະປະໄວ້ໂດຍບໍ່ຖືກແກ້ໄຂໃນມຸມເລິກຂອງເຄືອຂ່າຍ.

ການເພີ່ມໄຟຢ່າງໄວວານີ້ຂອງການຂູດຮີດຢ່າງຫ້າວຫັນໃນສູນມື້ໃນທົ່ວຜູ້ຂາຍທີ່ສໍາຄັນ - Microsoft, Apple, Splunk, MikroTik, Linux, JFrog - ຮຽກຮ້ອງໃຫ້ມີຄວາມສົນໃຈໃນທັນທີທັນໃດ. ນີ້ບໍ່ແມ່ນການເຕືອນທົ່ວໄປ; ມັນເປັນ siren blaring ໂດຍກົງຢູ່ທຸກ IT ແລະທີມງານຄວາມປອດໄພ. ບັນຊີລາຍຊື່ KEV ຂອງ CISA ບໍ່ພຽງແຕ່ເປັນຄໍາແນະນໍາສໍາລັບອົງການຂອງລັດຖະບານກາງ; ມັນເປັນຄໍາເຕືອນທີ່ສໍາຄັນສໍາລັບ * ທັງຫມົດ * ອົງການຈັດຕັ້ງ. ບໍ່ສົນໃຈມັນຢູ່ໃນອັນຕະລາຍຂອງເຈົ້າ.

ພາບລວງຕາຂອງ "ຄວາມປອດໄພ AI" ແລະຄ່າໃຊ້ຈ່າຍຂອງການລົບກວນ

ນີ້ແມ່ນຄວາມຈິງທີ່ບໍ່ສະບາຍ: ຂໍ້ບົກພ່ອງພື້ນຖານໃນເວທີ AI ແລະ CISA KEV barrage ແມ່ນລັກສະນະເຊື່ອມຕໍ່ກັນຂອງບັນຫາດຽວກັນ. ພວກເຂົາເຈົ້າທັງສອງຮ້ອງອອກມາກ່ຽວກັບການທໍາລາຍພື້ນຖານຂອງຄວາມປອດໄພຂອງຊອບແວ, ແຕ່ການເບິ່ງລວມຂອງອຸດສາຫະກໍາຂອງພວກເຮົາແມ່ນເປັນອັນຕະລາຍທີ່ຜິດພາດ. ພວກເຮົາກໍາລັງຈັບໃຈຫຼາຍໂດຍຄໍາສັນຍາແລະອັນຕະລາຍຂອງ "AI" ທີ່ພວກເຮົາກໍາລັງປ່ອຍໃຫ້ພື້ນຖານໂຄງລ່າງດິຈິຕອນເສຍຫາຍ.

"ຄວາມປອດໄພ AI" ໄດ້ກາຍເປັນ buzzword, ເປັນຊາຍແດນໃຫມ່ສໍາລັບທີ່ປຶກສາແລະຜູ້ຈັດການຜະລິດຕະພັນ. ແຕ່ມັນແມ່ນຫຍັງ, ແທ້? ເລື້ອຍໆ, ມັນເປັນພຽງແຕ່ * ຄວາມປອດໄພ * ນໍາໃຊ້ກັບລະບົບ AI. ແມ່ນແລ້ວ, AI ແນະນໍາ vectors ການໂຈມຕີໃຫມ່ແລະສິ່ງທ້າທາຍທີ່ເປັນເອກະລັກ, ແຕ່ສ່ວນທີ່ສໍາຄັນຂອງ "ຄວາມປອດໄພ AI" ແມ່ນພຽງແຕ່ວິສະວະກໍາທີ່ເຂັ້ມແຂງ, ການປະຕິບັດການເຂົ້າລະຫັດທີ່ປອດໄພ, ແລະການ patching ດຸຫມັ່ນ - ສິ່ງດຽວກັນທີ່ພວກເຮົາໄດ້ລົ້ມເຫລວໃນຫຼາຍທົດສະວັດ. ບັນຫາການໂດດດ່ຽວ VM ທີ່ໄດ້ກ່າວມາກ່ອນຫນ້ານີ້ເປັນຕົວຢ່າງທີ່ສົມບູນແບບ: ຊ່ອງໂຫວ່ຄລາສສິກທີ່ຂະຫຍາຍອອກໂດຍຄວາມສັບສົນຂອງແພລະຕະຟອມ AI.

ພວກເຮົາກຳລັງສ້າງລະບົບ AI ທີ່ສັບສົນຢ່າງບໍ່ໜ້າເຊື່ອ ຢູ່ເທິງພື້ນຖານທີ່ອ່ອນແອ ແລະຖືກນຳໃຊ້ຢ່າງຈິງຈັງ. ມັນຄືກັບການອອກແບບລົດທີ່ຂັບລົດຕົນເອງຢ່າງພິຖີພິຖັນດ້ວຍການນຳທາງ AI ຂັ້ນສູງ, ໃນຂະນະທີ່ລໍ້ກຳລັງຕົກ ແລະເຄື່ອງຈັກກຳລັງກະຕຸກ. ການສຸມໃສ່ "ຄວາມປອດໄພ AI" ມັກຈະມີຄວາມຮູ້ສຶກຄືກັບການລົບກວນ, ຫັນປ່ຽນຊັບພະຍາກອນແລະຄວາມສົນໃຈຈາກໂລກ, ຄວາມບໍ່ສະອາດ, ແຕ່ສໍາຄັນຢ່າງແທ້ຈິງໃນການຮັກສາໂຄງສ້າງພື້ນຖານທີ່ມີຢູ່.

ພວກ​ເຮົາ​ຫຍຸ້ງ​ຫລາຍ​ບໍ​ທີ່​ຈະ​ໄລ່​ເອົາ​ສິ່ງ​ໃຫຍ່​ອັນ​ຕໍ່​ໄປ​ທີ່​ພວກ​ເຮົາ​ໄດ້​ປ່ອຍ​ໃຫ້​ສິ່ງ​ໃຫຍ່​ໃນ​ປັດ​ຈຸ​ບັນ​ເຜົາ​ໄໝ້? ປະລິມານແລະຄວາມກວ້າງຂອງໄພຂົ່ມຂູ່ KEV ຊີ້ບອກເຖິງສິ່ງທ້າທາຍທີ່ເປັນລະບົບ ແລະຮີບດ່ວນຕໍ່ກັບພື້ນຖານໂຄງລ່າງດ້ານດິຈິຕອລ, ເຊິ່ງແຕກຕ່າງຈາກການສົນທະນາ AI-centric zero-day ທີ່ຜ່ານມາ. ນີ້ບໍ່ແມ່ນກ່ຽວກັບອະນາຄົດຂອງ AI; ມັນແມ່ນກ່ຽວກັບສະພາບປະຈຸບັນຂອງການມີຢູ່ດິຈິຕອນຂອງພວກເຮົາ.

ດຽວນີ້ CTOs ແມ່ນຫຍັງ?

ສໍາລັບຜູ້ນໍາດ້ານວິສະວະກໍາແລະ CTOs, ຂໍ້ຄວາມແມ່ນ stark ແລະທັນທີ:

1. ຈັດລໍາດັບຄວາມສໍາຄັນຂອງລາຍການ KEV: ວາງທຸກສິ່ງທຸກຢ່າງ. ແກ້ໄຂຈຸດອ່ອນເຫຼົ່ານີ້. ມອບໝາຍໃຫ້. ບັງຄັບມັນ. ນີ້ບໍ່ແມ່ນທາງເລືອກ.
2. ** ຢ່າຫຼົງໄຫຼໃນ “ຄວາມປອດໄພ AI” ໂດຍຄ່າໃຊ້ຈ່າຍຂອງພື້ນຖານ:** ແມ່ນແລ້ວ, ເຂົ້າໃຈຄວາມສ່ຽງທີ່ເປັນເອກະລັກຂອງ AI, ແຕ່ຈື່ໄວ້ວ່າວິສະວະກໍາທີ່ເຂັ້ມແຂງ, ວົງຈອນການພັດທະນາທີ່ປອດໄພ, ແລະ patching ດຸຫມັ່ນຍັງເປັນການປ້ອງກັນທີ່ດີທີ່ສຸດຂອງທ່ານ. ຮູບແບບ AI ທີ່ສວຍງາມຈະບໍ່ຊ່ວຍປະຢັດທ່ານຖ້າຜູ້ໂຈມຕີເປັນເຈົ້າຂອງ VM ພື້ນຖານຂອງທ່ານຫຼືເຄື່ອງແມ່ຂ່າຍ SharePoint ຂອງທ່ານ.
3. ລົງທຶນໃນຄວາມປອດໄພພື້ນຖານ: ນີ້ຫມາຍຄວາມວ່າຫຼາຍກ່ວາພຽງແຕ່ການຊື້ເຄື່ອງມືຄວາມປອດໄພອື່ນ. ມັນຫມາຍເຖິງການລົງທຶນໃນຄົນ, ຂະບວນການ, ແລະວັດທະນະທໍາທີ່ມີຄ່າຄວາມປອດໄພເປັນລະບຽບວິໄນດ້ານວິສະວະກໍາຫຼັກ, ບໍ່ແມ່ນການຄິດຫລັງ. ໂປລແກລມ bug bounty ແມ່ນດີເລີດ, ແຕ່ພວກເຂົາຄວນຈະເປັນຕາຫນ່າງຄວາມປອດໄພ, ບໍ່ແມ່ນຍຸດທະສາດຄວາມປອດໄພຕົ້ນຕໍຂອງທ່ານ.

ເຫດການທີ່ກ່ຽວຂ້ອງກັບໂຄງສ້າງພື້ນຖານຂອງເວທີ AI ເປັນການປຸກ, ແຕ່ບັນຊີລາຍຊື່ CISA KEV ແມ່ນການເຕືອນໄພອັນຮີບດ່ວນ. ພວກເຮົາຈໍາເປັນຕ້ອງຢຸດເຊົາການຊົມເຊີຍການລິເລີ່ມຄວາມປອດໄພ AI ຫລ້າສຸດແລະເລີ່ມຕົ້ນການ patched ຂຸມໃນການປ້ອງກັນຕົວຈິງຂອງພວກເຮົາ. ອະນາຄົດຂອງ AI ແມ່ນຫນ້າຕື່ນເຕັ້ນ, ແຕ່ສະຖານະການຄວາມປອດໄພຂອງພວກເຮົາໃນປະຈຸບັນແມ່ນຫນ້າຢ້ານກົວ.

ແຫຼ່ງຂໍ້ມູນ

[1] ຄວາມປອດໄພ AI ເປັນເລື່ອງທີ່ຫຍຸ້ງຍາກ, ແລະມັນກຳລັງຈະຮ້າຍແຮງຂຶ້ນ — https://techcrunch.com/2023/10/11/ai-security-is-a-mess-and-its-about-to-get-worse/ [2] Known Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog