Cesarjev novi AI in gnijoča podlaga pod njim
Se spomnite, ko nas je umetna inteligenca nameravala vse rešiti? Izkazalo se je, da rešitelji zdaj prosijo za odmor. Ravno pred kratkim so arhitekti naše prihodnosti, ki jo poganja umetna inteligenca – »mejni« raziskovalci in finančni veljaki – skupaj pritisnili na zavoro in zahtevali upočasnitev razvoja zaradi »stopnjevanja skrbi glede varnosti« [1]. Trg, ki je bil vedno top instrument, se je odzval tako, da je izkašljal pljuča: delnice žetonov in glavni igralci umetne inteligence so padli [2]. Peking se je predvidljivo posmehoval opozorilom, medtem ko so seulski velikani čipov zavrnili vnaprejšnja plačila za prihodnji napredek AI [2].
To ni le filozofska razprava o slonokoščenem stolpu. To je seizmični premik, javno priznanje nepremišljenosti znotraj elite industrije. In odkrito povedano, je malo preveč priročno.
Pavza AI: altruizem ali igra moči?
Bodimo jasni: ko ljudje, ki so izdelali raketo, nenadoma ugotovijo, da so po izstrelitvi pozabili na padala, to ni trenutek globokega etičnega prebujanja. To je zapoznelo, samopostrežno prerivanje. To niso idealisti s širokimi očmi; to so titani, ki so do konca pritiskali na pedal, lovili eksponentno rast in prevlado na trgu. Zdaj, ko se grozi spekter "nepredvidenih posledic" - in morda, bolj cinično, spoznanje, da je trenutni tempo nevzdržen ali da morajo utrditi svoje vodstvo - kličejo h kolektivnemu dahu.
Odziv trga je zgovoren. Padec zalog žetonov ni samo strah; gre za takojšnje finančne posledice morebitne upočasnitve. Odpor Pekinga? Jasen znak, da nacionalna strateška prednost prevlada nad abstraktnimi skrbmi glede varnosti. In proizvajalci čipov v Seulu zavračajo vnaprejšnja plačila? To je zvok kapitala, ki dvomi o dolgoročni stabilnosti in donosnosti nenadoma negotove prihodnosti.
Za nas, tehnične direktorje in vodje inženiringa, se to neposredno prevede v kaotično pokrajino. Pričakujte, da se bodo regulatorni posegi pospešili, kar bo povzročilo ponovno razvrstitev prednostnih nalog projektov umetne inteligence. Etika "hitro se premikaj in lomi stvari" za umetno inteligenco je uradno mrtva, nadomeščeno z mrzličnim iskanjem okvirov za "etični razvoj umetne inteligence", ki bi morali biti vpeti že od prvega dne. Naložbe bodo postale bolj previdne, strategije se bodo obrnile in da, trgi dela se bodo ohladili, ko se bo zlata mrzlica umaknila bolj premišljenemu in, upajmo, odgovornejšemu pristopu. Vendar ne zamenjajmo tega za čisti altruizem. Ta "pavza" je toliko povezana z nadzorom in ponovnim umerjanjem trga kot z resnično varnostjo.
Medtem ko se razpravljajo o Titanih, temelj propada
Zdaj, medtem ko elita umetne inteligence preživlja eksistencialno krizo in razpravlja o etiki bodoče superinteligence, se pogovorimo o zelo resnični, zelo sedanji in skrajno katastrofalni varnostni krizi, ki se odvija prav zdaj.
Ta teden je CISA dodal več novih CVE v svoj katalog znanih izkoriščenih ranljivosti [3]. Govorimo o potrjenem korenskem RCE v Cisco Secure Email Gateway (CVE-2023-20269) [4], prehodu poti CVSS 10.0 v GitLab (CVE-2023-2825) [3] in nedavno popravljenem Chromovem ničelnem dnevu (CVE-2023-4863) [3], ki je zahteval takojšnjo pozornost.
Toda pravi udarec v črevesju, zaradi katerega bi moral vsak varnostni strokovnjak kričati v prazno, je vztrajna grožnja temeljnih napak. Razmislite o CVE-2021-1647, lokalni ranljivosti stopnjevanja privilegijev v mehanizmu za zaščito pred zlonamerno programsko opremo Microsoft Defender [5]. To ni bila neka nejasna napaka; imel je javno dokazilo o konceptu in je bil aktivno izkoriščan v divjini, pri čemer je poudaril, kako so kritične komponente naše digitalne obrambe lahko ogrožene in ostanejo ranljive nekaj časa.
Naj se to ujame. Medtem ko razpravljamo o etiki občutljivosti umetne inteligence, se je izkazalo, da prav programska oprema, zasnovana za zaščito naših končnih točk, temeljnega sloja naše digitalne obrambe, skriva javno znane, aktivno izkoriščene napake, ki napadalcu omogočajo dvig privilegijev. To je tako, kot bi se prepirali o filozofskih posledicah warp pogona, medtem ko vašemu avtomobilu odpovedujejo zavore in motor gori.
Obračun: dve plati istega kovanca
To niso ločene zgodbe. Sta dve plati istega globoko zgrešenega kovanca: tehnološke industrije, ki dosledno daje prednost hitrosti, novosti in zaznani inovativnosti pred temeljno varnostjo, stabilnostjo in odgovornostjo.
Nenaden poziv voditeljev umetne inteligence k upočasnitvi je reaktiven, sebičen poskus popravljanja smeri potem, ko so že spustili zmogljive, slabo razumljene sisteme v divjino. To je priznanje, da mantra "hitro se premikaj in zlomi stvari", ko se uporablja za tehnologijo, ki bi lahko spremenila svet, ni samo neodgovorna, ampak nevarna.
Napad zero-day, zlasti kritična ranljivost Defenderja, je neposredna, boleča posledica istega načina razmišljanja, ki se uporablja za temeljni IT. To je rezultat kulture, ki varnost pogosto obravnava kot naknadno razmišljanje, potrditveno polje skladnosti ali stroškovno mesto, ne pa kot sestavni del vsakega posameznega izdelka in sistema, o katerem se ni mogoče pogajati. Tako zaposleni smo z lovljenjem naslednjega sijočega predmeta – naslednjega LLM, naslednjega agenta AI –, da smo pustili, da nam gnijejo tla pod nogami.
Za tehnične direktorje in vodilne inženirje je sporočilo ostro in takojšnje. Nehajte loviti vsak trend AI, ki prečka vaš vir. Podvojite osnove. Dajte prednost popravkom, zlasti za kritične, aktivno izkoriščane ranljivosti, kot so tiste v Ciscu, GitLabu in vztrajni grožnji, ki jo ponazarjajo pretekli LPE-ji družbe Defender. Izvedite robustne ublažitve. Od svojih prodajalcev zahtevajte odgovornost za njihovo varnostno držo, ne le za njihov časovni načrt funkcij.
Padec trga in nerešena temeljna varnostna vprašanja niso samo novice. So obračun. Svet tehnologije, ki je prehiter, preveč nepremišljen in nazadnje preveč izpostavljen. Čas je, da odrastemo, zavarujemo naše temelje in nato, šele takrat, previdno razmislimo o naslednji meji.
Viri
[1] Inštitut za prihodnost življenja – Zaustavitev ogromnih poskusov AI: Odprto pismo – https://futureoflife.org/open-letter/pause-giant-ai-experiments/ [2] CNBC – Strokovnjaki za umetno inteligenco pozivajo k premoru pri razvoju naprednih sistemov umetne inteligence – https://www.cnbc.com/2023/03/29/ai-experts-call-for-pause-in-development-of-advanced-ai-systems.html [3] CISA – Katalog znanih izkoriščenih ranljivosti – https://www.cisa.gov/known-exploited-vulnerabilities-catalog [4] Varnostno svetovanje Cisco – Cisco Secure Email and Web Manager, Cisco Email Security Appliance in Cisco Web Security Appliance Ranljivosti – https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-sma-rce-q5Q8SXu [5] Microsoftov varnostni odzivni center – ranljivost stopnjevanja lokalnih pravic Microsoft Defender – https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1647