Императорның яңа ЯИ куркынычсызлык киеме: Без Музейга карап торганда, Фонд җимерелә
Турыдан-туры әйтик: технология индустриясендә яңа обсессия бар, һәм ул "ЯИ куркынычсызлыгы" дип атала. Без барыбыз да тиз инъекциягә, модель агулануга, зур тел модельләреннән мәгълүмат эксфилтрациясенә игътибар итәрбез дип көтелә. Шул ук вакытта, безнең предприятияләрне берләштергән фактик, физик, санлы инфраструктура актив рәвештә нуль көнендә ут белән яндырыла. ЯИ инфраструктурасын тәэмин итүдә киң проблемаларны күрсәтүче күптән түгел ЯИ платформасы катнашындагы вакыйга бу куркыныч дихотомиягә басым ясый [1].
"Тиз хәрәкәт итү һәм әйберләрне бозу" этикасы белән танылган Meta, AI платформаларындагы куркынычсызлык кимчелекләрен тикшерә. Мисал өчен, хата ярдәме программасы кулланучының Виртуаль Машиналарын фаш итүче зур кимчелекне ачты. Бу нечкә мәгълүмат агып чыгу яки акыллы тиз әйләнеп узу түгел, ә * кулланучының VM-ларын фаш иткән төп, инфраструктура дәрәҗәсендәге хата. Бу кайбер эзотерик ЯИга хас зәгыйфьлек түгел; бу төп VM изоляциясе, без дистә ел элек уйлаган проблема. Бу кулланучыларга һәм мондый ЯИ инфраструктурасын кулланган потенциаль предприятия клиентларына турыдан-туры йогынты ясап, хосусыйлык һәм мәгълүмат бөтенлеген кискен бозуны күрсәтә.
Бу төр җитешсезлек, чын мәгънәсендә тәэсирле булса да, "ЯИ куркынычсызлыгы" романы кебек тоела һәм ЯИ шляпасын киеп классик инфраструктура уңышсызлыгы кебек. Бу искә төшерү, хәтта иң алдынгы ЯИ платформалары да гадәти исәпләү, челтәр һәм виртуальләштерү катламнарында төзелгән. Әгәр дә ул нигез катламнары тишекләр белән сугарылган булса, сезнең ЯИ моделенең никадәр катлаулы булуы мөһим түгел; бөтен система зәгыйфь булып кала. Бу хикәянең "ЯИ" аспекты - читкә юнәлтү, адашу, адашкан идән такталары астындагы черегән агачлардан читкә юнәлтү.
CISA-ның KEV гаскәрләре: критик күрсәткеч
Без чатботларның этик нәтиҗәләре һәм ЯИ куркынычсызлыгы нюанслары турында бәхәсләшү белән мәшгуль булганда, CISA моңарчы күрелмәгән санда актив кулланылган зәгыйфьлекләрне билгеле эксплуатацияләнгән көчсезлекләр (KEV) каталогына ташлый. Бу теоретик күнегү түгел. Бу "бер көн пач" исемлеге түгел. Бу ашыгыч "сезнең йортыгыз янды * хәзер *" исемлеге.
Соңгы атналарда, CISA бик күп язулар өстәде, кыска вакыт эчендә актив кулланылган зәгыйфьлекләрнең гомуми санын китерде [2]. Бу "куркынычсызлык начар" гына түгел; бу системалы, көчәя барган кризис, безнең дөнья белән идарә итүче бик критик предприятия программасына тәэсир итә.
KEV каталогына соңгы өстәмәләрне карагыз:
- ** CVE-2023-46214: ** CISA пач срокы белән Splunk Enterprise дистанцион код башкару зәгыйфьлеге (CVSS 9.8), җибәрелмәгән системаларны бик зәгыйфь итә.
- ** CVE-2023-29357: ** Microsoft SharePoint Server өстенлегенең зәгыйфьлеген арттыра, сансыз корпоратив интернетларның арка сөягенә тәэсир итә.
- ** CVE-2023-42824: ** Apple iOS / iPadOS ядрәсенең зәгыйфьлеге, максатчан һөҗүмнәрдә кулланылган, хәтта контрольдә тотылган экосистемаларның да үтеп кермәвен күрсәтә.
- ** CVE-2023-30799: ** MikroTik RouterOS дистанцион код башкару җитешсезлеге, бар нәрсәне тоташтыручы роутерларга тәэсир итә, челтәрнең иң тирән почмакларында еш җибәрелми.
Зур сатучылар - Microsoft, Apple, Splunk, MikroTik, Linux, JFrog арасында актив кулланылган нуль көннәрен бу тиз яндыру - тиз, кискен игътибар таләп итә. Бу гомуми кисәтү түгел; бу турыдан-туры һәр IT һәм куркынычсызлык коллективында сирена. CISAның KEV исемлеге федераль агентлыклар өчен тәкъдим генә түгел; бу * барлык * оешмалар өчен критик кисәтү. Сезнең куркыныч астында.
"ЯИ Куркынычсызлыгы" иллюзиясе һәм читкә юнәлтү бәясе
Менә уңайсыз хакыйкать: ЯИ платформаларындагы төп кимчелекләр һәм CISA KEV гаскәрләре бер үк проблеманың үзара бәйләнгән аспектлары. Алар икесе дә программа тәэминаты куркынычсызлыгының төп бозылуы турында кычкыралар, ләкин безнең тармакның коллектив карашы куркынычсыз рәвештә дөрес эшләнмәгән. Без "ЯИ" вәгъдәсе һәм куркынычы белән шулкадәр сокландык, без санлы инфраструктура черүенә юл куябыз.
"ЯИ куркынычсызлыгы" консультантлар һәм продукт менеджерлары өчен яңа чик. Ләкин нәрсә ул? Еш кына, бу ЯИ системаларында кулланыла торган * куркынычсызлык *. Әйе, ЯИ яңа һөҗүм векторларын һәм уникаль проблемаларны кертә, ләкин "ЯИ куркынычсызлыгы" ның мөһим өлеше - ныклы инженерлык, кодлаштыру практикасы, тырышып ябыштыру - без дистә еллар дәвамында уңышсыз эшләгән әйберләр. Алда искә алынган VM изоляциясе бик яхшы мисал: классик зәгыйфьлек ЯИ платформасының катлаулылыгы белән көчәйтелә.
Без көннән-көн зәгыйфь һәм актив кулланыла торган нигезләр өстендә гаҗәеп катлаулы ЯИ системаларын төзибез. Бу алдынгы ЯИ навигациясе белән үз-үзе йөртүче машинаны җентекләп эшләгәнгә охшаган, тәгәрмәчләр егылып, двигатель бөтерелә. "ЯИ куркынычсызлыгы" на игътибар еш кына читкә юнәлтелгән кебек тоела, ресурсларны һәм игътибарны гадәти, гаепсез, ләкин булган инфраструктураны тәэмин итү өчен бөтенләй критик эш.
Киләсе зур әйберне куып чыгару белән мәшгульме, хәзерге зур әйберләрне яндырырга рөхсәт итәбезме? KEV куркынычларының зурлыгы һәм киңлеге санлы инфраструктурага системалы һәм ашыгыч кыенлыкны күрсәтә, элеккеге ЯИ-нульдән торган дискуссияләрдән аерылып тора. Бу ЯИ киләчәге турында түгел; бу безнең санлы барлыгыбызның хәзерге торышы турында.
Хәзер нәрсә, КТО?
Инженерлык лидерлары һәм КТО өчен хәбәр бик ачык һәм шунда ук:
- ** KEV исемлегенә өстенлек бирегез: ** Барысын да ташлагыз. Бу зәгыйфьлекләрне каплагыз. Мандат. Аны үтә. Бу факультатив түгел. 2 .. Әгәр дә һөҗүмче сезнең төп VM яки SharePoint серверыгыз булса, матур AI моделе сезне саклап калмас.
- ** Фундаменталь куркынычсызлыкка инвестиция: ** Бу бүтән куркынычсызлык коралын сатып алу гына түгел. Бу кешеләргә, процессларга, культураны инвестицияләү дигәнне аңлата, куркынычсызлыкны төп инженер дисциплинасы дип саный. Хаталар программалары бик яхшы, ләкин алар сезнең төп куркынычсызлык стратегиясе түгел, куркынычсызлык челтәре булырга тиеш.
ЯИ платформасы инфраструктурасы белән бәйле вакыйга - уяну, ләкин CISA KEV исемлеге - ашыгыч сигнализация. Соңгы ЯИ куркынычсызлык инициативаларына соклануны туктатырга һәм үзебезнең сакланудагы тишекләрне ябыштырырга кирәк. ЯИ киләчәге дулкынландыргыч, ләкин безнең куркынычсызлыкның хәзерге торышы куркыныч.
Чыганаклар
[1] ЯИ куркынычсызлыгы - бу начаррак, һәм ул начаррак булачак - https://techcrunch.com/2023/10/11/ai-security-is-a-mess-and-its-about-to-get-worse/ [2] Билгеле кулланылган көчсезлекләр каталогы - https://www.cisa.gov/known-exploited-vulnerabilities-catalog