شہنشاہ کے نئے AI حفاظتی کپڑے: جب ہم موسیقی کو دیکھتے ہیں، فاؤنڈیشن ٹوٹ جاتی ہے
آئیے براہ راست بنیں: ٹیک انڈسٹری میں ایک نیا جنون ہے، اور اسے "AI سیکیورٹی" کہا جاتا ہے۔ ہم سب سے توقع کی جاتی ہے کہ وہ فوری انجیکشن، ماڈل پوائزننگ، اور بڑے زبان کے ماڈلز سے ڈیٹا نکالنے پر توجہ مرکوز کریں۔ دریں اثنا، ہمارے کاروباری اداروں کو ایک ساتھ رکھنے والے حقیقی، جسمانی، ڈیجیٹل انفراسٹرکچر کو صفر دنوں کے ایک مسلسل بیراج سے فعال طور پر آگ لگائی جا رہی ہے۔ ایک حالیہ واقعہ جس میں ایک اہم AI پلیٹ فارم شامل ہے، جو AI انفراسٹرکچر کو محفوظ بنانے میں وسیع تر چیلنجوں کی مثال دیتا ہے، اس خطرناک اختلاف کو نمایاں کرتا ہے [1]۔
میٹا، ایک کمپنی جو اپنی "تیز حرکت اور بریک چیزوں" کے اخلاقیات کے لیے مشہور ہے، کو اپنے AI پلیٹ فارمز میں سیکیورٹی کی خامیوں پر جانچ پڑتال کا سامنا ہے۔ مثال کے طور پر، ایک بگ باؤنٹی پروگرام نے صارف کی ورچوئل مشینوں کو بے نقاب کرنے میں ایک اہم خامی کا پردہ فاش کیا۔ یہ کوئی ٹھیک ٹھیک ڈیٹا کا رساو یا کوئی ہوشیار پرامپٹ بائی پاس نہیں تھا، بلکہ ایک بنیادی، بنیادی ڈھانچے کی سطح کی خرابی تھی جس نے صارف VMs کو بے نقاب کیا۔ یہ کوئی باطنی AI مخصوص کمزوری نہیں ہے۔ یہ بنیادی VM تنہائی ہے، ایک ایسا مسئلہ جس کے بارے میں ہم نے ایک دہائی پہلے سوچا تھا۔ یہ رازداری اور ڈیٹا کی سالمیت کی سنگین خلاف ورزی کی نمائندگی کرتا ہے، جس سے صارفین اور ممکنہ طور پر انٹرپرائز کلائنٹس متاثر ہوتے ہیں جو اس طرح کے AI انفراسٹرکچر کا فائدہ اٹھاتے ہیں۔
اس قسم کی خامی، جب کہ حقیقی طور پر اثر انداز ہوتی ہے، ایک ناول "AI سیکورٹی" چیلنج کی طرح کم محسوس ہوتی ہے اور AI ہیٹ پہنے ہوئے بنیادی ڈھانچے کی ناکامی کی طرح زیادہ محسوس ہوتی ہے۔ یہ ایک یاد دہانی ہے کہ جدید ترین AI پلیٹ فارم بھی روایتی کمپیوٹ، نیٹ ورکنگ اور ورچوئلائزیشن کی تہوں پر بنائے گئے ہیں۔ اگر وہ بنیادی پرتیں سوراخوں سے چھلنی ہیں، تو اس سے کوئی فرق نہیں پڑتا کہ آپ کا AI ماڈل کتنا نفیس ہے۔ پورا نظام کمزور رہتا ہے۔ اس کہانی کا "AI" پہلو تقریباً ایک خلفشار ہے، ایک غلط سمت جو ہماری نظریں پالش شدہ فرش بورڈوں کے نیچے سڑتی ہوئی لکڑیوں سے ہٹا دیتی ہے۔
CISA کا KEV بیراج: ایک اہم اشارے
جب کہ ہم جذباتی چیٹ بوٹس کے اخلاقی مضمرات اور AI سیفٹی کی باریکیوں پر بحث کرنے میں مصروف ہیں، CISA اپنے معروف استحصالی خطرات (KEV) کیٹلاگ میں غیر معمولی تعداد میں فعال طور پر استحصال شدہ خطرات کو چھوڑ رہا ہے۔ یہ کوئی نظریاتی مشق نہیں ہے۔ یہ "کسی دن پیچ" کی فہرست نہیں ہے۔ یہ ایک فوری فہرست ہے "آپ کے گھر میں آگ لگی ہے ابھی"۔
حالیہ ہفتوں میں، CISA نے متعدد اندراجات کا اضافہ کیا ہے، جس سے فعال طور پر استحصال کی گئی کمزوریوں کی کل تعداد کو ایک مختصر مدت میں حیران کن تعداد تک پہنچا دیا گیا ہے [2]۔ یہ صرف "سیکیورٹی خراب ہے" نہیں ہے؛ یہ ایک منظم، بڑھتا ہوا بحران ہے جو ہماری دنیا کو چلانے والے انتہائی اہم انٹرپرائز سافٹ ویئر کو متاثر کرتا ہے۔
KEV کیٹلاگ میں حالیہ اضافے پر غور کریں:
- CVE-2023-46214: ایک Splunk Enterprise ریموٹ کوڈ ایگزیکیوشن کمزوری (CVSS 9.8) جس میں CISA پیچ کی آخری تاریخ ہے، جو بغیر پیچ والے سسٹمز کو انتہائی کمزور بناتی ہے۔
- CVE-2023-29357: مائیکروسافٹ شیئرپوائنٹ سرور کے استحقاق میں اضافے کا خطرہ، لاتعداد کارپوریٹ انٹرانیٹ کی ریڑھ کی ہڈی کو متاثر کرتا ہے۔
- CVE-2023-42824: ایپل iOS/iPadOS کرنل کی کمزوری، جس کا پہلے سے ہی ٹارگٹڈ حملوں میں فائدہ اٹھایا گیا ہے، یہ ظاہر کرتا ہے کہ کنٹرول شدہ ماحولیاتی نظام بھی ناقابل تسخیر نہیں ہیں۔
- CVE-2023-30799: MikroTik RouterOS ریموٹ کوڈ پر عمل درآمد کی خامی، جو ہر چیز کو جوڑنے والے راؤٹرز کو متاثر کرتی ہے، اکثر نیٹ ورک کے گہرے کونوں میں بغیر پیچ کے رہ جاتی ہے۔
بڑے وینڈرز - مائیکروسافٹ، ایپل، اسپلنک، مائیکرو ٹک، لینکس، جے فروگ - میں فعال طور پر استعمال شدہ صفر دنوں کا یہ تیز رفتار اضافہ فوری طور پر توجہ کا متقاضی ہے۔ یہ عام انتباہ نہیں ہے؛ یہ ایک سائرن ہے جو براہ راست ہر آئی ٹی اور سیکیورٹی ٹیم پر بج رہا ہے۔ CISA کی KEV فہرست صرف وفاقی ایجنسیوں کے لیے ایک تجویز نہیں ہے۔ یہ تمام تنظیموں کے لیے ایک اہم انتباہ ہے۔ اپنے خطرے میں اسے نظر انداز کریں۔
"AI سیکیورٹی" کا وہم اور خلفشار کی قیمت
یہ غیر آرام دہ حقیقت ہے: AI پلیٹ فارمز اور CISA KEV بیراج میں بنیادی خامیاں ایک ہی مسئلے کے باہم جڑے ہوئے پہلو ہیں۔ وہ دونوں سافٹ ویئر سیکیورٹی میں بنیادی خرابی کے بارے میں چیختے ہیں، لیکن ہماری صنعت کی اجتماعی نگاہیں خطرناک طور پر غلط طریقے سے نظر آتی ہیں۔ ہم "AI" کے وعدے اور خطرے سے اتنے متاثر ہوئے ہیں کہ ہم بنیادی ڈیجیٹل انفراسٹرکچر کو سڑنے دے رہے ہیں۔
"AI سیکورٹی" ایک بزبان لفظ بن گیا ہے، کنسلٹنٹس اور پروڈکٹ مینیجرز کے لیے ایک نیا محاذ۔ لیکن یہ کیا ہے، واقعی؟ اکثر، یہ صرف سیکیورٹی کا اطلاق AI سسٹمز پر ہوتا ہے۔ جی ہاں، AI نئے اٹیک ویکٹرز اور منفرد چیلنجز متعارف کرواتا ہے، لیکن "AI سیکیورٹی" کا ایک اہم حصہ صرف مضبوط انجینئرنگ، محفوظ کوڈنگ کے طریقے، اور مستعد پیچنگ ہے – وہی چیزیں جس میں ہم کئی دہائیوں سے ناکام رہے ہیں۔ پہلے ذکر کیا گیا VM تنہائی کا مسئلہ ایک بہترین مثال ہے: AI پلیٹ فارم کی پیچیدگی کی وجہ سے ایک کلاسک کمزوری کو بڑھاوا دیا گیا ہے۔
ہم تیزی سے کمزور اور فعال طور پر استحصال شدہ بنیادوں کے اوپر ناقابل یقین حد تک پیچیدہ AI سسٹم بنا رہے ہیں۔ یہ ایسا ہی ہے جیسے جدید AI نیویگیشن کے ساتھ خود سے چلنے والی کار کو احتیاط سے ڈیزائن کرنا، جب کہ پہیے گر رہے ہوں اور انجن پھٹ رہا ہو۔ "AI سیکورٹی" پر فوکس اکثر ایک خلفشار، وسائل اور توجہ کو دنیاوی، غیر مسحور کن، لیکن موجودہ انفراسٹرکچر کو محفوظ بنانے کے لیے بالکل اہم کام سے ہٹانے کی طرح محسوس ہوتا ہے۔
کیا ہم اگلی بڑی چیز کا پیچھا کرنے میں اتنے مصروف ہیں کہ ہم موجودہ بڑی چیزوں کو جلنے دے رہے ہیں؟ KEV خطرات کا سراسر حجم اور وسعت بنیادی ڈیجیٹل انفراسٹرکچر کے لیے ایک نظامی اور فوری چیلنج کی نشاندہی کرتی ہے، جو پچھلے AI-مرکزی زیرو ڈے مباحثوں سے الگ ہے۔ یہ AI کے مستقبل کے بارے میں نہیں ہے۔ یہ ہمارے ڈیجیٹل وجود کی موجودہ حالت کے بارے میں ہے۔
اب کیا، CTOs؟
انجینئرنگ لیڈز اور CTOs کے لیے، پیغام سخت اور فوری ہے:
- KEV فہرست کو ترجیح دیں: سب کچھ چھوڑ دیں۔ ان کمزوریوں کو پیچ کریں۔ اسے مینڈیٹ کریں۔ اسے نافذ کریں۔ یہ اختیاری نہیں ہے۔
- بنیادی باتوں کی قیمت پر "AI سیکیورٹی" کی تشہیر میں نہ الجھیں: جی ہاں، AI کے منفرد خطرات کو سمجھیں، لیکن یاد رکھیں کہ مضبوط انجینئرنگ، محفوظ ترقیاتی لائف سائیکل، اور مستعد پیچنگ اب بھی آپ کا بہترین دفاع ہے۔ اگر کوئی حملہ آور آپ کے بنیادی VM یا آپ کے SharePoint سرور کا مالک ہے تو ایک فینسی AI ماڈل آپ کو نہیں بچائے گا۔
- بنیادی سیکورٹی میں سرمایہ کاری کریں: اس کا مطلب صرف دوسرا سیکورٹی ٹول خریدنے سے زیادہ ہے۔ اس کا مطلب ہے لوگوں، عملوں اور ایسی ثقافت میں سرمایہ کاری کرنا جو سیکورٹی کو بنیادی انجینئرنگ ڈسپلن کے طور پر اہمیت دیتا ہے، نہ کہ سوچنے کے بعد۔ بگ باؤنٹی پروگرام بہترین ہیں، لیکن انہیں حفاظتی جال ہونا چاہیے، نہ کہ آپ کی بنیادی حفاظتی حکمت عملی۔
AI پلیٹ فارم کے بنیادی ڈھانچے سے متعلق واقعہ ایک ویک اپ کال ہے، لیکن CISA KEV فہرست فوری خطرے کی گھنٹی ہے۔ ہمیں AI سیکیورٹی کے تازہ ترین اقدامات کی تعریف کرنا چھوڑنا چاہیے اور اپنے حقیقی دفاع میں سوراخ کرنا شروع کرنا چاہیے۔ اے آئی کا مستقبل دلچسپ ہے، لیکن ہماری سیکورٹی کی موجودہ حالت خوفناک ہے۔
ذرائع
[1] AI سیکیورٹی ایک گندگی ہے، اور یہ مزید خراب ہونے والی ہے — https://techcrunch.com/2023/10/11/ai-security-is-a-mess-and-its-about-to-get-worse/ [2] معروف استحصالی خطرات کا کیٹلاگ — https://www.cisa.gov/known-exploited-vulnerabilities-catalog