Careva nova veštačka inteligencija i trula osnova ispod nje
Sjećate li se kada je AI trebala sve nas spasiti? Ispostavilo se da spasioci sada traže tajm-aut. Upravo nedavno, sami arhitekti naše budućnosti vođene umjetnom inteligencijom – istraživači “graničnih” i financijski teškaši – zajedno su pritisnuli kočnice, zahtijevajući usporavanje razvoja zbog “eskalacije sigurnosnih briga” [1]. Tržište, oduvijek tupi instrument, odgovorilo je iskašljavanjem pluća: dionice čipova i glavni igrači umjetne inteligencije su pali [2]. Peking se, kako se moglo i predvidjeti, podsmjehivao upozorenjima, dok su seulski čipovi giganti odbijali unaprijed platiti za buduća unapređenja AI [2].
Ovo nije samo filozofska rasprava o tornju od slonovače. Ovo je seizmički pomak, javno priznanje nepromišljenosti unutar elite industrije. I iskreno, malo je previše zgodno.
Pauza AI: altruizam ili moćna igra?
Da budemo jasni: kada ljudi koji su napravili raketu iznenada shvate da su zaboravili padobrane nakon lansiranja, to nije trenutak dubokog etičkog buđenja. To je zakašnjela, sebična strka. Ovo nisu idealisti širom otvorenih očiju; ovo su titani koji guraju pedalu do metala, jureći eksponencijalni rast i dominaciju na tržištu. Sada, sa bauk "nepredviđenih posljedica" koji se nazire velikim - i možda, što je još cinično, spoznajom da je trenutni tempo neodrživ ili da moraju učvrstiti svoju prednost - oni pozivaju na kolektivni dah.
Reakcija tržišta govori. Pad zaliha čipova nije samo strah; radi se o neposrednim finansijskim implikacijama potencijalnog usporavanja. Odbijanje Pekinga? Jasan signal da nacionalna strateška prednost nadmašuje apstraktne sigurnosne brige. A proizvođači čipova u Seulu odbijaju plaćanje unaprijed? To je zvuk kapitala koji dovodi u pitanje dugoročnu stabilnost i profitabilnost iznenada neizvjesne budućnosti.
Za nas, tehničke direktore i inženjere, ovo se direktno prevodi u haotičan krajolik. Očekujte da se regulatorne intervencije ubrzaju, što će nametnuti promjenu prioriteta projekata umjetne inteligencije. Etos "pokreni se brzo i razbij stvari" za AI je službeno mrtav, zamijenjen bjesomučnom potragom za okvirima "etičkog razvoja umjetne inteligencije" koji je trebao biti zapečen od prvog dana. Ulaganje će postati opreznije, strategije će se okretati, i da, tržišta rada će osjetiti hladnoću jer zlatna groznica bude ustupila mjesto odmjerenijem i, nadamo se, odgovornijem pristupu. Ali nemojmo ovo zamijeniti za čisti altruizam. Ova "pauza" se odnosi koliko na kontrolu i rekalibraciju tržišta, tako i na stvarnu sigurnost.
Dok se Titani raspravljaju, Fondacija se ruši
Sada, dok AI elita ima svoju egzistencijalnu krizu, raspravljajući o etici buduće superinteligencije, hajde da pričamo o veoma stvarnoj, veoma sadašnjoj i krajnje katastrofalnoj bezbednosnoj krizi koja se odvija upravo sada.
Ove sedmice, CISA je dodala više novih CVE-ova u svoj katalog poznatih eksploatiranih ranjivosti [3]. Govorimo o potvrđenom root RCE-u u Cisco Secure Email Gateway-u (CVE-2023-20269) [4], CVSS 10.0 prelasku putanje u GitLab-u (CVE-2023-2825) [3], i nedavno zakrpljenom Chrome-u nultom danu (CVE-2023-20269) koji zahtijeva pažnju.
Ali pravi udar u stomak, onaj zbog kojeg bi svaki profesionalac za bezbednost trebalo da vrišti u prazninu, je stalna pretnja temeljnim nedostacima. Uzmite u obzir CVE-2021-1647, ranjivost lokalne eskalacije privilegija u mehanizmu zaštite od zlonamjernog softvera Microsoft Defender-a [5]. Ovo nije bila neka opskurna mana; imao je javni dokaz koncepta i bio je aktivno iskorištavan u divljini, naglašavajući kako kritične komponente naše digitalne odbrane mogu biti ugrožene i ostati ranjive neko vrijeme.
Neka to uđe u vodu. Dok raspravljamo o etici AI osjećaja, pokazalo se da sam softver dizajniran da zaštiti naše krajnje tačke, temeljni sloj naše digitalne odbrane, ima javno poznate, aktivno iskorištavane nedostatke koji omogućavaju napadaču da podigne privilegije. To je kao da se raspravljate o filozofskim implikacijama warp pogona dok tvom autu otkazuju kočnice i motor gori.
Obračun: dvije strane istog novčića
Ovo nisu odvojene priče. To su dvije strane istog novčića s dubokim nedostacima: tehnološka industrija koja stalno daje prioritet brzini, novostima i percipiranim inovacijama u odnosu na temeljnu sigurnost, stabilnost i odgovornost.
Iznenadni poziv vođa AI na usporavanje je reaktivan, sebičan pokušaj ispravljanja kursa *nakon što su već pustili moćne, slabo razumljive sisteme u divljinu. Priznanje je da mantra „brzo se kreći i razbijaj stvari“, kada se primjenjuje na tehnologiju koja potencijalno mijenja svijet, nije samo neodgovorna, već i opasna.
Napad nultog dana, posebno kritična ranjivost Defender-a, direktna je, bolna posljedica ovog istog načina razmišljanja primijenjenog na temeljne IT. To je rezultat kulture koja sigurnost često tretira kao naknadnu misao, okvir za potvrdu usklađenosti ili troškovni centar, a ne kao integralnu komponentu o kojoj se ne može pregovarati svakog pojedinačnog proizvoda i sistema. Toliko smo zauzeti jurnjavom za sljedećim sjajnim objektom – sljedećim LLM, sljedećim AI agentom – da smo pustili da nam tlo pod nogama istrune.
Za tehničke direktore i inženjere, poruka je oštra i trenutna. Prestanite loviti svaki AI trend koji prelazi u vaš feed. Udvostručite osnove. Dajte prioritet zakrpama, posebno za kritične, aktivno iskorištavane ranjivosti poput onih u Cisco-u, GitLabu i trajne prijetnje o kojima su primjeri prošlih Defenderovih LPE-ova. Implementirajte robusna ublažavanja. Zahtijevajte odgovornost od svojih dobavljača za njihov sigurnosni položaj, a ne samo za njihovu mapu puta.
Pad tržišta i neriješeni temeljni sigurnosni problemi nisu samo vijesti. Oni su obračun. Tehnološki svijet koji je prebrz, previše nepromišljen, i konačno, previše izložen. Vrijeme je da odrastemo, osiguramo svoje temelje, a zatim, tek tada, oprezno razmotrimo sljedeću granicu.
Izvori
[1] Institut za budućnost života — Pauzirajte eksperimente Giant AI: Otvoreno pismo — https://futureoflife.org/open-letter/pause-giant-ai-experiments/ [2] CNBC — Stručnjaci za AI pozivaju na pauzu u razvoju naprednih AI sistema — https://www.cnbc.com/2023/03/29/ai-experts-call-for-pause-in-development-of-advanced-ai-systems.html [3] CISA — Katalog poznatih eksploatiranih ranjivosti — https://www.cisa.gov/known-exploited-vulnerabilities-catalog [4] Cisco Security Advisory — Cisco Secure Email and Web Manager, Cisco Email Security Appliance i Cisco Web Security Appliance ranjivosti — https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-sma-rceu-q5Q8S [5] Microsoft Security Response Center — Ranjivost eskalacije lokalnih privilegija Microsoft Defender — https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1647