Nulles dienas un nulles pārraudzība: stāsts par divām tehniskajām realitātēm
Iedomājieties, ka jūsu SOC komanda ar dulsām acīm skatās uz mirgojošu sarkanu brīdinājumu. 2023. gada oktobrī ir pulksten 3:00, un ziņas nav labas: divas kritiskās nulles dienas jūsu Citrix NetScaler ADC un Gateway, kas tiek aktīvi izmantotas, iespējojot attālo kodu izpildi (RCE) ar pielāgotu ļaunprātīgu programmatūru, kas tiek novērota savvaļā. CISA Known Exploited Vulnerabilities (KEV) katalogs tikko pievienoja tos [1, 2, 3, 4]. Tas nav teorētisks drauds; tas ir nozīmīgs, starptautisks incidents, kas ietekmē kritisko uzņēmumu infrastruktūru valsts, finanšu, izglītības un juridiskajos sektoros Ziemeļamerikā un Eiropā. Kamēr jūsu komandas cīnās, lai ierobežotu asiņošanu, nikni lāpīšanu un kriminālistikas izmeklēšanu par to, kas varētu būt katastrofāls pārkāpums, paslīd vēl viens virsraksts: prezidents Tramps ir panācis "brīvprātīgu vienošanos" ar vadošajām tehnoloģiju firmām mākslīgā intelekta attīstībai, solot nozares paškontroli [5].
Pretstatījums ir krasi nesaderīgs. No vienas puses, mēs saskaramies ar mūsu pašreizējās digitālās vides brutālo, nenoliedzamo realitāti: pastāvīgu, augstu likmju cīņu pret izsmalcinātiem pretiniekiem, kuri izmanto fundamentālos trūkumus pašā infrastruktūrā, kas ir mūsu mūsdienu pasaules pamatā. No otras puses, politiska izrāde, kas liek domāt, ka visvairāk transformatīvās, bet dziļi nenoteiktās tehnoloģijas nākotni var droši pārvaldīt tā pati nozare, kas pastāvīgi cīnās ar pamata drošību un ētisku pašpārvaldi.
Citriksas katastrofa: dziļākas puves simptoms
Būsim skaidrs: Citrix nulles dienas, piemēram, CVE-2023-4966 (pazīstama kā Citrix Bleed) un CVE-2023-3519, nav tikai "vēl viena ievainojamība". Tie atspoguļo steidzamu krīzi datu centrā, tiešu, nepārtrauktu uzbrukuma kampaņu, kas prasa tūlītēju, visaptverošu atbildi [1, 2, 3, 4]. Attālā koda izpilde ADC vai vārtejā ir atvērtā kritiskā piekļuves punkta digitālais ekvivalents. Tas attiecas ne tikai uz ielāpu; tas ir par mūsu uzņēmuma arhitektūras sistēmisko trauslumu.
Gadiem ilgi mēs esam veidojuši sarežģītas, savstarpēji saistītas sistēmas, bieži paļaujoties uz dažiem kritiskiem pārdevējiem pamata infrastruktūrai. Citrix, tāpat kā daudzi citi, sniedz būtiskus pakalpojumus, taču ar šo centrālo nozīmi ir saistīts milzīgs risks. Ja nulles dienas līmenī tiek apdraudēts tāds pamatkomponents kā NetScaler, pulsācijas efekts ir postošs. Tas atklāj raksturīgo trūkumu, paļaujoties uz vienu atteices punktu, neatkarīgi no tā, cik izturīgs tas ir domājams. Lai gan direktīva "nekavējoties jāpielāgo", šķiet, ka tas ir virspusējs līdzeklis sistēmiskai problēmai. Tas nerisina pamatproblēmas: sarežģītību, kas rada ievainojamības, lēno drošības atjauninājumu tempu no dažiem pārdevējiem un bieži vien nepietiekamas padziļinātas aizsardzības stratēģijas, kas neizdodas, kad perimetrs tiek pārkāpts tā viskritiskākajā punktā.
Tā nav tikai tehniska problēma; tas ir biznesa nepārtrauktības murgs. Datu pārkāpumi, darbības traucējumi, regulējošie naudas sodi, reputācijas kaitējums – izmaksas ir astronomiskas. Un priekš kam? Lai efektīvi darbinātu tīklu? Mēs maksājam lielu cenu par ērtībām un uztverto efektivitāti, cenu, kas tiek mērīta bezmiega naktīs CTO un drošības komandām, un, iespējams, par sabiedrības uzticības samazināšanos. Fakts, ka šīs ir aktīvas ekspluatācijas nulles dienas, izmantojot pielāgotu ļaunprogrammatūru, liecina, ka tās nav skriptu bērni. Tie ir labi resursi, pastāvīgi apdraudējuma dalībnieki, kuru mērķis ir augstvērtīgi aktīvi [3]. Ja mēs nevaram nodrošināt savas esošās digitālās pasaules pamatslāņus, kādas cerības mums ir uz eksponenciāli sarežģītāku nākotni?
AI mežonīgie rietumi: uzticēšanās savām interesēm nosaka drošību
Un, runājot par šo nākotni, pievērsīsimies AI “paškontroles” līgumam. Prezidenta Trampa paziņojums, lai arī politiski nozīmīgs, ir mācību piemērs atbildības apiešanai [5]. "Brīvprātīga" un "paškontrole" ir termini, kuriem vajadzētu izraisīt bažas ikvienā, kurš ir vērojis tehnoloģiju nozares darbību pēdējo divu desmitgažu laikā. Mēs jau esam novērojuši šo modeli, vai ne? Sociālo mediju uzņēmumi "brīvprātīgi" kontrolē naida runu, meklētājprogrammas "pašregulē" datu privātumu, bet lietotņu veikali "neatkarīgi" nodrošina godīgu konkurenci. Sasniegumu rekords ir, maigi izsakoties, bezcerīgs.
Ideja, ka pašiem uzņēmumiem, kas sacenšas, lai izstrādātu un ieviestu jaudīgas mākslīgā intelekta sistēmas — sistēmas ar potenciālu pārveidot ekonomiku, ietekmēt vēlēšanas un pat radīt jaunus sabiedrības riska veidus, — var uzticēties noteikt un īstenot savas ētikas un drošības vadlīnijas, labākajā gadījumā ir naiva, bet sliktākajā — bīstami bezatbildīga. Tās ir korporācijas, kuras virza peļņa un dominējošais stāvoklis tirgū. Viņu galvenais uzticības pienākums ir pret akcionāriem, nevis pret abstrakto sabiedriskā labuma vai ētiskā AI jēdzienu.
Šī "vienošanās" ir administrācijas politisks ieguvums, ļaujot tai pieprasīt rīcību saistībā ar mākslīgo intelektu, neveicot juceklīgos tiesību aktus vai regulatīvo pārraudzību. Tas ir arī milzīgs ieguvums uzņēmumam Big Tech, pērkot viņiem laiku un brīvību no potenciāli apgrūtinošiem noteikumiem, kas varētu palēnināt jauninājumus vai ietekmēt to rezultātu. Bet mums pārējiem — tehnoloģiju profesionāļiem, kas veido šīs sistēmas, uzņēmumiem, kas uz tām paļausies, un sabiedrībai kopumā — tas ir bīstams precedents. Tas norāda uz vēlamo pieeju AI pārvaldībai, kurā uzņēmuma autonomija ir prioritāte, nevis sabiedrības drošība un atbildība.
Atvienošanās: balstoties uz nestabiliem pamatiem
Lūk, neērtā patiesība: mēs vienlaikus nespējam nodrošināt savu tagadni un bīstami nepareizi pārvaldām savu nākotni. Mēs veidojam arvien sarežģītākas mākslīgā intelekta sistēmas, pamatojoties uz digitālo nestabilitāti, kur kritisko infrastruktūru regulāri apdraud sarežģīti pretinieki. Tiem pašiem nozares līderiem, kuri, šķiet, nevar novērst to, ka viņu produkti kļūst par globāliem uzbrukuma vektoriem, tagad tiek lūgti "pašpolitizēt" vispārējā mākslīgā intelekta ētiskās un drošības sekas.
Tas nav tikai atvienošanās; tā ir pamatīga plaisa. Tā kā CTO un inženieri vada, mēs esam iekļuvuši pa vidu. Mums ir uzdots novērst tūlītējus, eksistenciālos draudus, piemēram, Citrix nulles dienas, vienlaikus liekot sagatavoties AI vadītai nākotnei, kurā noteikumi tiek izstrādāti, mums ejot, un lielākoties paši spēlētāji.
Brīvprātīga AI vienošanās nav risinājums; tā ir aizkavēšanās taktika. Tas atliek pārskatatbildību, nodrošinot, ka tad, kad AI notiek neizbēgami ētiski pārkāpumi, aizspriedumi vai pat katastrofālas neveiksmes, sabiedrība paliks aizdomājusies, kāpēc jau no paša sākuma nebija stingras, neatkarīgas uzraudzības. Un, kad šīs neveiksmes notiks, tās nebūs teorētiskas. Tie būs tikpat reāli un kaitīgi kā RCE jūsu NetScaler, tikai ar potenciāli daudz plašāku ietekmi uz sabiedrību.
Mums ir jāpieprasa vairāk. Mums ir nepieciešama spēcīga, proaktīva mūsu pārdevēju drošība, nevis tikai reaģējoši ielāpi pēc fakta. Un mums ir vajadzīgs patiess, neatkarīgs AI regulējums, nevis tikai rokasspiediena vienošanās starp politiķiem un korporācijām. Jo, ja mēs pat nevaram nodrošināt savu galveno infrastruktūru, kā mēs varam uzticēties arhitektiem atbildīgi veidot nākamās paaudzes civilizāciju? Pagaidām atbilde ir tāda, ka mēs nevaram.
Avoti
[1] CISA pievieno Citrix NetScaler ADC un vārtejas ievainojamību (CVE-2023-4966) zināmo izmantoto ievainojamību katalogam — https://www.cisa.gov/news-events/alerts/2023/10/24/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [2] Citrix drošības biļetens CVE-2023-4966 un CVE-2023-4967 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve26-37-49626-37. [3] Mandiant: UNC4841 izmanto Citrix NetScaler ADC un Gateway Zero-Day (CVE-2023-4966) — https://www.mandiant.com/resources/blog/citrix-bleed-zero-day-exploitation [4] CISA pievieno Citrix NetScaler ADC un vārtejas ievainojamību (CVE-2023-3519) zināmo izmantoto ievainojamību katalogam — https://www.cisa.gov/news-events/alerts/2023/07/21/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [5] Tiešsaistes atjauninājumi: Tramps paraksta brīvprātīgu vienošanos ar mākslīgā intelekta vadītājiem tehnoloģiju jomā... — https://apnews.com/live/trump-cnn-media-midterm-elections-news-updates-09-29-2026