Ipinakita ng TechCrunch na ang generative AI ay nagpapataas ng lugar ng mga isyu sa seguridad ng negosyo. Sinabi ni Francis de Souza, Chief Operating Officer ng Google Cloud, sa isang aktibidad na habang hinahabol ng mga kumpanya ang AI, hindi dapat iwanan ang seguridad para sa pagkakataon o ipagkaloob sa bawat empleyado. Ayon sa kanya, ang AI strategy ay dapat ipagpatuloy nang sabay sa data strategy at security strategy.
Binabanggit ng artikulo na ang sistema ng paghuhusga ay hindi bagong-bago, ngunit mas mabilis na ipinapakita ang mga panganib pagkatapos ng mabilis na pagpasok ng mga AI tool sa mga proseso ng kumpanya. Lalo na binanggit ni de Souza ang problema ng “shadow AI,” kung saan ang mga empleyado ay nag-iisip sa pamamagitan ng corporate governance at direktang gumagamit ng mga AI tool na para sa personal na paggamit. Ang gawing ito ay nagiging sanhi na mahirap para sa kumpanya na magkaroon ng isang pinagsamang audit, kontrol sa mga pribilehiyo, at pamamahala ng data.
Ang attack surface ay hindi na lang sa tradisyonal na network
Sa paniniwala ni de Souza, ang mga lumang modelo ng depensa ay hindi na nakakatugon sa kasalukuyang ritmo. Sinipi ng artikulo ang kanyang pahayag na ang average na panahon mula sa unang pagbubukas ng sistema hanggang sa pagpasok ng pag-atake sa susunod na yugto ay bumaba mula sa 8 oras hanggang sa 22 segundo. Samantala, ang mga negosyo ay hindi na lamang nangangailangan na protektahan ang network at endpoint.
Ang mga panganib sa kasalukuyan ay kasama ang mga bagong bahagi tulad ng modelo, ang pipeline ng training data, ang agent, at ang mga prompt. Lalo na ang AI agent na tumatakbo sa loob ng isang kumpanya, maaaring awtomatikong makahanap ng mga data warehouse na hindi na pinapansin sa loob ng maraming taon at muli pang ipakita ang mga nakatagong sensitibong impormasyon.
Ang Google ay nagtataguyod ng platform-based protection
Ang paraan na ibinigay ni de Souza ay ang pagpapalit ng depensa patungo sa “machine-to-machine.” Sinabi niya na kailangan ng mga negosyo na gamitin ang platform-based approach upang panatilihin ang magkakasunod na patakaran sa kaligtasan sa iba’t ibang cloud environment at iba’t ibang model, kesa magpapalit ng mga butas pagkatapos ng paglunsad ng negosyo.
Sinabi niya rin na hindi na ito lamang ang trabaho ng security team, kundi isang isyu kung saan kailangan ng direkta ng pagkakaalam ng board at management. Dahil sa pagbabago ng AI sa paraan ng pag-access sa mga loob na sistema ng kumpanya, ang mga tradisyonal na security process na nakasalalay sa tao ay nagiging mahirap maisagawa nang maayos.
Gayon, binanggit din ng artikulo na kulang pa rin ang industriya sa sapat na mga eksperto na makakapagmonito sa ganitong mga sistema. Sinabi ni Lea Kissner, Chief Information Security Officer ng LinkedIn, sa The New York Times sa linggong ito na ang bilis ng pagdami ng mga butas dulot ng AI ay mas mabilis kaysa sa kakayahan ng mga security team na harapin ito, at maaaring kailanganin pa ng industriya ng ilang taon upang makabuo ng mas matatag na pag-unawa sa AI security.
Ang Gemini incident ay nagpapakita ng pagkakaiba sa pagpapatupad ng platform
Naniniwala ang artikulo na bagaman ang mga payo sa kaligtasan na ipinakilala ng Google Cloud ay makatotohanan, mayroon pa ring malinaw na kulang sa pagsasagawa ng platform mismo. Ipinagpatuloy ng The Register ang pagbabalita na ilang developer ng Google Cloud ay natanggap ng mga taksil na nasa antas ng mga libo-libong dolyar dahil sa hindi pinahintulutang pagtawag sa Gemini API, at ang ilan sa kanila ay hindi aktibong pinagana ang kaugnay na serbisyo.
Ang ulat ay nagbanggit na ang karamihan sa mga kaso ay may kinalaman sa mga API key na eksplisitong inilabas. Ang mga kaugnay na key ay orihinal na ginamit para sa Google Maps at inilagay sa publiko ayon sa mga paunang gabay ng Google. Pagkatapos, palawigin ng Google ang sakop ng mga key na ito, ngunit hindi malinaw na binigyan ng impormasyon ang mga developer tungkol sa pagbabago, kaya nagkaroon ng pagkakataon ang mga hacker na makapag-access sa mga serbisyo ng Gemini at magpalabas ng mataas na gastos.
- Sinabi ni Prentus na nagkakahalaga ng $10,138 sa loob ng 30 minuto
- Natanggap ng isang ibang developer ng tantiyang ₱17,000 na taksil
- Ang tunay na limitasyon ay maaaring tumataas hanggang $100,000 pagkatapos ng awtomatikong pagtaas.
Pagkatapos ng pagkakasulat sa mga media, binayaran na ng Google ang mga developer na nasakop, ngunit hindi ito plano na baguhin ang patakaran sa awtomatikong pagtaas ng antas ng pagbabayad. Ang dahilan na ibinigay ng kumpanya ay ang mas malaking pagpapahalaga ng platform sa pag-iwas sa paghinto ng serbisyo kaysa sa pagsunod nang walang kompromiso sa itinakdang limitasyon ng budget ng user.
Mayroon pa ring available window pagkatapos tanggalin ang key
Binanggit din ng artikulo ang isang pag-aaral mula sa security company na Aikido. Ayon sa pag-aaral, kahit pa ang mga developer ay agad na tanggalin ang key matapos malaman ang paglabas nito, maaari pa ring gamitin ng mga attacker ang key sa loob ng hanggang 23 minuto, dahil ang pagpapahinto ng Google ay nagpapalaganap nang paulit-ulit sa infrastraktura, at hindi agad na nakakapag-activate.
Sinabi ni Joseph Leon, researcher ng Aikido, na sa panahong ito, ang pagkakatotoo ng mga hiling ay hindi nakapapanatili, ngunit ang ilang mga panahon ay maaaring umabot sa higit sa 90% ang tagumpay. Maaaring gamitin ng mga attacker ang window na ito upang patuloy na i-export ang mga file o basahin ang cached na data ng mga usapan ng Gemini.
Tinukoy ni Leon na ang ilang bagong anyo ng mga kredensyal ng Google ay walang parehong problema. Halimbawa, ang mga kredensyal ng API ng service account ay maaaring irerevoke sa loob ng halos 5 segundo, at ang mga mas bagong AQ-prefix key ng Gemini ay mawawala sa loob ng halos 1 minuto. Ibig sabihin nito, ang 23-minutong bintana ng mga lumang key ay hindi talaga teknikal na hindi malulutas, kundi mas isang resulta ng pagpili ng prioridad ng platform.
Karagdagang impormasyon: Ang artikulong ito ay isang opinyon mula sa foreign media; ang pangunahing punto ay hindi ang pagtutol sa mga payo sa kaligtasan ng Google, kundi ang pagtukoy sa pagkakaiba sa bilis ng reaksyon ng platform sa mga produkto nito, lalo na sa pagbebenta at pamamahala ng mga key habang itinataguyod nito ang pagiging proaktibo ng mga negosyo.