Το περιστατικό OpenAI-Hugging Face(ανοίγει σε νέο παράθυρο) αποτέλεσε ορόσημο για την κυβερνοασφάλεια, επειδή έδωσε μια πρόγευση του τρόπου με τον οποίο θα εξελιχθούν τους επόμενους μήνες οι δυνατότητες ενός τυπικού φορέα απειλής. Τις τελευταίες εβδομάδες συζήτησα με πολλούς οργανισμούς και ένα θέμα είναι ξεκάθαρο: γνωρίζουν ότι πρέπει να αναβαθμίσουν ριζικά τις πρακτικές κυβερνοασφάλειάς τους με πρωτοφανή ταχύτητα. Σε αυτή την ανάρτηση θα εξηγήσω τι κάνουμε για να προστατεύσουμε την OpenAI, ποια συγκεκριμένα μέτρα μπορούν να λάβουν σήμερα άλλοι οργανισμοί και γιατί πρέπει να δράσουμε τώρα.
Τα μοντέλα ΤΝ που αναπτύσσονται παγκοσμίως μπορούν όλο και περισσότερο να αυτοματοποιούν τμήματα πραγματικών κυβερνοεπιθέσεων, διευκολύνοντας τον εντοπισμό και την εκμετάλλευση χρόνιων κενών ασφαλείας — από σφάλματα βαθιά κρυμμένα σε λογισμικό γραμμένο από ανθρώπους έως ξεχασμένες άδειες πρόσβασης. Οι ίδιες δυνατότητες ΤΝ προσφέρουν στους αμυνόμενους νέους τρόπους να βρίσκουν και να διορθώνουν αυτές τις αδυναμίες, ωστόσο πρέπει να κινηθούν τώρα. Αν οι εταιρείες δράσουν αποφασιστικά —βελτιώνοντας, μεταξύ άλλων, τα θεμελιώδη στοιχεία τους και ενισχύοντας τις ομάδες τους με τεχνητή νοημοσύνη— μπορούμε να καταστήσουμε το διαδίκτυο ασφαλέστερο από ποτέ.
Στο περιστατικό OpenAI-Hugging Face, μια συλλογικότητα βάσει πρακτόρων κατάφερε να διεισδύσει αυτόνομα όχι μόνο στην ερευνητική υποδομή της OpenAI αλλά και στην υποδομή παραγωγής μιας άλλης εταιρείας, συνδυάζοντας ευπάθειες που κυμαίνονταν από άγνωστα έως τότε κενά ασφαλείας μέχρι τη χρήση στοιχείων σύνδεσης λογαριασμών χρηστών που είχαν διαρρεύσει στο διαδίκτυο. Γίνεται όλο και σαφέστερο ότι το τεχνικό χρέος(ανοίγει σε νέο παράθυρο) κάθε εταιρείας συγκαλύπτει σημαντικά ελαττώματα και οι αμυνόμενοι πρέπει να τα βρουν και να τα διορθώσουν πριν από τους επιτιθέμενους.
Για να δώσουμε στους αμυνόμενους πλεονέκτημα έναντι των επιτιθέμενων, στις αρχές του έτους αρχίσαμε να διαθέτουμε τις δυνατότητές μας στον κυβερνοχώρο μόνο σε έμπιστους αμυνόμενους. Έκτοτε, διάφορες εταιρείες έχουν κυκλοφορήσει μοντέλα ανοικτής στάθμισης με δυνατότητες στον κυβερνοχώρο που απέχουν μόλις λίγους μήνες από τα κορυφαία μοντέλα. Το πιο πρόσφατο από αυτά τα μοντέλα φαίνεται ότι πρόκειται να κυκλοφορήσει(ανοίγει σε νέο παράθυρο) στα τέλη Αυγούστου και πιθανότατα θα επιταχύνει σημαντικά την εξέλιξη του τοπίου απειλών.
Παρότι σύντομα οι επιτιθέμενοι που αξιοποιούν ΤΝ θα μπορούν να εντοπίζουν χρόνιες αδυναμίες σε πολλά υφιστάμενα συστήματα, η ΤΝ θα διευκολύνει σημαντικά και τους αμυνόμενους ώστε να εντοπίζουν, να ιεραρχούν και να διορθώνουν τις ίδιες αδυναμίες. Η ασφάλεια παραμένει ένα παιχνίδι γάτας και ποντικιού, αλλά η τεχνητή νοημοσύνη μπορεί να αλλάξει τα οικονομικά δεδομένα(ανοίγει σε νέο παράθυρο) με τρόπους που ευνοούν ουσιαστικά τους αμυνόμενους. Για παράδειγμα, αρχίζουμε να εκπαιδεύουμε εξειδικευμένα τα μοντέλα μας ώστε να γράφουν κώδικα με επίπεδο ασφάλειας ανώτερο από τις ανθρώπινες δυνατότητες. Τα μοντέλα μας είναι επίσης εξαιρετικά στις μαθηματικές αποδείξεις, οι οποίες μπορούν να χρησιμοποιηθούν για την τυπική επαλήθευση της ασφάλειας λογισμικού με τρόπο που έχει αποδειχθεί απαγορευτικά δύσκολος για τους ανθρώπους.
Μετά το περιστατικό OpenAI-Hugging Face, ζήτησα από το ChatGPT Work (χρησιμοποιώντας το δημόσια διαθέσιμο GPT‑5.6 Sol) να αξιολογήσει την ασφάλεια του gregbrockman.com(ανοίγει σε νέο παράθυρο). Είναι ένας απλός στατικός ιστότοπος, φιλοξενούμενος στο AWS με το Cloudflare ως πύλη εισόδου, οπότε υπέθεσα ότι η επιφάνεια πιθανών ευπαθειών θα ήταν περιορισμένη.
Σε περίπου 15 λεπτά αποκάλυψε 13 προβλήματα, πολλά από τα οποία πιθανότατα δεν είναι εκμεταλλεύσιμα από μόνα τους — μπορούσα όμως να φανταστώ ότι, αν συνδυάζονταν με άλλες ευπάθειες, θα είχαν σημαντικό αντίκτυπο. Δεν είχα ρυθμίσει τις εγγραφές DNS ώστε να εμποδίζουν τους επιτιθέμενους να πλαστογραφούν email στο όνομά μου. Ο ιστότοπός μου χρησιμοποιούσε μη ασφαλή έκδοση του jQuery και το Cloudflare προωθούσε αιτήματα στο AWS μέσω μη κρυπτογραφημένου HTTP.
Στη συνέχεια ζήτησα από το ChatGPT Work να διορθώσει αυτά τα προβλήματα, κάτι που έκανε μέσα σε μία ώρα. Άνοιξε τον πίνακα ελέγχου του Cloudflare στο πρόγραμμα περιήγησής μου και πάτησε διαδοχικά πολλά κουμπιά για να ρυθμίσει σωστά το DNS, το TLS και τις προηγμένες ρυθμίσεις ασφαλείας. Αφαίρεσε πλήρως το jQuery από τον ιστότοπο, με μετέφερε από το AWS στο Cloudflare Pages και ξεκίνησε σταδιακή εφαρμογή του DMARC(ανοίγει σε νέο παράθυρο).
Και αυτός ήταν απλώς ο προσωπικός μου ιστότοπος. Αυτό είναι ένα μικρό παράδειγμα του πώς τα υπάρχοντα μοντέλα μας μπορούν να λειτουργήσουν ως κυβερνοφύλακες: εντοπίζουν τα πολυάριθμα λιγότερο προφανή προβλήματα που ένας άνθρωπος δεν θα είχε χρόνο ή τεχνογνωσία για να τα αντιμετωπίσει —πολλές από τις ρυθμίσεις που διόρθωσε μού ήταν αμυδρά γνωστές, ωστόσο δεν θα ήξερα άμεσα πώς να τις διαμορφώσω σωστά— και κατόπιν τα διορθώνουν με ένα κατάλληλα προσαρμοσμένο σχέδιο σταδιακής εφαρμογής.
Το περιστατικό Hugging Face έδειξε ότι υποτιμήσαμε τις πραγματικές δυνατότητες των μοντέλων ΤΝ μας στον κυβερνοχώρο. Ενισχύουμε ανάλογα τις απαιτήσεις ασφαλείας μας, γεγονός που καθιστά ακόμη πιο επείγουσες την υφιστάμενη έρευνά μας για την ασφάλεια και τις εργασίες εσωτερικής ασφάλειας.
Μοιράζομαι ορισμένα στοιχεία για την προσέγγισή μας όσον αφορά την προστασία της OpenAI σε αυτή τη συγκυρία, με την ελπίδα ότι θα φανούν χρήσιμα και σε άλλους οργανισμούς. Για να προστατεύσουμε την OpenAI, επενδύουμε σημαντικά τόσο σε θεμελιώδεις δικλίδες —κάνοντας σωστά τα βασικά— όσο και στην ενίσχυση της άμυνάς μας μέσω κορυφαίας νοημοσύνης. Η στρατηγική αυτή βασίζεται σε τέσσερις κύριους πυλώνες.
Πρώτον, χρησιμοποιούμε τα μοντέλα μας για να ενισχύσουμε την ασφάλεια του κώδικά μας. Το Codex, μαζί με το plugin ασφαλείας μας, επικυρώνει αλλαγές στον κώδικα, εντοπίζει ευπάθειες και βοηθά τους προγραμματιστές να διορθώνουν προβλήματα πριν από την ανάπτυξή τους. Δεν επιδιώκουμε απλώς να παράγουμε περισσότερα ευρήματα ασφαλείας που απαιτούν ανθρώπινη επικύρωση. Στόχος μας είναι να εντοπίζουμε πραγματικές ευπάθειες πριν κυκλοφορήσουν και να συντομεύουμε τη διαδρομή από την ανακάλυψη ενός προβλήματος έως την ασφαλή ανάπτυξη της διόρθωσής του. Καθώς συνεχίζουμε να εκπαιδεύουμε τα μοντέλα μας ώστε να παράγουν ολοένα ασφαλέστερο κώδικα, ο στόχος μας είναι να εξαλείψουμε ορισμένες κατηγορίες ευπαθειών λογισμικού από τον νέο κώδικα.
Δεύτερον, θέτουμε τα μοντέλα μας στην υπηρεσία της συνεχούς προστασίας των υποδομών μας. Σήμερα, σχεδόν όλες οι αρχικές ειδοποιήσεις ασφαλείας αξιολογούνται πρώτα από το επίπεδο ευφυΐας και έπειτα εμπλέκονται άνθρωποι. Έτσι περιορίζεται ο φόρτος επαναλαμβανόμενης εργασίας για τους αμυνόμενους, βελτιώνεται ο χρόνος απόκρισης και οι άνθρωποι εστιάζουν εκεί όπου οι δεξιότητές τους έχουν τη μεγαλύτερη αξία: στη διάκριση, στην κρίση και στην εφαρμοσμένη τεχνογνωσία. Συνδέουμε όλο και περισσότερο αυτούς τους εντοπισμούς με οριοθετημένες αυτοματοποιημένες αποκρίσεις, διατηρώντας παράλληλα τους ανθρώπους υπεύθυνους για τις αποφάσεις με τον μεγαλύτερο αντίκτυπο. Στόχος είναι να μπορούμε να εντοπίζουμε και να αντιμετωπίζουμε ζητήματα ασφαλείας με την ταχύτητα μιας μηχανής.
Τρίτον, χρησιμοποιούμε κορυφαίο επίπεδο ευφυΐας για να καταγράφουμε, διερευνούμε και εντοπίζουμε διαρκώς πιθανές διαδρομές επίθεσης. Εντοπίζοντας ευπάθειες, εσφαλμένες ρυθμίσεις, ταυτότητες με υπερβολικά δικαιώματα ή ακούσια όρια εμπιστοσύνης, μπορούμε να αναγνωρίζουμε και να κλείνουμε γρήγορα αυτά τα κενά προτού τα εκμεταλλευτούν επιτιθέμενοι. Έτσι μπορούμε να αξιολογούμε, παρακολουθούμε και δοκιμάζουμε διαρκώς τις αμετάβλητες αρχές ασφαλείας μας —τις ιδιότητες ασφαλείας που θεωρούμε ότι ισχύουν— σε όλα τα προϊόντα, τις υποδομές και τα συστήματά μας.
Τέλος, επενδύουμε σημαντικά στις θεμελιώδεις αρχές σε μεγάλη κλίμακα. Συνεχίζουμε να επενδύουμε σε ασφαλή αρχιτεκτονική και δικλίδες ελέγχου, να υιοθετούμε στρατηγικές όπως η άμυνα σε βάθος και η αρχή των ελάχιστων δικαιωμάτων, και να σχεδιάζουμε συστήματα που απαιτούν την ταυτόχρονη αποτυχία πολλαπλών ανεξάρτητων δικλίδων ελέγχου προκειμένου να συμβεί κάτι καταστροφικό. Οι κλασικοί έλεγχοι ασφαλείας, όπως η απομόνωση δικτύου, η σκλήρυνση των φόρτων εργασίας, η παρακολούθηση, καθώς και η ασφαλής εφαρμογή ενημερώσεων κώδικα και η ασφαλής ανάπτυξη, θα είναι πιο σημαντικοί από ποτέ στο μέλλον της ΤΝ.
Ο χρόνος πιέζει και οι αμυνόμενοι θα πρέπει να ακολουθήσουν τα παρακάτω βήματα με εξαιρετική ταχύτητα. Παρακάτω θα αναφερθώ στην τεχνολογία της OpenAI, αλλά υπάρχουν και πολλοί ανταγωνιστές στο οικοσύστημα που αξίζει να αξιολογηθούν. Αυτό που έχει σημασία δεν είναι τόσο το συγκεκριμένο εργαλείο, όσο το να δώσετε τώρα στους υπεύθυνους ασφάλειας πρόσβαση σε ικανή ΤΝ.
- Εξασφαλίστε τη δέσμευση και τη στήριξη του οργανισμού. Βιώνουμε μια ραγδαία μεταβολή στους κινδύνους ασφαλείας — βεβαιωθείτε ότι οι ομάδες ασφάλειας και μηχανικής σας διαθέτουν την υποστήριξη, τη συνεργασία και τους πόρους για να αντιμετωπίσουν γρήγορα αυτούς τους κινδύνους. Πραγματοποιήστε ασκήσεις επί χάρτου με τις ομάδες σας, προσομοιώνοντας πώς θα μπορούσαν να εκδηλωθούν αυτές οι επιθέσεις στον οργανισμό σας και πώς θα αντιδράσετε.
- Δώστε στην ομάδα ασφαλείας σας έναν πράκτορα. Αρχίστε να χρησιμοποιείτε το Codex, το plugin Codex Security(ανοίγει σε νέο παράθυρο) ή άλλο ικανό εργαλείο προγραμματισμού βάσει πράκτορα και ασφάλειας. Παραχωρήστε του εγκεκριμένη πρόσβαση στις βάσεις κώδικα, στις διαμορφώσεις υποδομών και στην τεχνική τεκμηρίωση που πρέπει να αξιολογήσει η ομάδα ασφαλείας σας. Μην περιμένετε εφαρμογή σε ολόκληρη την εταιρεία για να ξεκινήσετε με τα συστήματα ύψιστης προτεραιότητας.
- Εξοπλίστε αυτόν τον πράκτορα με τεχνογνωσία ασφαλείας. Ξεκινήστε με τις υποστηριζόμενες από την κοινότητα δεξιότητες(ανοίγει σε νέο παράθυρο), οι οποίες περιλαμβάνουν ροές εργασίας για στατική ανάλυση, αναθεώρηση κώδικα με έμφαση στην ασφάλεια, ανάλυση παραλλαγών ευπαθειών, κίνδυνο εφοδιαστικής αλυσίδας λογισμικού και άλλες ροές εργασίας ασφάλειας. Στη συνέχεια, δημιουργήστε δικές σας δεξιότητες με βάση την αρχιτεκτονική, τα πρότυπα ασφαλείας, τα μοντέλα απειλών και τα εγχειρίδια αντιμετώπισης του οργανισμού σας.
- Αξιολογήστε αμέσως την ασφάλεια των δικών σας συστημάτων. Δώστε πρώτα προτεραιότητα στις αξιολογήσεις των υπηρεσιών που είναι προσβάσιμες από το διαδίκτυο, των ροών ελέγχου ταυτότητας, της υποδομής ως κώδικα, των αλυσίδων ανάπτυξης και των συστημάτων που χειρίζονται ευαίσθητες πληροφορίες. Επεκτείνετε τις σαρώσεις καθώς η ομάδα σας αποκτά μεγαλύτερη αυτοπεποίθηση.
- Αντιμετωπίστε τις εκκρεμείς ευπάθειες που ήδη έχετε. Δώστε στον πράκτορά σας ευρήματα από σαρωτές κώδικα, ειδοποιήσεις εξαρτήσεων, αιτήματα ασφαλείας, αναφορές προγραμμάτων επιβράβευσης εντοπισμού σφαλμάτων και προηγούμενες αξιολογήσεις. Ζητήστε του να αξιολογήσει αυτά τα ευρήματα, να διακρίνει τα εκμεταλλεύσιμα προβλήματα από τον θόρυβο, να εντοπίσει συναφείς ευπάθειες σε άλλα σημεία της βάσης κώδικα και να προτείνει τι πρέπει να διορθωθεί πρώτο.
- Εντάξτε την αναθεώρηση ασφαλείας απευθείας στη διαδικασία ανάπτυξης. Χρησιμοποιήστε πράκτορες για να εξετάζουν τις αλλαγές κώδικα πριν από τη συγχώνευσή τους και εκτελέστε ελέγχους ασφαλείας στο CI. Αναζητήστε σφάλματα ελέγχου ταυτότητας, παρακάμψεις ελέγχου πρόσβασης, εκτεθειμένα στοιχεία σύνδεσης, μη ασφαλείς εξαρτήσεις, μη ασφαλείς προεπιλεγμένες ρυθμίσεις, αλλαγές που διευρύνουν την πρόσβαση σε συστήματα παραγωγής και άλλες ευπάθειες.
- Αναθέστε στον πράκτορα να βοηθά στη διόρθωση των ευρημάτων του. Για επικυρωμένα προβλήματα, ζητήστε του να δημιουργήσει και να επαληθεύσει μια στοχευμένη ενημέρωση κώδικα, να γράψει δοκιμή παλινδρόμησης και να επιβεβαιώσει ότι η ευπάθεια δεν αναπαράγεται πλέον. Διατηρήστε την ανθρώπινη αναθεώρηση για αλλαγές με σημαντικές συνέπειες, αλλά εξαλείψτε την περιττή καθυστέρηση ανάμεσα στον εντοπισμό ενός πραγματικού προβλήματος και στην παρουσίαση μιας ασφαλούς διόρθωσης σε έναν μηχανικό.
- Αυτοματοποιήστε σταδιακά την αξιολόγηση των εντοπισμών. Μην ξεκινήσετε προσπαθώντας να δημιουργήσετε ένα αυτόνομο κέντρο επιχειρήσεων ασφαλείας. Αρχίστε εκτελώντας μια σάρωση ασφαλείας μόνο για ανάγνωση σε ένα αποθετήριο ή αναθέστε σε έναν πράκτορα να εξετάσει ειδοποιήσεις που έχουν ήδη επιλυθεί, με πρόσβαση μόνο για ανάγνωση στα υπάρχοντα αρχεία καταγραφής σας. Αφήστε τον να συνοψίσει τα αποδεικτικά στοιχεία και να προτείνει τον τρόπο διεκπεραίωσης, ενώ κάθε απόφαση λαμβάνεται από άνθρωπο. Καθώς αυξάνεται η εμπιστοσύνη, προχωρήστε σε συμβουλευτική σάρωση pull request, έπειτα σε αξιολόγηση ζωντανών ειδοποιήσεων και τέλος στο αυτόματο κλείσιμο σαφώς οριοθετημένων ψευδώς θετικών.
- Προετοιμάστε δυνατότητα εγκληματολογικής διερεύνησης με τη βοήθεια ΤΝ πριν τη χρειαστείτε. Υποβάλετε αίτηση για το Trusted Access for Cyber(ανοίγει σε νέο παράθυρο) και εξασφαλίστε έγκριση για την ομάδα σας ώστε να χρησιμοποιεί το GPT‑Daybreak‑Blue για εξουσιοδοτημένη αμυντική εργασία, συμπεριλαμβανομένης της απόκρισης σε περιστατικά, της μηχανικής ανίχνευσης και της ανάλυσης κακόβουλου λογισμικού. Εξασκηθείτε στη χρήση αυτής της δυνατότητας για την ανάλυση αρχείων καταγραφής, τηλεμετρίας και ειδοποιήσεων ασφαλείας.
- Πειραματιστείτε, διοργανώστε εβδομάδες καινοτομίας και βελτιώνετε γρήγορα τις λύσεις σας. Θα χρειαστεί να δημιουργήσουμε κάθε είδους νέα εργαλεία, να αλλάξουμε τον τρόπο εργασίας μας και να αναβαθμίσουμε τις δεξιότητες όλων για τον κόσμο προς τον οποίον κινούμαστε. Ενθαρρύνετε το εργατικό δυναμικό σας να πειραματίζεται, προγραμματίστε μια εβδομάδα καινοτομίας για τη δημιουργία νέων δυνατοτήτων και εστιάστε στη γρήγορη επανάληψη κύκλων που αυτοματοποιούν μικρά τμήματα του προβλήματος. Η γρήγορη, σταδιακή πρόοδος αποφέρει σωρευτικά αμυντικά οφέλη και μπορείτε να διευρύνετε βαθμιαία την αυτονομία καθώς η ομάδα σας αποκτά εμπιστοσύνη.
Καμία εταιρεία δεν μπορεί να το πετύχει μόνη της. Ζητάμε από τα εργαστήρια ΤΝ, τους προμηθευτές λύσεων ασφαλείας, τις επιχειρήσεις και τους συντηρητές να κοινοποιούν επικυρωμένα ευρήματα, διορθώσεις και πρακτικά εγχειρίδια αντιμετώπισης, ώστε η ανακάλυψη ενός οργανισμού να ενισχύει ολόκληρο το οικοσύστημα.
Το παράθυρο ευκαιρίας για τους αμυνόμενους είναι ανοιχτό τώρα. Τους επόμενους μήνες, κάθε οργανισμός θα πρέπει να αρχίσει να αυτοματοποιεί σημαντικά το πρόγραμμά του για την ασφάλεια ώστε να παραμείνει προστατευμένος, ενώ η κοινότητα ασφαλείας πρέπει επειγόντως να ανταποκριθεί και να καθορίσει τα εργαλεία, τις πρακτικές και τα εγχειρίδια αντιμετώπισης που θα ενισχύσουν τους αμυνόμενους ταχύτερα από τους επιτιθέμενους καθώς η ΤΝ συνεχίζει να εξελίσσεται. Αυτό θα απαιτήσει μια τεράστια και πρωτοφανή προσπάθεια, αλλά αν ενώσουμε τις δυνάμεις μας, μπορούμε να δημιουργήσουμε έναν κόσμο ασφαλέστερο απ’ όσο μπορούσαμε μέχρι σήμερα να φανταστούμε.
