L-inċident ta’ OpenAI-Hugging Face(jinfetaħ f’tieqa ġdida) kien punt ta’ bidla għaċ-ċibersigurtà għax tana idea ta’ kif il-kapaċitajiet ta’ attakkant tipiku se jevolvu fix-xhur li ġejjin. Fl-aħħar ġimgħat tkellimt ma’ ħafna organizzazzjonijiet, u ħaġa waħda hija ċara: jafu li jridu jgħollu b’mod fundamentali l-livell tal-prattiki taċ-ċibersigurtà tagħhom b’ħeffa bla preċedent. F’din il-pubblikazzjoni se nispjega x’qed nagħmlu biex niddefendu lil OpenAI, liema passi konkreti jistgħu jieħdu organizzazzjonijiet oħra llum, u għaliex issa huwa ż-żmien li naġixxu.
Il-mudelli tal-IA żviluppati madwar id-dinja kulma jmur qed ikunu aktar kapaċi jawtomatizzaw partijiet minn ċiberattakki reali, u b’hekk isir aktar faċli li jinstabu u jiġu sfruttati lakuni tas-sigurtà li ilhom jeżistu—minn bugs moħbija fil-fond ta’ software miktub mill-bnedmin sa permessi minsija. L-istess kapaċitajiet tal-IA jagħtu lid-difensuri modi ġodda kif isibu u jsewwu dawk id-dgħufijiet, iżda jridu jaġixxu issa. Jekk il-kumpaniji jaġixxu b’mod deċiżiv—inkluż billi jtejbu l-prinċipji fundamentali tagħhom u jagħtu lit-timijiet tagħhom kapaċitajiet straordinarji bl-IA—nistgħu nagħmlu l-internet aktar sigur minn qatt qabel.
Fl-inċident ta’ OpenAI-Hugging Face, grupp b’karatteristiċi aġenti rnexxielu jinfiltra b’mod awtonomu mhux biss l-infrastruttura tar-riċerka ta’ OpenAI, iżda wkoll l-infrastruttura tal-produzzjoni ta’ kumpanija oħra, billi għaqqad vulnerabbiltajiet li kienu jvarjaw minn difetti tas-sigurtà li qabel ma kinux magħrufa sal-użu ta’ kredenzjali ta’ kontijiet tal-utenti li kienu nixxew fuq l-internet. Qed isir dejjem aktar ċar li d-dejn tekniku(jinfetaħ f’tieqa ġdida) ta’ kull kumpanija jaħbi difetti sinifikanti, u d-difensuri jridu jsibuhom u jsewwuhom qabel l-attakkanti.
Biex nagħtu vantaġġ lid-difensuri fuq l-attakkanti, aktar kmieni din is-sena bdejna noħorġu l-kapaċitajiet ċibernetiċi tagħna biss lil difensuri fdati. Minn dak iż-żmien, diversi kumpaniji ħarġu mudelli open weight b’kapaċitajiet ċibernetiċi li jinsabu biss ftit xhur wara l-aktar teknoloġija avvanzata. Jidher li l-aktar mudell reċenti fosthom huwa ppjanat li jinħareġ(jinfetaħ f’tieqa ġdida) fl-aħħar ta’ Awwissu, u x’aktarx se jaċċellera b’mod sinifikanti l-evoluzzjoni tat-theddid.
Filwaqt li attakkanti megħjuna mill-IA dalwaqt se jkunu jistgħu jsibu difetti li ilhom jeżistu f’ħafna sistemi attwali, l-IA se tagħmilha wkoll ħafna aktar faċli għad-difensuri biex isibu, jipprijoritizzaw u jsewwu dawk l-istess difetti. Is-sigurtà għadha logħba tal-qattus u l-ġurdien, iżda l-IA tista’ tbiddel l-ekonomija tagħha(jinfetaħ f’tieqa ġdida) b’modi li jagħtu vantaġġ fundamentali lid-difensuri. Pereżempju, qed nibdew inħarrġu l-mudelli tagħna speċifikament biex jiktbu kodiċi b’livell ta’ sigurtà li jaqbeż il-kapaċitajiet tal-bniedem. Il-mudelli tagħna huma wkoll eċċellenti fil-provi matematiċi, li jistgħu jintużaw biex tiġi vverifikata formalment is-sigurtà tas-software b’mod li s’issa kien wisq diffiċli għall-bnedmin.
Wara l-inċident ta’ OpenAI-Hugging Face, tlabt lil ChatGPT Work (bl-użu tal-GPT‑5.6 Sol disponibbli għall-pubbliku) jivvaluta s-sigurtà ta’ gregbrockman.com(jinfetaħ f’tieqa ġdida). Huwa sit statiku sempliċi, ospitat fuq AWS b’Cloudflare bħala l-punt tad-dħul, għalhekk ħsibt li ma kienx se jkun hemm wisq spazju għal vulnerabbiltajiet.
F’madwar 15-il minuta, sab 13-il problema. Ħafna minnhom probabbilment ma jistgħux jiġu sfruttati waħedhom—iżda stajt nimmaġina li jekk jingħaqdu ma’ vulnerabbiltajiet oħra jista’ jkollhom effett sinifikanti. Ma kontx ikkonfigurajt ir-rekords DNS tiegħi biex inwaqqaf lill-attakkanti milli jiffalsifikaw emails f’ismi; is-sit tiegħi kien juża verżjoni mhux sigura ta’ jQuery; Cloudflare kien jgħaddi t-talbiet lil AWS permezz ta’ HTTP mhux kriptat.
Imbagħad tlabt lil ChatGPT Work isewwi dawn il-problemi, u dan għamlu fi żmien siegħa. Fetaħ il-pannell tal-kontroll ta’ Cloudflare fil-browser tiegħi u beda jagħfas diversi buttuni biex jikkonfigura sew id-DNS, it-TLS u s-settings avvanzati tas-sigurtà; neħħa kompletament jQuery mis-sit; ċaqlaqni minn AWS għal Cloudflare Pages; u beda introduzzjoni gradwali tad-DMARC(jinfetaħ f’tieqa ġdida).
U dan kien biss is-sit web personali tiegħi. Dan huwa eżempju żgħir ta’ kif il-mudelli attwali tagħna jistgħu jaġixxu bħala gwardjan ċibernetiku—billi jsibu l-ħafna problemi inqas komuni li bniedem ma jkollux il-ħin jew l-għarfien espert biex jindirizza (għandi għarfien vag ta’ ħafna mis-settings li sewwa, iżda ma kontx inkun naf mill-ewwel kif nikkonfigurahom sew), u mbagħad isewwuhom bi pjan ta’ introduzzjoni adattat kif xieraq.
L-inċident ta’ Hugging Face wera li ssottovalutajna l-kapaċitajiet ċibernetiċi reali tal-mudelli tal-IA tagħna. Għaldaqstant qed insaħħu r-rekwiżiti tas-sikurezza tagħna, u dan jagħmel ir-riċerka attwali tagħna dwar is-sikurezza u l-ħidma interna tas-sigurtà saħansitra aktar urġenti.
Qed naqsam ftit dwar l-approċċ tagħna biex niżguraw lil OpenAI f’dan il-mument, bit-tama li jkun utli għal organizzazzjonijiet oħra. Biex nipproteġu lil OpenAI, qed ninvestu b’mod sinifikanti kemm f’kontrolli fundamentali—li nagħmlu l-affarijiet bażiċi sew—kif ukoll fit-tisħiħ tad-difiżi tagħna permezz ta’ intelliġenza avvanzata. Din l-istrateġija hija msejsa fuq erba’ pilastri ewlenin.
L-ewwel, qed nużaw il-mudelli tagħna biex ngħinu niżguraw il-kodiċi tagħna. Codex, inkluż il-plugin tas-sigurtà tagħna, jivvalida l-bidliet fil-kodiċi, jidentifika l-vulnerabbiltajiet u jgħin lill-iżviluppaturi jsolvu l-problemi qabel l-implimentazzjoni. Ma rridux sempliċement nipproduċu aktar sejbiet tas-sigurtà li jeħtieġu validazzjoni umana; l-għan hu li naqbdu vulnerabbiltajiet reali qabel ir-rilaxx u nqassru l-proċess mill-iskoperta ta’ problema sal-implimentazzjoni sikura ta’ soluzzjoni. Hekk kif inkomplu nħarrġu l-mudelli tagħna biex jipproduċu kodiċi dejjem aktar sigur, l-għan tagħna hu li neliminaw ċerti kategoriji ta’ vulnerabbiltajiet tas-software minn kodiċi ġdid.
It-tieni, qed inħaddmu l-mudelli tagħna biex jiddefendu kontinwament l-infrastruttura tagħna. Illum, kważi t-twissijiet inizjali kollha tas-sigurtà tagħna jiġu prijoritizzati mill-intelliġenza qabel ma jiġu involuti l-bnedmin. Dan inaqqas ix-xogħol tedjanti għad-difensuri, itejjeb il-ħin tar-rispons u jippermetti lill-bnedmin jiffokaw fejn il-ħiliet tagħhom jagħmlu l-akbar differenza—fid-dixxerniment, il-ġudizzju u l-għarfien espert applikat. Qegħdin dejjem aktar norbtu dan l-identifikar ma’ risponsi awtomatizzati u limitati, filwaqt li l-bnedmin jibqgħu responsabbli għad-deċiżjonijiet bl-akbar impatt. L-għan hu li niżguraw li nistgħu nidentifikaw u nirreaġixxu għal problemi tas-sigurtà bil-ħeffa tal-magni.
It-tielet, qed nużaw intelliġenza avvanzata biex kontinwament nelenkaw, nittestjaw u nidentifikaw rotot potenzjali ta’ attakk. Billi nidentifikaw vulnerabbiltajiet, konfigurazzjonijiet ħżiena, identitajiet bi privileġġi żejda jew konfini ta’ fiduċja mhux intenzjonati, nistgħu nsibu u nagħlqu malajr dawn il-lakuni qabel ma jisfruttawhom l-attakkanti. Dan jippermettilna nivvalutaw, nimmonitorjaw u nittestjaw kontinwament il-prinċipji kostanti tas-sigurtà tagħna—il-proprjetajiet tas-sigurtà li nemmnu li huma veri—fil-prodotti, fl-infrastruttura u fis-sistemi tagħna.
Fl-aħħar nett, qed ninvestu ħafna fil-prinċipji fundamentali fuq skala kbira. Qed inkomplu ninvestu f’arkitettura u kontrolli siguri, nadottaw strateġiji bħad-difiża f’diversi saffi u l-inqas privileġġ, u nfasslu sistemi li fihom diversi kontrolli indipendenti jridu jfallu fl-istess ħin biex isseħħ xi ħaġa katastrofika. Kontrolli klassiċi tas-sigurtà bħall-iżolament tan-network, it-tisħiħ tal-workloads, il-monitoraġġ, u l-applikazzjoni u l-implimentazzjoni sikuri tal-garżi se jkunu aktar importanti minn qatt qabel fil-futur tal-IA.
Iż-żmien huwa kruċjali, u d-difensuri se jkollhom iwettqu l-passi t’hawn taħt b’ħeffa kbira. Hawn taħt se nsemmi t-teknoloġija ta’ OpenAI, iżda fl-ekosistema hemm ukoll ħafna kompetituri li ta’ min jiġu evalwati. L-aktar importanti mhijiex l-għodda speċifika, iżda li tagħtu lid-difensuri tagħkom IA kapaċi minn issa.
- Ikseb l-impenn u l-appoġġ tal-organizzazzjoni. Qed nesperjenzaw bidla rapida fir-riskju tas-sigurtà—żguraw li t-timijiet tas-sigurtà u tal-inġinerija tagħkom ikollhom l-appoġġ, is-sħubija u r-riżorsi meħtieġa biex jindirizzaw dawn ir-riskji malajr. Agħmlu eżerċizzji ta’ simulazzjoni mat-timijiet tagħkom biex taraw kif dawn l-attakki jistgħu jseħħu fl-organizzazzjonijiet tagħkom u kif se tirreaġixxu.
- Agħti aġent lit-tim tas-sigurtà tiegħek. Ibda uża Codex, il-plugin Codex Security(jinfetaħ f’tieqa ġdida), jew għodda kapaċi oħra għall-ikkowdjar b’karatteristiċi aġenti u għas-sigurtà. Agħtih aċċess approvat għall-bażijiet tal-kodiċi, għall-konfigurazzjonijiet tal-infrastruttura u għad-dokumentazzjoni teknika li t-tim tas-sigurtà tiegħek jeħtieġlu jivvaluta. Tistenniex l-implimentazzjoni mal-kumpanija kollha biex tibda bis-sistemi tal-ogħla prijorità tiegħek.
- Agħti lil dak l-aġent għarfien espert dwar is-sigurtà. Ibda minn ħiliet(jinfetaħ f’tieqa ġdida) appoġġati mill-komunità, li jinkludu flussi tax-xogħol għall-analiżi statika, ir-rieżami tal-kodiċi ffukat fuq is-sigurtà, l-analiżi ta’ varjanti ta’ vulnerabbiltajiet, ir-riskju fil-katina tal-provvista tas-software u flussi oħra tas-sigurtà. Imbagħad ibnu l-ħiliet tagħkom skont l-arkitettura, l-istandards tas-sigurtà, il-mudelli tat-theddid u l-proċeduri tal-organizzazzjoni tagħkom.
- Wettaq minnufih valutazzjonijiet tas-sigurtà tas-sistemi tiegħek stess. Agħti prijorità lill-valutazzjonijiet tas-servizzi esposti għall-internet, tal-flussi tal-awtentikazzjoni, tal-infrastruttura bħala kodiċi, tal-pipelines tal-implimentazzjoni u tas-sistemi li jipproċessaw informazzjoni sensittiva. Wessa’ l-iskannjar hekk kif it-tim tiegħek jikseb aktar fiduċja.
- Indirizza l-vulnerabbiltajiet pendenti li diġà għandek. Agħti lill-aġent tiegħek is-sejbiet minn skaners tal-kodiċi, twissijiet dwar dipendenzi, biljetti tas-sigurtà, rapporti tal-programmi ta’ premju għall-bugs u valutazzjonijiet preċedenti. Itolbu jipprijoritizza dawk is-sejbiet, jiddistingwi l-problemi li jistgħu jiġu sfruttati mill-istorbju, jidentifika vulnerabbiltajiet relatati f’partijiet oħra tal-bażi tal-kodiċi u jirrakkomanda x’għandu jissewwa l-ewwel.
- Inkorpora r-rieżami tas-sigurtà direttament fil-proċess tal-iżvilupp tiegħek. Uża aġenti biex jirrieżaminaw il-bidliet fil-kodiċi qabel ma jingħaqdu u biex iwettqu kontrolli tas-sigurtà fis-CI. Fittex żbalji fl-awtentikazzjoni, modi kif jinqabżu l-kontrolli tal-aċċess, kredenzjali esposti, dipendenzi mhux siguri, settings prestabbiliti mhux siguri, bidliet li jwessgħu l-aċċess għas-sistemi tal-produzzjoni u vulnerabbiltajiet oħra.
- Ħalli lill-aġent jgħin biex isewwi dak li jsib. Għal problemi vvalidati, itolbu jiġġenera u jivverifika garża ffukata, jikteb test tar-rigressjoni u jikkonferma li l-vulnerabbiltà ma tistax tibqa’ tiġi riprodotta. Żomm ir-rieżami uman għal bidliet importanti, iżda elimina d-dewmien bla bżonn bejn l-identifikazzjoni ta’ problema reali u l-preżentazzjoni ta’ soluzzjoni sikura lil inġinier.
- Awtomatizza gradwalment il-prijoritizzazzjoni tal-identifikazzjonijiet. Tibdiex billi tipprova tibni ċentru awtonomu għall-operazzjonijiet tas-sigurtà. Ibda billi twettaq skenn tas-sigurtà li jinqara biss fuq repożitorju wieħed, jew ħalli aġent jirrieżamina twissijiet li diġà ġew solvuti permezz ta’ aċċess li jinqara biss għal-logs attwali tiegħek. Ħallih jiġbor fil-qosor l-evidenza u jirrakkomanda deċiżjoni, filwaqt li kull deċiżjoni tittieħed minn bniedem. Hekk kif tikber il-fiduċja, għaddi għall-iskannjar konsultattiv tal-pull requests, imbagħad għall-prijoritizzazzjoni diretta tat-twissijiet, u wara għall-għeluq awtomatiku ta’ pożittivi foloz definiti b’mod strett.
- Ħejji kapaċità ta’ investigazzjoni forensika megħjuna mill-IA qabel ma jkollok bżonnha. Applika għal Aċċess Fdat għaċ-Ċibersigurtà(jinfetaħ f’tieqa ġdida) u ikseb l-approvazzjoni biex it-tim tiegħek juża GPT‑Daybreak‑Blue għal xogħol difensiv awtorizzat, inkluż ir-rispons għall-inċidenti, l-inġinerija tal-identifikazzjoni u l-analiżi tal-malware. Ipprattika l-użu ta’ din il-kapaċità biex tanalizza l-logs, it-telemetrija u t-twissijiet tas-sigurtà.
- Esperimenta, organizza ġimgħat ta’ hacking u kompli tejjeb malajr. Se jkollna nibnu kull xorta ta’ għodod ġodda, nibdlu kif naħdmu u ngħollu l-livell ta’ kulħadd għad-dinja li mexjin lejha. Ħeġġeġ lill-ħaddiema tiegħek jesperimentaw, ippjana ġimgħa ta’ hacking biex tibnu kapaċitajiet ġodda, u ffoka fuq titjib ċikliku rapidu li jawtomatizza partijiet żgħar tal-problema. Progress inkrementali rapidu jwassal għal riżultati difensivi li jkomplu jakkumulaw, u tista’ twessa’ l-awtonomija gradwalment hekk kif it-tim tiegħek jikseb aktar fiduċja.
Ebda kumpanija ma tista’ tagħmel dan waħedha. Qed nitolbu lil-laboratorji tal-IA, lill-fornituri tas-sigurtà, lill-intrapriżi u lill-mantenituri jaqsmu sejbiet ivvalidati, soluzzjonijiet u proċeduri prattiċi, sabiex skoperta ta’ organizzazzjoni waħda tkun tista’ ssaħħaħ l-ekosistema kollha.
It-tieqa tad-difensur hija miftuħa issa. Fix-xhur li ġejjin, kull organizzazzjoni se jkollha tibda tawtomatizza b’mod sinifikanti l-programm tas-sigurtà tagħha biex tibqa’ sigura, u l-komunità tas-sigurtà trid taġixxi b’urġenza biex tiddefinixxi l-għodod, il-prattiki u l-proċeduri li jżidu l-kapaċità tad-difensuri aktar malajr minn dik tal-attakkanti hekk kif l-IA tkompli tavvanza. Dan se jirrikjedi sforz enormi u bla preċedent, iżda jekk ningħaqdu flimkien, nistgħu noħolqu dinja aktar sigura milli qatt stajna nimmaġinaw.
