Tukio la OpenAI-Hugging Face(fungua katika dirisha jipya) lilikuwa hatua ya kihistoria katika usalama wa mtandao kwa sababu lilitoa taswira ya jinsi uwezo wa mshambulizi wa kawaida utakavyobadilika katika miezi ijayo. Nimezungumza na mashirika mengi katika wiki chache zilizopita, na ujumbe mmoja uko wazi: yanajua kuwa yanahitaji kuinua kwa msingi na kwa kasi isiyo na kifani viwango vya usalama wao wa mtandao. Katika chapisho hili, nitaeleza tunachofanya kulinda OpenAI, hatua mahususi ambazo mashirika mengine yanaweza kuchukua leo na kwa nini huu ndio wakati wa kuchukua hatua.
Miundo ya AI inayotengenezwa duniani kote inazidi kuweza kugeuza sehemu za mashambulizi halisi ya mtandaoni kuwa za kiotomatiki, hivyo kurahisisha kugundua na kutumia mapengo ya muda mrefu ya usalama—kuanzia hitilafu zilizofichika ndani ya programu iliyoandikwa na wanadamu hadi ruhusa zilizosahaulika. Uwezo huo huo wa AI huwapa walinzi njia mpya za kugundua na kurekebisha udhaifu huo, lakini wanahitaji kuchukua hatua sasa. Kampuni zikichukua hatua thabiti—ikiwemo kuboresha misingi yao na kuzipa timu zao nguvu zaidi kwa AI—tunaweza kufanya intaneti iwe salama kuliko wakati mwingine wowote.
Katika Tukio la OpenAI-Hugging Face, kundi la kiwakala liliweza kupenya kwa uhuru si tu miundombinu ya utafiti ya OpenAI bali pia miundombinu ya uzalishaji ya kampuni nyingine, kwa kuunganisha udhaifu mbalimbali kuanzia dosari za usalama ambazo hazikuwa zimejulikana hadi kutumia vitambulisho vya akaunti za watumiaji vilivyovuja kwenye intaneti. Inazidi kuwa wazi kuwa deni la kiufundi(fungua katika dirisha jipya) la kila kampuni huficha dosari kubwa, na walinzi wanahitaji kuzigundua na kuzirekebisha kabla ya washambulizi.
Ili kuwapa walinzi faida dhidi ya washambulizi, mapema mwaka huu tulianza kutoa uwezo wetu wa mtandaoni kwa walinzi wanaoaminika pekee. Tangu wakati huo, kampuni mbalimbali zimetoa miundo yenye uwezo uliotolewa hadharani, ikiwa na uwezo wa mtandaoni ulio nyuma ya uwezo wa AI wa kiwango cha juu zaidi kwa miezi michache tu. Muundo wa karibuni zaidi kati ya hii unaonekana kupangiwa kutolewa(fungua katika dirisha jipya) mwishoni mwa Agosti, na huenda ukaharakisha kwa kiasi kikubwa mabadiliko ya vitisho.
Ingawa hivi karibuni washambulizi wanaotumia AI wataweza kugundua dosari za muda mrefu katika mifumo mingi iliyopo, AI pia itarahisisha zaidi kwa walinzi kugundua, kuzipa kipaumbele na kurekebisha dosari hizo hizo. Usalama bado ni mchezo wa paka na panya, lakini AI inaweza kubadili uchumi wake(fungua katika dirisha jipya) kwa njia zinazowapa walinzi faida ya msingi. Kwa mfano, tunaanza kufunza miundo yetu mahsusi kuandika msimbo wenye usalama unaozidi uwezo wa binadamu. Miundo yetu pia ina uwezo wa ajabu katika uthibitisho wa kihisabati, ambao unaweza kutumiwa kuthibitisha rasmi usalama wa programu kwa njia ambayo imewashinda wanadamu.
Baada ya tukio la OpenAI-Hugging Face, niliomba ChatGPT Work (ikitumia GPT‑5.6 Sol inayopatikana kwa umma) itathmini usalama wa gregbrockman.com(fungua katika dirisha jipya). Ni tovuti rahisi tuli, inayopangishwa kwenye AWS huku Cloudflare ikiwa lango la mbele, kwa hiyo nilidhani isingekuwa na maeneo mengi yanayoweza kuwa na udhaifu.
Katika takribani dakika 15, iligundua matatizo 13, ambayo mengi huenda yasingeweza kutumiwa vibaya yakiwa peke yake—lakini niliweza kuwazia yakiunganishwa na udhaifu mwingine na kuleta athari kubwa. Sikuwa nimesanidi rekodi zangu za DNS kuzuia washambulizi kughushi barua pepe kwa jina langu; tovuti yangu ilitumia toleo lisilo salama la jQuery; na Cloudflare ilikuwa ikituma maombi kwa AWS kupitia HTTP isiyosimbwa kwa njia fiche.
Kisha niliomba ChatGPT Work irekebishe matatizo hayo, na ikafanya hivyo ndani ya saa moja. Ilifungua paneli dhibiti ya Cloudflare kwenye kivinjari changu, kisha ikabofya vitufe vingi ili kusanidi ipasavyo DNS, TLS na mipangilio ya kina ya usalama; ikaondoa kabisa jQuery kwenye tovuti; ikanihamisha kutoka AWS hadi Cloudflare Pages; na ikaanza utekelezaji wa hatua kwa hatua wa DMARC(fungua katika dirisha jipya).
Na hii ilikuwa tovuti yangu binafsi tu. Huu ni mfano mdogo wa jinsi miundo yetu iliyopo inaweza kufanya kazi kama mlinzi wa mtandao—ikigundua matatizo mengi ambayo binadamu hangekuwa na muda au utaalamu wa kuyashughulikia (ninafahamu kwa kiasi fulani mipangilio mingi iliyorekebisha, lakini nisingejua papo hapo jinsi sahihi ya kuisanidi), kisha kuyarekebisha kwa mpango wa utekelezaji uliopangwa ipasavyo.
Tukio la Hugging Face lilionyesha kuwa tulipuuza kiwango halisi cha uwezo wa miundo yetu ya AI katika usalama wa mtandao. Kwa hiyo, tunaimarisha masharti yetu ya usalama, jambo linaloongeza zaidi uharaka wa utafiti wetu uliopo wa usalama na kazi ya ndani ya usalama.
Ninashiriki machache kuhusu mbinu yetu ya kulinda OpenAI wakati huu, nikitumaini kuwa yatafaa mashirika mengine. Ili kulinda OpenAI, tunawekeza sana katika vidhibiti vya msingi—kutekeleza mambo ya msingi kwa usahihi—na kuimarisha ulinzi wetu kwa kutumia uwezo wa AI wa kiwango cha juu zaidi. Mkakati huu una nguzo nne kuu.
Kwanza, tunatumia miundo yetu kusaidia kulinda msimbo wetu. Codex, ikiwemo programu-jalizi yetu ya usalama, huthibitisha mabadiliko ya msimbo, hutambua udhaifu na huwasaidia wasanidi kurekebisha matatizo kabla ya utekelezaji. Lengo si kuongeza tu idadi ya matokeo ya ukaguzi wa usalama yanayohitaji uthibitishaji wa binadamu; tunataka kugundua udhaifu halisi kabla ya programu kutolewa na kufupisha muda kutoka kugundua tatizo hadi kutekeleza suluhisho salama. Tunapoendelea kufunza miundo yetu kuandika msimbo ulio salama zaidi, tunalenga kuondoa aina fulani za udhaifu katika msimbo mpya.
Pili, tunatumia miundo yetu kulinda miundombinu yetu kila wakati. Leo, karibu arifa zetu zote za awali za usalama huchunguzwa na akili bandia kabla ya kuhusisha wanadamu. Hii hupunguza kazi ngumu kwa walinzi, huboresha kasi ya kukabiliana na matukio na kuwawezesha wanadamu kutumia muda wao panapofaa zaidi ujuzi wao—katika utambuzi, uamuzi na matumizi ya utaalamu. Tunazidi kuunganisha ugunduzi huu na hatua za kiotomatiki zilizo na mipaka, huku wanadamu wakiendelea kuwajibika kwa maamuzi yenye athari kubwa zaidi. Lengo ni kuhakikisha tunaweza kugundua na kushughulikia matatizo ya usalama kwa kasi ya mashine.
Tatu, tunatumia uwezo wa AI wa kiwango cha juu zaidi kuorodhesha, kuchunguza na kutambua kila mara njia zinazoweza kutumiwa kushambulia. Kwa kutambua udhaifu, mipangilio isiyofaa, vitambulisho vyenye ruhusa nyingi kupita kiasi au mipaka ya kuaminiana isiyokusudiwa, tunaweza kugundua na kuziba mapengo haya haraka kabla washambulizi hawajayatumia vibaya. Hii hutuwezesha kutathmini, kufuatilia na kujaribu kila mara misingi yetu isiyobadilika ya usalama—sifa za usalama tunazoamini kuwa kweli—katika bidhaa, miundombinu na mifumo yetu.
Mwisho, tunawekeza kwa kiasi kikubwa katika misingi kwa kiwango kikubwa. Tunaendelea kuwekeza katika usanifu na vidhibiti salama, kutumia mikakati kama ulinzi wa tabaka nyingi na ruhusa ya kiwango cha chini, na kubuni mifumo inayohitaji vidhibiti kadhaa huru kushindwa kwa wakati mmoja kabla ya janga kutokea. Vidhibiti vya kawaida vya usalama kama kutenga mitandao, kuimarisha mizigo ya kazi, ufuatiliaji, uwekaji viraka salama na utekelezaji salama vitakuwa muhimu zaidi kuliko hapo awali katika mustakabali wa AI.
Muda ni muhimu, na walinzi watahitaji kutekeleza hatua zilizo hapa chini kwa kasi ya juu sana. Hapa chini nitataja teknolojia ya OpenAI, lakini pia kuna washindani wengi katika mfumo huu ambao mnaweza kutathmini. Kilicho muhimu si zana mahususi, bali kuwapa walinzi wako AI yenye uwezo sasa.
- Pata dhamira na uungwaji mkono wa shirika. Hatari za usalama zinabadilika haraka—hakikisha idara zako za usalama na uhandisi zina usaidizi, ushirikiano na rasilimali za kushughulikia hatari hizi kwa haraka. Fanya mazoezi ya mezani na timu zako ili kuiga jinsi mashambulizi haya yanavyoweza kujitokeza katika shirika lako na jinsi mtakavyokabiliana nayo.
- Ipe timu yako ya usalama wakala. Anza kutumia Codex, programu-jalizi ya Codex Security(fungua katika dirisha jipya), au zana nyingine yenye uwezo ya usimbaji wa kiwakala na usalama. Ipe ufikiaji ulioidhinishwa wa hazina za misimbo, mipangilio ya miundombinu na nyaraka za kiufundi ambazo timu yako ya usalama inahitaji kutathmini. Usisubiri utekelezaji katika kampuni nzima ili kuanza na mifumo yako yenye kipaumbele cha juu zaidi.
- Mpe wakala huyo utaalamu wa usalama. Anza na ujuzi(fungua katika dirisha jipya) unaoungwa mkono na jamii, unaojumuisha mtiririko wa kazi wa uchanganuzi tuli, ukaguzi wa msimbo unaolenga usalama, uchanganuzi wa aina tofauti za udhaifu, hatari za mnyororo wa ugavi wa programu na shughuli nyingine za usalama. Kisha unda ujuzi wako mwenyewe kulingana na usanifu, viwango vya usalama, miundo ya vitisho na miongozo ya utekelezaji ya shirika lako.
- Fanya tathmini za usalama kwenye mifumo yako mara moja. Anza kwa kutathmini huduma zinazofikiwa kupitia intaneti, michakato ya uthibitishaji, miundombinu kama msimbo, mifumo ya utekelezaji na mifumo inayoshughulikia taarifa nyeti. Panua upekuzi wako kadiri timu yako inavyojenga imani.
- Shughulikia mlundikano wako wa udhaifu uliopo. Mpe wakala wako matokeo kutoka kwa vichanganuzi vya msimbo, arifa za vitegemezi, tiketi za usalama, ripoti za zawadi za kugundua hitilafu na tathmini za awali. Mwombe achunguze matokeo hayo, atofautishe matatizo yanayoweza kutumiwa vibaya na yasiyo na maana, atambue udhaifu unaohusiana katika sehemu nyingine za msimbo na apendekeze cha kurekebisha kwanza.
- Jumuisha ukaguzi wa usalama moja kwa moja katika mchakato wako wa usanidi. Tumia mawakala kukagua mabadiliko ya msimbo kabla ya kuunganishwa na kufanya ukaguzi wa usalama katika CI. Tafuta makosa ya uthibitishaji, njia za kukwepa vidhibiti vya ufikiaji, vitambulisho vilivyofichuliwa, vitegemezi visivyo salama, mipangilio chaguomsingi isiyo salama, mabadiliko yanayopanua ufikiaji wa mifumo ya uzalishaji na udhaifu mwingine.
- Mruhusu wakala akusaidie kurekebisha anachogundua. Kwa matatizo yaliyothibitishwa, mwombe atengeneze na athibitishe kiraka kinacholenga tatizo, aandike jaribio la urejeshi na athibitishe kuwa udhaifu hauwezi tena kutokea. Dumisha ukaguzi wa binadamu kwa mabadiliko yenye athari kubwa, lakini ondoa ucheleweshaji usiohitajika kati ya kugundua tatizo halisi na kumpa mhandisi suluhisho salama.
- Geuza uchunguzi wa matokeo ya ugunduzi kuwa wa kiotomatiki hatua kwa hatua. Usianze kwa kujaribu kujenga kituo huru cha shughuli za usalama. Anza kwa kufanya upekuzi wa usalama wa kusoma pekee kwenye uhifadhi mmoja, au umruhusu wakala akague arifa zilizotatuliwa awali kwa ufikiaji wa kusoma pekee wa kumbukumbu zako zilizopo. Mruhusu afupishe ushahidi na kupendekeza uamuzi huku binadamu akifanya kila uamuzi. Imani inapoongezeka, hamia kwenye upekuzi wa ushauri wa maombi ya kuunganisha msimbo, kisha uchunguzi wa arifa za moja kwa moja, na hatimaye kufungwa kiotomatiki kwa matokeo chanya ya uongo yaliyofafanuliwa kwa upeo finyu.
- Andaa uwezo wa uchunguzi wa kiforensiki unaosaidiwa na AI kabla hujauhitaji. Omba Trusted Access for Cyber(fungua katika dirisha jipya) na uidhinishe timu yako kutumia GPT‑Daybreak‑Blue kwa kazi za ulinzi zilizoidhinishwa, ikiwemo kukabiliana na matukio, uhandisi wa ugunduzi na uchanganuzi wa programu hasidi. Jizoeze kutumia uwezo huu kuchanganua kumbukumbu, data ya ufuatiliaji na arifa za usalama.
- Fanya majaribio, panga wiki za ubunifu wa programu na boresha kwa haraka. Tutahitaji kujenga kila aina ya zana mpya, kubadilisha jinsi tunavyofanya kazi na kuinua uwezo wa kila mtu kwa ajili ya ulimwengu tunaouelekea. Wahimize wafanyakazi wako kufanya majaribio, panga wiki ya ubunifu wa programu ili kujenga uwezo mpya, na uzingatie kuboresha haraka michakato inayogeuza sehemu ndogo za tatizo kuwa za kiotomatiki. Maendeleo madogo ya haraka huleta matokeo ya ulinzi yanayoongezeka, na unaweza kupanua uhuru hatua kwa hatua kadiri timu yako inavyojenga imani.
Hakuna kampuni inayoweza kufanya hili peke yake. Tunawaomba maabara za AI, wauzaji wa huduma za usalama, mashirika na watunzaji washiriki matokeo yaliyothibitishwa, suluhisho na miongozo ya utekelezaji ili ugunduzi wa shirika moja uimarishe mfumo mzima.
Fursa ya walinzi iko wazi sasa. Katika miezi ijayo, kila shirika litahitaji kuanza kugeuza sehemu kubwa ya mpango wake wa usalama kuwa ya kiotomatiki ili liendelee kuwa salama, na jamii ya usalama lazima ichukue hatua ya haraka kufafanua zana, desturi na miongozo ya utekelezaji itakayoongeza nguvu za walinzi kwa kasi kuliko za washambulizi kadiri AI inavyoendelea kuimarika. Hili litahitaji juhudi kubwa isiyo na kifani, lakini tukishirikiana, tunaweza kuleta ulimwengu salama zaidi kuliko tulivyowahi kudhani ingewezekana.
