24 אלף חורי אבטחה, מודלים שנמלטים ועסקי הפחד

״התברר שיש לנו 24 אלף חורי אבטחה במערכת״.

את זה שמעתי השבוע מחברת היי-טק שנסחרת בבורסה האמריקאית. מי גילה להם על החורים? מודל מיתוס של אנת׳רופיק. 24 אלף חולשות אבטחה פוטנציאליות עלולות להיות עניין דרמטי לחברה כזו. אז 24 אלף?
 

״במקומך הייתי מתפטר״, ייעצתי מכל הלב למנהל האבטחה של החברה. ״אין לך סיכוי להשיג את התוקפים. העסק ייפרץ וזה יהיה על הראש שלך״.

הוא חייך בעגמומיות. יש להם כבר תהליך AI אוטומטי ומורכב שמטפל בחורים האלה לפי הסדר. מאתר חור, סוגר, בודק, וממשיך לחור הבא. אז עכשיו אנחנו בתחרות.

מודל מיתוס של אנת׳רופיק איתר עשרות אלפי חולשות אבטחה - מהר יותר משאפשר לתקן.

וזה המצב הטוב ביותר האפשרי כרגע.
 

כי הסכנה האמיתית היא עם אלה שלא יודעים. בנקים, בתי חולים, משרדי ממשלה. עסקים בינוניים או לא חדישים במיוחד. בקיצור, הרוב. מי שלא הבין שאבטחת מידע בחצי השנה האחרונה היא סיפור חדש לגמרי. להתמודד עם עשרות אלפי חורים משוכללים שרק ילכו ויתרבו ויסתבכו - זה לא דבר שאפשר להתמודד איתו בשיטות העבודה הקיימות.
 

* ״לאו עכברא גנב אלא חורא גנב״ הוא ביטוי ארמי מהתלמוד הבבלי, שמזכיר שלא רק מי שמבצע את המעשה אחראי - אלא גם המערכת שמאפשרת לו לעשות אותו. צודקים. אבל גם הם לא חשבו על 24 אלף חורים חדשים.

כשהמודלים יוצאים מארגז החול

וזה הסיפור של השבוע: OpenAI גילתה שהמודלים שלה פרצו את סביבת המחקר שלה - ומשם גם לתשתיות של Hugging Face.
 

החוקרים ביקשו לבדוק שני מודלים, אחד שכבר שוחרר ומודל חזק יותר שעדיין לא שוחרר. הם הכניסו אותם למה שמכונה ״ארגז חול״ - סביבה דיגיטלית מוגנת וחסומה, שלא מחוברת בחופשיות לאינטרנט. ואז הסירו מהם חלק ממגבלות האבטחה הרגילות, ונתנו להם מבחן סייבר שנועד לבדוק אם הם מסוגלים לפתור משימות באמצעות שרשרת מורכבת של פריצות.

עכשיו מתחיל הטרלול.

המודלים עצמם הגיעו למסקנה שהדרך הכי טובה להשלים את המשימה היא למצוא את המידע שהם צריכים מחוץ לסביבה שבה הושמו. אז הם הצליחו לשלב אסטרטגיות פריצה שונות ורבות - 17 אלף פעולות תקיפה ליתר דיוק - כדי לצאת מארגז החול של OpenAI, להגיע למחשב עם גישה לאינטרנט, ואז לתקוף את התשתיות של Hugging Face תוך שימוש, בין היתר, בהרשאות גנובות ובחולשות אבטחה. כך הם הגיעו למידע שאפשר להם להשלים את המשימה.
 

זו רמת מורכבות, תחכום ועבודה קשה שאנשים לא מתקרבים אליה. כל זה מהדיווח של החברה.

הפחד כמקדם מכירות

בסדר, אני לא. סיפורי האימה האלה הפכו להיות מקדם המכירות הכי טוב של המודלים. אחרי הסיפורים ששחררה אנתרופיק על מודל מיתוס האימתני, שמוצא חורי אבטחה בכמויות שאנשים לא מסוגלים, אין חברה שלא עמדה אצלה בתור כדי לקבל גישה. כמו החברה שגילתה 24 אלף חורי אבטחה, יש עוד רבות.

בקיצור, חרדה מקדמת מכירות, זה לא חדש. מה שחדש זה שגם חוסר שליטה על המוצרים שלך זה כלי שיווק אפקטיבי. ושיש לנו תחרות של סיפורי זוועה, אימה וחוסר שליטה בין OpenAI ואנתרופיק. מיי דה בסט הורור מובי ווין.