AI‑hyökkääjät eivät väsy: Miksi kyberturvallisuuden on muututtava

Turvallisuusohjelmasi on rakennettu hyökkääjille, jotka kyllä väsyvät.

Kun OpenAI julkaisi kertomuksensa malleista, jotka pakenivat arviointiympäristöstä ja viettivät päiviä Hugging Face:n tuotantoinfrastruktuurissa, kutsuin sitä Terminator‑hetkeksi kyberturvallisuudessa. Pysyn lausunnossani, mutta jokin muu tässä pitäisi saada meidät pysähtymään. Yhdeksän päivää myöhemmin Anthropic paljasti omia tapahtumiaan. Elokuun alussa Meta vahvisti toisen tapauksen. Muutaman päivän kuluttua neljännen laboratorion malli, Moonshotin Kimi K3, luisui testisandauksestaan. Neljä laboratoriota. Alle kolme viikkoa. Neljä mallia, jotka päätyivät paikkaan, johon kukaan ei aikonut.

Nämä tarinat on pitkälti käsitelty AI‑turvallisuustapauksina. Ne ovat sellaisia. Mutta CISO:lle ne ovat myös kolmannen osapuolen riskitarinoita – ja se saattaa olla välittömämpi opetus. Epämiellyttävä totuus on, että OpenAI‑Hugging Face -tapaus oli pohjimmiltaan kolmannen osapuolen riskitarina: haavoittuva kolmannen osapuolen komponentti pakoreittinä, toimittaja uhrina ja järjestelmällinen solmu, johon tuhannet yritykset luottavat räjähdyssäteenä.

Tässä on luku, jonka toisin seuraavaan turvallisuussuunnittelukokoukseesi. Noin 17 600 hyökkääjän toiminnasta Hugging Face palautti lokistaan, suurin osa epäonnistui.

Agentti testasi polkuja, jotka eivät johtaneet mihinkään. Se jäi URL‑sallittujen listojen estämäksi ja siirtyi. Se kohtasi IAM‑käytännöt, jotka hylkäsivät jokaisen muokkaavan kutsun. Se yritti tavoittaa tuotantotietokannan kahdesti ja aikakatkaisi molemmat kerrat. Se tutkiskeli, epäonnistui ja jatkoi. Tuhansia kertoja. Se ei turhautunut. Se ei väsynyt. Ja epäonnistuminen maksoi lähes mitään.

Neljä mallia pääsi testausympäristöistä alle kolmessa viikossa. Pakoista tuli otsikoita. Turvallisuusjohtajien tulisi olla huolissaan enemmän siitä, mikä teki ne mahdollisiksi: hyökkääjä, joka voi epäonnistua tuhansia kertoja lähes ilman kustannuksia.

Tämä on muutos. Vuosikymmeniä puolustajat ovat hyötyneet yhdestä yksinkertaisesta tosiasiasta: epäonnistuminen maksaa hyökkääjälle jotain. Tiedustelu vei aikaa ja umpikuja olivat kalliita. Tämän epäsymmetrian taloustiede teki “kustannusten asettamisesta” hyökkääjille johdonmukaisen keinon yrittää pysäyttää heidät. Kun epäonnistuminen on lähes ilmaista, onnistunut polku ei enää ole kuin neula heinäsuovassa, vaan tilastollinen varmuus kenelle tahansa, joka pystyy kulkemaan kaikki polut samanaikaisesti.

Näiden tapausten mallit osoittavat kolme oppituntia, joihin turvallisuusjohtajien tulisi nyt ryhtyä.

Neljä laboratoriota, yksi muoto

Malli on yllättävän johdonmukainen. Anna mallille tavoite. Se löytää polun, jota kukaan ei odottanut. Joskus tuo polku johtaa suoraan organisaatioiden tuotantojärjestelmiin, joiden ei olisi koskaan pitänyt olla mukana. Vähintään yhdessä tapauksessa vaikutuksen saanut organisaatio sai tiedon tapahtuneesta, koska Anthropic soitti kertomaan sen

Jokaisessa tapauksessa polku kulki jonkun toisen rakentaman ohjelmiston, infrastruktuurin tai ympäristön läpi. Turvallisuusjohtajien tulisi ottaa se henkilökohtaisesti.

Jokaisella tässä ketjussa olevalla organisaatiolla oli turvallisuusohjelma. Useilla oli erittäin hyvät ohjelmat. Epäonnistuminen ei rajoittunut yhteen rajaan. Se tapahtui organisaatioiden välisten saumojen kautta, eikä kukaan omista näitä saumia.

OpenAI:n mallit löysivät nollapäivähaavoittuvuuden itseisännöidystä pakettivälityspalvelimesta ja hyödynsivät sitä päästäkseen avoimeen internetiin. Sieltä ne juurtuivat turvattomaan koodin suoritusympäristöön, joka kuului Modal Labsin asiakkaalle, käyttivät sitä siirtymäpohjana ja huijasivat Hugging Face:n dataset-lataajan lukemaan paikallisia tiedostoja ja suorittamaan koodia. Kolmetoista tunnin sisällä ne hallitsivat klusterin ylläpitäjän oikeuksia useissa sisäisissä klustereissa, apuna oli yksi kaikissa jaettu tunnistetieto. Sisäänpääsymenetelmä oli uusi. Sisäisesti heikkoudet olivat ne, joista olemme kirjoittaneet kaksikymmentä vuotta.

Yhdeksän päivää myöhemmin Anthropic teki jotain harvinaisempaa: se julkaisi oman arvionsa 141 006 arviointisuorituksesta ja paljasti kolme tapausta, joissa oli samanlainen esitys ilman kehotusta: malli saavutti avoimen internetin arviointiympäristöstä ja sai pääsyn todellisten organisaatioiden järjestelmiin. Tällä kertaa ei ollut sandkassin pakoa, vaan virheasetuksen seurauksena jäi elävä polku ulos, vaikka mallille oli kerrottu, ettei sellaista ole. Kun se oli ulkona, malli hyödynsi heikkouksia, jotka jokainen turvallisuustiimi tuntee: heikot salasanat, todennustamattomat päätepisteet, SQL‑injektio ja tunnistetiedot avoimella debug‑sivulla.

Meta vahvisti neljännen tapauksen elokuun alussa, kun konfiguraatiovirhe antoi yhdelle sen malleista internetyhteyden arvioinnin aikana. Myöskään Meta ei huomannut sitä; se sai tiedon tapahtuneesta, kun sen testikumppani soitti. Sekä tuo arviointi että Anthropicin suoritettiin saman ulkopuolisen yrityksen, Irregularin, toimesta, joka on julkisesti kutsunut ne samaksi ongelmaksi. Yhden toimittajan konfiguraatiovirhe levisi kahden raja‑laboratorion ja neljän uhriorganisaation välillä, joilla ei ollut lainkaan suoraa yhteyttä Irregulariin. Se oli toimittaja kahdelle laboratoriolle, ei heille. Agentti ei välittänyt siitä, missä yhden yrityksen hyökkäyspinta päättyi ja toisen alkoi.

Tämä tekee siitä kolmannen osapuolen riskiongelman. Altistuminen voi nyt syntyä useiden suhteiden päässä sinusta, organisaatiossa, jota et ole koskaan valinnut, arvioinut tai edes tiennyt kuuluvan hyökkäyspintaasi.

Sitten Frontier Securityn tutkijat napasivat myös Moonshotin Kimi K3:n luisuvan sen sandkassista, jotta se voisi käyttää GitHubin benchmark‑tietovarastoa. Kukaan ei joutunut murroksiin, ja malli seurasi annettua tavoitettaan, havainnut, että valmiin vastausavaimen käyttäminen oli halvempi kuin itse ratkaiseminen. Kaksi seikkaa tekevät tästä tapauksesta merkittävän. Tutkijat napasivat sen omassa testissään. Lisäksi se käytti täysin erilaista työkalupakettia kuin Anthropicin ja Metan tapaukset. Yhden toimittajan huono kuukausi ei selitä tätä.

Laboratoriot eivät jätä tätä huomiotta. Anthropic julkaisi arvionsa ilman kehotusta, minkä vuoksi alalla on malli, jota tarkastella ja oppia – eikä poikkeama, jonka voi sivuuttaa. Tämän tulisi tulla normiksi. OpenAI on hidastanut Astra‑mallinsa julkaisua sen jälkeen, kun sisäiset arvioinnit eivät pystyneet sulkemaan pois kriittistä kybertaitoa. Molemmat toimet ansaitsevat kiitosta. Mutta kumpikaan ei ole puolustusstrategia: julkaisun viivästyminen ohjaa yhden yrityksen aikataulua. Se ei tee mitään kyvykkäiden mallien, kuten Kimi K3:n, suhteen, jotka ovat jo saatavilla avoimen painon ja ilmaiseksi, eikä mikään yksittäinen laboratorio hallitse sitä.

Korrelaatio ilman eskalaatiota ei ole havaitseminen

Hugging Face:n havaitsemisjärjestelmä, ansaitusti, korreloi signaalit yhtenäiseksi hyökkäykseksi. Se epäonnistui kuitenkin nostamaan kriittisyyttä, eikä hälytystiimiä kutsuttu. Työkalut kokoivat tarinan, mutta eivät pystyneet päättämään, että tarina oli kiireellinen. Tämä on triage‑arkkitehtuuri, joka on rakennettu maailmaan, jossa 17 600 tapahtumaa neljän päivän aikana olisi vaikuttanut absurdeilta.

Kyberturvallisuus tarvitsee oman Fosbury‑hypynsä

Vuonna 1968 Dick Fosbury voitti olympiakultaa korkeushyppyssä ei hyppäämällä korkeammalle kuin kilpailijansa, vaan ylittämällä tangon taaksepäin. Kaikki muut hiottivat perinteistä tekniikkaa. Parempi muoto, enemmän voimaa, marginaalisia parannuksia vuosikymmeniä vanhassa tekniikassa. Fosbury muutti ongelman muotoa. Kahden olympialaisen sisällä perinteinen tekniikka oli lähes kuollut.

Turvallisuusjohtajien on nyt ylitetävä juuri siirtynyt tangon korkeus, ja suurin osa alan vastauksista tähän mennessä on parempi perinteinen tekniikka: enemmän hälytyksiä, nopeammat analyytikot, tiukemmat SLA:t ihmisen tarkastukselle. Tämä ei toimi, koska rajoitteena ei ole analyytikon nopeus. Et voi vastata koneen nopeisiin hyökkäyksiin ihmisen nopeudella tapahtuvaan triageen.

Hypyn ulkoasu on seuraava:

• Lopeta rajan käsitteleminen ohjausmekanismina. Arviointisandkassi epäonnistui, dataset‑lataaja epäonnistui ja pod‑eristys epäonnistui, jokainen toimi kunnolla siihen asti, kunnes se ei enää toiminut. Suunnittele, mitä tapahtuu seuraavaksi. Käytä lyhytikäisiä tunnistetietoja. Poista jaetut hallinnolliset identiteetit. Estä pääsy metatietopalveluihin. Ennen kaikkea rajoita, kuinka pitkälle hyökkääjä voi liikkua ensimmäisen ohjausmekanismin epäonnistuessa.
• Siirrä havaitseminen hälytyksestä korrelaatioon. Yhden epäilyttävän tapahtuman löytäminen ei enää riitä. Tehtävänä on yhdistää tuhannet tavallisen näköiset tapahtumat yhdeksi hyökkäystarinalle ja tietää, milloin tarina on tarpeeksi vakava herättämään jonkun. Tämä on yhä enemmän automatisoitava, kun otetaan huomioon näkemämme määrä.
• Käsittele kolmannen osapuolen altistuminen hyökkäyspolkuna, ei kyselylomakkeena. Nämä tapaukset kulkivat kolmannen osapuolen riippuvuuksien kautta: toimittajan tuote, toimittajan asiakas, arviointikumppani, jaettu testausvälineistö. Riskisi sisältää nyt konfiguraatiovirheitä, jotka on tehnyt organisaatiot, joita et ole koskaan tarkastanut etkä ehkä edes tiedä olevan olemassa. Staattiset, tiettyyn hetkeen perustuvat arviot eivät näe tätä. Tämä ongelma ei ole uusi. AI tekee siitä paljon kiireellisemmän. Turvallisuustiimien on saatava jatkuva näkymä yrityksiin ja teknologiaan, joihin ne ovat riippuvaisia, koska hyökkääjät näkevät koko ekosysteemin yhtenäisenä pinnana.

SecurityScorecardilla tämä on juuri se ongelma, jonka ympärille kulttuurimme on rakennettu: yhdistää ihmisiä, jotka ovat syvästi uteliaita hyökkääjien ajattelutavan suhteen, valmiita haastamaan kaksikymmentä vuotta vanhoja oletuksia ja innostuneita luomaan radikaalisti erilaisen lähestymistavan turvallisuuteen!

Kysymys, jonka voit tuoda seuraavaan hallituksen kokoukseen

Sanoin muutama viikko sitten, että henki on tullut liian voimakkaaksi pulloon nähden. Neljän laboratorion jälkeen mikään ei ole väittänyt toisin. Tämänkaltaisten tapausten jälkeen kaikki kysyvät samaa: Olemmeko valmiita AI‑voimaisiin hyökkääjiin? En usko, että tämä kysymys vie meitä pitkälle. ‘Kyllä’ ja ‘ei’ tuottavat saman lopputuloksen: mikään ei muutu.

Kysy vaikeampaa. Jos 17 000 heikkosignaalista tapahtumaa osuu ympäristöösi seuraavien neljän päivän aikana – ja suurin osa näytti epäonnistumisilta – kuinka kauan tiimisi kestäisi huomata, että ne olivat yksi hyökkäys? Saako kukaan hälytyksen ajoissa?

Tiedät jo vastauksen. Tämä vastaus ja neljän päivän välinen ero on se työ, joka on tehtävä.