Patru eșecuri. Patru straturi. Arhitectura însăși este vulnerabilitatea.

Un episod recent din 10 aprilie 2026 al podcastului Hard Fork de la New York Times a examinat implicațiile de securitate cibernetică ale sistemelor avansate de inteligență artificială și a ridicat o întrebare pe care industria a evitat-o: ce se întâmplă dacă securitatea cibernetică nu este subperformantă, ci fundamental înrăutățită?

Episodul a fost difuzat cu câteva săptămâni după o serie de incidente care au făcut răspunsul dificil de ignorat. Într-o singură lună, un agent autonom de inteligență artificială a spart platforma internă de inteligență artificială a McKinsey în două ore. Un atac de lanț de aprovizionare asupra unei biblioteci deschise de inteligență artificială a avut un efect de undă în întreprinderile din aval. Cercetătorii au demonstrat că hardware-ul destinat să fie ultima linie de apărare poate fi spart cu piese de schimb disponibile la un preț de sub o mie de dolari. Și Anthropic a dezvăluit că un model de frontieră a găsit autonom mii de vulnerabilități zero-day în codul pe care industria îl considera stabil.

Patru incidente. Patru straturi ale stivei de inteligență artificială: aplicație, orchestrare, hardware și sistem de operare. Fiecare a dezvăluit limitări semnificative în controalele proiectate pentru a le proteja.

Sfârșitul gândirii perimetrului

Securitatea cibernetică tradițională se bazează pe o singură premisă: cu suficiente controale, monitorizare și investiții, sistemele pot fi securizate. Acea premisă a modelat decenii de arhitectură, inclusiv firewalls, managementul identității, securitatea punctului de terminare și platformele SIEM, toate construite pe ideea că vizibilitatea și managementul strict egal securitate.

Industria s-a îndreptat către Arhitectura Zero Trust, ceea ce reflectă o recunoaștere crescândă că granițele rețelelor tradiționale nu mai pot fi considerate de încredere. Cu toate acestea, chiar și pe măsură ce modelele de încredere evoluează, sistemele de inteligență artificială introduc o provocare diferită: datele sensibile sunt agregate, procesate și distribuite în mod regulat pe multiple straturi de infrastructură.

Acest abordare a avut sens atunci când sistemele erau relativ centralizate și datele rămâneau în interiorul unor granițe clar definite. Devine mult mai puțin eficient atunci când datele se deplasează continuu între cloud, API, furnizori terți și conducte de inteligență artificială, în timp ce utilizatorii și resursele de calcul sunt distribuite la nivel global. Perimetrul nu mai este o graniță. Este o suprafață care se schimbă în mod constant, și încă aplicăm gândirea bazată pe control pentru sisteme care nu pot fi realistic controlate.

Eșecul stratului de aplicație: Lilli de la McKinsey

La 9 martie 2026, startup-ul de securitate CodeWall a publicat o dezvăluire care a subliniat riscurile cu care se confruntă organizațiile care implementează inteligență artificială în interior.

Agentul ofensiv autonom al CodeWall, fără credențiale, fără cunoștințe interne și fără îndrumare umană, a obținut acces de citire și scriere la baza de date de producție din spatele lui Lilli, platforma internă de inteligență artificială a McKinsey, în mai puțin de două ore. Lilli este utilizată de peste 40.000 de angajați pentru lucrări de strategie, cercetare de clienți și analiză de documente, generând sute de mii de prompturi pe lună.

Punctul de intrare nu a fost sofisticat. Agentul a găsit documentația API expusă public, care lista peste 200 de puncte de capăt, 22 dintre care nu necesitau autentificare. Vulnerabilitățile implicate au reflectat riscurile evidențiate în OWASP Top 10 pentru aplicații LLM, în special în jurul interfețelor expuse, integrărilor nesigure și excesului de încredere în sistemele conectate.

Unul dintre aceste puncte de capăt conținea o vulnerabilitate de injecție SQL ascunsă în numele câmpurilor JSON, și nu în valorile de intrare, unde majoritatea scannerelor automate caută. De acolo, agentul a iterat prin injecția SQL oarbă până când datele de producție au devenit accesibile.

Ce a accesat: zeci de milioane de mesaje de chat în text clar, sute de mii de fișiere, zeci de mii de conturi de utilizator și milioane de fragmente de documente RAG care reprezentau ani de cercetare proprietară. A identificat, de asemenea, prompturile sistemului care guvernau comportamentul lui Lilli pentru fiecare utilizator.

Cea mai alarmantă constatare nu a fost volumul. A fost că prompturile sistemului erau scriabile. Un atacator ar fi putut rescrie în mod silențios instrucțiunile care guvernau ieșirile lui Lilli, otrăvind sfaturile strategice, încorporând date confidențiale în răspunsuri sau eliminând complet barajele, cu o singură actualizare a bazei de date. Fără implementare. Fără modificare a codului. Fără urme în jurnalele de aplicație.

Într-o declarație publică, McKinsey a spus că a remediat problema în câteva ore și, după o anchetă a unei firme de forensică terță, nu a găsit nicio dovadă că datele confidențiale ale clienților au fost accesate. Acest răspuns contează. Dar nu schimbă lecția structurală: o clasă de vulnerabilități cu decenii de existență a expus memoria operațională a unui sistem modern de inteligență artificială pentru că datele de dincolo de el existau în formă lizibilă.

Eșecul stratului de orchestrare: Atacul LiteLLM

La trei săptămâni după, același model a apărut dintr-un unghi diferit și printr-un strat diferit.

LiteLLM este o poartă de inteligență artificială deschisă, utilizată de mii de companii pentru a ruta cereri către furnizori de inteligență artificială. Poziția sa în stivă este critică: se află la stratul de orchestrare, deținând chei API pentru fiecare furnizor la care se conectează. Orice compromis la acest strat expune credențialele tuturor serviciilor integrate.

Conform unui raport de incident PyPI, grupul de actori amenințători TeamPCP a exploatat credențialele legate de o dependență în pipeline-ul CI/CD al LiteLLM și a utilizat accesul de întreținere pentru a publica două versiuni compromise ale pachetului LiteLLM direct pe PyPI. Versiunile compromise au fost disponibile mai puțin de o oră înainte de a fi eliminate. Operațiunea a fost descoperită doar pentru că malware-ul conținea o eroare care a făcut să se prăbușească mașina unui cercetător.

Lanțul de aprovizionare a fost vectorul. Stratul de orchestrare a fost ținta. Prin compromiterea unei singure dependențe în amonte, atacatorii au ajuns la stratul în care trăiau cheile furnizorilor tuturor companiilor din aval.

Echipa LiteLLM a detaliat ulterior incidentul și eforturile de atenuare într-o dezvăluire publică pe GitHub.

Raza de explozie a devenit vizibilă aproape imediat. TechCrunch, Fortune și The Register au raportat că Mercor, o companie de recrutare de inteligență artificială de 10 miliarde de dolari care lucrează cu companii precum OpenAI, Anthropic, Meta și Google, a fost printre organizațiile afectate. Atacatorii au pretins că au obținut volume mari de date, inclusiv profiluri de candidați, informații de identificare personală, interviuri video ale contractorilor, cod sursă și chei API. Meta a oprit lucrul cu Mercor în așteptarea anchetei. Raportarea ulterioară a indicat modele de malware similare care au apărut în alte unelte și pachete de dezvoltare, sugerând că operațiunea ar fi putut să se extindă dincolo de un singur proiect.

Incidentul LiteLLM nu a fost o anomalie. A fost sistemul care se comportă așa cum a fost proiectat. Fiecare componentă dintr-o conductă de inteligență artificială necesită acces la date utilizabile pentru a funcționa, ceea ce înseamnă că fiecare componentă este, de asemenea, un punct potențial de extragere. Fixarea dependențelor și rotirea credențialelor sunt răspunsuri necesare, dar ele abordează incidentul, nu arhitectura.

Eșecul stratului de hardware: TEE.fail

Dacă breșa McKinsey a demonstrat că stratul de aplicație nu poate fi încredințat, și atacul LiteLLM a demonstrat că lanțul de aprovizionare nu poate fi încredințat, cercetarea TEE.fail a demonstrat că hardware-ul destinat să compenseze ambele nu poate fi pe deplin încredințat.

La 28 octombrie 2025, cercetători de la Georgia Tech, Purdue University și Synkhronix au publicat TEE.fail, un atac de canal lateral care extrage chei criptografice din Medii de Execuție Încredințate folosind interpoziția magistralului de memorie fizică pe servere DDR5. Atacul afectează Intel SGX, Intel TDX și AMD SEV-SNP, inclusiv pe sisteme complet actualizate, cu starea de încredere și cu Ciphertext Hiding activat de AMD. Acestea sunt tehnologiile promovate pe scară largă ca fundație a calculului confidențial.

Cercetătorii au extras chei de atestare: materialul criptografic utilizat pentru a verifica că sarcinile de lucru rulează în interiorul unor medii securizate. Cu aceste chei, un sistem compromis se poate prezenta ca fiind de încredere, în timp ce funcționează complet în afara protecțiilor așteptate. Cercetătorii au demonstrat acest lucru direct: au falsificat atestări TDX pe BuilderNet de la Ethereum pentru a accesa date confidențiale de tranzacționare și au falsificat atestări Intel și NVIDIA pentru a rula sarcini de lucru în afara oricărui mediu de execuție încredințată, în timp ce păreau legitime.

Implicația pentru NVIDIA contează în special pentru inteligența artificială. Deoarece atestarea GPU depinde de atestarea CPU, o încredere compromisă a lanțului de încredere CPU poate submina garanțiile oferite de medii de inferență confidențială de inteligență artificială. Fundația de hardware a inferenței confidențiale de inteligență artificială este, în acest model de amenințare, condiționată de un mediu de execuție încredințată CPU care a fost demonstrat a fi compromis.

Producătorii de hardware au răspuns cu avize formale. AMD a declarat că atacurile cu acces fizic se află în afara modelului lor standard de amenințare și a indicat că nu va emite actualizări de firmware. Intel și NVIDIA au recunoscut constatările și au indicat lucrări de atenuare în desfășurare. Aceste răspunsuri sunt rezonabile în cadrul modelelor lor de amenințare. Ele subliniază, de asemenea, o limită importantă: garanțiile securității bazate pe hardware depind de ipoteze, inclusiv controlul fizic, pe care implementările suverane, reglementate și orientate către adversari nu le pot face întotdeauna.

TEE.fail nu face izolarea hardware-ului irelevant. Demonstrează că este condiționat.

 Eșecul stratului de sistem de operare: Revelația Mythos

Dacă primele trei incidente au pus sub semnul întrebării stratul de aplicație, stratul de orchestrare și stratul de hardware, o a patra dezvăluire din aprilie 2026 a pus sub semnul întrebării stratul de sub toate acestea: sistemele de operare și bibliotecile de bază pe care rulează toate celelalte straturi.

La 7 aprilie 2026, Anthropic a anunțat Claude Mythos Preview, un model de frontieră pe care a refuzat să-l lanseze public din cauza capacităților sale ofensive de securitate și a lansat, în același timp, Project Glasswing, un consorțiu cu AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft, NVIDIA și Palo Alto Networks. Anthropic a raportat că, în câteva săptămâni, Mythos a identificat autonom mii de vulnerabilități necunoscute anterior în sisteme de operare majore și browsere web și a fost capabil să producă exploate funcționale pentru multe dintre ele.

Constatarile specifice sunt mai greu de respins decât orice rezumat sugerează. O gaură de 27 de ani în OpenBSD. O gaură de execuție de cod la distanță de 17 ani în serverul NFS al FreeBSD, acum urmărită ca CVE-2026-4747, care oferă acces de root unui atacator neautentificat. O vulnerabilitate de 16 ani în FFmpeg, una dintre cele mai răspândite biblioteci de medii de pe internet. Într-un caz, un inginer Anthropic fără pregătire formală de securitate a cerut modelului să caute găuri de execuție de cod la distanță peste noapte și s-a trezit cu o exploatare funcțională completă.

Acestea sunt constatări la nivel de sistem de operare. OpenBSD și FreeBSD sunt nuclee. NFS este un subsistem de rețea al nucleului. FFmpeg este o bibliotecă de sistem care vine cu majoritatea distribuțiilor Linux și susține conducte de medii pe internet. Stratul de sistem de operare a fost considerat sigur nu pentru că a fost dovedit a fi securizat, ci pentru că găsirea unor găuri adânci în el necesita expertiză umană rară și scumpă. Acea ipoteză a fost cea mai bună euristică disponibilă. Nu a fost niciodată o garanție.

Acea constrângere s-a relaxat acum. Anthropic însuși a descris acest lucru ca o schimbare duală de utilizare: aceleași capacități care permit unui model de frontieră să găsească și să corecteze vulnerabilități la scară largă îi permit, de asemenea, în mâinile greșite, să găsească și să exploateze vulnerabilități la scară largă. Decizia Anthropic de a restricționa accesul prin Project Glasswing reflectă acea realitate. Nu o rezolvă. Capabilități similare vor prolifera, potrivit evaluării companiei. Costul auditării codului legacy a scăzut, și împreună cu el, apărarea implicită că un astfel de cod era prea obscur, prea vechi sau prea larg examinat pentru a mai conține găuri critice.

Acesta este și locul în care cele patru incidente se combină. Protecțiile de calcul confidențial ale stratului de hardware nu rulează în izolare. Rulează ca cod de nucleu. Intel TDX rulează în nucleu. Driverii GPU NVIDIA rulează ca module de nucleu. Lanțul de atestare CPU TEE depinde de un sistem de operare de încredere pentru a raporta cu fidelitate ce face. Dacă stratul de sistem de operare de sub TEE dvs. are vulnerabilități latente de decenii și un model de frontieră poate găsi acum vulnerabilități la viteză de mașină, atunci securitatea condiționată a stratului de hardware depinde de un strat de sistem de operare a cărui garanții de securitate au fost slăbite de același ciclu de dezvăluire.

Cele trei incidente anterioare descriu modul în care sistemele de inteligență artificială sunt sparte în prezent. Mythos descrie rata la care totul de sub ele, inclusiv sistemele de operare, modulele de nucleu și bibliotecile de sistem, este pe cale să fie re-auditat de mașini. Breșa McKinsey a exploatat o clasă de vulnerabilitate de injecție SQL care a existat timp de peste două decenii. Vulnerabilitățile de acest gen sunt exact ceea ce modelele din clasa Mythos sunt demonstrabil capabile să găsească la scară industrială.

Modelul

În fiecare caz, datele erau în text clar în momentul în care a contat.

Stratul de aplicație le-a procesat în clar. Stratul de orchestrare le-a rutat în clar. Stratul de hardware, în ciuda protecțiilor sale, a necesitat în cele din urmă decriptarea la punctul de execuție. Stratul de sistem de operare de sub toate acestea a funcționat în mod clar, prin definiție. Patru straturi, patru eșecuri, și la fiecare strat aceeași condiție a fost îndeplinită: atunci când a avut loc breșa, datele erau lizibile.

Acesta nu este un set de eșecuri izolate. Este arhitectura însăși.

Sistemele moderne de inteligență artificială sunt proiectate să funcționeze pe date lizibile. Fiecare strat, inclusiv recuperarea, rutarea, inferența și execuția uneltei, necesită acces la date în text clar pentru a funcționa. Acestă alegere de proiectare înseamnă că orice breșă la orice strat expune datele de dincolo de el.

Întrebarea nu este dacă un strat va fi compromis. Este ce găsește atacatorul atunci când este compromis.

De la breșă presupusă la zero expunere

Industria a început deja să se deplaseze de la “prevenirea breșei” la “presupunerea breșei”. Dar majoritatea arhitecturilor nu au urmat încă implicațiile.

Dacă breșa este inevitabilă, atunci adevărata întrebare nu este cum să ținem atacatorii afară. Este ce se întâmplă atunci când intră. În prezent, răspunsul este simplu: ei primesc datele. Pentru că, în ciuda tuturor investițiilor în infrastructura de securitate, datele sunt încă expuse în momentul în care devin valoroase, atunci când sunt utilizate.

Răspunsul industriei a fost previzibil: mai multă monitorizare, detectare mai rapidă, straturi suplimentare de calcul confidențial. Acestea sunt îmbunătățiri. Dar nu rezolvă problema de bază. Ele presupun încă că un strat – fie software, hardware sau operațional – poate fi încredințat să țină datele în text clar în siguranță.

Alternativa este să înlăturați complet datele în text clar. Nu pentru a securiza straturile din jurul datelor, ci pentru a face datele însele inaccesibile oricui care le ajunge. Calculul pe date criptate, în care prompturile, greutățile modelului și ieșirile rămân criptate pe tot parcursul conductei, abordează expunerea pe care aceste incidente au exploatat-o.

Progresele în criptarea omomorfă completă și alte tehnici de calcul care păstrează confidențialitatea devin din ce în ce mai practice pentru sarcinile de lucru reale de inteligență artificială. Deși rămân provocări semnificative de performanță, scalabilitate și implementare, obiectivul este fundamental diferit de controalele de securitate tradiționale: reducerea valorii unei compromiteri reușite, mai degrabă decât simpla reducere a probabilității compromiterii.

Schimbarea nu este de la un instrument de securitate la altul. Este de la securizarea sistemelor la reducerea expunerii. De la infrastructura de încredere la date cu zero încredere. De la gestionarea riscului la minimizarea suprafeței de atac în sine.

Ce urmează

Discuția Hard Fork a ridicat întrebarea dacă securitatea cibernetică este fundamental înrăutățită. Dovezile din ultimele săptămâni sugerează că răspunsul este da, cel puțin pentru inteligența artificială.

Modelul vechi presupunea că sistemele pot fi securizate, breșele pot fi conținute și expunerea poate fi gestionată. Realitatea emergentă este că breșele trebuie presupuse și expunerea minimizată. Incidentele descrise aici sugerează că securitatea sistemelor de inteligență artificială poate depinde din ce în ce mai mult de reducerea cantității de date sensibile disponibile atunci când controalele eşuează.

Vulnerabilitățile expuse în aceste patru incidente nu sunt limitate la un singur strat. Sunt sistemice. Abordarea lor va necesita mai mult decât îmbunătățiri incrementale. Va necesita o schimbare de la securizarea sistemelor la reducerea expunerii, de la apărarea perimetrului din jurul datelor la înlăturarea datelor în text clar pe care perimetrul a fost construit să le protejeze.

Securitatea inteligenței artificiale nu mai este despre ținerea atacatorilor afară. Este despre a asigura că, atunci când intră, și vor intra, nu există nimic lizibil pentru ei să găsească.