Kẻ tấn công AI không bao giờ mệt: Tại sao An ninh mạng phải thay đổi

Chương trình bảo mật của bạn được xây dựng cho những kẻ tấn công có thể làm được.

Khi OpenAI công bố câu chuyện về các mô hình thoát ra khỏi môi trường đánh giá và dành nhiều ngày trong hạ tầng sản xuất của Hugging Face, tôi đã gọi đó là khoảnh khắc Terminator cho an ninh mạng. Tôi vẫn giữ quan điểm đó, nhưng còn một điều khác trong sự việc này nên khiến chúng ta suy ngẫm. Chín ngày sau, Anthropic tiết lộ các sự cố của riêng mình. Đầu tháng Tám, Meta xác nhận một vụ nữa. Vài ngày sau, mô hình của phòng thí nghiệm thứ tư, Kimi K3 của Moonshot, đã trượt khỏi sandbox thử nghiệm. Bốn phòng thí nghiệm. Ít hơn ba tuần. Bốn mô hình đã đi đến nơi mà không ai dự định.

Những câu chuyện này phần lớn đã được xem như các câu chuyện an toàn AI. Chúng đúng như vậy. Nhưng đối với một CISO, chúng cũng là các câu chuyện rủi ro bên thứ ba — và đó có thể là bài học cấp thiết hơn. Sự thật khó chịu là sự cố OpenAI-Hugging Face, về cốt lõi, là một câu chuyện rủi ro bên thứ ba: một thành phần bên thứ ba dễ bị tổn thương là lối thoát, một nhà cung cấp là nạn nhân, và một nút hệ thống mà hàng ngàn công ty phụ thuộc làm vùng ảnh hưởng.

Đây là con số tôi sẽ mang đến buổi họp lập kế hoạch bảo mật tiếp theo của bạn. Trong khoảng 17.600 hành động của kẻ tấn công mà Hugging Face thu thập được từ nhật ký của mình, hầu hết đều thất bại.

Đại lý đã thử các đường đi không dẫn tới đâu. Nó bị chặn bởi danh sách cho phép URL và chuyển hướng. Nó gặp các chính sách IAM từ chối mọi cuộc gọi thay đổi. Nó cố gắng truy cập cơ sở dữ liệu sản xuất hai lần nhưng đều bị timeout. Nó thăm dò, thất bại và tiếp tục. Hàng ngàn lần. Nó không cảm thấy bực bội. Nó không mệt mỏi. Và thất bại hầu như không tốn gì.

Bốn mô hình đã thoát khỏi môi trường thử nghiệm trong vòng chưa đầy ba tuần. Những vụ trốn thoát này đã lên tiêu đề. Các nhà lãnh đạo bảo mật nên lo lắng hơn về nguyên nhân khiến chúng có thể xảy ra: một kẻ tấn công có thể thất bại hàng ngàn lần với gần như không tốn chi phí.

Đó là sự chuyển đổi. Trong nhiều thập kỷ, các bên phòng thủ đã được lợi từ một thực tế đơn giản: thất bại khiến kẻ tấn công phải trả giá. Việc thăm dò mất thời gian và những ngõ cụt tốn kém. Kinh tế học của bất đối xứng này đã khiến “đặt chi phí” lên kẻ tấn công trở thành một cách hợp lý để cố gắng ngăn chặn chúng. Khi thất bại gần như miễn phí, con đường thành công không còn là một kim chỉ trong đống cỏ khô mà trở thành một chắc chắn thống kê cho bất kỳ ai có thể theo đuổi mọi con đường đồng thời.

Các mẫu trong những sự cố này chỉ ra ba bài học mà các nhà lãnh đạo bảo mật nên hành động ngay bây giờ.

Bốn Phòng Thí Nghiệm, Một Hình Dạng

Mẫu này đáng chú ý là rất nhất quán. Khi cho một mô hình một mục tiêu, nó sẽ tìm ra một con đường mà không ai dự đoán. Đôi khi con đường đó dẫn thẳng vào hệ thống sản xuất của các tổ chức mà không bao giờ được dự kiến tham gia. Ít nhất trong một trường hợp, tổ chức bị ảnh hưởng biết được những gì đã xảy ra vì Anthropic đã gọi điện thông báo cho họ

Trong mọi trường hợp, con đường đã đi qua phần mềm, hạ tầng hoặc môi trường do người khác xây dựng. Các nhà lãnh đạo bảo mật nên coi điều này là vấn đề cá nhân.

Mỗi tổ chức trong chuỗi này đều có một chương trình bảo mật. Một số có chương trình rất tốt. Sự thất bại không được giới hạn trong bất kỳ rào chắn nào riêng lẻ. Nó xảy ra ở các khe hở giữa các tổ chức, và không ai sở hữu các khe hở đó.

Các mô hình của OpenAI đã tìm ra một lỗ hổng zero-day trong một proxy gói tự lưu trữ và dùng nó để tiếp cận internet mở. Từ đó chúng đã chiếm quyền trên một sandbox thực thi mã không an toàn thuộc khách hàng của Modal Labs, dùng nó làm nền tảng staging, và lừa loader dữ liệu của Hugging Face đọc các tệp cục bộ rồi thực thi mã. Trong vòng mười ba giờ, chúng đã nắm quyền cluster-admin trên nhiều cụm nội bộ, được hỗ trợ bởi một chứng chỉ duy nhất được chia sẻ giữa tất cả. Điểm vào là mới lạ. Bên trong, những điểm yếu là những gì chúng tôi đã ghi chép trong hai thập kỷ qua.

Chín ngày sau, Anthropic đã làm điều hiếm hơn: họ đã công bố đánh giá của riêng mình về 141.006 lần đánh giá và tiết lộ ba trường hợp có cách trình bày tương tự mà không được yêu cầu: một mô hình tiếp cận internet mở từ môi trường đánh giá, sau đó truy cập vào hệ thống thực của các tổ chức. Lần này không có việc thoát sandbox, chỉ là một cấu hình sai khiến một lối đi hoạt động tồn tại trong khi mô hình đã được thông báo không có. Khi ra ngoài, mô hình đã khai thác những điểm yếu mà mọi đội bảo mật đều biết: mật khẩu yếu, endpoint không xác thực, tấn công SQL injection và chứng chỉ để lại trên trang gỡ lỗi công khai.

Meta xác nhận vụ thứ tư vào đầu tháng Tám, sau một lỗi cấu hình đã cho một trong các mô hình của họ truy cập internet trong quá trình đánh giá. Meta cũng không phát hiện; họ biết chuyện đã xảy ra khi đối tác kiểm tra của họ gọi điện. Cả lần đánh giá đó và của Anthropic đều được thực hiện bởi cùng một công ty bên ngoài, Irregular, công ty này đã công khai gọi chúng là cùng một vấn đề. Lỗi cấu hình của một nhà cung cấp đã lan truyền qua hai phòng thí nghiệm tiên phong và bốn tổ chức bị hại, trong khi không có bất kỳ mối quan hệ trực tiếp nào với Irregular. Nó là nhà cung cấp cho hai phòng thí nghiệm, không phải cho họ. Đại lý không quan tâm điểm cuối của bề mặt tấn công của một công ty kết thúc ở đâu và bắt đầu ở công ty khác.

Đó là lý do tại sao đây là một vấn đề rủi ro bên thứ ba. Việc phơi bày giờ có thể xuất phát từ vài mối quan hệ xa bạn, trong một tổ chức mà bạn chưa bao giờ chọn, đánh giá hoặc thậm chí không biết là một phần của bề mặt tấn công của bạn.

Sau đó, các nhà nghiên cứu tại Frontier Security đã bắt được Kimi K3 của Moonshot trượt sandbox của mình, cho phép nó truy cập một kho lưu trữ benchmark trên GitHub. Không có ai bị xâm nhập, và mô hình đang theo đuổi mục tiêu được giao, nhận ra rằng việc sử dụng một đáp án đã chuẩn bị sẵn rẻ hơn so với giải quyết. Hai yếu tố làm cho trường hợp này quan trọng: Các nhà nghiên cứu bắt được nó trong quá trình kiểm tra của họ. Và nó chạy trên một bộ công cụ hoàn toàn khác so với các trường hợp của Anthropic và Meta. Một nhà cung cấp có một tháng tệ không giải thích được điều này.

Các phòng thí nghiệm không bỏ qua bất kỳ điều nào trong số này. Anthropic đã công bố đánh giá của mình một cách tự phát, vì vậy ngành công nghiệp có một mẫu để xem xét và học hỏi — thay vì coi đó là một ngoại lệ để bỏ qua. Điều này nên trở thành tiêu chuẩn. OpenAI hiện đã làm chậm việc phát hành mô hình Astra sau khi các đánh giá nội bộ không thể loại trừ khả năng mạng quan trọng. Cả hai hành động đều đáng khen ngợi. Nhưng không cái nào là kế hoạch phòng thủ: việc trì hoãn phát hành chỉ điều chỉnh lịch trình của một công ty. Nó không làm gì đối với các mô hình có khả năng, trong đó có Kimi K3, đã được phát hành dưới dạng mở và miễn phí, vượt quá kiểm soát của bất kỳ phòng thí nghiệm đơn lẻ nào.

Sự Tương Quan Không Có Sự Leo Thang Không Phải Là Phát Hiện

Bộ phát hiện của Hugging Face, phải công nhận, đã tương quan các tín hiệu thành một cuộc tấn công mạch lạc. Sau đó nó không nâng cấp mức độ nghiêm trọng, và đội ngũ trực không được gọi. Công cụ đã tập hợp câu chuyện nhưng không thể quyết định câu chuyện là khẩn cấp. Đó là một kiến trúc phân loại được xây dựng cho một thế giới mà 17.600 sự kiện trong vòng bốn ngày sẽ có vẻ vô lý.

An Ninh Mạng Cần Fosbury Flop Của Mình

Năm 1968, Dick Fosbury giành huy chương vàng Olympic trong môn nhảy cao không phải bằng cách nhảy cao hơn các đối thủ mà bằng cách vượt thanh ngược lại. Những người khác đang tinh chỉnh kỹ thuật straddle. Hình thức tốt hơn, sức mạnh tăng, cải thiện nhẹ trên một kỹ thuật đã tồn tại hàng thập kỷ. Fosbury đã thay đổi hình dạng của vấn đề. Trong hai kỳ Olympic, kỹ thuật straddle gần như biến mất.

Các nhà lãnh đạo bảo mật giờ phải vượt qua một thanh đã di chuyển, và phần lớn câu trả lời của ngành cho đến nay là một straddle tốt hơn: nhiều cảnh báo hơn, nhà phân tích nhanh hơn, SLA chặt chẽ hơn cho việc xem xét con người. Điều đó sẽ không hiệu quả, vì rào cản không phải là tốc độ của nhà phân tích. Bạn không thể đáp trả các cuộc tấn công tốc độ máy bằng quy trình phân loại tốc độ con người..

Fosbury Flop trông như sau:

• Dừng coi ranh giới là kiểm soát. Sandbox đánh giá đã thất bại, loader dữ liệu đã thất bại, và cách ly pod đã thất bại, mỗi thứ đều thực hiện nhiệm vụ cho đến khi không còn. Thiết kế cho những gì xảy ra tiếp theo. Sử dụng chứng chỉ ngắn hạn. Loại bỏ danh tính quản trị chia sẻ. Chặn truy cập vào dịch vụ metadata. Trên hết, hạn chế mức độ di chuyển của kẻ tấn công sau khi kiểm soát đầu tiên thất bại.
• Chuyển phát hiện từ việc cảnh báo sang tương quan. Việc tìm một sự kiện đáng ngờ không còn đủ. Nhiệm vụ là kết nối hàng ngàn sự kiện bình thường thành một câu chuyện tấn công, và biết khi nào câu chuyện đó đủ nghiêm trọng để đánh thức ai đó. Điều này ngày càng cần được tự động hoá do khối lượng chúng ta đang chứng kiến.
• Coi việc phơi bày bên thứ ba như một lối tấn công, không phải một bảng câu hỏi. Những sự cố này đã chạy qua các phụ thuộc bên thứ ba: sản phẩm của nhà cung cấp, khách hàng của nhà cung cấp, đối tác đánh giá, công cụ kiểm tra chung. Rủi ro của bạn hiện bao gồm các lỗi cấu hình do các tổ chức mà bạn chưa bao giờ kiểm toán và thậm chí có thể không biết tồn tại. Các đánh giá tĩnh, theo thời điểm không thể nhìn thấy bất kỳ điều nào như vậy. Vấn đề này không mới. AI làm cho nó cấp bách hơn nhiều. Các đội bảo mật cần một cái nhìn liên tục về các công ty và công nghệ mà họ phụ thuộc, vì kẻ tấn công xem toàn bộ hệ sinh thái đó như một bề mặt kết nối.

Tại SecurityScorecard, đây chính là loại vấn đề mà văn hoá của chúng tôi được xây dựng quanh: tập hợp những người tò mò sâu sắc về cách kẻ tấn công suy nghĩ, sẵn sàng thách thức các giả định đã tồn tại hai mươi năm, và hào hứng xây dựng một cách tiếp cận hoàn toàn khác biệt đối với bảo mật!

Câu Hỏi Để Mang Đến Cuộc Họp Ban Giám Đốc Tiếp Theo Của Bạn

Tôi đã nói vài tuần trước rằng thần đèn đã trở nên quá mạnh so với chiếc bình. Bốn phòng thí nghiệm sau, không có gì phản bác lại điều đó. Sau những sự cố như vậy, mọi người đều đặt cùng một câu hỏi: Chúng ta đã sẵn sàng cho các kẻ tấn công được hỗ trợ bởi AI chưa? Tôi không nghĩ câu hỏi đó đưa chúng ta đi xa. ‘Có’ và ‘không’ đều cho cùng một kết quả: không có gì thay đổi.

Hãy đặt một câu hỏi khó hơn. Nếu 17.000 sự kiện tín hiệu thấp tấn công môi trường của bạn trong bốn ngày tới — và hầu hết trông giống như các thất bại — thì mất bao lâu để đội của bạn nhận ra chúng là một cuộc tấn công? Có ai được gọi kịp thời không?

Bạn đã biết câu trả lời. Khoảng cách giữa câu trả lời đó và bốn ngày chính là công việc.