Ya hay filtraciones en la burbuja de seguridad de la IA

Seguridad digital

La inteligencia artificial es sólo una rueda de radios en el marco de la seguridad; una rueda de radios importante, pero lamentablemente sólo una.

16 de septiembre de 2024
•
,
3 min de tiempo de lectura

Eso sucedió rápidamente. Mientras que el La conferencia RSA estuvo repleta de IA (con o sin mérito) de cada orificio, el brillo se desvanece rápidamente. Dada la reciente avalancha de nuevas empresas infestadas de IA fundadas en un contexto de postura de preadquisición como servicio y repletas de suministros de nuevos «expertos en IA» vendidos previamente a las grandes empresas tecnológicas, tenía que ser una tontería en materia de IA. es grande. Pero como el dinero se quema como trituradoras de papel que alimentan un volcán, tenía que llegar el ajuste de cuentas; y ella vino.

Debido a que no tienen el dinero para triunfar realmente (y tienen que gastar las sumas de siete u ocho cifras que cuesta recopilar suficientes datos para su propio LLM), un montón de nuevas empresas están ahora a la ventabarato. Bueno, no es exactamente una venta, sino algo que se ve y huele como uno.

Evitar la creciente presión del gobierno federal contra la consolidación en esta área y las consecuencias asociadas regulación más estrictalos grandes licencian la tecnología de las nuevas empresas (por lo que parece el costo de una adquisición) y contratan a sus empleados para ejecutarla. Simplemente no pagan mucho por ello. Rápidamente se ha convertido en un mercado de compradores.

Siempre tenemos la IA y el aprendizaje automático (ML) como sólo un punto conflictivo para la seguridad. Es un punto importante, pero desgraciadamente sólo uno. Para complicar aún más las cosas (al menos para los proveedores de la incipiente tecnología de inteligencia artificial de seguridad), CISA no parece entusiasmado ni por lo que las nuevas herramientas de IA podrían hacer por las operaciones cibernéticas del gobierno federal.

Los proveedores de productos de seguridad basados ​​exclusivamente en IA básicamente tienen una sola oportunidad de implementar su salsa secreta: tienen que vendérsela a alguien que ya tenga el resto de las piezas.

No es sólo la seguridad de la IA lo que es difícil. Viejos y aburridos problemas de seguridad, como la publicación de actualizaciones que no causar más daño que bientambién son difíciles. Por definición, el software de seguridad tiene acceso e interacción con recursos del sistema operativo de bajo nivel para buscar «cosas malas» que suceden muy por debajo de la superficie.

Esto también significa que una actualización demasiado entusiasta puede congelar las entrañas más profundas de su computadora, o de muchas de las computadoras que componen la nube. Hablando de eso, si bien la tecnología ofrece un tremendo poder y agilidad, los actores maliciosos que obtienen la propiedad global de la nube a través de un exploit furtivo pueden llevar a la quiebra a varias empresas y socavar la seguridad.

Comparando mi seguridad de IA

Para ayudar a una industria todavía joven a no descarrilarse, existe equipos de personas que hacen el arduo trabajo de definir puntos de referencia para LLM procesables. Después de tanto trasteo y humo de hielo seco en el escenario, intentan crear una referencia sensata y utilizable, y coinciden en que “es un desafío tener una idea clara de lo que actualmente es posible y lo que no. Para tomar decisiones basadas en evidencia, debemos basar la toma de decisiones en mediciones empíricas”. Estamos de acuerdo y aplaudimos su trabajo.

Por otro lado, no son una startup, lo que significa que tienen los recursos necesarios para mantener unido a un grupo de investigadores el tiempo suficiente para que puedan hacer el trabajo duro y aburrido que esto requiere. Su versión anterior abordaba aspectos como «generación automática de exploits, salida de código inseguro, riesgos de contenido en los que los LLM aceptan ayudar con ataques cibernéticos y vulnerabilidad para provocar ataques de inyección». El última versión También «cubrirá nuevas áreas centradas en capacidades de seguridad ofensivas, incluida la ingeniería social automatizada, la ampliación de las operaciones cibernéticas ofensivas manuales y las operaciones cibernéticas autónomas». Y lo pusieron a disposición del público, bonito. Este es el tipo de cosas en las que grupos como el NIST también han ayudado en el pasado y ha sido una gran ayuda para la industria.

El barco ya partió

Va a ser difícil para una startup con dos ingenieros en una sala inventar el próximo LLM interesante y hacer una oferta pública inicial atractiva que recaude ocho cifras en un futuro cercano. Pero aún es posible desarrollar un producto de seguridad de IA de nicho que haga algo interesante y luego venderlo a los grandes antes de que su dinero se eche a perder o la economía colapse.