אבחנת ה-Aftermarket
ג'ן איסטרי (Jen Easterly) שיתפה לאחרונה אבחנה חדה לגבי אבטחת סייבר. היא אמרה שאין לנו בעיה של אבטחת סייבר. יש לנו בעיה של איכות תוכנה.
אנחנו משקיעים עשורים בבניית תעשייה שנועדה לתקן פגמים שאף לא היו אמורים להתקיים מלכתחילה.
המטרה היא להעביר את האבטחה ל-upstream. עלינו להטמיע אבטחה בתוך הקוד כבר מההתחלה. לא כדאי "להבריג" אותה פנימה בשלב מאוחר יותר.
האבחנה שלה נכונה. אך המרשם שלה שגוי.
כלים כמו Project Glasswing של Anthropic מוצאים פגיעויות ועוזרים לתקן אותן. זה מהיר יותר. זה זול יותר. זה טוב יותר.
אך זה עדיין פתרון aftermarket.
למצוא באג מהר יותר זה עדיין למצוא באג. לתקן אותו בזול יותר זה עדיין לתקן אותו. הפגיעות עדיין קיימת. היא נוצרה. היא נפרסה. ואז ה-AI מצא אותה.
זה לא סוף ה-aftermarket. זה פשוט aftermarket מהיר יותר.
אבטחת upstream אמיתית משתמשת בכללים דטרמיניסטיים. היא אינה משתמשת במודלים הסתברותיים.
אבטחת upstream אמיתית נראית כך:
• בני אדם מצהירים מה חייב להיות נכון לפני שהקוד נכתב. • מכונות מאמתות כל שינוי מול ההצהרה הזו. • המערכת דוחה כל דבר המפר את הכלל.
כך עובדים תעופה ותחנות גרעין. טייס לא מוצא טעויות אחרי טיסה. מחשב טיסה מונע מצבים לא בטוחים במהלך הטיסה.
בתוכנה, עלינו לעשות את אותו הדבר.
אם פגיעות היא ניתנת לחיזוי, עלינו להצהיר עליה.
• אין לאפשר S3 buckets ציבוריים. • אין לאפשר בקשות API ללא אימות. • אין לאפשר פגמים קריטיים ידועים בתלויות (dependencies).
אם תצהירו על הכללים הללו, הפגיעות לעולם לא תתקיים. לא תצטרכו למצוא אותה. לא תצטרכו לתקן אותה (patch). לא תצטרכו להוציא כסף על AI כדי לזהות אותה.
קהילת למידה אופציונלית: https://t.me/GyaanSetuAi