மஞ்சள் குழுக்கள் (Yellow teams)—AI மூலம் இயங்கும் தாக்குதல் கருவிகள் மற்றும் பாதுகாப்பு வழிமுறைகள் ஆகிய இரண்டையும் உருவாக்கும் மற்றும் இயக்கும் பாதுகாப்பு குழுக்கள்—இயந்திரக் கற்றல் (machine-learning) அச்சுறுத்தல்களுக்கு முன்னதாகவே செயல்பட விரும்பும் நிறுவனங்களில் உருவாகி வருகின்றன. ஒரு தனி குழுவிற்கு AI அமைப்புகளை ஆராயவும், உடைக்கவும் மற்றும் பின்னர் சரிசெய்யவும் (patch) கூடிய திறனை வழங்குவதன் மூலம், பாதிப்பு-சரிசெய்தல் சுழற்சியை (vulnerability-fix cycles) வாரங்களிலிருந்து நாட்களாகக் குறைக்க அவை உறுதியளிக்கின்றன; இந்த வேகம், ஒரு ஊடுருவலைக் கட்டுப்படுத்துவதற்கும் அல்லது அது பொதுத் தகவலாகப் பரவி பெரும் சர்ச்சையாக மாறுவதற்கும் இடையிலான வித்தியாசமாக இருக்கலாம்.

ஏன் இந்த மாற்றம் முக்கியமானது

பாரம்பரிய பாதுகாப்புச் செயல்பாடுகள் "சிவப்பு" (தாக்குதல்) மற்றும் "நீல" (பாதுகாப்பு) பணிகளைத் தனித்தனி குழுக்களாகப் பிரிக்கின்றன. சிவப்பு குழுக்கள் ஹேக்கர்களைப் போலச் செயல்படும், அதே நேரத்தில் நீலக் குழுக்கள் கண்காணித்தல், கண்டறிதல் மற்றும் பதிலளித்தல் போன்ற பணிகளைச் செய்யும். இந்த முறை சாதாரண மென்பொருள்களுக்குச் சரியாக இருந்தாலும், AI மாதிரிகள் ஒருவிதமான தெளிவற்ற தன்மையை (opacity) சேர்க்கின்றன: பயிற்சித் தரவுகளில் (training data) அல்லது மாதிரி கட்டமைப்பில் (model architecture) மறைந்துள்ள குறைபாடுகளை, சாதாரண குறியீடு ஆய்வாளர்களால் (code reviewers) கவனிக்க முடியாத வழிகளில் பயன்படுத்திக் கொள்ள முடியும். மஞ்சள் குழுக்கள் இந்த இரண்டு பிரிவுகளையும் ஒன்றிணைக்கின்றன; இதன் மூலம் ஒரு 'prompt-injection' பிழையைக் கண்டறியும் பொறியாளர்கள், உடனடியாக ஒரு கண்டறிதல் விதியினை (detection rule) உருவாக்கி அதைச் செயல்படுத்த முடிகிறது.

இதன் பலன் ஒரு விரைவான பின்னூட்டச் சுழற்சி (rapid feedback loop) ஆகும். ஒரு பாதிப்பு கண்டறியப்பட்டவுடன், அதற்கான தீர்வு எழுதப்பட்டு, வெளிப்புறத் தாக்குதல்தாரர் அதே பலவீனத்தைப் பயன்படுத்துவதற்கு முன்பே அமைப்பு வலுப்படுத்தப்படுகிறது. சாட்போட்கள் (chatbots), பரிந்துரை இயந்திரங்கள் (recommendation engines), தானியங்கி முடிவெடுப்பவர்கள் (automated decision-makers) போன்ற 'generative AI' சார்ந்த தயாரிப்புகளைக் கொண்ட நிறுவனங்களுக்கு, இந்த வேகம் பிராண்ட் நற்பெயர், ஒழுங்குமுறை இணக்கம் (regulatory compliance) மற்றும் இறுதியில் நிறுவனத்தின் லாபத்தைப் பாதுகாக்கிறது.

மறைமுகச் செலவு: உள்நாட்டு அபாயம் (insider risk)

சரிசெய்தல் பணிகளை விரைவுபடுத்தும் அதே நிபுணத்துவக் குவிப்பு, உள்ளிருந்தே ஒரு புதிய தாக்குதல் பரப்பளவை (attack surface) உருவாக்குகிறது. ஒரு சிறிய, உயர் திறன் கொண்ட குழு, AI பாதிப்புகள் குறித்த ஆழமான அறிவையும், தேவைக்கேற்ப தயாரிப்பு மாதிரிகள் (production models), தரவுப் பாதைகள் (data pipelines) மற்றும் கண்காணிப்பு டாஷ்போர்டுகள் (monitoring dashboards) ஆகியவற்றிற்கான விரிவான அணுகலையும் கொண்டுள்ளது. ஒரு உறுப்பினர் தீய எண்ணத்துடன் செயல்பட்டாலோ, தகவல்களைக் கசியவிட்டாலோ அல்லது ஒரு தவறு செய்தாலோ, அதன் பாதிப்பு மிக மோசமாக இருக்கலாம்.

இரண்டு மேலாண்மை சவால்கள் எழுகின்றன:

  • உள்நாட்டு அபாயம் (Insider risk) – பாதுகாப்புகளை எவ்வாறு மீறுவது என்பது குறித்த ஆழமான அறிவுடன், சிறப்பு அணுகல் (privileged access) இணைந்திருப்பது, மஞ்சள் குழுவை உளவு பார்த்தல் அல்லது சதித் திட்டங்களுக்கு (espionage or sabotage) ஒரு முக்கிய இலக்காக மாற்றுகிறது.
  • அறிவு மேலாண்மை (Knowledge management) – குழுவின் கண்டுபிடிப்புகள், தவறாகப் பயன்படுத்தப்படக்கூடிய முக்கியமான விவரங்களை வெளிப்படுத்தாமல், விரிவான பொறியியல் மற்றும் பாதுகாப்புப் பணியாளர்களுடன் பகிரப்பட வேண்டும்.

இலாப நட்டங்களை எடைபோடுதல்

முறையான கட்டுப்பாடுகள் இருக்கும்போது, இதன் நன்மைகள் ஆபத்துகளை விட அதிகமாக இருக்கும் என்று ஆதரவாளர்கள் வாதிடுகின்றனர்: கடுமையான பங்கு அடிப்படையிலான அணுகல் (role-based access), கருவி பயன்பாட்டின் தொடர்ச்சியான தணிக்கை (auditing) மற்றும் கண்டுபிடிப்புகளின் பகுப்பாய்வு அறிக்கை (compartmentalized reporting). ஒரு முறையான நிர்வாகத்தைக் கொண்ட ஒற்றைக் குழு, வேலைத் திரும்பத் திரும்பச் செய்வதைக் குறைக்கவும், பெரும்பாலும் திருத்தங்களை (patches) தாமதப்படுத்தும் "பணி ஒப்படைப்பு" (hand-off) சிக்கல்களைத் தவிர்க்கவும் உதவும் என்று அவர்கள் சுட்டிக்காட்டுகின்றனர்.

அதிகாரத்தைக் குவிப்பதன் அபாயத்தை எந்தவொரு செயல்முறையாலும் முழுமையாகக் குறைக்க முடியாது என்று விமர்சகர்கள் எச்சரிக்கின்றனர். தாக்குதல் சார்ந்த பணிகள் தனித்தனி, நெருக்கமான கண்காணிப்பில் உள்ள செயல்பாடாக இருக்க வேண்டும் என்றும், அதே நேரத்தில் பாதுகாப்புப் பொறியாளர்கள் மூலமான 'exploit code'-க்கு பதிலாகத் தொகுக்கப்பட்ட விளக்கங்களைப் (curated briefings) பெற வேண்டும் என்றும் அவர்கள் ஒரு கலப்பு மாதிரியை (hybrid model) பரிந்துரைக்கின்றனர்.

கவனிக்க வேண்டியவை

  • தத்தெடுப்பு விகிதங்கள் (Adoption rates) – சில பெரிய AI சார்ந்த நிறுவனங்கள் மஞ்சள் குழுக்களை முன்னோடித் திட்டமாகச் செயல்படுத்தியுள்ளதாக ஆரம்பக்கட்ட அறிக்கைகள் தெரிவிக்கின்றன; இத்துறையில் உள்ள பிற நிறுவனங்களின் அறிவிப்புகளைக் கவனியுங்கள்.
  • நிர்வாகக் கட்டமைப்புகள் (Governance frameworks) – AI பாதுகாப்பு குழுக்களுக்கான பிரத்யேக உள்நாட்டு அபாயக் கட்டுப்பாடுகள் குறித்த வழிகாட்டுதல்களைத் தயாரிக்கும் பணியில் தொழில்முறை குழுக்கள் ஈடுபட்டுள்ளன.
  • கருவியின் மூலம் (Tool provenance) – மஞ்சள் குழுக்கள் தனிப்பயனாக்கப்பட்ட AI தாக்குதல் ஸ்கிரிப்ட்களை உருவாக்கும்போது, அந்தத் கருவிகளின் மூலம் மற்றும் தணிக்கை செய்யும் திறன் ஆகியவை இணக்கச் சரிபார்ப்புப் புள்ளியாக (compliance checkpoint) மாறும்.

மஞ்சள் குழுக்களின் எழுச்சி AI பாதுகாப்பைப் பற்றிய ஒரு அடிப்படை உண்மையை அடிக்கோடிட்டுக் காட்டுகிறது: வேகம் அவசியம், ஆனால் சில பொறியாளர்களுக்கு அமைப்பைத் பூட்டவும் திறக்கவும் கூடிய திறனைக் கொடுப்பதன் மூலம் ஏற்படும் அதிகரித்த அபாயத்திற்கும் இடையே ஒரு சமநிலை இருக்க வேண்டும். விரைவான பின்னூட்டச் சுழற்சியைப் பாதுகாக்கும் அதே வேளையில், உள்நாட்டு அணுகலைக் கட்டுப்படுத்தக்கூடிய நிறுவனங்கள் மிகப்பெரிய நன்மையைப் பெறும்.