एआय इंटरनेटच्या खोडसाळ पायाभूत सुविधांचा पर्दाफाश करेल का?

या आठवड्याच्या सुरुवातीला एक धक्कादायक घोषणा झाली: ओपन सोर्स प्रोग्रामिंग लँग्वेज PHP मध्ये अलीकडेच सापडलेल्या भेद्यतेमुळे, वेबसाइट मालकांना त्यांच्या साइट ताबडतोब पॅच कराव्या लागल्या — किंवा ते लगेच अपडेट करू शकले नाहीत, तर त्यांनी सुरक्षित राहण्यासाठी साइट्स खाली घ्याव्यात.

रीड्स इक्विटी पॉडकास्टच्या या आठवड्याच्या एपिसोडवर, कर्स्टन कोरोसेक, सीन ओ'केन आणि मी PHP-ओकॅलिप्सचे महत्त्व आणि भविष्यात यासारख्या आणखी घटना पाहणार आहोत का यावर चर्चा केली.

सीनने याला “एक खरा हिशोब करणारा क्षण” म्हटले आहे जे “जेव्हा तुम्ही इंटरनेटच्या हाडाच्या पातळीवर पोहोचता,” तेव्हा सर्व काही “गोंद आणि स्वप्नांनी एकत्र ठेवलेले” दिसते. आणि मोठ्या भाषा मॉडेल्स आणि एआय एजंट्समध्ये व्यापक प्रवेशासह, या भेद्यता शोधणे केवळ सोपे होणार आहे. (म्हणजे, या विशिष्ट असुरक्षा मानवी संशोधकांना आढळून आल्याAI मॉडेल नाही.)

दरम्यान, कर्स्टनला आश्चर्य वाटले की आम्ही “प्रीपर डूमची पुढील पातळी (…) पाहणार आहोत कारण तुम्ही पाहू शकता की बँकांचे शोषण कसे होऊ शकते आणि (डेटा आणि गोपनीयतेच्या समस्यांसह) हे आम्ही आत्ता दुरुस्त करू शकतो त्यापेक्षा खूप मोठे वाटते.”

च्या पूर्वावलोकनासाठी वाचत रहा आमचे संभाषणलांबी आणि स्पष्टतेसाठी संपादित.

शॉन ओ'केन: या आठवड्यात इंटरनेट बऱ्याच मार्गांनी खंडित होत आहे, असे दिसते.

मला वाटते की लोक अशा प्रकारच्या थंडीत येत असतील तर याबद्दल विचार करण्याचा सर्वोत्तम मार्ग आहे: गेल्या 10 वर्षात आपल्याजवळ असे क्षण किती वेळा आले आहेत जिथे काहीतरी तुटते किंवा काहीतरी जवळजवळ तुटते, जिथे एखादी व्यक्ती एक छंद म्हणून एक लहान रिप्रो रिपॉझिटरी सांभाळत आहे किंवा काहीतरी वाईट घडत आहे हे पकडण्यासाठी जे काही घडते आणि इंटरनेटच्या पायाभूत सुविधांपासून आपल्याला वाचवते?

आता ते एक अब्जाने गुणाकार करा, जेव्हा प्रत्येकजण वापरत असलेल्या या LLM च्या रूपात लोकांकडे केवळ अत्यंत प्रगत सॉफ्टवेअरच नाही तर त्या गोष्टी पूर्ण करण्यासाठी एकल मनाने AI एजंट तयार करून त्यांना बाहेर जाऊन ते स्वतःच करण्याचे काम करण्याची क्षमता देखील असते.

आम्ही या आठवड्यात घडणाऱ्या दोन गोष्टींचा समतोल पाहत आहोत. एक म्हणजे गुगल आणि ओपनएआय सारख्या लॅब आणि कंपन्यांचा एक समूह आहे ज्यांनी लोकांना बाहेर जाऊन अनेक असुरक्षा शोधल्या होत्या, ज्यात PHP सह. आणि मग आमच्याकडे अशा असुरक्षिततेचा फायदा घेऊन वेबसाइट हॅक करण्याचा प्रयत्न करण्यासाठी घाई करणारे लोक आहेत. म्हणून आमच्याकडे सरकारे वेबसाइट्स काढून घेत आहेत, आमच्याकडे खरोखर लोकप्रिय वेबसाइट्स आहेत ज्या या असुरक्षिततेचे निराकरण करण्यात सक्षम होण्यासाठी थोडक्यात खाली जात आहेत.

हा एक खरा हिशोब करणारा क्षण आहे, जिथे आम्ही PHP सारख्या मुक्त स्रोत तंत्रज्ञानावर इतके इंटरनेट तयार करण्याच्या नकारात्मक जोखमीचा शोध घेणार आहोत. जेव्हा आपण खरोखरच इंटरनेटच्या हाडांच्या पातळीवर उतरता तेव्हा ते गोंद आणि स्वप्नांसह एकत्र धरले जाते.

अँथनी हा: याबद्दल धक्कादायक असलेल्या अनेक गोष्टी आहेत. त्यापैकी एक वस्तुस्थिती अशी आहे की – जसे मला समजले आहे, किमान – ही नवीन भेद्यता नाही. ही एक असुरक्षा आहे जी PHP मध्ये अनेक दशकांपासून अस्तित्वात आहे.

आणि PHP ही प्रोग्रामिंग भाषा म्हणून खूप वेब तयार करण्यासाठी वापरली गेली आहे, म्हणून ही असुरक्षितता अनेक दशकांपासून आहे, परंतु कोणालाही त्याबद्दल माहिती नव्हती. काय झाले, मूलत:, या मोठ्या AI कंपन्या — Wiz सह, आता Google च्या मालकीच्या — त्यांना LLMs वापरून या भेद्यता शोधण्यात सक्षम होते. (वर नमूद केल्याप्रमाणे, मला हे चुकीचे समजले: ओपनएआय आणि विझच्या हॅक द प्लॅनेट उपक्रमात सहभागी झालेल्या मानवी संशोधकांना असुरक्षा आढळल्या, जरी त्यांनी बगचे शोषण करण्यासाठी एआयचा वापर केला.)

मला वाटते की गणनेचा एक भाग आहे, आम्हाला हे पॅच करणे आवश्यक आहे, कारण जर आम्ही एलएलएम वापरून ही भेद्यता शोधू शकलो, तर इतर लोकही करू शकतात. परंतु आम्ही पॅच बाहेर काढण्याचा एकमेव मार्ग म्हणजे असुरक्षा जाहीर करणे. आणि त्यामुळे ही अतिशय घाबरलेली परिस्थिती निर्माण होते जिथे (ते म्हणतात): “ठीक आहे, ही असुरक्षा अनेक दशकांपासून अस्तित्वात आहे. तुम्हाला लगेच पॅच करावे लागेल आणि जर तुम्ही ते लगेच पॅच करू शकत नसाल, तर फक्त तुमची वेबसाइट खाली करा. ही एक गंभीर असुरक्षा आहे.”

कर्स्टन कोरोसेक: मला वाटते की महत्त्वाची गोष्ट म्हणजे, बऱ्याच लोकांना त्यांच्या वेबसाइट्समध्ये PHP आहे हे देखील समजत नाही – जे तुम्ही नमूद केल्याप्रमाणे, अनेक दशके जुनी मुक्त स्त्रोत प्रोग्रामिंग भाषा आहे.

ज्यांना माहित नाही त्यांच्यासाठी, हायपरटेक्स्ट प्रीप्रोसेसर ही अधिकृत संज्ञा आहे, (तो) खरोखरच वर्डप्रेस, ड्रुपल, ७०% वेबसाइट्समध्ये वापरल्या जाणाऱ्या सामग्री व्यवस्थापन प्रणालींमागील मुख्य घटक आहे. आम्ही लाखो वेबसाइट्सबद्दल बोलत आहोत. तर माझ्यासाठी ते प्रमाण आहे. यामुळे मला लगेच दोन गोष्टींचा विचार करायला लावला: एक, ही फक्त सुरुवात आहे. इतर कोणते दशक जुने वाईट सॉफ्टवेअर आहे ज्याचा वापर केला जाणार आहे?

आणि दुसरे असे काहीतरी होते जे 404 मीडिया होते खरोखर एक उत्तम ब्रेकडाउननमूद केले आहे, जे लिंक रॉट आहे. कारण बरेच लोक, कंपन्या, सरकारे, कदाचित ती छोटीशी वेबसाइट, ते या (वेबसाइट्स) बंद करत आहेत. आणि म्हणून आमच्याकडे खूप लिंक रॉट होणार आहेत आणि वेबसाइट्स देखील आहेत ज्यात कदाचित इतिहासाचा एक छोटासा तुकडा असेल ज्या यापुढे प्रवेश करण्यायोग्य नसतील, ते पॅच करण्याच्या विरूद्ध.

शॉन: अँथनी, मला वाटते की तुम्ही खरोखर चांगला मुद्दा मांडला आहे. मी येथे प्रकटीकरण रोलआउटवर नाखूष असलेले बरेच लोक पाहिले आहेत, ओपनएआयने याबद्दलच्या पोस्टमध्ये केलेल्या छातीचा ठोका थोडासा दिसत आहे.

तसेच, असे दिसते की काही दोन लोक या रिलीझच्या निर्बंधाच्या पुढे गेले, ज्याने हॅकर सेटमध्ये एक शर्यत सुरू केली. मला वाटते की ते क्लाउडफ्लेअरचे सीईओ मॅथ्यू प्रिन्स (कोण) आधीच होते पोस्ट केले ते PHP2Shell च्या लाखो प्रयत्न केलेल्या हॅकपर्यंत वाढलेले पाहून.

या असुरक्षिततेची गोष्ट, सायबरसुरक्षामध्ये हे सामान्यत: कार्य करते ते म्हणजे, जर तुम्ही एखाद्या कंपनीच्या सॉफ्टवेअरची चाचणी घेत असाल, जरी ते सॉफ्टवेअरचे मूलभूत भाग असले तरीही जे बरेच भिन्न संगणक किंवा इंटरनेटचे काही भाग चालवण्यास मदत करते किंवा ते काहीही असू शकते, तुम्ही त्या कंपनीकडे जाऊ शकता आणि ते उघड करू शकता आणि ते अशा प्रकारे राहते. परंतु जेव्हा आपण यासारख्या खोल आणि मूलभूत गोष्टींबद्दल बोलत असतो, तेव्हा आपण सभोवताल जाऊन प्रत्येकाला समजूतदारपणे सांगू शकत नाही.

म्हणजे, जर एआय पुरेशी प्रगत असेल आणि वेबसाइटच्या काही भागावर नियंत्रण असलेल्या प्रत्येक व्यक्तीला ईमेल पाठवण्याचे काम तुम्ही अब्जावधी एजंटांना देऊ शकता तर कदाचित तुम्ही करू शकता. आम्ही आता त्या दिवसांबद्दल दु:ख करत आहोत जेव्हा आमच्याकडे सहज ओळखता येण्याजोगे वेबमास्टर होते आणि कदाचित यामुळे काही प्रमाणात समस्या सुटली असती. परंतु हे करण्याचा कोणताही सोपा मार्ग नाही. मला असे वाटते की ही सुरुवात आहे जी पुढे-मागे होणार आहे आणि सायबरसुरक्षामध्ये स्पष्टपणे एक नवीन सीमा आहे.

कर्स्टन: मॅथ्यू प्रिन्सची सोशल मीडिया पोस्ट माझ्यासाठी खरोखर सांगणारी आणि खूपच भीतीदायक होती. तसेच, तुमच्यापैकी कोणीही हे पाहिले की नाही हे मला माहीत नाही, परंतु Amazon ने देखील हे पाहिले आहे एक ब्लॉग पोस्ट. ही एक चांगली भांडवली कंपनी आहे, त्यामुळे काय चालले आहे ते पकडण्यासाठी त्यांच्याकडे साधने आणि एक टीम आहे. ते मुळात हनीपॉट नेटवर्क किंवा डिकॉय चालवतात आणि त्यांनी प्रत्यक्षात पाहिले की त्या असुरक्षिततेची सार्वजनिक घोषणा होण्यापूर्वी शोषण करण्याचा प्रयत्न झाला होता.

माझ्यासाठी, पुन्हा, ते याकडे परत जाते: Amazon कडे साधने आणि भांडवल आणि या गोष्टींचा सामना कसा करायचा याचे ज्ञान आहे. बऱ्याच वेबसाइट्स आणि अगदी संभाव्य सरकारी वेबसाइट्स आहेत ज्याकडे लक्ष दिले जात नाही. आणि म्हणून माझ्यासाठी, तो खरोखर भितीदायक भाग आहे.

आणि तेथे (आहेत) काही AI कर्मचारी जे कदाचित याला प्रीपर डूमच्या पुढच्या स्तरावर घेऊन जातील, कारण बँकांचे शोषण कसे होऊ शकते हे तुम्ही पाहू शकता, आणि डेटा आणि गोपनीयतेच्या समस्यांमुळे, हे आम्ही आत्ता दुरुस्त करू शकतो त्यापेक्षा खूप मोठे वाटते. त्यामुळे मला दोन गोष्टी पाहण्यात रस आहे. एक, लोकांची वर्तणूक किती टोकाची आहे — परंतु याचा परिणाम म्हणून काही नवीन स्टार्टअप्स पॉप अप होणार आहेत का, किंवा हे सुरक्षा स्तर तयार करण्यासाठी आम्ही काही ओपन सोर्स टूल्स (Nvidia सारख्या कंपन्यांद्वारे ऑफर केलेल्या) कडे वळणार आहोत का याबद्दल मला आश्चर्य वाटत आहे.