USA tehnoloogiaettevõtete AI-piirangud takistavad küberturvalisuse uurijaid

Tehisintellekti mudelite ranged turvameetmed, mis on loodud pahatahtlike rünnakute tõkestamiseks, pärsivad nüüd küberturbe spetsialistide tööd. Uurijad hoiatavad, et piirangute tõttu eelistatakse järjest enam kontrollimata avatud lähtekoodiga alternatiive.

Suurte tehnoloogiaettevõtete kehtestatud ranged turvameetmed tehisintellekti mudelitel takistavad märkimisväärselt küberturvalisuse ekspertide tööd, kelle ülesanne on leida tarkvarast haavatavusi enne kurjategijaid. Ehkki meetmed on mõeldud rünnakute ärahoidmiseks, blokeerivad need sageli ka õigustatud kaitsetegevuse.

Ekspordipiirangud ja ligipääsupiirangud

Juunis kehtestas USA valitsus ekspordikontrolli Anthropicu tehisintellekti mudelitele Mythos ja Fable. Otsus tehti osaliselt kartuses, et mudelite turvameetmeid on võimalik lihtsa vaevaga murda, võimaldades neid kasutada pahatahtlike küberrünnakute korraldamiseks. Kuigi piirangud Fable 5 mudelile on tänaseks tühistatud ja Mythos 5 on uuesti kättesaadav vaid USA-s kontrollitud organisatsioonidele, on sarnane «väravavahistamine» laialt levinud ka teiste ettevõtete, sealhulgas OpenAI juures. Need firmad pakuvad spetsiaalseid programme, kus uurijad saavad taotleda juurdepääsu vähemate piirangutega mudelitele.

Kogenud turvauurija Mark Dowd kritiseerib olukorda, kus tehnoloogiaettevõtted määravad omavoliliselt turvalisuse piire. «See pole mulle kuigi mugav, et need suvalised suured ettevõtted teevad suvalisi otsuseid selle kohta, mis on turvalisuse vallas ohutu ja mis mitte,» märkis Dowd.

Kaitsmine kui ründamine

Ekspertide sõnul on piirangute peamine probleem selles, et koodi parandamine ja selle haavatavuste otsimine nõuavad sageli samu meetodeid. NCC Groupi peateadlane Chris Anley selgitab, et koodi analüüsimine ja selle parandamine on lahutamatult seotud. «See on koht, kus tekib vastuolu ründava poole, kaitsva poole ja kaitsepiirete vahel, sest käsklus "paranda see kood" on hädavajalik kaitsemehhanism, kuid ühtlasi teekaart kriitiliste haavatavuste leidmiseks koodibaasist,» ütles Anley.

Tema sõnul on tehisintellekt sarnane haamriga, mida on vaja maja ehitamiseks, kuid mida saab kasutada ka relvana. Kuna kommertsmudelid keelduvad sageli küsimustele vastamast, kui süsteem tuvastab turvalisusega seotud konteksti, peavad spetsialistid oma töös sageli põrkuma ebamõistlike piirangutega.

Üleminek avatud mudelitele

Paljud uurijad on hakanud nende piirangute tõttu kasutama avatud lähtekoodiga tehisintellekti mudeleid, millel puuduvad igasugused kontrollimehhanismid. Küberturbeettevõtte RemoteThreat tegevjuht Chris Thompson nendib, et uurijad raiskavad praegu liiga palju aega mudelitega «läbirääkimistele» selle asemel, et tegeleda koodi analüüsimisega.

Thompsoni hinnangul lükkavad ranged piirangud eksperdid USA-s hallatavatest süsteemidest eemale välismaiste, sealhulgas Hiina avatud lähtekoodiga mudelite juurde. «Minu arvates on pigem kahjulik kui kasulik, et need kaitsepiirded on paigas,» sõnas Thompson, lisades, et vastutustundlikud uurijad on praeguses olukorras ebasoodsas seisus.