ራሱን የቻለ AI ብዝበዛዎች የተጋላጭነት አስተዳደርን ከፍ ያደርጋሉ

ምን ተፈጠረ

TechTarget እንደዘገበው የዊዝ ቀይ ወኪል፣ በ AI የተጎላበተ የመግባት መሞከሪያ መሳሪያ፣ ቀደምት የደህንነት ፍተሻዎች ያመለጡትን የGitHub ድርጊቶች የስራ ፍሰት ተጋላጭነት በስኖውፍላክ የህዝብ ማከማቻ ውስጥ እንዳገኘ ዘግቧል። ወኪሉ ብዝበዛን ፈጠረ እና የሰው ጣልቃ ገብነት ሳይኖር የስኖውፍላክ የውስጥ ጅራ ስርዓት መድረሱን ተዘግቧል። ዊዝ ተጋላጭነቱን አሳውቋል፣ እና የበረዶ ቅንጣት ያልተፈቀደ መዳረሻ አልተከሰተም እያለ በፍጥነት አስተካክሏል። ክስተቱ በገለልተኛ አካል በቀረበው ምንጭ አልተረጋገጠም።

TechTarget እንደዘገበው ክስተቱ የዊዝ ቀይ ወኪልን የተሳተፈ ሲሆን ይህም በ AI የተጎላበተ የመግባት መሞከሪያ መሳሪያ ነው። በሪፖርቱ መሰረት፣ ቀይ ወኪል በGitHub ድርጊቶች የስራ ፍሰት በስኖውፍሊክ የህዝብ ማከማቻ ውስጥ ተጋላጭነትን አግኝቷል። ቀደም ሲል የደህንነት ፍተሻዎች ጉድለቱን አላወቁም ነበር። ምንጩ የተጋላጭነት መለያን፣ ቴክኒካል የማባዛት ደረጃዎችን፣ የተጎዳ የስራ ፍሰት ውቅረትን ወይም የህዝብ ክስተት ሪፖርት ከዊዝ ወይም ስኖውፍሌክ አይሰጥም፣ ስለዚህ እነዚያ ዝርዝሮች በተናጥል እዚህ ሊገመገሙ አይችሉም።

TechTarget እንደሚለው፣ ቀይ ወኪል ድክመቱን ከማግኘቱ በላይ ተንቀሳቅሷል፡ ብዝበዛን አዳብሯል እና የሰው ጣልቃ ገብነት ሳይኖር ወደ ስኖውፍሌክ የውስጥ ጅራ ስርዓት መዳረሻ አግኝቷል። ተወካዩ አንድ ሰው እንዲመራቸው የሚጠይቁ ብዙ ደረጃዎችን ስላገናኘ ሪፖርቱ ቅደም ተከተሎችን ጠቃሚ አድርጎ አቅርቧል። ዊዝ ተጋላጭነቱን ዘግቧል፣ እና የበረዶ ቅንጣት በፍጥነት ጉድለቱን አስተካክሏል። ስኖውፍሌክ ማንም ሰው ያልተፈቀደ መዳረሻ እንዳላገኘ ተናግሯል፣ነገር ግን የቀረበው ምንጭ ማስረጃን፣ ምዝግብ ማስታወሻዎችን፣ የፎረንሲክ ዘገባን ወይም መግለጫውን የሚያረጋግጥ ገለልተኛ ግምገማ አያካትትም።

ቴክታርጌት የዊዝ የዛቻ ተጋላጭነት ኃላፊ ጋል ናጊን ጠቅሶ ድክመቶች አሁንም የኤአይአይ ኮድ ሰጪ ወኪሎችን በሚያካትቱ የስራ ፍሰቶች ውስጥ ሊተዋወቁ እና ሊፀድቁ እንደሚችሉ እና አሁንም የተረጋገጡ አውቶማቲክ የደህንነት ፍተሻዎችን ማለፍ ይችላሉ። ሪፖርቱ በተጨማሪም የ Root Evidence ዋና ስራ አስፈፃሚ ኤርሚያስ ግሮስማን ጠቅሶ እንደገለፀው ክስተቱ ተመሳሳይ ክስተቶች እየበዙ ሊሆኑ እንደሚችሉ እና ወኪሉ ብዙ ቴክኒኮችን በትንሽ እርዳታ ሰንሰለት ማሰር የቻለ ይመስላል። እነዚያ ምልከታዎች በTechTarget የተዘገበ የባለሙያዎች ግምገማዎች እንጂ በራስ ገዝ ብዝበዛ አሁን ተስፋፍቶ ለመሆኑ ገለልተኛ ማረጋገጫ አይደሉም።

የምንጭ ዝርዝሮች: techtarget.com ↗

ለምን አስፈላጊ ነው።

ሪፖርቱ በ AI ከታገዘ የተጋላጭነት ግኝት ወደ የበለጠ ራሱን የቻለ የጥቃት ሰንሰለት አፈፃፀም ሽግግርን ይገልጻል። ያ ተከላካዮች የማግባባት ትክክለኛ መንገዶችን እንዲለዩ ሊረዳቸው ይችላል፣ነገር ግን ሙከራ ከምርት ጋር በተገናኙ አካባቢዎች ሲከሰት ተግባራዊ ስጋትን ሊፈጥር ይችላል። ማእከላዊው ተግዳሮት ቅድሚያ መስጠት ሊሆን ይችላል፡ ብዙ ጉድለቶችን መፈለግ በአስፈላጊ ስርዓቶች ላይ ተአማኒነት ያለው ስጋት የሚፈጥሩትን አያሳይም።

የሪፖርቱ ተግባራዊ ጠቀሜታ የግኝት እና የብዝበዛ ጥምረት ነው። ሊሆኑ የሚችሉ ድክመቶችን ዝርዝር የሚያወጣው አውቶሜትድ ስካነር መንገዱን ከሚመረምር፣ ብዝበዛን ከሚፈጥር እና ሌላ ስርዓት ላይ ለመድረስ ከሚጠቀም ወኪል ይለያል። የTechTarget መለያ እንደሚያመለክተው የኋለኛው ችሎታ በመተግበሪያ-ደህንነት ፍተሻዎች እና በተወሰነ አጥቂ ባህሪ መካከል ክፍተቶችን ሊያጋልጥ ይችላል። እንደነዚህ ያሉ ሥርዓቶች ውጤቱን ምን ያህል ጊዜ እንደገና ማባዛት እንደሚችሉ፣ የቀይ ወኪል በሌሎች አካባቢዎች ምን ያህል አስተማማኝ እንደሆነ፣ ወይም ክስተቱ ሰፋ ያለ የመለኪያ አዝማሚያን እንደሚያመለክት አይገልጽም።

ሪፖርቱ የተጋላጭነት አስተዳደርን እንደ የቅድሚያ ችግር እና እንዲሁም የማወቅ ችግር አድርጎ ቀርጿል። ጋሪ ፐርኪንስ፣ ሲአይኤስኦ በCISO ግሎባል ለTechTarget እንደተናገሩት ድርጅቶች ብዙ የግኝቶችን ዝርዝር ከመቀበል ይልቅ ለማግባባት ጥቂት ቁጥር ያላቸውን ተጨባጭ መንገዶችን ለመለየት AI ከመጠቀም የበለጠ ያገኛሉ። ያ ልዩነት የሚያመጣው የደህንነት ቡድኖች ተጋላጭነቶችን ለመመርመር፣ ለመጠቅለል፣ ለማረጋገጥ እና ለመከታተል የተወሰነ ጊዜ ስላላቸው ነው። ስርዓቶች ቴክኒካዊ ድክመቶችን ከወሳኝ ንብረቶች እና አሳማኝ የጥቃት መንገዶች ጋር ማገናኘት ካልቻሉ ተጨማሪ አውቶሜትድ ግኝቶች የስራ ጫናን ሊጨምሩ ይችላሉ።

ክስተቱ ከኦፕሬሽን ሲስተም ጋር የተገናኙ አካባቢዎችን ለ AI ወኪል የመስጠት አደጋንም ያሳያል። Claude Claude የዝካለር ማንዲ ለቴክታርጌት እንደተናገሩት ብዙ ድርጅቶች ከስምምነት በኋላ እንደገና ሊገነባ የሚችል ምርት መሰል አካባቢ የላቸውም። በዚያ ሁኔታ፣ ራስን በራስ የመሞከር ሙከራ ቁጥጥር ከሚደረግበት ግምገማ ይልቅ የቀጥታ እሳት ልምምድ ሊሆን ይችላል። ምንጩ ስለ መያዣ እና ፈቃዶች ስጋትን ይደግፋል፣ ነገር ግን የስኖውፍላክ አካባቢ በአግባቡ እንዳልተዋቀረ ወይም የቀይ ወኪል ወደ ጂራ ከተዘገበው በላይ ጉዳት ማድረሱን አላረጋገጠም።

ቀጥሎ ምን እንደሚታይ

የደህንነት ቡድኖች ራሱን የቻለ ሙከራ እንዴት እንደሚይዝ፣ ምን ፈቃዶች ወኪሎች እንደሚቀበሉ እና ሙከራ ከምርት ስርዓቶች የተገለለ መሆኑን ማሳየት አለባቸው። እንዲሁም ተጋላጭነቶችን በተጨባጭ ብዝበዛ እና በንብረት ተፅእኖ ለመፈረጅ ዘዴዎች ያስፈልጋቸዋል። ከWiz ወይም Snowflake ተጨማሪ ማረጋገጫ፣ ስለተጋላጭነቱ ቴክኒካዊ ዝርዝሮች፣ እና የትኛውም መረጃ መደረሱን የሚገልጽ ማስረጃ የክስተቱን አስፈላጊነት ያብራራል።

ራሱን የቻለ የተጋላጭነት ፈተናን የሚገመግሙ ድርጅቶች የሙከራ ድንበሩን ግልጽ ማድረግ አለባቸው። በTechTarget ሪፖርት ውስጥ የተነሱት ጉዳዮች አንድ ወኪል የሚሰራበት አካባቢ፣ የሚቀበላቸው ፍቃዶች፣ እንዲወስዳቸው የሚፈቀድላቸው እርምጃዎች እና የሆነ ችግር ከተፈጠረ አካባቢን መልሶ የመገንባት ችሎታን ያጠቃልላል። ጠቃሚ ማስረጃዎች ወኪሎች ለተገለሉ ቅጂዎች የተገደቡ መሆናቸውን፣ የምስክር ወረቀቶች በጠባብ ወሰን የተቀመጡ መሆናቸውን እና የሰው ፈቃድ ከብዝበዛ በፊት ወይም ወደ ተገናኙ ስርዓቶች ከመውሰዳቸው በፊት መደረጉን ያጠቃልላል።

የሚቀጥለው ጥያቄ የደህንነት ቡድኖች በ AI-የተፈጠሩ ግኝቶችን እንዴት ደረጃ እንደሚሰጡ ነው. TechTarget የግሮስማን ግምት አጥቂዎች ከሚታወቁት CVEs ከ1.5% በታች እንደሚበዘብዙ ዘግቧል፣ በተጨማሪም ምንጩ የዚያን አሃዝ መሰረት ወይም ወሰን እንደማይፈጥር አስምሮበታል። ያ ግምት በሰፊው ይተገበርም አይተገበርም፣ ዋናው የሥራ ማስኬጃ ነጥብ ግልጽ ነው፡ ብዝበዛ ብቻውን ጉድለት እንደሚጠቃ አያረጋግጥም። ቡድኖች ግኝቶችን በቀላሉ ከመቁጠር ይልቅ የንብረት አስፈላጊነትን፣ ተጋላጭነትን፣ ሊደረስባቸው የሚችሉ መንገዶችን፣ ያሉትን መብቶች እና የነቃ ብዝበዛን ማስረጃ ማመዛዘን ያስፈልጋቸዋል።

ተጨማሪ ሪፖርት ማድረግ የቀይ ወኪል ክስተትን እራሱ ማብራራት አለበት። የዊዝ ወይም የበረዶ ቅንጣት ቴክኒካል ይፋ ማድረግ የስራ ፍሰት ድክመትን መለየት፣ ወደ ጂራ የሚወስደውን መንገድ ማብራራት፣ ያሉበትን መከላከያዎችን መግለጽ እና ያልተፈቀደ እንቅስቃሴ ወይም የውሂብ መዳረሻ መከሰቱን ሊመዘግብ ይችላል። ገለልተኛ ማባዛትም ሊደገም የሚችል ችሎታን ከሚታወቅ ማሳያ ለመለየት ይረዳል። ያ ማስረጃ እስካልተገኘ ድረስ፣ በጣም የሚደገፈው ድምዳሜው TechTarget ከባድ ራስን የፈተና ክስተት እና የአስተዳደር ፈተናን ሪፖርት ማድረጉ እንጂ AI ወኪሎች የድርጅት ስርዓቶችን አዘውትረው የሚያበላሹ አይደሉም።

ተዛማጅ መመሪያዎች እና ጥያቄዎች