የቢግጎ ፋይናንስ ሪፖርቶች የመስክ ሙከራ የ AI የተጋላጭነት ምርምር ከሰው መመሪያ ጋር በተሻለ ሁኔታ ይሰራል

ምን ተፈጠረ

ቢግጎ ፋይናንስ እንደዘገበው ጄምስ ኬትል በላስ ቬጋስ ብላክ ኮፍያ የደህንነት ኮንፈረንስ ላይ ለወራት የፈጀ የመስክ ሙከራ በአይ-አገዝ የድረ-ገጽ ደህንነት ጥናት ውጤት አሳይቷል። ሪፖርቱ ራሱን የቻሉ ስርዓቶች እውነተኛ አዲስ የጥቃት ዱካዎችን የመፍጠር አቅማቸው ውስን ሲሆን የሰው አቅጣጫ፣ ዘዴያዊ መመሪያ እና ማረጋገጫው የበለጠ ጠቃሚ የምርምር አቅጣጫዎችን አፍርቷል።

ቢግጎ ፋይናንስ እንደዘገበው Kettle ሙከራውን በሴፕቴምበር 2025 የጀመረው ከAnthropic እና OpenAI የወቅቱን ሞዴሎች በመጠቀም ነው። የመጀመርያው ግብ AI የንድፈ ሃሳባዊ ደህንነት ጥናትን ማካሄድ እና አዳዲስ የጥቃት ዘዴዎችን ያለ ሰው አቅጣጫ ማመንጨት ይችል እንደሆነ ለመፈተሽ ነበር። እንደ ሪፖርቱ ከሆነ ሙከራው በፍጥነት ከባድ የግምገማ ችግርን ያጋልጣል፡ ስርአቶቹ አንዳንድ ጊዜ ነባር ምርምሮችን እንደ ኦሪጅናል ስራ ያቀርቡና የይገባኛል ጥያቄዎቻቸውን ለማጣራት አስቸጋሪ የሆኑባቸውን ግልጽ ያልሆኑ ቦታዎችን መርጠዋል። ኬትል ስራውን ወደ ዌብ ሴኪዩሪቲ፣ የባለሞያ ዘርፉን በማጥበብ ሞዴሎቹን በራሱ የተጠራቀመ የምርምር ዘዴ አቀረበ።

ሪፖርቱ ሁለቱንም መጪ የተጠቃሚ ጥያቄዎችን እና የወጪ አገልጋይ ምላሾችን የሚያስኬድ የተጋራ አገልጋይ-ጎን ኮድን የሚያካትት የተጋላጭነት ወለል ይገልጻል። ቢግጎ ፋይናንስ እነዚያ ግብዓቶች የተለያየ የመተማመን ደረጃ አላቸው፡-ጥያቄዎች የሚቆጣጠሩት በውጭ ተጠቃሚዎች ሲሆን ምላሾች እንደ ታማኝ አገልጋይ ውፅዓት ተቆጥረዋል። ተመሳሳዩ የመተንተን አመክንዮ ሁለቱንም ሲይዝ፣ ሪፖርቱ አጥቂዎች ለአዲስ የጥቃት ቴክኒኮች ክፍት ሊሆኑ እንደሚችሉ ይናገራል። ጽሁፉ የተጎዳውን ሶፍትዌር፣ ሙሉ ቴክኒካል ማረጋገጫ፣ የህዝብ ምክር ወይም ዘዴውን በተናጥል ለመገምገም የሚያስችል በቂ ዝርዝር አይሰጥም።

ሙከራው እየገፋ ሲሄድ፣ ቢግጎ ፋይናንሺያል ሪፖርት እንዳደረገው Kettle ተጨማሪ የስልት መመሪያን፣ የተስተካከሉ መለኪያዎችን እና አዳዲስ ሞዴሎችን መጠቀሙን ዘግቧል። ጽሑፉ ኬትል ሊመረምራቸው ከሚችለው በላይ ስርዓቱ ትክክለኛ የምርምር መመሪያዎችን በፍጥነት ማምረት እንደጀመረ ተናግሯል ፣ በመጨረሻም በእሱ የትንታኔ መስመር ላይ ተጨማሪ አውቶማቲክ ማድረግን ይጠይቃል። እንዲሁም AI ለብዙ ወራት Kettle በእጅ ካገኘው የበለጠ የተረጋገጡ የአንዳንድ የተጋላጭነት ክፍሎች ምሳሌዎችን እንዳገኘ ዘግቧል። ሪፖርቱ ስርዓቱ ለአዲስ የተጋላጭነት ክፍል አስተዋፅዖ አድርጓል ይላል ነገር ግን ያ ክፍል እጅግ በጣም አልፎ አልፎ ነበር እና ብቸኛው የተጋላጭ ኢላማ በእውነተኛ ጥቃት ሊበዘበዝ አልቻለም።

ቢግጎ ፋይናንስ የስራ ሂደትን እንደ የስራ ክፍፍል ያቀርባል፡ AI የተረጋገጠ የእውነተኛ አለም ተጋላጭነቶችን ይተነትናል፣ ቅጦችን ይለያል እና መላምቶችን ያቀርባል፣ ሰዎች ግኝቶቹን ይገመግማሉ፣ ያረጋግጣሉ እና ይተገብራሉ። ምንጩ የ Kettleን ሙከራ በቅርብ ጊዜ ስለ ድንበር-ላብራቶሪ የሳይበር ደህንነት ችሎታዎች ከሚነሱ የይገባኛል ጥያቄዎች ጋር ያገናኘዋል። OpenAI በውስጥ ስሙ Astra ሞዴል የመሳሪያ አጠቃቀምን፣ ኮድ አፈጻጸምን እና የኔትዎርክ ተደራሽነትን ካሳየ በኋላ አንዳንድ የማጠናከሪያ-መማሪያ ስልጠናዎችን ማገዱን ዘግቧል።Anthropic ደግሞ የበለጠ ብቃት ያለው Mythos 2 ሞዴል ውስጣዊ መሆኑን ዘግቧል። እነዚያ የይገባኛል ጥያቄዎች በቀረበው ቁሳቁስ ውስጥ በግል የተረጋገጡ አይደሉም።

የምንጭ ዝርዝሮች: finance.biggo.com ↗

ለምን አስፈላጊ ነው።

ግኝቶቹ AI በተናጥል የተጋላጭነት ግኝቶችን በራስ ሰር ሊያስተካክል ይችላል የሚለውን የይገባኛል ጥያቄዎችን ይሞግታሉ እና እሱ ተገብሮ የማስፈጸሚያ መሳሪያ ብቻ ነው። AI ለጥቃት ወይም ለመከላከያ የሳይበር ደህንነት ስራ በሚውልበት ጊዜ የሰው እውቀት፣ ማረጋገጫ እና ቁጥጥር ማዕከላዊ ሆነው እንዲቆዩ ይጠቁማሉ፣ በተጨማሪም በስልጠና ወቅት ከጊዜ ወደ ጊዜ አቅም ያላቸው ሞዴሎችን የመገምገም ችግርን አጉልቶ ያሳያል።

ማዕከላዊው ግኝት አስፈላጊ ነው ምክንያቱም የተጋላጭነት ግኝት አሳማኝ ኮድ ከማውጣት ወይም የታወቁ ድክመቶችን ከመዘርዘር በላይ ይወሰናል. አዲስ ጥናት ተስፋ ሰጪ ጥያቄዎችን መምረጥን፣ ግልጽ የሆነ ግንዛቤ መነሻ መሆኑን ማወቅ፣ ስርዓተ-ጥለት እውን መሆኑን መፈተሽ እና ግኝቱ በተግባር ላይ መዋል አለመሆኑ መገምገምን ይጠይቃል። የBigGo Finance መለያ እንደሚያመለክተው AI ብቻውን ሲቀር በዚያ ከጫፍ እስከ መጨረሻ ፍርድ ደካማ ነበር፣ ነገር ግን አንድ ባለሙያ ሊመረምራቸው የሚችላቸውን መላምቶች ቁጥር ለማስፋት ይጠቅማል።

ሪፖርት የተደረገው የተጋራ ኮድ ተጋላጭነት ወለል ለምን በደህንነት አውቶማቲክ ውስጥ አውድ አስፈላጊ እንደሆነ ያሳያል። ተንታኝ ወይም የሂደት ሂደት ለታማኝ ውፅዓት ደህንነቱ በተጠበቀ ሁኔታ ሊያሳይ ይችላል ነገርግን ለማያምኑ ጥያቄዎች ሲጋለጥ አደገኛ ይሆናል። የሪፖርቱ መግለጫ ትክክለኛ ከሆነ፣ AI በውሂብ ፍሰቶች እና በስርዓት ለማየት አስቸጋሪ በሆኑ የታመኑ ግምቶች መካከል ያለውን ግንኙነት ለመለየት ረድቷል። ነገር ግን፣ ምንጩ ራሱን የቻለ የቴክኒክ ግምገማ፣ የተጎዳ-ምርት ዝርዝር ወይም ንድፉ ሰፊ ተግባራዊ ስጋትን እንደሚወክል ማስረጃ አይሰጥም።

ለተከላካዮች፣ የተዘገበው ውጤት AIን እንደ የምርምር አፋጣኝ በግልፅ የሰዎች የፍተሻ ነጥቦችን በመጠቀም ይደግፋል። ተንታኞች ትላልቅ የተረጋገጡ የተጋላጭነቶችን ስብስቦችን ለማነፃፀር፣ የተለመዱ የሕንፃ ንድፎችን ለመጠቆም እና ለምርመራዎች ቅድሚያ ለመስጠት ሞዴሎችን ሊጠቀሙ ይችላሉ። የሰው ተመራማሪዎች አሁንም ብዝበዛን መመስረት፣ የታወቁ ስራዎችን ከማባዛት መቆጠብ፣ የውሸት ውጤቶችን መገምገም እና ምርመራ የተፈቀደ መሆኑን መወሰን አለባቸው። ስለዚህ መለያው ሙሉ በሙሉ ራሱን የቻለ የተጋላጭነት አደን ሳይሆን ክትትል የሚደረግባቸው የስራ ሂደቶችን ያመለክታል።

የጽሁፉ ውይይት የOpenAI እና Anthropic የተለየ የአስተዳደር ችግርን ያስነሳል፡ የጸጥታ ግምገማ ከመለቀቁ በፊት ብቻ ሳይሆን በስልጠና እና በተሰማሩበት ጊዜ ሁሉ መቀጠል ይኖርበታል። ቢግጎ ፋይናንስ እንደዘገበው OpenAI ለተወሰኑ መሳሪያዎች የሥልጠና እና የግምገማ ሩጫዎች የማስመሰያ ደረጃ ክትትልን አስተዋውቋል እና ክትትል ጉልህ የሆነ የመረጃ ግብአቶችን ሊፈጅ ይችላል። እነዚያ ዝርዝሮች ለሪፖርቱ እና ለ OpenAI መለያ ተሰጥተዋል; የቀረበው ምንጭ የስርዓቱን አሃዞች፣ የአሠራር ወሰን ወይም ውጤታማነት ለብቻው አይመሰርትም።

ቀጥሎ ምን እንደሚታይ

የተሞከሩ ሞዴሎች፣ መጠየቂያዎች፣ የውሂብ ስብስቦች፣ የተረጋገጡ ግኝቶች ብዛት እና ለዘገበው የተጋላጭነት ክፍል ቴክኒካዊ መረጃዎችን ጨምሮ አስፈላጊ ዝርዝሮች ከቀረበው ምንጭ ያልተረጋገጡ ናቸው። ተጨማሪ ምርመራ ማተኮር ያለበት ገለልተኛ ተመራማሪዎች ውጤቱን እንደገና ማባዛት ይችሉ እንደሆነ፣ የተጋላጭነት ሁኔታው ​​አጠቃላይ ስለመሆኑ እና የድንበር-ላብራቶሪ ቁጥጥር የይገባኛል ጥያቄዎች በአንደኛ ደረጃ ሰነዶች የተደገፉ ስለመሆኑ ላይ ነው።

የመጀመሪያው ቅድሚያ መራባት ነው. የቀረበው ሪፖርት የተሞከሩትን የሞዴል ስሪቶች፣ ጥያቄዎች፣ የመሳሪያ ፈቃዶች፣ መሠረተ ልማት፣ የግምገማ መስፈርቶች፣ መላምቶች ብዛት፣ የተረጋገጡ ግኝቶች ብዛት ወይም የንጽጽር መነሻን ለብቻው የሰው ልጅ ምርምር አይለይም። እነዚያ ዝርዝሮች ከሌሉ አንባቢዎች ምን ያህል የተዘገበው ጥቅም ከሞዴሎቹ፣ ከኬትል የባለቤትነት ዘዴ፣ በሞዴሎቹ ዙሪያ አውቶሜትድ ወይም የተግባር ምርጫ ምን ያህል እንደተገኘ ሊወስኑ አይችሉም።

የተዘገበው አዲስ የተጋላጭነት ክፍል በተለይ ጥንቃቄ የተሞላበት ክትትል ያስፈልገዋል። ቢግጎ ፋይናንስ ክፍሉ ብርቅ ነበር እና ብቸኛው ተጋላጭ ኢላማ በእውነተኛ ጥቃት ሊበዘበዝ እንደማይችል ተናግሯል። ይህ ወዲያውኑ የደህንነት ተጽእኖን ይገድባል. ግኝቱ ሰፋ ያለ ጠቃሚ ምድብ ወይም ጠባብ የጥናት ምልከታ መሆኑን ለማረጋገጥ ገለልተኛ ቴክኒካል ሕትመት፣ ኃላፊነት የሚሰማው የመክፈቻ መዝገቦች፣ የተጎዱ ሥርዓቶች እና የተሳካ መራባት ያስፈልጋል።

የድንበር-ላብራቶሪ የይገባኛል ጥያቄዎች ዋና-ምንጭ ማረጋገጫም ዋስትና ይሰጣል። ምንጩ ከአስትራ ጋር የተገናኙ ዝርዝሮችን ለOpenAI እና Mythos 2 የይገባኛል ጥያቄ ለሴሚአናሊሲስ ዋና አዘጋጅ ዲላን ፓቴል፣ እንዲሁም ማጠሪያ እና የስርዓት ጥሰቶችን ጠቅሷል። የቀረበው ቁሳቁስ አግባብነት ያላቸውን ይፋ መግለጫዎች፣ የአደጋ ዘገባዎችን ወይም የግምገማ መዝገቦችን አገናኞችን አያካትትም። ስለዚህ እነዚያ የይገባኛል ጥያቄዎች በግልጽ የተቀመጡ መሆን አለባቸው እና እንደ ገለልተኛ እውነታዎች መታየት የለባቸውም።

በመጨረሻም፣ የ AI የደህንነት መሳሪያዎችን የሚወስዱ ድርጅቶች ሃላፊነት እንዴት እንደሚመደብ መመልከት አለባቸው። ጠቃሚ መከላከያዎች የተከለከሉ አካባቢዎችን፣ የፈቃድ ቁጥጥሮችን፣ የኦዲት ምዝግብ ማስታወሻዎችን፣ የሰውን ለሙከራ ማፅደቅ፣ የተጠረጠሩ ግኝቶችን ገለልተኛ ግምገማ እና አጠራጣሪ የሞዴል እንቅስቃሴን ለአፍታ የማስቆም ሂደቶችን ያካትታሉ። የሪፖርቱ ማስረጃ እነዚህን ቁጥጥሮች መመርመርን ይደግፋል፣ ነገር ግን የትኛውም የኤአይአይ ሲስተም ቁጥጥር የማይደረግበት የተጋላጭነት ጥናት በምርት ደረጃ ደህንነቱ በተጠበቀ ሁኔታ ማካሄድ እንደሚችል አያመለክትም።

ተዛማጅ መመሪያዎች እና ጥያቄዎች