מנהל ה-CIO הפדרלי נותר זהיר כלפי מודל הבינה המלאכותית 'מיתוס' של אנטרופיק

מנהל ה-CIO הפדרלי: 'מיתוס' עשוי לשפר הגנות סייבר, אך ביצועיו במציאות עוד לא ברורים

מנהל ה-CIO הפדרלי, גרג ברבאצ'יה, אמר ביום שלישי כי הממשל מתייחס למודל הבינה המלאכותית 'מיתוס' של חברת אנטרופיק בצורה זהירה, תוך הכרה הן בפוטנציאל שלו לחזק את הגנות הסייבר הפדרליות והן בחוסר הוודאות המשמעותי לגבי ביצועיו בתנאים אמיתיים. לדבריו, חשיפתו הישירה למודל מוגבלת לבדיקות מעבדה ואין עדיין סוכנויות פדרליות שמיישמות אותו.

ברבאצ'יה ציין כי משרד המנהל הלאומי לסייבר (ONCD) מוביל את ההתארגנות הממשלתית סביב הנושא, אך הערכה רחבה יותר לגבי עתיד הבינה המלאכותית בתחום הסייבר הייתה ישירה: "בקרוב נגיע לעולם שבו ההגנה מבוססת הבינה המלאכותית תוכל להשתוות להתקפות. עלינו להגיע לנקודה שבה הבוטים יאתרו את הבוטים האחרים".

בתחילת החודש, שלח ברבאצ'יה מייל לסוכנויות הממשלתיות כדי להודיע כי משרד הניהול והתקציב (OMB) החל בהכנות להפצה מבוקרת של המודל לסוכנויות פדרליות. גישתו משקפת את התפיסה כי אותן יכולות שהופכות את 'מיתוס' לאיום התקפי פוטנציאלי הן בדיוק מה שהופך אותו לכלי הגנתי בעל ערך.

יכולות המודל מול מציאות מורכבת

אנטרופיק טוענת כי במהלך בדיקות, המודל זיהה אלפי פגיעויות חמורות ולא ידועות מראש במערכות הפעלה ודפדפנים מרכזיים, רבות מהן קיימות עשרות שנים. השאלה העומדת בפני צוותי האבטחה הפדרליים אינה האם יכולות אלו אמיתיות, אלא האם הן ניתנות ליישום ברשתות המורכבות והמוגנות של סוכנויות הממשל.

ברבאצ'יה היה גלוי לגבי הפער הזה: "אני סבור שהיא תעלה את רמת היכולת של אנשים ותהפוך מפעילי סייבר התקפיים חסרי ניסיון ליעילים יותר", אמר ל-CyberScoop. "אולם עדיין לא ברור עד כמה היא תהיה יעילה בתנאים אמיתיים, כלומר ברשת שמוגנת על ידי מגנים אנושיים עם מערכות התרעה וכדומה. הבדיקות שראיתי היו מוגבלות למעבדה".

ההבחנה הזו חשובה עבור צוותי האבטחה הפדרליים שצריכים להחליט כיצד להתייחס למודל. מציאת פגיעות והצלחת ניצולה בסביבה מוגנת הם שני דברים שונים לחלוטין. ברבאצ'יה הדגיש את קטלוג ה-CVE, רשימת הפגמים התוכנתיים הידועים של הממשל, כדוגמה לאזור שבו מהירות המודל עשויה להיות בעלת ערך מעשי. אנליסט אנושי שיבדוק את הקטלוג ייקח זמן רב, בעוד מודל כמו 'מיתוס' יכול לעבור עליו במהירות רבה יותר. עם זאת, המהירות לבדה אינה קובעת אם פגיעות מהווה איום אמיתי.

"יש הבדל בין משהו שניתן לנצל אותו בחלון של ארבע ננו-שניות במהלך אתחול BIOS לבין האם הוא באמת ינוצל בעולם האמיתי", אמר. "עלינו להבין, בדיוק כמו שאנו מגינים על כל משטח האיום שלנו, מהם 'כלי הכתר' שלנו? ואיך מגנים עליהם ומבטיחים שההגנה שאנו מפעילים שווה את הערך של מה שאנו מגנים עליו?"

חשיבה מסוג זה מוכרת למגיני הרשת הפדרליים, הפועלים תחת מגבלות תקציביות וצריכים לתעדף אילו פגיעויות לטפל קודם. מה שעשוי להשתנות עם 'מיתוס' הוא המהירות שבה מתבצע התיעדוף הזה.