Архив метки: AI

Возможно ли использовать AI для детектирования уязвимостей?

Добавить комментарий

Возможно ли использовать AI для детектирования уязвимостей?

Возможно ли использовать AI для детектирования уязвимостей? Думаю да, но тут нужно определиться, что мы под этим понимаем.

🔻 Если речь идёт об обнаружении ранее неизвестных уязвимостей, о ресёрче, то здесь AI инструменты работают уже сейчас. Буквально на днях, 1 ноября, исследователи из Google Project Zero обнаружили первую реальную эксплуатабельную уязвимость с помощью своего LLM проекта Big Sleep. Это была stack buffer underflow в SQLite. Очень круто и многообещающе. 👍

🔻 Если же речь идёт об известных (CVE) уязвимостях, то задача сводится к генерации чётких правил их детектирования в инфраструктуре. AI должен взять на вход имя продукта и вендора, обнаружить источник данных об уязвимостях, понять структуру данных и как можно из них сгенерировать формальные правила для детектирования (например, на языке OVAL), произвести генерацию и оценить корректность правил. Не выглядит как что-то невероятное, но практических реализаций этого я пока не встречал. 🤷‍♂️

Про уязвимость Remote Code Execution - NVIDIA Container Toolkit (CVE-2024-0132)

Добавить комментарий

Про уязвимость Remote Code Execution - NVIDIA Container Toolkit (CVE-2024-0132)

Про уязвимость Remote Code Execution - NVIDIA Container Toolkit (CVE-2024-0132). Бюллетень NVIDIA вышел 25 сентября. Уязвимость нашли исследователи из Wiz.

Container Toolkit предоставляет контейнеризованным AI-приложениям доступ к ресурсам GPU. А куда ж сейчас в AI без видеокарт. 😏 Поэтому штука очень распространенная.

Суть уязвимости в том, что запущенный зловредный образ контейнера может получить доступ к файловой системе хоста, что, в свою очередь, может привести к выполнению кода злоумышленника, отказу в обслуживании, повышению привилегий, раскрытию информации и фальсификации данных.

Если злоумышленник получит таким образом доступ к десктопу это ещё полбеды, а если к нодам или кластеру Kubernetes? 🫣 Cервис-провайдеры AI (а-ля Hugging Face), запускающие у себя всякое разное и недоверенное, в группе риска.

Есть такая работа - желать

Добавить комментарий

Есть такая работа - желать

Есть такая работа - желать. Вчера делал перевод августовского эпизода "В Тренде VM" для англоязычного канала и соцсеточек. Поймал себя на мысли, что я крепко подсел на разнообразные AI-сервисы:

🔹 Перевод субтитров - Google Translate
🔹 Генерация звуковой дорожки на английском - subtivo с подключенным сервисом генерации речи
🔹 Фоновая картинка для иллюстрации - Ideogram
🔹 Апофеоз: генерация заключительного джингла 🎶 с QR-кодом для англоязычного канала: рифмованный текст сгенерировал с помощью ToolBaz, а трек сделал в Suno

Это похоже на то, что у тебя есть множество помощников-аутсорсеров, которые делают свою работу очень быстро и очень дёшево (даже бесплатно). Остаётся только принять результаты. Сказать: "отлично, подходит" или "не, всё фигня, давай переделывай".

Т.е. роль человека сводится к тому, чтобы сформулировать своё желание и оценить было ли оно выполнено или пока нет. По сути все мы становимся менеджерами, только управляем не живыми людьми, а сервисами на нейронках.

Qualys анонсировали модуль TotalAI для обеспечения безопасности искусственного интеллекта (AI) и больших языковых моделей (LLM)

Добавить комментарий

Qualys анонсировали модуль TotalAI для обеспечения безопасности искусственного интеллекта (AI) и больших языковых моделей (LLM)

Qualys анонсировали модуль TotalAI для обеспечения безопасности искусственного интеллекта (AI) и больших языковых моделей (LLM). Модуль будет доступен в Q4 2024 в рамках платформы Enterprise TruRisk.

Заявленные фичи:

🔹 Обнаружение и мониторинг AI инфраструктуры организаций. Чтобы не было "shadow LLM".

🔹 Vulnerability Management с фокусом на угрозы AI. Делают акцент на противодействии воровству (извлечению) данных и моделей. Будут предлагать разнообразные способы исправления уязвимостей.

🔹 Специализированное сканирование LLM с упором на prompt injection, воровство модели и раскрытие конфиденциальной информации.

🔹 Compliance Management и управление рисками. Делают акцент на утечках данных. Упоминают GDPR, PCI, CCPA.

Есть скриншот интерфейса со статистикой по моделям и их угрозам. Также там угрозы для связанных активов и занимательные информеры для AI Workloads, AI Software и GPU.

Полезный AI для Vulnerability Management-а, каким он будет?

Добавить комментарий

Полезный AI для Vulnerability Management-а, каким он будет?

Полезный AI для Vulnerability Management-а, каким он будет? Имхо, работа с ним должна сводиться к генерации приоритезированного потока задач и их выполнения (насколько возможно автоматизированного).

🔸 Скажи мне, VMGPT, на основе данных о нашей инфраструктуре и известных угрозах, какие конкретные задачи необходимо выполнить в первую очередь для повышения безопасности организации и/или улучшения VM-процесса? Эти задачи должны быть достаточно конкретными, например, исправить уязвимость X на хосте Y или раскатать агента для детектирования уязвимостей на хост Z.

🔸 Скажи мне, VMGPT, на основе данных о нашей инфраструктуре, сотрудниках, имеющихся инструментах и формализованных процессах IT и ИБ, как решить конкретную задачу из предыдущего пункта наиболее быстро и эффективно. И, если возможно, выполни эту задачу полностью самостоятельно и напиши по ней отчёт. Например, пропуши нерадивого админа, который не запатчил свои хосты в срок. Или разберись почему агенты не раскатаны на какие-то хосты и дораскати. Или почему есть несоответствие между хостами в VM-е и CMDB.

Человек-аналитик, возможно, справился бы с каждой конкретной задачкой лучше, но человека нужно найти, нанять и зарплату ему платить - а тут очень быстро, условно бесплатно и с приемлемым уровнем качества. То есть +- такой же расклад, как и с другими AI сервисами, которые сейчас активно используются для автоматического перевода, анализа текстов, генерации картинок, музыки и прочего.

Про AI, музыку и клонирование творческой манеры

Добавить комментарий

Про AI, музыку и клонирование творческой манеры

Про AI, музыку и клонирование творческой манеры. Открыл для себя ещё один AI сервис для генерации музыки по тексту - Udio, который делает это лучше и реалистичнее Suno. Как он это делает я не знаю, но такое ощущение, что там в зависимости от промпта выбирается какой-то конкретный исполнитель, на произведениях которого обучалась "сетка". Отсюда большая целостность. Но насколько это этично и законно - вопрос.

Первая же генерация на стихотворение Гумилёва в стиле "folk, contemporary folk, traditional folk, guitar, folk rock, acoustic blues" внезапно выдала мне узнаваемого исполнителя-иноагента. 😲🫣

И это не случайность. Поиск в Udio по его фамилии выдаёт много качественных треков узнаваемым голосом и в узнаваемой манере. Причём те, которые он сам вряд ли стал бы исполнять. Например, на день рождение Ленина про "пристальный взгляд Ильича". Хотя как знать… 🤔🙂

Выводы?
🔹 Разнообразной музыки будет больше
🔹 Фейки станут ещё реалистичнее
🔹 Ожидаются интересные суды

Дугин луддит? Чтобы дополнить предыдущий пост посмотрел часть "Эмпатии Манучи" с Дугиным месячной давности

Добавить комментарий

Дугин луддит? Чтобы дополнить предыдущий пост посмотрел часть Эмпатии Манучи с Дугиным месячной давности

Дугин луддит? Чтобы дополнить предыдущий пост посмотрел часть "Эмпатии Манучи" с Дугиным месячной давности. Там ему вопрос "в России не будет сильного ИИ, роботизации и трансгуманизма?" тоже не задали, но он подробно поясняет почему это плохо:

🔻 (цитирует Хайдеггера) "В технике как таковой заложен фундаментальный подвох: когда человек перестаёт трогать рукой дерево, воду, землю, хлеб, врага, ставит между ними определенный инструмент (самый простой), то он сам утрачивает в этот момент человечность". 👉🌳
🔻 "Техника как таковая есть абсолютное проклятие нашего рода, это чистое метафизическое зло". 🙄
🔻"Техника должна быть под контролем духа, иначе она превращается в зверя, дьявола, нового господина, нового субъекта". 👌
🔻 "Искусственный интеллект это рукотворный дьявол". 👨‍💻

Философы это вам не технари. 😅 В сухом остатке: будет у нас тоже самое, что и на Западе, но белое, пушистое и "закрепощённое". Нужно только "изгнать из Искусственного Интеллекта западного дьявола". 😉