Работната група по изкуствен интелект на президента Доналд Тръмп заявява, че ще гарантира, че правителството защитава американците от рисковете за киберсигурността, свързани с тази мощна технология. Единственият проблем е, че тя не е споменала федералната агенция, отговорна за справянето с тези рискове.
Висшите държавни служители, които ръководят най-новата инициатива на Тръмп в областта на ИИ и които редовно популяризират ползите от ИИ, а сравнително малко говорят за вредите от него, на практика пренебрегват Агенцията за киберсигурност и сигурност на инфраструктурата (CISA) към Министерството на вътрешната сигурност в публичните си изказвания за работната група. В групата има екипи, насочени към сигурността на критичната инфраструктура и към докладването на инциденти, области, в които CISA има повече опит от всяка друга агенция, но CISA не ръководи тези екипи и може дори да не участва в тях.
Видимото отсъствие на CISA от работата на групата може да предвещава сериозни проблеми. Според експерти, цитирани от Cybersecurity Dive, без дълбокото участие на CISA работната група рискува да изготви недоизпипани или дублиращи се насоки и изисквания за сигурността на ИИ, които объркват или натоварват прекомерно бизнеса, възприемащ технологията.
Подобни резултати могат да подкопаят, вместо да укрепят, фокуса на бизнес общността върху предизвикателствата пред сигурността на ИИ в момент, когато бързо развиващата се технология все повече засилва дигиталните заплахи.
Отстраняването на CISA от работната група „би било като футболен отбор, който оставя защитата си у дома за големия мач“, каза Джеф Грийн, бивш висш служител в CISA и в Съвета за национална сигурност.
Форум за спешни действия
Подходът на правителството на САЩ към ИИ се промени драстично заедно с променящия се пейзаж на заплахите. В началото на октомври Тръмп създаде работна група, която да насърчава ИИ и същевременно да ограничава вредите от него, като аргументира, че технологията може да бъде „по-голяма от Индустриалната революция“. Ходът на Тръмп последва период от няколко месеца, през който практически всяка водеща лаборатория за ИИ обяви, че водещите ѝ модели са излезли извън защитните си механизми и в някои случаи са проникнали в системите на други компании.
Експерти по киберсигурност, много от които предупреждават от години, че ИИ ще даде възможност на хакерите да извършват атаки с безпрецедентна лекота и сложност, заявиха, че инцидентите със загуба на контрол показват пропуски в механизмите за надзор, предназначени да защитават американците от опасни технологии.
Работната група, ръководена от директора на националното разузнаване Джей Клейтън, е създадена отчасти за да отстрани тези пропуски. Групата има три основни направления: Емил Майкъл, водещият изследователски служител на Пентагона, ръководи създаването на протоколи за ранно предупреждение при инциденти със сигурността; председателят на Федералната търговска комисия Андрю Фъргюсън отговаря за защитата на потребителите и правоприлагането; а директорът на Службата за управление на персонала (OPM) Скот Купор отговаря за сигурността на критичната инфраструктура и въздействието върху работната сила.
Администрацията на Тръмп по принцип отхвърля регулирането на технологиите, но в средата на октомври Белият дом започна да съобщава на медиите, че вече очаква лабораториите за ИИ да докладват за инциденти със загуба на контрол и за други примери за опасно поведение. „[Компаниите за ИИ] трябва незабавно да разкриват инциденти, свързани с техните модели, и да последват това с бързи и решителни действия за отстраняване на всякакви вреди“, заявиха Клейтън, Фъргюсън, Купор и Майкъл в изявление пред Cybersecurity Dive.
Същевременно финансовите интереси на Тръмп в индустрията за ИИ и фокусът на администрацията му върху победата над Китай в надпреварата за ИИ създават стимули той да омаловажава рисковете за сигурността, свързани с технологията.
Въпросителна около ролята на CISA
С амбициозна програма работната група ще бъде толкова успешна, колкото са експертите, с които се консултира. Но макар киберсигурността да е основен фокус на групата — тя беше една от трите теми, които групата наскоро поиска Съветът на президента на съветниците по наука и технологии да проучи — никой, свързан с групата, не е загатнал, че се консултира с CISA, нито дори е признал водещата роля на агенцията в киберсигурността.
Пропускът е показателен, защото администрацията на Тръмп твърди, че възстановява CISA, след като съкрати драстично персонала на агенцията и ограничи дейността ѝ, промени, които разтревожиха партньорите на CISA в общността на критичната инфраструктура.
Белият дом отказа да коментира ролята на CISA в работната група по ИИ. Той препрати запитването на Cybersecurity Dive към OPM, която предостави изявление на Купор, в което CISA не се споменава: „Работната група по [ИИ] ще работи в тясно партньорство с всички наши колеги в правителството, за да осигури най-добрите резултати за американския народ.“ CISA не отговори на няколко запитвания за коментар относно ролята си в работната група.
Според експерти по киберсигурност и бивши служители на агенцията е от съществено значение CISA да участва активно в работата на групата по сигурността на ИИ.
„През последните няколко години CISA инвестира в своя експертен опит и възможности в областта на ИИ, по-конкретно в пресечната точка между ИИ и киберсигурността — как да се защитават системите с ИИ и как да се използва ИИ в операциите по киберсигурност“, каза Даниел Бардънстайн, бивш старши съветник по технологична стратегия в CISA. „Те могат да предложат не само технически експертен опит, но и носят със себе си задълбочена мрежа от връзки с критичната инфраструктура и с операторите по сигурността в частния сектор, които също могат да споделят опита и опасенията си относно сигурността на ИИ.“
Работната група трябва да привлече CISA, за да „помага да водят и да подпомагат“ работата ѝ по докладването на инциденти и защитата на критичната инфраструктура, каза Мат Алтомаре, бивш висш служител в CISA, отговарящ за издирването на заплахи. Алтомаре, който сега е старши директор на програмите за киберсигурност в Aspen Institute, посочи, че Конгресът е определил CISA за национален координатор на федералното правителство по сигурността и устойчивостта на критичната инфраструктура.
Служител на CISA, който пожела анонимност, за да говори свободно, също твърди, че агенцията трябва да има роля в работната група, съответстваща на нейната законова мисия.
„CISA е създадена, за да бъде организацията, която помага да се управлява рискът и да се защитава критичната инфраструктура на нацията“, каза служителят. „Позицията, която CISA [заема], трябва да съответства на тези идеали.“
„[CISA носи] задълбочена мрежа от връзки с критичната инфраструктура и с операторите по сигурността в частния сектор, които също могат да споделят опита и опасенията си относно сигурността на ИИ.“
Изпълнителен директор на Manifest; бивш главен директор по технологична стратегия в CISA
Естествено съответствие с мисията на CISA
Експертите заявиха, че работната група трябва да разчита в значителна степен на CISA за дейностите по киберсигурност, които агенцията изпълнява.
Агенцията може да бъде най-полезна при споделянето на насоки с общността на критичната инфраструктура и при осъществяването на връзка между операторите на инфраструктура и другите федерални агенции. „CISA е агенцията с най-добри възможности да разбира както рисковете, които изкуственият интелект създава за критичната инфраструктура, така и начините, по които може да я направи по-безопасна“, заяви Лорън Забиерек, бивш старши политически съветник в CISA.
Тъй като е невъзможно да се блокира всяка атака, използваща изкуствен интелект, фокусът на работната група трябва да бъде върху насърчаването на операторите на инфраструктура да бъдат устойчиви на подобни атаки, заяви Грийн. Това е нещо, което CISA вече прави чрез инициативата си CI Fortify.
Освен това CISA от години анализира сигурността на софтуера и повишава осведомеността по тези въпроси сред операторите на инфраструктура. Изкуственият интелект е просто още една форма на софтуер, която създава рискове (като например излизане извън контрол или ускоряване на атаките на хакерите) и възможности (като например ускоряване на създаването на код, безопасен по отношение на паметта).
CISA „отдавна е начело във взаимодействието с операторите на критична инфраструктура в областта на киберсигурността“, заяви Бардънстайн. „Добавянето на свързаните с изкуствения интелект проблеми със сигурността към този обхват е мъдро и ефективно решение.“
Алтернативата, добави той, „би била друга правителствена агенция да се заеме с това, което само би затруднило операторите [на инфраструктура]“.
Докато работната група обмисля нови стандарти за начина, по който водещите лаборатории трябва да докладват инциденти на правителството, експертизата на CISA в реагирането при инциденти — и в разработването на насоки за него — би могла да бъде безценна. „Няма основание да се пренебрегват тази съществуваща сила и предишни постижения“, заяви Бардънстайн.
CISA разработва по-широки правила за докладване на инциденти за общността на критичната инфраструктура в съответствие със закона от 2022 г. за докладване на кибер инциденти за критичната инфраструктура (CIRCIA). А в средата на октомври CISA и NIST публикуваха насоки за това как лабораториите за изкуствен интелект трябва да се предпазват от инциденти със загуба на контрол.
„CISA е агенцията с най-добри възможности да разбира както рисковете, които изкуственият интелект създава за критичната инфраструктура, така и начините, по които може да я направи по-безопасна.“
Съосновател на Foundation Layer Institute; бивш старши съветник в CISA
Риск от „минимално траен ефект“
Има ранни признаци, че работната група не възнамерява да разчита особено на CISA.
Въпреки дълбокия опит на CISA в сигурността на критичната инфраструктура, Белият дом е възложил на Купор от OPM да поддържа връзката с операторите на инфраструктура. Това решение озадачи някои експерти, според които то пренебрегва установените системи. Други посочиха, че може да има обяснение за видната роля на Купор, като например неговия опит във венчърния капитал. Той е първият нает служител във VC фирмата Andreessen Horowitz, която е инвестирала мащабно в изкуствен интелект.
„Администрацията може да се надява, че той ще осигури силна връзка с експертизата в областта на изкуствения интелект в частния сектор“, заяви Бардънстайн. „От друга страна, венчър капиталистите от Силициевата долина не са известни със особено силни отношения с операторите на критична инфраструктура.“
Както и да е, оставянето на CISA на заден план може да причини сериозни проблеми за работата на групата.
Без обширните партньорства на CISA в индустрията, заяви Забиерек, работната група вероятно ще пренебрегне „операторите [на инфраструктура] с най-малко ресурси, като например малките комунални дружества и селските болници“, като ги изключи от разговор, който ги засяга несъразмерно силно.
Съкращаването на персонала от администрацията на Тръмп натовари много от отношенията на CISA, но агенцията все още има по-силни връзки с по-широк кръг индустриални организации от всяка друга агенция.
„Без доверие и силни взаимоотношения дори най-добронамерените усилия на правителството да си сътрудничи с индустрията в областта на киберсигурността ще имат минимално траен ефект“, заяви Бардънстайн, който е помагал за управлението на партньорствата с индустрията в програмата за награди за открити уязвимости Hack the Pentagon.
Освен това другите дейности на CISA могат да пострадат, ако агенцията не е достатъчно обвързана с работната група. Групата може да завърши с препоръки за правила за докладване на инциденти за системите с изкуствен интелект, които дублират онова, което CISA прави по CIRCIA.
Втори служител на CISA, който също пожела анонимност, за да говори свободно, заяви, че това може да принуди операторите на инфраструктура да следват „различни насоки или процеси единствено защото нещо е свързано с изкуствения интелект, а не с киберсигурността, а тези два въпроса са твърде преплетени, за да бъдат разделени по този начин“.
На по-високо ниво оставянето на CISA на заден план рискува да деморализира още повече персонал, който вече е понесъл две години съкращения, орязвания на програми и ръководна нестабилност.
„Въпреки че CISA всъщност все още функционира добре, заглавията от последните няколко години намалиха доверието на частния сектор в способността им да изпълнят мисията си“, заяви Бардънстайн. „Пропускането на CISA от работната група само ще намали още повече това доверие.“