Edition 15

Retirada a linguagem de espionagem, isto é uma disputa sobre um modelo de negócio. A destilação, aprender com os outputs de um modelo mais capaz, é o modo como grande parte do progresso em IA acontece, incluindo dentro dos próprios laboratórios norte-americanos que agora reclamam. O que o aviso realmente descreve é um concorrente a fazer em escala industrial, e através de uma linha geopolítica, o que a indústria faz habitualmente em pequena escala. Isso não torna a versão chinesa aceitável: extrair as capacidades de um rival através de milhões de consultas disfarçadas é agressivo e, argumentam as agências, coordenado. Mas a superioridade moral é desigual quando os modelos defendidos foram eles próprios construídos com trabalho alheio sem autorização.

Para si, a leitura prática diz respeito aos seus próprios fornecedores de IA e aos respetivos termos de utilização. Se as agências nacionais estão preocupadas com quem consulta sistematicamente modelos de fronteira e como o dissimulam, isso é um sinal sobre o abuso de API, a partilha de credenciais e os agregadores de terceiros como superfície de ameaça real, não distante. E é um lembrete de que o valor num sistema de IA, o seu comportamento, pode sair pela porta da frente de uma API sem que ninguém viole nada. Que é exatamente o tema do ponto seguinte.

Junte os dois pontos e obtém a ironia. Um lado da história são os EUA a tratar as capacidades dos modelos de IA como propriedade intelectual de primeira importância, ao ponto de justificar um aviso federal. O outro é um punhado de investigadores a demonstrar que os cadeados dessas joias podem ser forçados com o modelo mais fraco do próprio fornecedor, sem necessidade de sofisticação. A proteção assentava numa presunção arquitetural: que os blocos de raciocínio cifrados eram opacos e estavam vinculados ao seu contexto. A presunção não resistiu. É a forma recorrente desta newsletter: um controlo que existe no papel com uma lacuna que ninguém verificou.

Mas não arquive isto sob problemas dos laboratórios de IA, porque dois dos quatro vetores de ataque são seus. Os programadores estão a colar registos de sessão em repositórios públicos do GitHub sem saber que esses blocos cifrados contêm dados pessoais e credenciais recuperáveis, centenas deles só neste estudo, pelo que os seus segredos podem já estar num repositório público dentro de um bloco que julgava ser ruído. E os mesmos blocos podem transportar injeções de prompt invisíveis para fluxos de trabalho de agentes, o que se liga diretamente à ameaça de envenenamento de memória de há algumas semanas. Se os seus programadores utilizam estas APIs, o que partilham publicamente precisa do mesmo escrutínio que qualquer outra fuga de credenciais.

A lição aqui é uma à qual continuo a regressar, e um dos investigadores deste caso disse-o com clareza: uma televisão inteligente merece a mesma consideração de segurança que qualquer outro computador ligado à Internet, porque é exatamente isso que é, um computador com microfone, uma loja de aplicações e visibilidade sobre toda a sua rede. A razão pela qual uma televisão comprometida parece absurda é a mesma que a faz funcionar: ninguém modela a ameaça do objeto na parede da sala. Mas executa código, tem falhas de execução remota de código, e está na mesma rede Wi-Fi que tudo o resto que possui.

Em casa, a solução é simples: desative o microfone nas definições e coloque os equipamentos IoT numa rede separada dos dispositivos que importam. Numa organização, este é o problema do inventário de ativos disfarçado de questão de consumo. A televisão inteligente na sua sala de reuniões de administração, a que ninguém adicionou ao registo de ativos, é um computador em rede com microfone na sala exata onde ocorrem as conversas mais sensíveis. Os responsáveis do ponto seguinte passaram toda uma cimeira a pedir às pessoas que soubessem o que têm nas suas redes. Era isto que queriam dizer.

Esta é a lição exata de um Patch Tuesday sobre o qual escrevi no verão, e está a ficar cada vez mais nítida: o número de manchete é uma distração. 964 não é aplicável em qualquer janela razoável, e está concebido para o fazer sentir atrasado. O sinal são os dois zero-days, ambas falhas de escalada de privilégios que importam especificamente porque transformam um pequeno ponto de apoio em controlo total. Organize a sua atividade de correção pelo que está efetivamente a ser explorado e pelo que é acessível no seu ambiente, não pelo tamanho do lançamento, ou passará o mês a atacar o palheiro enquanto a agulha está na porta.

E a formulação de Narang é a ponte para o ponto final, portanto guarde-a: a IA está a tornar o palheiro maior, não o problema pior. É o mesmo que os responsáveis em Billington estão a dizer pela outra direção. O volume aumenta, mas a disciplina que o salva não muda: priorize, corrija o que é explorável, conheça o seu ambiente. Mais ruído não é mais risco se conseguir ainda encontrar o sinal. O jogo todo este mês, e este ano, é manter essa capacidade.

Podia ter escrito eu próprio este ponto, e em certo sentido tenho-o feito, quase todas as semanas, durante mais de um ano. Por isso deixo as autoridades falar: o FBI, a NSA e as agências cibernéticas do Reino Unido, da Nova Zelândia e do Canadá, todos no mesmo palco, todos a dizer que a IA muda a velocidade e o volume dos ataques, mas não o que os trava. Identidade, MFA, correção de vulnerabilidades, conhecer os ativos, eliminar tecnologia legada. A formulação de Horne é a que importa guardar: a IA é um holofote sobre as organizações que ignoraram os fundamentos. Não está a criar novos tipos de falha. Está a encontrar as antigas mais depressa.

Há uma armadilha nesta mensagem, porém, e vale a pena nomeá-la para não interpretar a cimeira como autorização para ignorar a IA. O facto de os fundamentos serem decisivos não significa que a IA seja hype: os mesmos responsáveis classificaram-na como um multiplicador de força genuíno para os atacantes e um verdadeiro acelerador para os defensores. Ambas as afirmações são verdadeiras e não estão em tensão. A IA eleva o ritmo, pelo que o custo de um fundamento em falta é pago mais depressa e com maior impacto. É esse o sentido exato da frase os fundamentos já não são aborrecidos. Sempre foram o que importava. Agora já não há margem para os ignorar.