"Хамгаалагчдын цонх үе": OpenAI, Anthropic, Google тэргүүтэй 130 гаруй технологийн компани AI кибер халдлагын эсрэг нэгдлээ

Хиймэл оюуны салбарын зах зээлийн төлөө өдөр шөнөгүй өрсөлддөг OpenAI, Anthropic, Google, Microsoft, AWS зэрэг технологийн акулууд, цаашлаад CrowdStrike, Cloudflare, GitHub, Vercel, Shopify, Visa зэрэг 130 гаруй томоохон байгууллага түүхэнд анх удаагаа нэгдсэн нээлттэй тунхаг бичигт гарын үсэг зурлаа.

"A Call for Collective Action on Cyber Defense" (Кибер хамгаалалтад хамтын хүчээр нэгдэх уриалга) нэртэй энэхүү мэдэгдэлд хиймэл оюуны бие даасан агент (agentic AI) болон сэтгэх чадвартай загварууд ойрын хэдэн сарын дотор халдагчдын гарт орж, урьд өмнө байгаагүй цар хүрээтэй, автоматжсан кибер халдлагуудыг хийх эрсдэлтэйг зарлав. Гэхдээ хамгийн гол мессеж нь: "Хамгаалагчдын цонх үе" (The Defender's Window) нээлттэй байгаа дээр системээ бэхжүүлэх бодит боломж байна.

Яагаад технологийн өрсөлдөгчид нэгдэв?

AI загварууд код бичих, логик шинжилгээ хийх чадвараараа хүний түвшинд хүрсэн нь нэг талаас хөгжүүлэгчдэд бүтээмжийн үсрэлт авчирсан ч нөгөө талаас асар том эрсдэлийг дагуулж байна. Сүүлийн үеийн судалгаа, бодит туршилтуудаас харахад autonomous AI агентууд хүний оролцоогүйгээр эмзэг байдлыг илрүүлж, API сүлжээ хооронд шилжин эксплоит хийх чадвартай болжээ.

Тус мэдэгдэлд онцолсноор, халдагч талын AI боломжууд маш хямд, олон нийтэд хүртээмжтэй болоход хэдхэн сарын хугацаа үлдээд байна. Одоогоор хамгаалагчид (defenders) дэвшилтэт загваруудыг ашиглан системээ шалгах, алдааг нь автоматаар засах боломжтой байгаа энэ богино хугацааг алдалгүй ашиглахыг бүх түвшний инженер, байгууллагуудад сануулж байна.

Асуудал ирээдүйн футурист технологид бус, өнөөдрийн "Technical Debt"-д байна

Сонирхолтой нь, технологийн удирдагчид аюул заналын шалтгааныг нэрлэхдээ ямар нэгэн нууцлаг, шинжлэх ухааны уран зөгнөлт халдлагыг яриагүй юм. Харин дараах өдөр тутмын хөгжүүлэлтийн суурь асуудлуудыг онцолжээ:

• Хуучирсан код ба олон жил хуримтлагдсан техникийн өр (Technical Debt): Засагдаагүй, мартагдсан legacy сангууд.
• Excessive Permissions & Over-privileged Access: Систем, API болон CI/CD орчинд хэт өргөн эрх олгосон тохиргоонууд.
• Сул аутентикаци ба Misconfiguration: MFA дутмаг, буруу тохируулсан Cloud дэд бүтэц.
• Патч хийгдээгүй хамаарлууд (Unpatched Dependencies): npm, pip зэрэг package manager дээрх эмзэг хувилбарууд.

Хүний түвшинд олон хоног судалж байж олдог эдгээр энгийн гэмээр алдаануудыг AI агентууд хэдхэн секундийн дотор автоматаар илрүүлж, хооронд нь хэлхээ үүсгэн (chaining exploits) систем рүү нэвтрэх чадалтай болоод байна.

Хамтарсан тунхагийн 3 үндсэн зарчим

Уг тунхаг бичиг нь бүх салбарын оролцогчдод дараах 3 зарчмыг санал болгосон байна:

1. Статус-кво хамгаалалт хангалтгүй болсныг хүлээн зөвшөөрөх: Өмнө нь хүн-халдагчийн хурдад тааруулан боловсруулсан хамгаалалтын дүрэм, арга барил өнөөдөр секундэд мянган хүсэлт боловсруулдаг AI агентын эсрэг хүчин мөхөстөнө.
2. Хамгаалагчдыг AI зэвсгээр хангах: Кибер хамгаалалтын багуудад frontier загварууд дээр суурилсан автомат аудит, remediation (алдаа засах) хэрэгслүүдийг өргөнөөр нэвтрүүлэх.
3. Хамтын хариу арга хэмжээ ба мэдээлэл солилцоо: AI компаниуд, клауд үйлчилгээ үзүүлэгчид болон нээлттэй эхийн нийгэмлэгүүд аюул заналын мэдээллийг бодит цаг хугацаанд хуваалцаж, нэгдсэн экосистем үүсгэх.

Хөгжүүлэгчид яг одоо юу хийх хэрэгтэй вэ?

Энэхүү үйл явдал нь зөвхөн аюулгүй байдлын тусгай багуудад бус, өдөр тутамдаа код бичиж буй бүх түвшний хөгжүүлэгчдэд шууд хамаатай:

• AI-аар үүсгэсэн кодыг (AI-generated code) сохроор бүү merge хий: Cursor, Copilot зэрэг хэрэгслийн үүсгэсэн код ажиллаж байж болох ч SQL injection, prompt injection эсвэл сул логик агуулсан эсэхийг заавал static analysis болон manual review-ээр шалгаж хэвших.
• Least Privilege зарчмыг хатуу мөрдөх: Аппликейшний Service Account, Database User болон AI агентдаа шаардлагатайгаас илүү өргөн эрх (read/write/admin) олгохоос татгалзах.
• Dependency Audit-ийг автоматжуулах: CI/CD пайплайн дээрээ Dependabot, Snyk, Socket зэрэг автомат шалгууруудыг заавал байршуулах.
• AI Agent Sandbox: Хэрэв та өөрийн бүтээгдэхүүндээ LLM/Agentic чадамж нэмж байгаа бол тухайн агентыг интернет болон дотоод сүлжээнд дураараа хандах эрхгүй, хатуу тусгаарлагдсан (sandboxed) орчинд ажиллуулах хэрэгтэй.

Технологийн томоохон тоглогчид хүртэл өрсөлдөөнөө хойш тавьж хамтарсан нь кибер аюулгүй байдлын хувьд нөхцөл байдал ямар түвшинд хүрснийг тод илтгэж байна. Хөгжүүлэгч бүр өөрийн хариуцсан код, дэд бүтцээ "AI-proof" буюу хиймэл оюуны дайралтад тэсвэртэй болгох цаг яг одоо иржээ.

---

Эх сурвалж: OpenAI Announcement, Anthropic, Axios, Engadget, TradingKey