¿Por qué la CISA insta a un diseño seguro de IA vinculado a la seguridad central?

La Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) ha subrayado la imperativa necesidad de incorporar la seguridad en la propia estructura de los sistemas de inteligencia artificial (IA) durante sus etapas de desarrollo. Este enfoque proactivo, como aboga la CISA, tiene como objetivo prevenir que surjan vulnerabilidades después del despliegue, un escenario que puede ser no solo intrincado sino también exorbitante de corregir. La llamada de la agencia para un diseño seguro de IA está alineada con su campaña más amplia para integrar la seguridad de manera fluida en las fases de diseño y desarrollo, en lugar de considerarla como un pensamiento posterior.

Seguridad en el núcleo: la misión continua de la CISA

En su reciente publicación, la CISA ha instado firmemente a los desarrolladores de IA a adoptar un paradigma de "seguridad por diseño", reforzando el principio de que la IA, en su núcleo, es una forma de software. La agencia ha buscado desmitificar las nociones sobre la IA al enfatizar su naturaleza fundamentalmente basada en software, haciéndola sujeta a los mismos requisitos de seguridad que cualquier software requiere. Esto hace eco de un impulso global de larga data por parte de expertos en ciberseguridad para tratar la seguridad como un componente inherente en lugar de una adición periférica.

Cambio de perspectiva: de externalidad a compromiso

La directora de la CISA, Jen Easterly, en un discurso a principios de este año, subrayó la necesidad de un cambio transformador en la percepción de la seguridad dentro de la industria tecnológica. Históricamente, la seguridad a menudo ha sido relegada a un estado secundario, con sus costos externalizados a los usuarios finales. Easterly pidió una revisión completa de este enfoque, abogando por un renovado compromiso con la seguridad que implique incrustarla en el ciclo de vida del desarrollo de software. Además, Easterly sugirió un cambio en la distribución de la responsabilidad, proponiendo que los desarrolladores de software asuman una parte mayor de la responsabilidad.

Desafíos interconectados del aprendizaje automático

La publicación del blog de la CISA llama la atención sobre las complejidades del aprendizaje automático, enfatizando la naturaleza estrechamente tejida de su código. Cabe destacar que cualquier modificación en una sola entrada dentro de un sistema de IA puede tener consecuencias de gran alcance. Esta interdependencia intrincada fue subrayada en un artículo seminal de 2014 de investigadores de Google, quienes compararon acertadamente los desafíos técnicos no resueltos en el desarrollo de IA con "la tarjeta de crédito de alto interés de la deuda técnica."

Prácticas de seguridad adaptadas para la IA

Si bien la publicación del blog reconoce la necesidad de seguridad por diseño para los sistemas de IA, también reconoce los desafíos únicos que presenta la IA. La CISA ha compilado una lista de prácticas de seguridad esenciales, independientes del sector, que son igualmente aplicables al software de IA. La agencia enfatiza la importancia de adherirse a estas pautas, especialmente dado que los actores de amenazas explotan vulnerabilidades conocidas en componentes de software no IA.

Enfoque holístico de la seguridad de la IA

La CISA subraya que las prácticas y políticas de seguridad esperadas por la comunidad deben gobernar varios aspectos del desarrollo de IA, incluido el diseño, desarrollo, despliegue, pruebas, gestión de datos, integración de sistemas y gestión de vulnerabilidades e incidentes. En los casos en que se procesan formatos de archivos de modelos de IA, deben existir medidas robustas para frustrar los intentos de ejecución de código no confiable. Además, se recomienda el uso de lenguajes seguros en memoria como una medida de protección adicional contra posibles amenazas.

Responsabilidad y transparencia en la ingeniería de IA

Además de las salvaguardias técnicas, la CISA insta a la comunidad de ingeniería de IA a adoptar prácticas que mejoren la responsabilidad y la transparencia. Esto implica implementar identificadores de vulnerabilidades como las CVE (Vulnerabilidades y Exposiciones Comunes) y mantener una lista exhaustiva de materiales de software tanto para los modelos de IA como para sus dependencias. Tampoco se descuidan las preocupaciones sobre la privacidad, ya que la agencia pide cumplir con los principios fundamentales de privacidad por defecto.

Un momento crucial para la seguridad de la IA

La apasionada llamada de la CISA a la seguridad de la IA por diseño significa un punto crucial en el ámbito del desarrollo de la IA. Al colocar la seguridad a la vanguardia del diseño y el desarrollo, la agencia aboga por un cambio de paradigma que podría evitar significativamente brechas de seguridad importantes en el futuro. En un mundo donde los sistemas de IA se están volviendo cada vez más omnipresentes, esta postura proactiva podría allanar el camino hacia un paisaje digital más seguro y resiliente.