Sigurnosne certifikacije u AI industriji postale su novi statusni simbol, beskorisniji od NFT-a ali jednako skupi
LiteLLM, popularni AI gateway startup, upravo je dobio dvije sigurnosne certifikacije preko startupa Delve, što bi trebalo značiti da su njihovi sustavi čvrsti kao švicarska banka. Umjesto toga, dobili su jebeni malware koji im je ukrao vjerodajnice, a sada su u paničnom prekidu suradnje s tom istom certifikacijskom kućom. To je kao da ti vatrogasac zapali kuću, a ti mu platiš da je ugasi, ali samo nakon što ti sagori pola krova.
Dijagnoza je jednostavna: pacijent pati od akutne naivnosti uz komplikacije kratkoročnog razmišljanja, a prognoza je loša jer cijela industrija boluje od iste bolesti. Sigurnost se više ne prodaje kao nužnost, već kao lifestyle dodatak, poput premium pretplate za aplikaciju za meditaciju koja ne radi kad je stvarno stresno. Certifikacijska industrija uvijek je bila sumnjiva kategorija, ali u doba AI zlatne groznice postala je pravi kaubojski show.
Pojavljuju se startupi poput Delve-a koji obećavaju brze certifikacije za compliance standarde poput SOC 2 ili ISO 27001, često uz magično skraćene rokove i "fleksibilne" pristupe. Naravno da su fleksibilni — kada nemaš stvarne procedure, sve može biti fleksibilno. Ono što se prodaje kao "agilna sigurnosna provjera" u praksi je najčešće checklista koju je napunio jedan premoreni konzultant koji radi za pet takvih firmi istovremeno.
Cijela shema funkcionira na principu povjerenja, ali ne povjerenja u tehnologiju, već u to da klijent neće previše kopati ili da će biti toliko očajan za bilo kakvim pečatom na svom pitch decku da će prihvatiti i crtež djeteta kao certifikat. Ovdje dolazimo do srži apsurda. Startupovi poput LiteLLM-a, koji služe kao kritični gateway za pristup različitim AI modelima, nose ogromnu odgovornost. Kroz njih prolaze API ključevi, povjerljivi podatci korisnika, poslovni tajne.
Njihova kompromitacija nije samo tehnički problem, to je potpuni kolaps lanca povjerenja. A oni su tu sigurnost povjerili drugom startupu, čija je glavna kvalifikacija vjerojatno bila što su imali dobar sales deck i termin "AI-native" u opisu. To je kao da svoju nacionalnu obranu outsourcaš najjeftinijem ponuđaču na Upworku. Koji kurac se događa s kritičnim razmišljanjem?
Odgovor je, nažalost, tržišna histerija. Vrijeme je novac, a brzina izlaska na tržište sve. Dobivanje pravih sigurnosnih certifikata traje mjesecima, zahtijeva temeljite revizije, popravke infrastrukture i često značajna ulaganja. Startup poput Delve-a prodaje iluziju da se taj proces može sažeti na nekoliko tjedana, bez bola.
To je prodaja tableta za mršavljenje u industriji koja treba ozbiljnu kirurgiju. I kupci to znaju, ali odlučuju zatvoriti oči jer im treba taj certifikat za sljedeći funding round, za ugovor s velikom korporacijom, za privid legitimnosti. To nije tehnička odluka, to je financijska i marketinška kalkulacija gdje se rizik od katastrofe trguje za kratkoročni pomak. Posljedice su, naravno, sistemske.
Kada se jedan takav slom dogodi, svi počnu plesati ritualni ples odricanja od odgovornosti. LiteLLM će reći da su bili žrtva nesavjesnog partnera. Delve će izdati opću izjavu o "izoliranom incidentu" i "pobošljavanju internih procedura". Klijenti čiji su se podatci možda kompromitirali bit će obaviješteni u najmanju ruku, ako uopće budu.
A investitori će gledati u drugačiju stranu, jer sljedeći pitch koji čuju također ima brzu certifikaciju i impresivan rast. Ciklus se ponavlja jer nema stvarne odgovornosti, samo povremeni publicitet koji brzo izblijedi u vrtlogu sljedećih vijesti. Što se tiče samog Delve-a, njihov model je klasična priča o zlatnoj groznici. Ne iskopavaju zlato, ne prodaju lopatice, ne prodaju ni čaše vode.
Oni prodaju certifikate da je tvoja lopatica sigurna i da voda dolazi iz čistog izvora, a da pritom nikad nisu posjetili rudnik niti testirali vodu. Njihov proizvod nije sigurnost, već papir koji tvrdi da sigurnost postoji. U eri digitalizacije, taj papir je samo PDF u inboxu, ali njegova marketinška moć je neosporna. To je moderna verzija prodaje oprosta od grijeha, samo što umjesto vječnog spasa, kupuješ privremeni mir u duši pred investitorima.
Zašto onda itko pada na ovakve sheme? Jer ekosistem je dizajniran da nagrađuje brzinu i skaliranje, a kažnjava opreznost i dubinsku analizu. Ako odgodiš izlazak na tržište šest mjeseci kako bi stvarno riješio sigurnost, tvoj konkurent koji je zanemario tu "sporednu stvar" već je zauzeo tržište, sakupio korisnike i prikupio sljedeći rundu financiranja. U utrci gdje se ne gleda tko je najsigurniji, već tko je prvi, sve što usporava postaje neprijatelj.
Sigurnost je, nažalost, takav neprijatelj. Stoga se traže zaobilaznice, brza rješenja, "AI-powered" alati za compliance koji obećavaju čaroliju. Rezultat je predvidljiv: površinski sloj legitimnosti koji puca pri prvom ozbiljnom pritisku. A što s klijentima LiteLLM-a?
Oni su sada u nemogućem položaju. Vjerojatno su birali taj gateway upravo zbog naglašene kompatibilnosti s compliance standardima, što im je omogućilo da ga uključe u svoje vlastite sigurnosne procjene. Sada im je temeljni sloj njihove AI infrastrukture upitan, a alternativa je skupo i bolno preseljenje ili još gore, ručna provjera da li su im podatci zaista procurili. Za mnoge manje tvrtke, ovo je udarac iz kojeg se neće oporaviti.
Njihovo povjerenje nije izgubljeno samo u LiteLLM, već u cijeli koncept outsourcane sigurnosti i brzih certifikacija. Kada ti se kuća zapali, ne kriviš samo loše ožičenje, već i električara koji ti je dao pečat da je sve u redu, a bio je slijep. Ova priča nije izolirani slučaj, to je simptom mnogo dublje krize u tech industriji, posebno u užarenom području AI. Svi žele igrati se s najnovijim, najsnažnijim modelima, integrirati ih u svoje proizvode, ponuditi magiju.
Ali infrastruktura, sigurnost, pouzdanost — dosadni, skuplji, manje sjajni dijelovi — ostaju zanemareni dok ne eksplodiraju. To je kao graditi neboder na temeljima od pijeska, ali briljantno ga dekorirati i prodavati stanove s pogledom prije nego što se sruši. Prodaja ide dobro dok se toranj ne nagne. Što se onda može učiniti?
Prvi korak je prepoznati da sigurnost nije proizvod koji se može kupiti u paketu, niti certifikat koji se može zalijepiti. To je kontinuirani proces, kultura, način razmišljanja koji mora biti ukorijenjen u svakom sloju organizacije. Outsourcing sigurnosti trećoj strani bez dubinske provjere te strane je samopočetni propis za katastrofu. Drugo, potrošači i korporativni klijenti moraju postavljati teža pitanja.
Umjesto da traže samo pečat, trebaju tražiti dokaze, revizijske izvještaje, arhitektonske dijagrame. Trebaju tretirati sigurnosne prodavače magle s istim skepticizmom s kojim bi tretirali prodavača magičnih graha. Na kraju, cijeli ekosistem investicija i vrijednovanja mora se promijeniti. Dok god se startupovi nagrađuju isključivo za brz rast i user acquisition, a kažnjavaju za ulaganje u dosadne, temeljne stvari kao što je sigurnost, ovakve priče će se ponavljati u beskraj.
Potrebna je korekcija tržišta gdje će jedan ovakav skandal dovesti do stvarne odgovornosti — ne samo za startup koji je direktno pogoděn, već i za certifikacijsku kuću koja je prodala lažnu sigurnost, i za investitore koji su gurali takav toksični raskorak između stvarnosti i marketinga. To će se dogoditi tek kada klijenti masovno počnu gubiti novac i povjerenje, a sudovi budu prepuni tužbi. Do tada, igra lažnog povjerenja nastavlja se, a malware samo čeka sljedeću šansu. techcrunch.com
Izvor: techcrunch.com Izvor: techcrunch.com Izvor: techcrunch.com
Zanima vas ovakva AI tehnologija?
RiNET gradi sovereign AI rjesenja za javni sektor i poduzeca - od civic intelligence do automatizacije nabave.
Kontaktirajte nas →
Komentari