Suurin osa tämänhetkisestä tekoälyä ja työpaikkoja koskevasta keskustelusta käsittelee näkyvää kerrosta: kuka kirjoittaa koodin, kuka antaa mallille kehotteita, kuka saa lähteä, kun chatbot pystyy tekemään ensimmäisen luonnoksen. Tämän viikon uutisten sekaan on hautautunut tarina kerroksesta, jota kukaan tässä keskustelussa ei tarkastele — ja se ansaitsee huomiosi juuri siksi, että lähes kukaan ei kilpaile sen palkitsemista taidoista.

Vuodesta 2013 asti piileskellyt bugi

Tietoturvatutkijat kertoivat tällä viikolla yksityiskohtaisesti, kuinka tuhansia suurten valmistajien internetiin yhdistettyjä palvelimia voidaan takaovittaa etänä niiden emolevyn hallintaohjainten eli BMC:iden kautta — kyse on pienistä, erillisistä tietokoneista, jotka on upotettu käytännössä jokaisen yrityspalvelimen emolevylle ja jotka käyttävät omaa käyttöjärjestelmäänsä, verkkopinoa ja IP-osoitettaan riippumatta siitä, mitä pääkoneella tapahtuu (Ars Technica). BMC:t mahdollistavat sen, että IT-henkilöstö voi käynnistää palvelimen uudelleen, asentaa sen näköistiedoston uudelleen tai valvoa sitä etänä, vaikka virta olisi katkaistu tai palvelin täysin reagoimaton — aidosti hyödyllistä ”lights out” -hallintaa. Tutkijoiden mukaan ongelmana on se, että taustalla oleva protokolla on tunnettu helppona kohteena ainakin vuodesta 2013 lähtien, ja joitakin nyt hyödynnettäviä haavoittuvuuksia on ollut olemassa yli vuosikymmenen. Ars kuvaa tätä ”laajalle levinneeksi, puutteellisesti valvotuksi ja puutteellisesti paikattavaksi rinnakkaiseksi hyökkäyspinnaksi” — kyse ei ole uudesta aukosta vaan vanhasta, joka on jätetty hiljaisesti huomiotta, koska se sijaitsee useimpien ohjelmistoihin ja tietoturvaan kohdistuvien huomioiden alapuolella.

Agenttipohjainen koodaus tekee tätä pian enemmän ja nopeammin

Samalla viikolla Meta julkaisi Muse Coden, päätelaitteella toimivan koodausagentin, joka liittyy Clauden Coden, Codexin ja nopeasti kasvavan sellaisten työkalukehysten joukon rinnalle, jotka kirjoittavat ja julkaisevat ohjelmistoja hyvin vähäisellä ihmisen osallistumisella (TechCrunch). Zuckerbergin oma kuvaus siitä on paljastava: riittävän suuressa tehtävässä se jakautuu useiksi rinnakkain työskenteleviksi aliagenteiksi, jotka toimivat eristetyissä työpuissa ja rakentavat samanaikaisesti useita ominaisuuksia. Se on todellinen tuottavuuslisä. Rakenteellisesti se tarkoittaa kuitenkin myös sitä, että jokaista ihmisen huomion yksikköä kohden pystytetään, määritetään ja otetaan käyttöön enemmän infrastruktuuria kuin koskaan aiemmin — enemmän pilvi-instansseja, testausympäristöjä ja palvelimia, jotka ihmiset ottavat nopeasti käyttöön eivätkä ehkä koskaan kosketa BMC-asetusta tai lue laiteohjelmiston muutoslokia. Agenttipohjaiset työkalut ovat erittäin hyviä sovelluksen kirjoittamisessa. Niillä ei ole mielipidettä siitä, käyttääkö sovelluksen alla oleva erillishallintapiiri kuusi vuotta vanhaa laiteohjelmistoa.

Mikään tästä ei tarkoita, että agenttipohjaiset koodaustyökalut olisivat suunnittelunsa vuoksi turvattomia — se on eri kysymys kuin Ars Technican jutussa käsitelty. Pointti on suppeampi: infrastruktuurin määrä kasvaa nopeammin kuin sen alla olevan fyysisen kerroksen paikkaamisen epäkiitollinen käytäntö, eikä tämä kuilu umpeudu itsestään vain siksi, että ylemmän tason koodi on muuttunut älykkäämmäksi.

Miksi tämä on urasignaali eikä vain tietoturvatarina

Kun tämän suhteuttaa edelleen alalla jatkuviin irtisanomisiin — Monday.comin tällä viikolla ilmoittama noin 20 prosentin henkilöstövähennys, joka yhdistettiin nimenomaisesti tekoälyvetoiseen uudelleenjärjestelyyn, liittyy kasvavaan joukkoon yrityksiä, jotka mainitsevat tekoälyn työpaikkaleikkausten yhteydessä (TechCrunch). On syytä olla rehellinen siitä, mitä emme tässä tiedä: yksikään näistä ilmoituksista ei erittele irtisanomisia tehtäväalueittain, joten ei ole selkeää dataa, joka osoittaisi, että ”tietoturva- ja infrastruktuuriroolit säästyvät”. Se olisi liioittelua. Varmemmin voidaan sanoa jotain rakenteellista, ei tilastollista: nopeimmin automatisoituvat roolit ovat niitä, joissa työn tulos on tekstiä, koodia tai asiakasvuorovaikutusta, jota suuri kielimalli pystyy jäljittelemään. Fyysisen ja laiteohjelmistotason tietoturva — sen tietäminen, mikä BMC on, miten IPMI ja sen seuraajat toimivat, miten erillishallinnan käyttöoikeuksia tarkastetaan ja miten laiteohjelmistopäivitys viedään läpi palvelinkannassa ilman, että puolet siitä muuttuu käyttökelvottomaksi — on lähempänä konetta kuin mallia. Se ei selvästikään ole tehtävä, johon nykyiset tekoälyagentit ovat tarttumassa, eikä sen automatisointi muutu helpommaksi vain siksi, että sen yläpuolella oleva ohjelmistokerros muuttuu.

Mitä tästä pitäisi oikeasti tehdä

Sinun ei tarvitse ryhtyä laiteohjelmistoinsinööriksi toimiaksesi tämän perusteella. Muutama asia, jotka voit tarkistaa:

  • Kysy, älä oleta. Jos työskentelet IT:n, alustojen tai tietoturvan parissa yrityksessä, joka käyttää omia palvelimiaan (ei pelkkää pilveä), kysy, kuuluuko BMC-laiteohjelmisto ylipäätään päivityssykliin. Monissa organisaatioissa vastausta ei aidosti tiedetä.
  • Opettele sanasto, älä vain otsikkoa. BMC, IPMI, Redfish ja erillishallinta ovat haettavissa olevia, hyvin dokumentoituja käsitteitä, ja niiden ymmärtäminen vie sinut useimpien niiden edelle, joiden tekoälyaikakauden osaamisen kehittäminen on keskittynyt kokonaan kehotteisiin ja agentteihin.
  • Tarkkaile sitä, mitä agenttipohjaiset koodaustyökalut eivät kata. Kun sinä tai tiimisi otatte infrastruktuuria sivuavassa työssä käyttöön Muse Coden tai Clauden Coden kaltaisia työkaluja, kysy nimenomaisesti, mikä jää niiden soveltamisalan ulkopuolelle — käyttöönottokohteet, laiteohjelmisto ja fyysiset pääsynhallintakeinot — ja pidä tätä aukkoa paikkana, jossa voit rakentaa asiantuntemusta, älä valvonnan puutteena, jonka voisi jättää huomiotta.
  • Älä ylireagoi. Tämä on yksi uskottava niche useiden joukossa, ei taattu turvasatama. Suhtaudu siihen tutkimisen arvoisena suojauksena, älä uranvaihtona, jonka tekisit yhden Ars Technica -jutun perusteella.

Laajempi oppi yleistyy BMC:itä pidemmällekin: kun tekoäly kehittyy paremmaksi ihmisten näkemissä ohjelmistoissa, vaikeammin automatisoitava arvo sijaitsee yhä useammin sen alla olevissa fyysisissä ja operatiivisissa kerroksissa — niissä osissa, jotka eivät näy esittelyssä. Se on kapeampi panostus kuin ”opi kirjoittamaan kehotteita”, mutta tällä hetkellä siihen panostaa harvempi.