În timp ce toată lumea se ceartă pe tema modelului care scrie cel mai bun cod, o problemă mult mai veche și mult mai puțin strălucitoare se amplifică în liniște odată cu fiecare nou centru de date AI: controlerul de management al plăcii de bază, sau BMC. Cercetătorii în securitate au prezentat săptămâna aceasta rezultate potrivit cărora mii de servere conectate la internet, de la producători importanți, pot fi accesate de la distanță prin ușă din spate exploatând vulnerabilități ale acestor controlere — unele dintre probleme având peste un deceniu. Nu este deloc o poveste despre AI. Este o poveste despre hardware-ul pe care rulează AI-ul și merită să o înțelegi dacă te gândești de unde va veni următorul val de locuri de muncă în securitate asociate AI-ului.

Ce este de fapt un BMC și de ce este înfricoșător

Un BMC este un mic computer separat, lipit practic pe placa de bază a oricărui server enterprise. Rulează propriul sistem de operare, propria stivă de rețea și are propria adresă IP — complet independent de sistemul de operare și aplicațiile care rulează pe serverul principal. Administratorii folosesc BMC-urile pentru management „lights-out” sau „out-of-band”: repornirea unei mașini, rescrierea firmware-ului, reinstalarea unui sistem de operare, toate de la distanță și, lucru esențial, chiar și atunci când serverul principal este oprit sau complet nefuncțional.

Tocmai acest lucru face ca un BMC compromis să fie atât de periculos. Un atacator care pătrunde într-unul nu are nevoie ca sistemul de operare gazdă să ruleze, nu trebuie să ocolească soluția de securitate pentru endpoint instalată pe acesta și poate persista după reinstalarea sistemului de operare, deoarece BMC-ul se află sub și în afara nivelului monitorizat de orice instrument normal de securitate IT. Potrivit cercetării prezentate săptămâna aceasta, protocolul implicat cel mai frecvent este IPMI, iar cercetătorii în securitate semnalează acest tip de risc cel puțin din 2013. Cu alte cuvinte: nu este o vulnerabilitate nouă, ci o categorie veche, cunoscută și dificil de remediat structural, pe care industria a tolerat-o de peste un deceniu.

De ce contează mai mult acum, nu mai puțin

Extinderea infrastructurii AI este, din punct de vedere fizic, unul dintre cele mai mari valuri de achiziții de servere din istorie — rafturi întregi de servere cu GPU-uri sunt instalate în centre de date noi și extinse, atât de repede cât pot furnizorii să le livreze. Fiecare dintre aceste servere este livrat cu un BMC, deoarece BMC-urile sunt modul în care operatorii centrelor de date gestionează flotele la scară largă; nu poți intra într-o clădire de dimensiunea unui depozit și reporni manual zece mii de mașini. Prin urmare, boom-ul AI nu cumpără doar capacitate de calcul — cumpără, în mod necesar, o flotă echivalentă de computere mici, insuficient monitorizate și „out-of-band”, cu un istoric documentat de peste un deceniu de vulnerabilități critice.

Aceasta este datoria tehnică: viteza extinderii este optimizată pentru instalarea GPU-urilor în rackuri și pornirea rulărilor de antrenare, nu pentru auditarea firmware-ului de management integrat în fiecare placă de bază de dedesubt. Cercetătorii din spatele dezvăluirii de săptămâna aceasta ar fi descris BMC-urile drept o „suprafață de atac paralelă omniprezentă, insuficient monitorizată și insuficient actualizată” — o descriere anterioară boom-ului centrelor de date AI, dar boom-ul este cel care multiplică acum numărul BMC-urilor aflate în producție.

Nișa pe care o deschide

Dacă analizezi direcția în care se îndreaptă carierele din securitate odată cu infrastructura AI, cele mai evidente domenii — red-teaming pentru modele, apărarea împotriva injectării de prompturi, guvernanța agenților — sunt deja aglomerate și bine acoperite în alte părți. Auditarea securității hardware-ului și a sistemelor „out-of-band” nu este. Este un colț lipsit de strălucire și de farmec al securității infrastructurii, care nu apare în discursurile principale despre AI, iar tocmai aici este diferența: cererea crește cu fiecare centru de date nou, iar oferta de oameni care înțeleg suprafețele de atac la nivel de firmware și „out-of-band” este redusă, deoarece este vorba despre un set de competențe cu adevărat diferit de securitatea aplicațiilor sau a cloudului.

Cum arată concret munca:

  • Cunoașterea firmware-ului și a protocoalelor. Înțelegerea IPMI (și a punctelor sale slabe cunoscute — lucruri precum suita de cifruri 0, depreciată de mult, pe care unele dispozitive încă o livrează activată) suficient de bine pentru a evalua dacă o anumită flotă de servere este expusă, nu doar vulnerabilă teoretic.
  • Audituri ale segmentării rețelei. Verificarea faptului că interfețele BMC/de management sunt într-adevăr izolate într-o rețea de management dedicată sau dacă pot fi accesate din mediul de producție ori de pe internetul general — un control de bază care se dovedește în mod repetat absent în practică.
  • Evaluări ale igienei acreditărilor și actualizărilor. BMC-urile sunt livrate frecvent cu acreditări implicite sau stabilite de furnizor și cu firmware care nu face parte din ciclul normal de actualizare a sistemului de operare al unui centru de date, deoarece nu este sistemul de operare — astfel, poate fi ușor omis de persoana responsabilă de „actualizări”.
  • Cunoașterea furnizorilor și a lanțului de aprovizionare. Firmware-ul BMC este scris de obicei de un număr mic de furnizori specializați și licențiat producătorilor de servere, astfel încât o problemă din codul unui singur furnizor se poate răspândi simultan la multe mărci de hardware — exact acesta este tiparul dezvăluirii de săptămâna aceasta. A ști ce stivă de firmware se află sub fiecare marcă de server face parte din muncă.

Cum să te poziționezi efectiv pentru asta

Acesta este un domeniu cu adevărat de nișă și este corect să fii sceptic cu privire la numărul de posturi dedicate care se vor deschide, comparativ cu posibilitatea ca domeniul să rămână o specializare în cadrul echipelor existente de infrastructură sau securitate — fii sincer cu tine și acceptă că „auditor de securitate BMC” s-ar putea dovedi o competență pe care o adaugi unui rol mai larg de securitate hardware/centre de date, nu neapărat o funcție de sine stătătoare. Totuși, indiferent de situație, câteva acțiuni concrete și verificabile au sens: dobândește experiență practică cu IPMI și instrumentele de management „out-of-band” dacă ai acces la servere enterprise sau chiar la hardware la mâna a doua cu care să lucrezi în laborator; citește recomandările de securitate ale furnizorilor pentru firmware-ul BMC de la principalii producători de servere și firmware BMC, deoarece aceștia publică dezvăluiri reale de vulnerabilități pe care le poți studia; iar dacă lucrezi deja în securitatea cloudului sau a infrastructurii, începe să adresezi echipei de centre de date sau de achiziții hardware din propria organizație o întrebare simplă și verificabilă — planul nostru de management BMC/IPMI se află într-o rețea izolată și cine este responsabil de actualizarea lui? Dacă nimeni nu are un răspuns sigur, aceasta nu este doar o constatare, ci și o demonstrație exactă a expertizei de care are nevoie această nișă.