Bli säker-podden

I mitten av februari blockerade Europaparlamentet AI-funktionerna på lagstiftarnas enheter. Enligt ett internt mejl som har delats med Politico infördes blockeringen på grund av risken för obehörig åtkomst till datan.

Merparten av dagens AI-tjänster är molnbaserade. De är byggda så att tjänsteleverantören har teknisk åtkomst till användarnas promptar och till svaren som skickas tillbaka. Huruvida tjänsteleverantörerna får använda sin åtkomst för att exempelvis förbättra sina AI-modeller regleras av juridik, inte av teknik. I Google Geminis integritetspolicy står det rent av: ”ange inte konfidentiell information som du inte vill att en granskare ska se”.

I fjol hamnade Open AI i en rättstvist med New York Times. Open AI meddelade att, även om de inte ville, kunde de tvingas lämna ut Chat GPT-användares data. Därutöver har det inträffat flera dataläckor där andra AI-tjänster har läckt användarnas promptar. Sammantaget visar det tydligt att molnbaserade AI-tjänster ökar risken för att data hamnar i fel händer.

Åtminstone fram till nu!

Tack vare ny teknik har det dykt upp tjänster som skyddar datan så att inte ens tjänsteleverantören har åtkomst till den. Om tjänsteleverantören saknar teknisk åtkomst kan tjänsteleverantören varken läsa promptarna, läcka historiken eller tvingas lämna ut kopior av användarnas konfidentiella samtal.

I veckans poddavsnitt pratar Peter och Nikka om säkerhetsframstegen på AI-molntjänstsfronten. De jämför hur datan skyddas i tre olika kategorier av AI-molntjänster som de exemplifierar med: ChatGPT, Proton Lumo respektive Confer. Den sistnämnda tjänsten är utvecklad av Moxie Marlinspike, grundaren av Signal. Han vill nu revolutionera AI-säkerheten på samma sätt som Signal revolutionerade säker kommunikation.

Peter och Nikka pratar också om ett brev från akademin där doktorer och professorer kräver en paus i utrullningen av åldersverifieringskrav. För svensk del är brevet undertecknat av sju doktorer och professorer från Chalmers, Karlstads universitet, Rise och Uppsala universitet. De varnar för farorna som ogenomtänkta åldersverifieringslösningar kan föra med sig. De poängterar att det inte ens finns några vetenskapliga belägg för att blockering av minderårigas åtkomst skulle ha en positiv effekt på deras mentala hälsa.

Se fullständiga shownotes på https://go.nikkasystems.com/podd342.

Stora mängder data har läckt ur hotellbokningssystem. Hotellkedjan Best Western har bland annat läckt gästers namn, telefonnummer, mejladresser, bokningsdatum och bokningspriser. Nu utnyttjar bedragare den stulna informationen för att skicka ovanligt detaljerade nätfiskemeddelanden, i hopp om att lura av gästerna deras betalkortsuppgifter.

En av gästerna som berörs är Karl Emil Nikka själv. I veckans podd pratar han och Peter Esse om hur Best Western har hanterat situationen, något Nikka beskriver som ett skolboksexempel på hur företag inte bör göra efter en personuppgiftsincident.

Podduon pratar också om ett internt mejl som har läckt från det Amazon-ägda företaget Ring som tillverkar ringklockor med inbyggda övervakningskameror. Ring hamnade i blåsväder efter en misslyckad annonskampanj. Ring trodde att deras kunder skulle välkomna en ny funktion som gjorde att Ring-kameranätverket kunde hitta bortsprungna hundar. Kunderna tolkade i stället annonskampanjen som en inblick i en dystopisk framtid där varenda dörrklocka utnyttjas för att spåra människor.

Det läckta interna mejlet besannade oron för framtida ändamålsglidning. Spårandet av hundar var bara ett steg på vägen mot att spåra människor.

Se fullständiga shownotes på https://go.nikkasystems.com/podd341.

La Liga har fått spanska operatörer att blockera CDN-nätverk som distribuerar illegala IPTV-sändningar. Detta trots att sådana blockeringar gör även helt legitima webbplatser oåtkomliga. Storbritanniens premiärminister Keir Starmer vill strama åt ålderskontrollerna på nätet ännu hårdare. Detta trots att Storbritannien saknar säkra metoder för åldersverifiering.

La Liga och Starmer ställs inför samma problem: det är långt ifrån alla som delar deras önskemål. Britterna som inte vill åldersverifiera sig skaffar i stället VPN-tjänster, så att de kan tunnla ut sin trafik från landet. Spanjorerna som vill kringgå de spanska operatörernas blockeringar gör samma sak.

Som ett väntat nästa steg sätter både La Liga och Storbritannien fokus på VPN-tjänsterna. I veckan hävdade La Liga att två stora VPN-tjänster (Proton VPN och Nord VPN) måste införa samma CDN-blockeringar som de spanska operatörerna. Starmer skickade ut ett pressmeddelande om behovet av att begränsa barns åtkomst till VPN-tjänster.

I veckans poddavsnitt pratar Peter och Nikka om de nya önskemålen om VPN-begränsningar. Nikka förklarar att han inte ens förstår hur åldersbegränsning av VPN-tjänster skulle kunna genomföras i praktiken.

Efter att veckans poddavsnitt spelades in publicerade nyhetsbyrån Reuters ett relaterat avslöjande. Enligt Reuters utvecklar amerikanska utrikesdepartementet en frihetsportal som ska hjälpa européer att kringgå europeiska internetbegränsningar. Frihetsportalen skulle bland annat kunna tillhandahålla en VPN-tjänst som tunnlar ut trafiken i USA. Varför någon skulle välja att lita på just den VPN-tjänsten framgår inte.

Se fullständiga shownotes på https://go.nikkasystems.com/podd340.

De senaste veckorna har AI-botten Openclaw skapat många rubriker. Openclaw fungerar som en AI-agent på datorn. Den chattar med sin ägare via valfri chattapp och utför uppgifterna som den blir instruerad att göra. Den gör dem dessutom förvånansvärt bra. Openclaw gör det som Siri och Google Assistant alltid har strävat efter att kunna erbjuda, men aldrig lyckats leverera.

Den extremt kompetenta AI-botten är samtidigt vansinnigt riskfylld. Openclaws utvecklare är helt öppna med detta faktum. De varnar användare som installerar botten för att den kan bli lurad att göra osäkra saker. Utvecklarna klassar dessutom Openclaw som ett hobbyprojekt och koden har ännu inte lämnat beta-stadiet.

I veckans poddavsnitt pratar Peter och Nikka om Openclaws förträffliga funktionalitet och undermåliga cybersäkerhet. Nikka lyfter fem problem som gör att han avråder alla från att använda botten i annat än test- och leksammanhang.

Openclaw dras bland annat med samma problem som ChatGPT:s AI-agentwebbläsare: risken för promptinjektionsattacker. Angripare skulle kunna lura Openclaw att tolka information på webben eller i meddelanden som instruktioner att följa. Då är det plötsligt angriparen som styr vad AI-agenten ska göra på datorn där Openclaw har släppts loss.

Hur pass väl skyddad Openclaw är mot promptinjektionsattacker beror på vilken underliggande AI-modell som ägaren väljer. Utvecklarna har gjort sitt bästa för att skydda botten, men de är samtidigt öppna med att risken kvarstår. Än så länge vet faktiskt ingen om problemet ens går att lösa.

Se fullständiga shownotes på https://go.nikkasystems.com/podd339.

Utvecklingen av så kallade kvantdatorer väcker oro. Om någon lyckas uppfinna en tillräckligt kraftfull kvantdator kommer den att kunna knäcka många av krypteringslösningarna som används idag. Runt om i världen har underrättelsetjänster redan börjat spela in krypterad trafik i hopp om att en framtida kvantdator ska kunna dekryptera den. Vi måste därför påskynda övergången till kvantdatorsäkra krypteringsalgoritmer.

Veckans specialavsnitt av Bli säker-podden gästas av IT-säkerhetsexperten Joachim Strömbergson från Assured. Han förklarar hur vår värld påverkas av hotet från kvantdatorerna. Joachim redogör för vilka situationer som berörs, var problemet är som störst och hur lösningarna ser ut. Det har redan uppfunnits flera kvantdatorsäkra krypteringsalgoritmer, men de har av förklarliga skäl inte hunnits testas i samma utsträckning som de klassiska motsvarigheterna. Frågan är: kan vi lita på dem?

Se fullständiga shownotes på https://go.nikkasystems.com/podd338.