Αρχίζω την ασφάλεια ΤΝ: τι ξέρω, τι δεν ξέρω

Πάντα μου άρεσε το terminal.

Μου αρέσει να γράφω εντολές, να κοιτάζω διεργασίες, αρχεία καταγραφής, δίκτυα και να προσπαθώ να καταλάβω τι πραγματικά κάνει ένα σύστημα.

Από την άλλη, ποτέ δεν με τράβηξε ιδιαίτερα το full-stack development. Για την ακρίβεια, το βρίσκω λίγο μαρτύριο. Δεν με ενθουσιάζει να μετακινώ στοιχεία, να διορθώνω CSS ή να ψάχνω γιατί ένα κουμπί δεν βρίσκεται ακριβώς εκεί που πρέπει.

Το hacking, όμως, πάντα μου κινούσε την περιέργεια.

Όχι τόσο με την κινηματογραφική έννοια του «χακάρω κάτι», αλλά κυρίως λόγω του τρόπου σκέψης που κρύβεται πίσω από αυτό: κοιτάζεις ένα σύστημα και, αντί να ρωτάς μόνο:

«Πώς λειτουργεί;»

να ρωτάς:

«Πώς μπορώ να το κάνω να συμπεριφερθεί με τρόπο που ο δημιουργός του δεν είχε προβλέψει;»

Για αρκετό καιρό αυτή ήταν απλώς μια απορία.

Σε αυτό με βοήθησε πολύ και ο φίλος μου, ο Φάνης. Μέσα από τις συζητήσεις μας άρχισα να εξετάζω πιο σοβαρά την ασφάλεια και να καταλαβαίνω καλύτερα πόσο διαφέρει η νοοτροπία ενός επιτιθέμενου από εκείνη ενός μηχανικού που προσπαθεί απλώς να κάνει ένα σύστημα να λειτουργήσει.

Κάπου εκεί άρχισε να με ενδιαφέρει και το σημείο στο οποίο η ασφάλεια συναντά όσα ήδη γνωρίζω:

ΤΝ και offensive security.

Ξέρω πολύ καλύτερα πώς χτίζονται τα συστήματα ΤΝ παρά πώς μπορεί κανείς να επιτεθεί σε αυτά. Έχω δουλέψει με LLMs, συστήματα ανάκτησης, agents, APIs, πολυτροπικές ροές επεξεργασίας και αρχιτεκτονικές για περιβάλλοντα παραγωγής. Στο offensive security, όμως, είμαι ακόμα αρχάριος.

Και θέλω να το λέω ξεκάθαρα.

Δεν προσπαθώ να προσθέσω μια ακόμη ετικέτα «Ασφάλεια ΤΝ» στο βιογραφικό μου. Θέλω πραγματικά να μάθω.

Το prompt injection, τα jailbreaks, τα adversarial examples, το data poisoning, το model extraction και το tool abuse είναι μερικά από τα θέματα που με ενδιαφέρουν. Ξέρω, όμως, ότι προτού ασχοληθώ ουσιαστικά με αυτά, πρέπει να κατανοήσω καλύτερα ορισμένες βασικές αρχές: τη δικτύωση, την ασφάλεια στο διαδίκτυο, το Linux, τα πρωτόκολλα και, γενικότερα, τη νοοτροπία του offensive security.

Υπάρχει πάντως μία ιδέα που ήδη μου φαίνεται πολύ χρήσιμη.

Ως μηχανικοί μαθαίνουμε κυρίως να ρωτάμε:

«Πώς μπορώ να κάνω αυτό το σύστημα να δουλέψει;»

Το offensive security σε αναγκάζει να προσθέσεις και μία δεύτερη ερώτηση:

«Πώς θα μπορούσε κάποιος να το κάνει να αποτύχει;»

Και όσο τα συστήματα ΤΝ αποκτούν περισσότερα εργαλεία, δικαιώματα πρόσβασης και αυτονομία και συνδέονται όλο και περισσότερο με πραγματικές υποδομές, έχω την αίσθηση ότι αυτή η δεύτερη ερώτηση θα γίνεται ολοένα και πιο σημαντική.

Δεν ξέρω ακόμα πού θα με οδηγήσει αυτή η περιέργεια.

Αλλά αυτός ακριβώς είναι και ο λόγος που θέλω να αρχίσω να την ακολουθώ.