Спокойный офис может выглядеть безобидно. Стойки мониторов, залитые светом, наушники, скрывающие разговоры, и рабочий гул продолжаются без каких-либо признаков того, что под ними скрывается что-то зловещее. Но все чаще появляются случайные, несанкционированные технологии — личная облачная папка здесь и несанкционированный ИИ-чатбот там. Вскоре организации придется управлять всеми этими новыми непредвиденными рисками. Но теневые ИТ были лишь первой порцией скрытых угроз. Теневой ИИ поднял ставки.
Расширение теневых ИТ, теневой ИИ включает использование сотрудниками неутвержденных технологий. Теневые ИТ обычно относятся к потребительским технологиям, таким как приложения для обмена файлами или личные устройства. Теневой ИИ обычно включает быстро движущиеся, требовательные к данным системы, поведение которых может быть непредсказуемым.
\ Согласно исследованию, проведенному Gartner, 80% организаций испытывают пробелы в управлении данными. Эти пробелы облегчают людям пропуск поведения, генерируемого ИИ. Многие команды не проходят оценку готовности к кибербезопасности. Риск, связанный с ИИ, увеличивается из-за того, что сотрудники внедряют новые инструменты быстрее, чем их команды могут адекватно их проверить. Поскольку 30% утечек данных происходят от поставщиков или поставщиков, знание того, какие инструменты использует команда, является критическим компонентом защиты цифровых активов компании.
\ Теневой ИИ набирает популярность, потому что сотрудники рассматривают контент, созданный ИИ, как более быстрый способ создания контента, обобщения сложной информации и устранения технических проблем. Это снижает трение в повседневной работе, но вводит риски, ранее не наблюдавшиеся с проблемами теневых ИТ, включая раскрытие данных, риск соответствия и риски на уровне модели.
Теневые ИТ давно обвиняют в неизвестных уязвимостях. Высокий процент ранних нарушений был связан с неподписанными инструментами SaaS или личным хранилищем. Инструменты ИИ полностью меняют уравнение. Масштаб и скорость, с которыми они работают, вместе с их непрозрачностью, создают риски, которые труднее обнаружить и сдержать.
\ При 78% организаций, использующих ИИ в производстве, некоторые нарушения теперь связаны с неуправляемым воздействием технологий. Более крупная ИТ-модель по-прежнему имеет значение, но ИИ вводит новое измерение для расширения поверхности атаки.
Теневой ИИ похож на теневые ИТ тем, что оба проистекают из желания сотрудника быть более продуктивным, но они различаются в том, где находится риск.
\ Теневой ИИ также возникает в контексте предстоящих регуляций, таких как Закон ЕС об искусственном интеллекте, который может усилить регуляторный контроль.
Теневой ИИ может привести к проблемам в инженерии, маркетинге и финансах. Поскольку решения принимаются на основе выходных данных ИИ, проприетарные данные могут быть утечены, а внутренние бизнес-процессы могут быть манипулированы без чьего-либо ведома.
\
\ Беспокойство растет с появлением генеративного ИИ. Чатбот, отвечающий на вопрос поставщика, или обобщение генеративного ИИ может казаться безвредным, но рискует раскрыть конфиденциальные данные об использовании или ценную проприетарную интеллектуальную собственность. Университет Карнеги-Меллона обнаружил, что большие языковые модели гораздо более уязвимы для враждебных промптов, чем системы, основанные на правилах. Проблема усугубляется, когда сотрудники могут использовать инструменты без надзора.
\ Дерево решений с поддержкой ИИ может быть более предвзятым, чем обычное дерево решений. Теневой ИИ часто получает неполную информацию для обучения, вводимую в инструменты третьих сторон. Структурированный надзор за системами ИИ обеспечил бы целостность обновлений. Когда команды упускают это из виду, данные и поведение модели дрейфуют.
Хотя теневой ИИ представляет множество рисков, организации могут смягчить многие из них, сочетая видимость с политикой и техническими контролями, находя баланс, который защищает продуктивность сотрудников, не обременяя их трудоемкими проверками или заблокированными сайтами. Команды безопасности выигрывают от рассмотрения теневого ИИ как проблемы управления, а не проблемы наказания. Стратегии смягчения неизбежно должны развиваться по мере того, как сотрудники используют инструменты ИИ для повышения продуктивности.
План управления должен указывать, какие инструменты ИИ утверждать, какие типы данных сотрудники могут использовать, как проверять выходные данные модели перед принятием важных решений и что делать при возникновении непредсказуемого поведения модели. Последний элемент включает, кто проверяет поведение, кто расследует его причины и каковы последствия.
\ С надзором на месте организации могут рассматривать ИИ как любой другой корпоративный актив, подлежащий тем же требованиям к прослеживаемости, аудиту, безопасности и соответствию, что и другие устаревшие корпоративные системы.
Команды с доступом к проверенным, централизованным инструментам ИИ с меньшей вероятностью обратятся к неутвержденным общедоступным ИИ для обхода блокировщиков. По мере автоматизации рабочих мест персонал будет вкладывать больше усилий в различные модели. Работники уже тратят около 4,6 часов в неделю на использование ИИ на работе, превышая среднее время личного использования в 3,6 часа в неделю. ИИ от третьих сторон без надлежащего мониторинга может уже быть более распространенным, чем корпоративные инструменты, которые проверены и утверждены. Компании должны немедленно принять меры для обеспечения соблюдения своих политик.
\ С управляемой средой организации могут отслеживать использование через инструменты, устанавливать разрешения в базах данных и обеспечивать управление данными во всех отделах. Это повышает продуктивность сотрудников, одновременно защищая целостность данных и соответствие бизнеса.
Инструменты видимости, которые отмечают аномальное поведение — такое как внезапное увеличение использования ИИ, загрузка данных в необычные конечные точки или доступ к модели в короткие сроки с конфиденциальными данными — могут помочь командам безопасности выявить злоупотребления и утечки данных. Отчеты показывают, что за последний год до 60% сотрудников использовали неутвержденные инструменты ИИ, и 93% признались во вводе данных компании без разрешения.
\ Раннее обнаружение этих шаблонов может позволить исправление, переобучение, реконфигурацию разрешений или прекращение процесса до того, как он приведет к утечке данных или нарушениям соответствия.
Обучения кибербезопасности в целом недостаточно. ИИ может галлюцинировать, неправильно интерпретируя намерение за промптами, и генерировать кажущийся авторитетным, ложный или предвзятый контент. Кроме того, работники должны понимать, что использование ИИ отличается от использования программного обеспечения или услуг. Безопасное использование требует изменения ментальных моделей, понимания рисков промптов и обработки личных данных.
\ Пользователи с базовой машинной грамотностью будут проверять выходные данные и с меньшей вероятностью будут чрезмерно делиться личными данными. Они будут рассматривать инструменты как ценных вторых пилотов, но они должны использоваться под наблюдением человека.
Теневой ИИ растет быстрее и его труднее идентифицировать, чем теневые ИТ. Хотя масштаб и сложность рисков различаются, привлечение помощи сотрудников может более эффективно идентифицировать оба. Политики управления могут помочь компаниям найти правильный баланс. Команды безопасности должны переоценить свое воздействие, оставаться бдительными в отношении возникающих угроз и действовать оперативно, прежде чем невидимые инструменты на основе ИИ примут ключевые решения в бизнес-приложениях.

Копировать ссылкуX (Twitter)LinkedInFacebookEmail
От синхронности к отставанию, Биткоин готов к взлет
