تقرير مаниفست يكشف عن فجوة في استعدادات الأمن السيبراني للاستفادة من الذكاء الاصطناعي

كشف تقرير جديد من مаниفست، “ما وراء الصندوق الأسود: كيف يضطر الذكاء الاصطناعي إلى إعادة التفكير في سلسلة التوريد البرمجية”، عن فجوة متزايدة بين ثقة القيادات التنفيذية والواقع التشغيلي عندما يتعلق الأمر باستعدادات الأمن السيبراني للذكاء الاصطناعي. ويعتمد التقرير على استطلاع أجراه أكثر من 300 قائد أمن ومتخصص في مجال الأمن عبر الولايات المتحدة وآسيا وأوروبا والشرق الأوسط وأفريقيا، ووجد أن معظم القيادات التنفيذية تعتقد أن منظماتها مستعدة لمخاطر سلسلة التوريد المحددة بالذكاء الاصطناعي، بينما تقارير فرق الأمن على الأرض عن فجوات حوكمة كبيرة واستخدام الذكاء الاصطناعي الخفي و محدودية الرؤية في المكونات التي تعمل بالبرمجيات الحديثة.

تسلط النتائج الضوء على توتر مركزي ي出现 في تكنولوجيا المؤسسات: حيث يتسارع تبني الذكاء الاصطناعي بسرعة عبر المنتجات والعمليات، لكن الآليات المطلوبة لتتبع وحوكمة وأمن هذه الأنظمة لا تتماشى معها.

يعيد الذكاء الاصطناعي خلق مشاكل أمن سلسلة التوريد في أشكال جديدة

لأكثر من عقد من الزمن، عملت المنظمات على تحسين أمن سلسلة التوريد البرمجية من خلال تتبع الاعتماديات ومراقبة الثغرات الأمنية وتأسيس إطارات الحوكمة. ومع ذلك، يجادل تقرير مانيفست بأن الذكاء الاصطناعي يعيد في الواقع إدخال العديد من نفس المخاطر – الآن موزعة عبر النماذج و مجموعات البيانات ووكلاء وخدمات الذكاء الاصطناعي الثالثة.

تعمل مكونات الذكاء الاصطناعي غالبًا كأنظمة غير شفافة. غالبًا ما لا تستطيع المؤسسات شرح كيف تم تدريب النماذج أو ما البيانات التي تم استخدامها أو أي خدمات خارجية مضمنة في تطبيقاتها. ونتيجة لذلك، تواجه المنظمات فئة جديدة من مخاطر سلسلة التوريد: أنظمة برمجية لا يمكن فحصها أو التحقق منها أو مراقبتها بطرق موثوقة مع مرور الوقت.

يشدد التقرير على أن الرؤية تتراجع بالفعل. 63٪ من المنظمات تقارير عن وجود “ذكاء اصطناعي خفي”، في إشارة إلى أدوات أو تطبيقات الذكاء الاصطناعي التي تم تبنيها دون إشراف من فرق الأمن أو الشراء أو إدارة المخاطر.

قال دانيال باردنشتاين، الرئيس التنفيذي والشريك المؤسس لمؤسسة مانيفست، إن البيانات تكشف عن فجوة متزايدة بين تصور القيادة والواقع التشغيلي: “ثقة القيادة في استعدادات الأمن السيبراني لا تتطابق مع ما تعاملت به فرق أمن التطبيقات يوميًا. يعتقد القادة أن الحوكمة موجودة، لكن الممارسين يرون استخدامًا غير مُدار للذكاء الاصطناعي وملكية غير واضحة ونقاط عمياء في ما يعمل فعليًا عبر المنتجات والبائعين”.

يقول القيادون إنهم مستعدون، بينما يختلف فريق الأمن

أحد أكثر النتائج إثارة في التقرير هو الانحراف بين ثقة القيادة وتقييمات أمن التطبيقات.

يقول ما يقرب من 80٪ من مسؤولي الأمن إن منظماتهم تتمتع بممارسات أمنية ناضجة للذكاء الاصطناعي، في حين يوافق حوالي 40٪ فقط من فرق أمن التطبيقات على هذه التقييم.

غالبًا ما تكون فرق أمن التطبيقات أول من يواجه الفشل التشغيلي في إطارات الحوكمة لأنهم يتفاعلون مباشرة مع سلسلة التوريد البرمجية. وتقر هذه الممارسين بوجود كميات كبيرة من التنبيهات وملكية غير واضحة ومسؤوليات أمنية غير محددة وأدوات منقسمة عبر بيئات التطوير والأمن.

وفقًا للتقرير، 47٪ من المستجيبين حددوا الفرق المنفصلة وملكية غير واضحة كأكبر عائق لتحسين أمن سلسلة التوريد البرمجية.

هذا يؤدي إلى بيئة حيث قد تعتقد المنظمات أن لديها برامج أمنية قوية بينما تظل الفجوات الحاسمة في الرؤية والمساءلة والتنسيق التشغيلي.

مفارقة بيان المواد البرمجية: تم إنشاؤه ولكن نادرًا ما يتم استخدامه

ملاحظة أخرى importante من الدراسة تتعلق ببيانات المواد البرمجية – وهي قوائم مكونات البرمجية المصممة لمساعدة المنظمات على تتبع الاعتماديات والثغرات الأمنية.

توسعت اعتماد بيان المواد البرمجية بشكل كبير في السنوات الأخيرة، و特别 بسبب الضغط التنظيمي والهجمات على سلسلة التوريد. ومع ذلك، يشير بحث مانيفست إلى أن العديد من المنظمات تعاملت مع إنشاء بيان المواد البرمجية ك مربع للامتثال بدلاً من القدرة التشغيلية.

يشير التقرير إلى إحصائيات رئيسية:

• 60٪ من المنظمات تنتج بيانات المواد البرمجية
• أكثر من نصفهم لا يديرونها أو يستخدمونها في الممارسة الفعلية
• 79.6٪ يستخدمون أدوات تحليل التركيبة البرمجية
• استخدام بيانات المواد البرمجية التشغيلي يبقى أقل بكثير عند 41.8٪

بدون استقبال مركزي وتعريف وتنفيذ سياسات ومراقبة مستمرة، تصبح بيانات المواد البرمجية وثائق ساكنة بدلاً من أدوات إدارة المخاطر النشطة.

كما يعبر فريق الأمن عن شكوكه بشأن منصات تحليل التركيبة البرمجية التقليدية. 56.3٪ من المستجيبين يقولون إن أدوات تحليل التركيبة البرمجية تُحدث ضجيجًا أو تعطل فرق التطوير، في حين 46.4٪ يشككون في أن هذه الأدوات تقلل بشكل فعلي من مخاطر البرمجيات في العالم الحقيقي.

تظهر هذه الفجوة تحدي نضج أوسع: يمكن للمنظمات إنشاء كميات كبيرة من البيانات الأمنية، لكنها غالبًا ما تفتقر إلى البنية التحتية التشغيلية لترجمة هذه الإشارات إلى خفض مخاطر فعلي.

بيانات الشفافية تحسن الأمن وسرعة التطوير

على الرغم من هذه التحديات، يظهر البحث أن المنظمات التي تحقق شفافية معنوية عبر سلسلة التوريد البرمجية تكتسب فوائد قابلة للقياس.

يقرب من نصف المستجيبين (49.4٪) يتلقون بيانات شفافية قابلة للتحقق – مثل بيانات المواد البرمجية أو سجلات الأصول أو ثنائيات موقعة – من البائعين خلال الشراء.

عندما تكون هذه المعلومات موثوقة وعملياتية، يكون التأثير كبيرًا:

• 64٪ يبلغون عن تنفيذ أسرع للتكنولوجيا الجديدة
• 61.6٪ يبلغون عن حل أسرع لمشاكل الأمن
• 15.5٪ يبلغون عن انخفاض في وقت التعطل

المنظمات التي تفتقر إلى这种 الشفافية تدفع ما يصفه التقرير بـ “ضريبة الشفافية” – الوقت الإضافي والتكلفة والمخاطر المرتبطة بالتحقيق اليدوي في مكونات البرمجيات غير الشفافة.

تظهر القطاعات الخاضعة للتنظيم هذه التحديات. تقارير الخدمات المالية والرعاية الصحية بعضًا من أدنى معدلات استلام بيانات شفافية قابلة للتحقق من البائعين – 14.3٪ و 19.5٪ على التوالي – على الرغم من الحاجة إليها أكثر من غيرهم.

يتسارع تبني الذكاء الاصطناعي عبر المؤسسات

كما يسلط التقرير الضوء على مدى سرعة اندماج الذكاء الاصطناعي في أنظمة البرمجيات للمؤسسات.

لم تبلغ أي من المنظمات التي شملها الاستطلاع عن تجنب الذكاء الاصطناعي بالكامل. بدلاً من ذلك، تجرب الشركات عبر مجموعة من النهج:

• 80.2٪ يستخدمون نماذج الذكاء الاصطناعي التجارية المعتمدة داخليًا
• 79.9٪ يستخدمون أدوات تجارية مثل ChatGPT أو Cursor على نطاق واسع
• 56.7٪ يدرّبون نماذج الوزن المفتوح على بيانات داخلية
• 29.3٪ يبنيون نماذج الذكاء الاصطناعي المخصصة من الصفر

الخدمات المالية وشركات التكنولوجيا تتصدر في التبني. تقريبًا 90٪ من منظمات الخدمات المالية تبلغ عن نماذج الذكاء الاصطناعي المعتمدة داخليًا، و 46.9٪ يبنيون نماذج مخصصة من الصفر، وهو أعلى بكثير من المعدل العام.

تملك هذه القطاعات حوافز قوية للحركة السريعة. في الخدمات المالية، يؤثر الذكاء الاصطناعي مباشرة على الكشف عن الاحتيال وإدارة المخاطر وتوليد الإيرادات. في شركات التكنولوجيا، ي ngồi الذكاء الاصطناعي بشكل متزايد في قلب العروض والقدرات المنصوبة.

然而، غالبًا ما يتجاوز وتيرة التبني الحوكمة.

يصبح الذكاء الاصطناعي الخفي مشكلة واسعة الانتشار

يؤكد البحث على أن الذكاء الاصطناعي الخفي – الأدوات أو النماذج التي تم نشرها بدون إشراف رسمي – أصبح بالفعل مشكلة واسعة الانتشار.

يبلغ فقط 34.8٪ من المستجيبين عن عدم وجود ذكاء اصطناعي خفي في منظماتهم، في حين يعترف الباقي بوجود استخدام غير مُدار للذكاء الاصطناعي على الأقل.

يتكرر هذا النمط مع موجات سابقة من “البرمجيات الخفية”، حيث يعتمد الموظفون خدمات السحابة أو أدوات البرمجيات كخدمة خارج العمليات الشرائية الرسمية.

تظهر أيضًا اختلافات إقليمية. تقارير المنظمات في منطقة آسيا وأوروبا والشرق الأوسط وأفريقيا عن معدلات أعلى للعمل بدون ذكاء اصطناعي خفي (45.7٪)، على الأرجح بسبب الإطارات التنظيمية الأقوى والعمليات الشرائية الأكثر صرامة مقارنة بمناطق أخرى.

مع ذلك، يحذر التقرير من أن الأدوات الأمنية التقليدية لم تكن مصممة أبدًا لتتبع نماذج الذكاء الاصطناعي ومجموعات البيانات وخدماتها عبر بيئات التطوير الموزعة.

مخاطر الترخيص والقانونية هي نقطة عمياء أخرى كبيرة

علاوة على تحديات الحوكمة الفنية، يسلط التقرير الضوء أيضًا على التحديات القانونية والامتثال المرتبطة بتبني الذكاء الاصطناعي.

يظل فهم شروط الترخيص و حقوق الملكية الفكرية وقيود الاستخدام لنماذج الذكاء الاصطناعي ومجموعات البيانات صعبًا بالنسبة للعديد من المنظمات. وجد الاستطلاع:

• 93٪ من المستجيبين يقولون إن منظمتهم تحتاج إلى تحسين في إدارة تراخيص الذكاء الاصطناعي و义务ات الملكية الفكرية
• 54.6٪ يتفقون بقوة على أن هذا يظل تحديًا كبيرًا

تكون هذه المخاطر حادة بشكل خاص عندما تدرّب المنظمات نماذج الوزن المفتوح على بيانات داخلية أو تجمع بين مجموعات البيانات المملوكة مع مكونات الذكاء الاصطناعي الثالثة.

بدون إطارات حوكمة أقوى، قد تعرض الشركات مخالفات ترخيص أو تعرضًا للامتثال إلى الأنظمة في الأنظمة الإنتاجية.

قد تكون المحاذاة التشغيلية التحدي الحقيقي

في حين يستمر تطور أدوات الأمن، يشير التقرير إلى أن أكبر عائق أمام أمن سلسلة التوريد البرمجية الفعال للذكاء الاصطناعي قد لا يكون التكنولوجيا نفسها.

بدلاً من ذلك، ت투اجه العديد من المنظمات مع قيود هيكلية وعمليات منفصلة وغياب نظام سجل مشترك للمكونات البرمجية والذكاء الاصطناعي.

تتضمن القيود الأكثر ذكرًا:

• 47.3٪ قيود هيكلية
• 36.3٪ مهارات غير كافية
• 35.7٪ قيود ميزانية
• 34.8٪ نقص في فهم الإدارة
• 32.6٪ نقص في التموين

تجعل هذه الفجوات التشغيلية من الصعب على إشارات الأمن أن تترجم إلى تنفيذ سياسات متسق أو خفض مخاطر قابل للقياس.

لماذا يصبح أمن سلسلة التوريد للذكاء الاصطناعي أولوية استراتيجية

随ما يصبح الذكاء الاصطناعي متأصلًا في كل слой من طبقات البرمجيات للمؤسسة، يتوسع مفهوم سلسلة التوريد البرمجية ليشمل النماذج وبيانات التدريب وخدمات الاستدلال والمنصات الثالثة للذكاء الاصطناعي.

يخلص تقرير مانيفست إلى أن المنظمات يجب أن تتجاوز أدوات الرؤية في الوقت الفعلي وتبني مراقبة تشغيلية مستمرة لسلسلة التوريد للذكاء الاصطناعي.

هذا يشمل:

• تتبع جميع نماذج الذكاء الاصطناعي المستخدمة عبر بيئات التطوير
• التحقق من أصل وترخيص بيانات التدريب
• تنفيذ سياسات الحوكمة خلال التطوير والتنفيذ
• الحفاظ على مخازن مستمرة مشابهة لبيانات المواد البرمجية للمكونات الذكاء الاصطناعي

بدون هذه الآليات، ستستمر الفجوة بين تبني الذكاء الاصطناعي وحوكمة الذكاء الاصطناعي في التوسع.

وكما يظهر الدراسة، هذه الفجوة موجودة بالفعل داخل العديد من المؤسسات اليوم.