تقرير مаниفست يكشف عن فجوة في استعدادات الأمن الإلكتروني للذكاء الاصطناعي حيث يصارع فرق الأمن مع مشاكل الرؤية والحوكمة

يُظهر تقرير جديد من مаниفست، “ما وراء الصندوق الأسود: كيف يُجبر الذكاء الاصطناعي على إعادة التفكير في سلسلة التوريد البرمجية”، وجود فجوة متزايدة بين ثقة التنفيذيين والواقع التشغيلي عندما يتعلق الأمر باستعدادات أمن الذكاء الاصطناعي. ويعتمد التقرير على استطلاع أجرى على أكثر من 300 قائد أمن وممارس في الولايات المتحدة وشرق أوروبا والشرق الأوسط وإفريقيا، ويجد أن معظم التنفيذيين يعتقدون أن منظماتهم مستعدة لمخاطر سلسلة التوريد التي ي驱ها الذكاء الاصطناعي، في حين تقارير فرق الأمن على الأرض بفجوات حوكمة كبيرة واستخدام خفي للذكاء الاصطناعي و محدودية الرؤية في المكونات التي تعمل بالبرامج الحديثة.

تُبرز النتائج توترًا مركزيًا ي出现 في تكنولوجيا المؤسسات: التبني السريع للذكاء الاصطناعي عبر المنتجات والعمليات، ولكن الآليات المطلوبة لتتبع وحوكمة وأمن هذه الأنظمة لا تتوافق مع ذلك.

الذكاء الاصطناعي يعيد خلق مشاكل أمن سلسلة التوريد في أشكال جديدة

لأكثر من عقد من الزمن، عملت المنظمات على تحسين أمن سلسلة توريد البرمجيات من خلال تتبع الاعتماديات ومراقبة الثغرات الأمنية وتأسيس إطارات الحوكمة. ومع ذلك، يُجادل تقرير مانيفست بأن الذكاء الاصطناعي يُعادة فعليًا العديد من نفس المخاطر – الآن موزعة عبر النماذج والبيانات والوكلاء وخدمات الذكاء الاصطناعي الثالثة.

تُعمل مكونات الذكاء الاصطناعي غالبًا كأنظمة غير شفافة. غالبًا ما لا تستطيع المؤسسات تفسير كيف تم تدريب النماذج أو ما البيانات المستخدمة أو أي خدمات خارجية مضمنة في تطبيقاتها. ونتيجة لذلك، تواجه المنظمات فئة جديدة من مخاطر سلسلة التوريد: أنظمة برمجية لا يمكن فحصها أو التحقق منها أو مراقبتها بطرق موثوقة مع مرور الوقت.

يشدد التقرير على أن الرؤية تتراجع بالفعل. 63٪ من المنظمات تُبلغ عن وجود “ذكاء خفي”، في إشارة إلى أدوات أو تطبيقات الذكاء الاصطناعي التي تم تبنيها دون إشراف من فرق الأمن أو الشراء أو إدارة المخاطر.

قال دانيال باردنشتاين، الرئيس التنفيذي والمؤسس المشارك لشركة مانيفست، إن البيانات تُظهر فجوة متزايدة بين تصور التنفيذيين والواقع التشغيلي: “ثقة التنفيذيين في استعدادات أمن الذكاء الاصطناعي لا تتوافق مع ما تعاملت فرق أمن التطبيقات معه يومًا بعد يوم. يعتقد القادة أن الحوكمة موجودة، لكن الممارسين يرون استخدامًا غير مُدار للذكاء الاصطناعي وملكية غير واضحة وثغرات في ما يتم تشغيله فعليًا عبر المنتجات والبائعين.”

التنفيذيين يقولون إنهم مستعدون، وفرق الأمن تختلف

واحدة من أكثر النتائج إثارة في التقرير هي الانحراف بين ثقة القيادة وتقييمات أمن التطبيقات في الخط الأمامي.

يقول ما يقرب من 80٪ من مسؤولي الأمن إن منظماتهم تتمتع بممارسات أمنية ناضجة للذكاء الاصطناعي، في حين يُ同意 مع هذا التقييم حوالي 40٪ فقط من فرق أمن التطبيقات.

تُعد فرق أمن التطبيقات غالبًا أول من يتعامل مع فشل تشغيلي في إطارات الحوكمة لأنها تتفاعل مباشرة مع سلسلة توريد البرمجيات. وتُبلغ هؤلاء الممارسون عن مواجهة كميات كبيرة من التنبيهات وملكية غير واضحة للمسؤوليات الأمنية وأدوات متجزئة عبر بيئات التطوير والأمن.

وفقًا للتقرير، 47٪ من المستجيبين حددوا الفرق المُجزأة وملكية غير واضحة كأكبر عائق لتحسين أمن سلسلة توريد البرمجيات.

النتيجة هي بيئة حيث قد تعتقد المنظمات أن لديها برامج أمنية قوية بينما تظل الفجوات الحاسمة في الرؤية والمسؤولية والتنسيق التشغيلي.

مفارقة بيان المواد البرمجية: تم إنشاؤه ولكن نادرًا ما يتم استخدامه

تُظهر دراسة أخرى رئيسية من الدراسة تتعلق ب بيان المواد البرمجية – قوائم مكونات البرمجية المصممة لمساعدة المنظمات على تتبع الاعتماديات والثغرات الأمنية.

لقد توسعت تبني بيان المواد البرمجية بشكل كبير في السنوات الأخيرة، خاصة بسبب الضغط التنظيمي والهجمات على سلسلة التوريد. ومع ذلك، يُشير بحث مانيفست إلى أن العديد من المنظمات تعاملت مع إنشاء بيان المواد البرمجية ك مربع شيك للتطابق مع متطلبات اللوائح بدلاً من القدرة التشغيلية.

يُبرز التقرير عدة إحصائيات رئيسية:

• 60٪ من المنظمات تُنشئ بيان المواد البرمجية
• أكثر من نصفهم لا يُديرونها أو يستهلكونها في الممارسة الفعلية
• 79.6٪ يستخدمون أدوات تحليل التركيبة البرمجية
• استخدام بيان المواد البرمجية التشغيلي يبقى أقل بكثير عند 41.8٪

بدون استلام مركزي وتعديل وتنفيذ سياسات ومراقبة مستمرة، يُصبح بيان المواد البرمجية وثائق ساكنة بدلاً من أدوات إدارة المخاطر الفعّالة.

تُعبّر فرق الأمن أيضًا عن شكوكها تجاه منصات تحليل التركيبة البرمجية التقليدية. 56.3٪ من المستجيبين يقولون إن أدوات تحليل التركيبة البرمجية تُحدث ضوضاء أو تُبطئ فرق التطوير، في حين 46.4٪ يشككون في أن هذه الأدوات تُقلل بشكل فعّال من مخاطر البرمجيات في العالم الحقيقي.

تُظهر هذه الفجوة تحدي نضج أوسع: يمكن للمنظمات إنشاء كميات كبيرة من بيانات الأمن، لكنها غالبًا ما تفتقر إلى البنية التحتية التشغيلية لترجمة هذه الإشارات إلى خفض مخاطر فعّال.

بيانات الشفافية تحسن الأمن وسرعة النشر

على الرغم من هذه التحديات، يُظهر البحث أن المنظمات التي تحقق شفافية معنوية عبر سلسلة توريد البرمجيات تكتسب فوائد قابلة للقياس.

يقول ما يقرب من نصف المستجيبين (49.4٪) إنهم يتلقون بيانات شفافية قابلة للتحقق – مثل بيان المواد البرمجية أو سجلات الأصل أو ثنائيات موقعة – من البائعين خلال الشراء.

عندما تكون هذه المعلومات موثوقة وعملياتية، يكون التأثير كبيرًا:

• 64٪ يُبلغون عن تنفيذ أسرع للتكنولوجيا الجديدة
• 61.6٪ يُبلغون عن حل أسرع لمشاكل الأمن
• 15.5٪ يُبلغون عن وقت انقطاع مخفض

المنظمات التي تفتقر إلى هذه الشفافية تدفع ما يُصفه التقرير بـ “ضريبة الشفافية” – الوقت الإضافي والتكلفة والمخاطر المرتبطة بالتحقيق اليدوي في مكونات البرمجيات الغامضة.

تُظهر الصناعات الخاضعة للتنظيم هذا التحدي. المنظمات المالية والرعاية الصحية تُبلغ عن أحد أقل معدلات استلام بيانات شفافية قابلة للتحقق من البائعين – 14.3٪ و 19.5٪ على التوالي – على الرغم من وجود أكبر حاجة لها.

تبني الذكاء الاصطناعي يتسارع عبر المؤسسات

يُبرز الدراسة أيضًا كيف سريعًا أصبح الذكاء الاصطناعي متأصلًا في نظام برمجي مؤسسي.

تقريبًا لا توجد منظمات تم استطلاعها تُبلغ عن تجنب الذكاء الاصطناعي تمامًا. بدلاً من ذلك، تُجرب الشركات عبر مجموعة من النهج:

• 80.2٪ يستخدمون نماذج الذكاء الاصطناعي التجارية المعتمدة داخليًا
• 79.9٪ يستخدمون أدوات تجارية على نطاق واسع مثل ChatGPT أو Cursor
• 56.7٪ يُدرّبون نماذج مفتوحة الوزن على بيانات داخلية
• 29.3٪ يُنشئون نماذج الذكاء الاصطناعي المخصصة من الصفر

الشركات المالية والتقنية تُؤدي دورًا رائدًا في التبني. تقريبًا 90٪ من منظمات الخدمات المالية تُبلغ عن نماذج الذكاء الاصطناعي المعتمدة داخليًا، و 46.9٪ يُنشئون نماذج مخصصة من الصفر، وهو أعلى من المعدل العام.

تملك هذه القطاعات حوافز قوية للحركة السريعة. في الخدمات المالية، يؤثر الذكاء الاصطناعي مباشرة على الكشف عن الاحتيال وإدارة المخاطر وتوليد الإيرادات. في الشركات التقنية، يُصبح الذكاء الاصطناعي بشكل متزايد في قلب عروض المنتجات وقدرات المنصات.

ومع ذلك، فإن وتيرة التبني غالبًا ما تتجاوز الحوكمة.

الذكاء الخفي يُصبح مشكلة منتشرة

يُؤكد البحث على أن الذكاء الخفي – أدوات أو نماذج تم نشرها دون إشراف رسمي -已经 موجودة على نطاق واسع.

يُبلغ فقط 34.8٪ من المستجيبين عن عدم وجود ذكاء خفي في منظمتهم، في حين يعترف الباقي بوجود بعض استخدام غير مُدار للذكاء الاصطناعي.

يتوافق هذا النمط مع موجات سابقة من “التكنولوجيا الخفية”، حيث يتبنى الموظفون خدمات السحابة أو تطبيقات السحابة خارج العمليات الرسمية للاستحواذ.

تظهر أيضًا اختلافات إقليمية. المنظمات في شرق أوروبا والشرق الأوسط وإفريقيا تُبلغ عن معدلات أعلى من العمل بدون ذكاء خفي (45.7٪)، على الأرجح بسبب الإطارات التنظيمية الأقوى والعمليات الرسمية للاستحواذ مقارنة بالمناطق الأخرى.

ومع ذلك، يحذر التقرير من أن الأدوات الأمنية التقليدية لم تُصمم أبدًا لتتبع نماذج الذكاء الاصطناعي والبيانات والخدمات عبر بيئات التطوير الموزعة.

المخاطر القانونية والمخاطر هي فجوة أخرى كبيرة

علاوة على التحديات الفنية للحوكمة، يُبرز الدراسة أيضًا التحديات القانونية والامتثال المرتبطة بالتبني الذكاء الاصطناعي.

يظل فهم شروط الترخيص و حقوق الملكية الفكرية وقيود الاستخدام لنماذج الذكاء الاصطناعي والبيانات صعبًا بالنسبة للعديد من المنظمات. ووجد الاستطلاع:

• 93٪ من المستجيبين يقولون إن منظمتهم تحتاج إلى تحسين إدارة تراخيص الذكاء الاصطناعي و义务 الملكية الفكرية
• 54.6٪ يُ同意 بقوة مع أن هذا يبقى تحديًا كبيرًا

تُصبح هذه المخاطر حادة بشكل خاص عندما تُدرّب المنظمات نماذج مفتوحة الوزن على بيانات داخلية أو تُ 结ب مجموعات بيانات مملوكة مع مكونات الذكاء الاصطناعي الثالثة.

بدون إطارات حوكمة أقوى، قد تُدخل الشركات عن غير قصد انتهاكات الترخيص أو التعرض للامتثال إلى الأنظمة الإنتاجية.

التنسيق التشغيلي قد يكون التحدي الحقيقي

في حين يستمر تطور أدوات الأمن، يُشير التقرير إلى أن أكبر عائق لتحقيق أمن سلسلة توريد الذكاء الاصطناعي قد لا يكون التكنولوجيا نفسها.

بدلاً من ذلك، تُصارع العديد من المنظمات مع ملكية متجزئة وعمليات غير متصلة وغياب نظام سجل مشترك للمكونات البرمجية والذكاء الاصطناعي.

تُشكل القيود الأكثر شيوعًا ما يلي:

• 47.3٪ قيود تنظيمية
• 36.3٪ مهارات غير كافية
• 35.7٪ قيود ميزانية
• 34.8٪ نقص في فهم الإدارة
• 32.6٪ نقص في الموظفين

تجعل هذه الفجوات التشغيلية من الصعب على إشارات الأمن أن تُترجم إلى تنفيذ سياسات متسق أو خفض مخاطر قابل للقياس.

لماذا يُصبح أمن سلسلة توريد الذكاء الاصطناعي أولوية استراتيجية

随着 أصبح الذكاء الاصطناعي متأصلًا في كل层 من طبقات البرمجيات المؤسسية، يُوسع مفهوم سلسلة توريد البرمجيات ليشمل النماذج وبيانات التدريب وخدمات الاستدلال و منصات الذكاء الاصطناعي الثالثة.

يُخلص تقرير مانيفست إلى أن المنظمات يجب أن تتجاوز أدوات الرؤية في الوقت الفعلي وبناء سيطرة تشغيلية مستمرة على سلسلة توريد الذكاء الاصطناعي.

هذا يشمل:

• تتبع جميع نماذج الذكاء الاصطناعي المستخدمة عبر بيئات التطوير
• التحقق من أصل بيانات التدريب وترخيصها
• تنفيذ سياسات الحوكمة خلال التطوير والتنفيذ
• الحفاظ على مخازن مستمرة مشابهة لبيان المواد البرمجية لمكونات الذكاء الاصطناعي

بدون هذه الآليات، ستستمر الفجوة بين تبني الذكاء الاصطناعي وحوكمة الذكاء الاصطناعي في التوسع.

وكما يُظهر الدراسة بوضوح، هذه الفجوة موجودة بالفعل داخل العديد من المؤسسات اليوم.