Το κίνδυνο του AI που κανείς δεν παρακολουθεί: Εκθέσεις μυστικών σε επιχειρηματικές ροές εργασίας

Οι περισσότερες συζητήσεις για κινδύνους επιχειρηματικού AI ξεκινούν με μια οικεία ανησυχία: οι εργαζόμενοι που επικολλάνε δεδομένα πελατών σε chatbots. Η ιδιωτικότητα και η εκθεση των δεδομένων κυριαρχούν στα Nachrichten και τις ενημερώσεις του διοικητικού συμβουλίου, και έρευνα από Deloitte δείχνει ότι η ιδιωτικότητα και η ασφάλεια των δεδομένων κατατάσσονται μεταξύ των κορυφαίων κινδύνων που ανησυχούν οι οργανισμοί.

Ωστόσο, τα δεδομένα που προέρχονται από την πραγματική χρήση επιχειρηματικών εφαρμογών AI告诉 μια διαφορετική ιστορία. Τα πιο συχνά ευαίσθητα πληροφορίες που ρέουν σε εργαλεία AI δεν είναι προσωπικά δεδομένα. Είναι μυστικά και διαπιστευτήρια.

Οι κλειδιά API, τα tokens πρόσβασης, οι webhooks και τα αρτεφάκτα αυθεντικοποίησης αντιπροσωπεύουν τώρα το μεγαλύτερο μερίδιο των εκθέσεων ευαίσθητων δεδομένων που παρατηρούνται σε προτροπές AI. Αυτές οι αποκαλύψεις σπάνια προέρχονται από αμέλεια ή κακόβουλη πρόθεση και αντίθετα προκύπτουν από καθημερινές εργασίες όπως η αντιμετώπιση ενός αποτυχημένου ολοκλήρωματος, η αντιμετώπιση προβλημάτων αυτοματοποίησης, η δοκιμή κώδικα ή η επίλυση ενός προβλήματος πελάτη. Όσο το AI ενσωματώνεται στις καθημερινές ροές εργασίας, αυτές οι στιγμές συμβαίνουν συνεχώς και συχνά εκτός της ορατότητας των παραδοσιακών ελέγχων ασφαλείας.

Οι συνέπειες είναι σαφείς. Όσο η υιοθέτηση του AI επεκτείνεται, οι οργανισμοί αποκτούν μια πιο ακριβή εικόνα για το πού εμφανίζονται οι πραγματικοί κίνδυνοι και η διακυβέρνηση πρέπει να εξελιχθεί για να τους αντιμετωπίσει.

Ένας παραμελημένος κίνδυνος εκθέσεων δεδομένων AI κρύβεται σε πλήρη θέα

Μια πρόσφατη ανάλυση χρήσης AI που διεξήχθη από την Nudge Security εξέτασε ανώνυμη τηλεμετρία σε περιβάλλοντα επιχειρήσεων για να κατανοήσει πώς τα εργαλεία AI χρησιμοποιούνται στην πραγματικότητα στην εργασία. Αντί να βασίζεται σε έρευνες ή αυτο-αναφορές, η έρευνα ανάλυσε την观察μένη δραστηριότητα AI, τις ολοκλήρωσεις και τη συμπεριφορά των προτροπών σε επιχειρηματικά οικοσυστήματα SaaS.

Τα ευρήματα παρέχουν νέα έμπνευση για το πού ο κίνδυνος AI εμφανίζεται στην πραγματικότητα στην επιχειρηματική χρήση. Οι εκθέσεις ευαίσθητων δεδομένων σε προτροπές AI κυριαρχούνται από διαπιστευτήρια λειτουργίας. Τα μυστικά και τα διαπιστευτήρια αντιπροσωπεύουν περίπου το 48% των ανιχνευμένων ευαίσθητων δεδομένων, σε σύγκριση με το 36% για οικονομικά δεδομένα και το 16% για υγεία-σχετικά δεδομένα. Αυτά τα πρότυπα υποδηλώνουν ότι η πιο σημαντική πρόκληση εκθέσεων δεδομένων AI δεν είναι η διαρροή ιδιωτικότητας, αλλά η διασπορά μυστικών.

Η ίδια έρευνα δείχνει ότι η υιοθέτηση του AI έχει μεταβεί πέρα από την πειραματική φάση. Τα εργαλεία AI ενσωματώνονται σε ροές εργασίας, ολοκληρώνονται με βασικές επιχειρηματικές πλατφόρμες και γίνονται όλο και πιο ικανά να λαμβάνουν αυτόνομες αποφάσεις. Οι βασικοί παρόχοι μεγάλων μοντέλων γλώσσας είναι τώρα σχεδόν πανταχού παρόντες, με το OpenAI παρόν σε το 96% των οργανισμών και το Anthropic στο 78%.

Έρευνα από McKinsey βρίσκει ότι το 88% των οργανισμών αναφέρει τακτική χρήση του AI σε τουλάχιστον μια επιχειρηματική λειτουργία, σε σύγκριση με το 78% τον προηγούμενο χρόνο. Τα εργαλεία νοημοσύνης συνεδριάσεων, τα πλαίσια κωδικοποίησης AI, τα γεννήτορες παρουσιάσεων και οι τεχνολογίες φωνής είναι ευρέως διαθέσιμα, αντανακλώντας το πώς το AI έχει επεκταθεί από τις διεπαφές chat στις καθημερινές ροές εργασίας. Αυτή η επέκταση έχει σημασία επειδή ο κίνδυνος ακολουθεί τη χρήση. Όσο το AI ενσωματώνεται σε περιβάλλοντα προγραμματιστών, πλατφόρμες συνεργασίας και ροές εργασίας υποστήριξης πελατών, αποκτά εγγύτητα σε ευαίσθητα συστήματα και λειτουργικά δεδομένα.

Η υιοθέτηση έχει επίσης οδηγηθεί από τα κάτω lên. Μια πρόσφατη μελέτη της KPMG βρήκε ότι το 44% των εργαζομένων χρησιμοποιούν εργαλεία AI με τρόπους που οι εργοδότες τους δεν έχουν εξουσιοδοτήσει, αντανακλώντας το πώς γρήγορα αυτά τα εργαλεία εισέρχονται στις καθημερινές ροές εργασίας. Οι εργαζόμενοι εγκαθιστάνε επεκτάσεις προγράμματος περιήγησης, συνδέουν βοηθούς και πειραματίζονται με ολοκλήρωσεις για να επιταχύνουν τις καθημερινές εργασίες, συχνά εκτός κεντρικών διαδικασιών προμήθειας. Οι αναλυτές ασφαλείας περιγράφουν αυτό το πρότυπο ως σκιώδες AI, στο οποίο τα εργαλεία λειτουργούν μέσα σε προγράμματα περιήγησης και ροές εργασίας SaaS πέρα από την παραδοσιακή ορατότητα του IT. Επειδή αυτά τα εργαλεία μπορούν να αναπτυχθούν άμεσα και απαιτούν λίγη τεχνική εγκατάσταση, τα προγράμματα διακυβέρνησης που βασίζονται σε διαδικασίες έγκρισης προμηθευτών και πολιτικές αποδεκτής χρήσης αγωνίζονται να跟παθούν το πώς το AI εισάγεται και χρησιμοποιείται στην επιχείρηση.

Γιατί οι διαρροές μυστικών μπορούν να δημιουργήσουν άμεσο επιχειρηματικό κίνδυνο

Τα προσωπικά δεδομένα παραμένουν ευαίσθητα και ρυθμιζόμενα, αλλά τα μυστικά φέρουν άμεσο επιχειρηματικό αντίκτυπο. Μια διαρροή κλειδιού API μπορεί να παρέχει πρόσβαση σε παραγωγικά συστήματα. Ένα συμβατικό token μπορεί να εκθέσει αποθήκες. Μια διεύθυνση URL webhook μπορεί να ενεργοποιήσει μη εξουσιοδοτημένη αυτοματοποίηση. Τα διαπιστευτήρια εμφανίζονται συχνά σε προτροπές AI κατά τη διάρκεια καθημερινών ροών εργασίας. Οι προγραμματιστές επικολλάν tokens σε διεπαφές chat ενώ αντιμετωπίζουν αποτυχίες αυθεντικοποίησης, οι μηχανικοί μπορεί να μοιράζονται αποσπάσματα διαμόρφωσης για να διαγνώσουν προβλήματα ολοκλήρωσης. Αυτές οι ενέργειες δεν είναι ασυνήθιστες. Τα μυστικά είναι ενσωματωμένα σε τεχνικές ροές εργασίας και εμφανίζονται σε αρχείο καταγραφής, σενάρια, αρχεία διαμόρφωσης και εξόδους αυτοματοποίησης. Όταν οι ομάδες είναι υπό πίεση για να επιλύσουν προβλήματα γρήγορα, μπορεί να μοιράζονται αυτά τα артефάκτα χωρίς να σταματήσουν να σκέφτονται τι ευαίσθητα δεδομένα περιέχουν.

Οι διεπαφές AI ενισχύουν αυτή τη συμπεριφορά. Οι προτροπές ενθαρρύνουν την κοινή χρήση контекστού. Οι ανεβάσεις αρχείων υποστηρίζουν πλουσιότερη αντιμετώπιση προβλημάτων. Οι ολοκληρωμένες ροές εργασίας κάνουν εύκολη την μετακίνηση δεδομένων μεταξύ συστημάτων. Η έρευνα της Nudge Security βρήκε ότι το 17% των προτροπών περιλαμβάνει αντίγραφο και επικόλληση δραστηριότητας ή ανεβάσεις αρχείων. Σε αυτό το περιβάλλον, τα ευαίσθητα διαπιστευτήρια μπορούν να εκτεθούν σε δευτερόλεπτα.

Η παραδοσιακή διακυβέρνηση παραλείπει τον κίνδυνο συμπεριφοράς

Τα προγράμματα διακυβέρνησης AI συχνά επικεντρώνονται σε формάλεις ελέγχους όπως πολιτικές και εγκεκριμένα εργαλεία. Αυτή η προσέγγιση υποθέτει ότι ο κίνδυνος προέρχεται από κακή χρήση ή συμπεριφορά μοντέλου. Στην πράξη, οι πιο σημαντικές εκθέσεις συμβαίνουν κατά τη διάρκεια καθημερινών ροών εργασίας που thựcθούν από καλοπροαίρετους εργαζόμενους.

Το τοπίο του AI εξελίσσεται γρήγορα, με νέες τεχνολογίες που κυκλοφορούν καθημερινά. Όσο οι εργαζόμενοί σας φτάνουν στο τελευταίο εργαλείο, μπορούν να παρακάμψουν την παραδοσιακή προσέγγιση των ελέγχων δικτύου επειδή απλά δεν μπορούν να跟παθούν. Ο πρόγραμμα περιήγησης επιτρέπει την άμεση παρατήρηση της συμπεριφοράς контекστού, η οποία παρέχει την ευελιξία που χρειάζεται για να跟πατήσει το συνεχώς εξελισσόμενο τοπίο της σύγχρονης εργασίας.

Αυτή η αποσύνδεση εξηγεί γιατί οι οργανισμοί μπορούν να εφαρμόσουν ισχυρές πολιτικές και να εξακολουθούν να βιώσουν εκθέσεις ευαίσθητων δεδομένων. Οι πολιτικές καθορίζουν προσδοκίες. Η συμπεριφορά καθορίζει τα αποτελέσματα. Η αποτελεσματική διακυβέρνηση απαιτεί ορατότητα σε το πώς τα εργαλεία AI χρησιμοποιούνται στην πραγματικότητα και φράγματα που οδηγούν σε ασφαλέστερες αποφάσεις στο σημείο που μοιράζονται τα δεδομένα.

Οι ολοκλήρωσεις και οι πράκτορες επεκτείνουν το εύρος εκθέσεων

Το προφίλ κινδύνου ενός εργαλείου AI διαμορφώνεται από το τι μπορεί να προσεγγίσει. Οι ολοκλήρωσεις δημιουργούν αξιόπιστες διαδρομές μεταξύ συστημάτων. Οι χορηγίες OAuth, τα tokens API και οι λογαριασμοί υπηρεσιών επιτρέπουν στα εργαλεία AI να ανακτήσουν έγγραφα, να ενημερώσουν tickets ή να αλληλεπιδράσουν με αποθήκες κώδικα. Η έρευνα για την υιοθέτηση του AI σε επιχειρήσεις υπογραμμίζει ότι οι ολοκλήρωσεις ορίζουν στην πραγματικότητα το εύρος εκθέσεων. Μια λανθασμένα ρυθμισμένη άδεια ή ένα συμβατικό token που έχει διαρρεύσει μπορεί να εκθέσει ολόκληρες αποθήκες εγγράφων ή περιβάλλοντα ανάπτυξης επειδή οι αξιόπιστες συνδέσεις επιτρέπουν την κίνηση δεδομένων με ταχύτητα μηχανής.

Οι πράκτορες AI εισάγουν επιπλέον复雑ότητα. Οι πρώιμες αναπτύξεις συχνά προτεραιοποιούν τη λειτουργικότητα έναντι του ελάχιστου προνομίου. Οι άδειες που χορηγούνται κατά τη διάρκεια της πειραματικής φάσης μπορεί να παραμείνουν ακόμη και μετά την εξέλιξη των αρχικών περιπτώσεων χρήσης. Με τον καιρό, αυτές οι συσσωρευμένες άδειες δημιουργούν σιωπηρό κίνδυνο. Οι ομάδες ασφαλείας πρέπει να αντιμετωπίσουν τις ολοκλήρωσεις και τις άδειες πρακτόρων ως ανθεκτικές αποφάσεις πρόσβασης και όχι προσωρινές συνειδητοποιήσεις.

Τι πρέπει να κάνουν τώρα οι ομάδες ασφαλείας

Η μείωση της έκθεσης μυστικών σε ροές εργασίας AI απαιτεί μια αλλαγή από αντιδραστικούς ελέγχους σε διακυβέρνηση που αντικατοπτρίζει το πώς πραγματικά συμβαίνει η εργασία. Οι ηγέτες ασφαλείας μπορούν να ξεκινήσουν με πρακτικά βήματα που βελτιώνουν την ορατότητα, οδηγούν σε ασφαλέστερη συμπεριφορά και μειώνουν την έκθεση χωρίς να επιβραδύνουν την παραγωγικότητα:

• Χαρτογραφήστε το πού συμβαίνουν οι αλληλεπιδράσεις AI.
  Γνωρίστε τα περιβάλλοντα όπου τα δεδομένα εισέρχονται στα εργαλεία AI, συμπεριλαμβανομένων των επεκτάσεων προγράμματος περιήγησης, των περιβαλλόντων προγραμματιστών, των πλατφορμών αυτοματοποίησης και των διεπαφών chat. Η συνεχής ορατότητα σε αυτά τα σημεία επαφής παρέχει τη βάση για αποτελεσματική διακυβέρνηση.
• Επιδράστε στο σημείο που λαμβάνονται οι αποφάσεις.
  Εφαρμόστε σάρωση μυστικών, προτροπές διαγραφή και προειδοποιήσεις σε πραγματικό χρόνο που ενημερώνουν τους χρήστες όταν τα διαπιστευτήρια ή τα ευαίσθητα αρτεφάκτα είναι πρόκειται να μοιραστούν. Η έγκαιρη καθοδήγηση μειώνει την τυχαία έκθεση ενώ διατηρεί την ταχύτητα της ροής εργασίας.
• Εφαρμόστε διακυβέρνηση ολοκλήρωσης με την ίδια αυστηρότητα με τις εφαρμογές OAuth.
  Εξετάστε τα εργαλεία AI που συνδέονται με email, έγγραφα, συστήματα ticketing και αποθήκες. Εφαρμόστε εύρος προνομίου και διεξάγετε περιοδικές αναθεωρήσεις αδειών για να μειώσετε τον μακροπρόθεσμο κίνδυνο έκθεσης.
• Δημιουργήστε ασφαλέστερες ροές εργασίας για αντιμετώπιση προβλημάτων και υποστήριξη.
  Παρέχετε προτυπωμένα διαγραφή, ασφαλείς συνδετές και εσωτερικά εργαλεία για την ανάλυση αρχείων καταγραφής ή αρχείων διαμόρφωσης, ώστε οι ομάδες να μπορούν να χρησιμοποιούν το AI για την αντιμετώπιση προβλημάτων χωρίς να εκθέτουν ζωντανούς κωδικούς.
• Θεσπίστε φράγματα για την αυτοματοποίηση που βασίζεται σε πράκτορες.
  Απαιτήστε έγκριση από ανθρώπους για δράσεις υψηλής επίδρασης, καταγράψτε την δραστηριότητα του πράκτορα κεντρικά και χρησιμοποιήστε scoped tokens πρόσβασης για να αποτρέψετε την διασπορά προνομίων και την ανεπιθύμητη αυτοματοποίηση.
• Εγκαταστήστε την εκπαίδευση σε πραγματικές ροές εργασίας.
  Η εκπαίδευση είναι πιο αποτελεσματική όταν αντικατοπτρίζει κοινές εργασίες όπως η αντιμετώπιση ολοκλήρωσεων, η ανασκόπηση αρχείων καταγραφής ή η ανέβασμα αρχείων. Τα πρακτικά παραδείγματα βοηθούν τους εργαζόμενους να αναγνωρίζουν τον κίνδυνο στο σημείο που εμφανίζεται.

Αυτά τα μέτρα ευθυγραμμίζουν τη διακυβέρνηση με την καθημερινή εργασία, επιτρέποντας στους οργανισμούς να μειώσουν την έκθεση μυστικών ενώ υποστηρίζουν τις κερδισμένες παραγωγικότητας που οδηγούν στην υιοθέτηση του AI.

Από την πολιτική AI στην συμπεριφορική διακυβέρνηση AI

Το AI εξελίσσεται από ένα εργαλείο παραγωγικότητας σε ένα λειτουργικό επίπεδο που είναι ενσωματωμένο στη καθημερινή εργασία, με έρευνα που δείχνει ότι οι πράκτορες AI είναι τώρα ενσωματωμένοι σε επιχειρηματικές ροές εργασίας και προβλέψεις που προβλέπουν πράκτορες εργασιών μέσα σε ένα μεγάλο μερίδιο επιχειρηματικών εφαρμογών. Όσο η υιοθέτηση βαθαίνει, οι κυρίαρχοι κίνδυνοι εκτείνονται πέρα από τις παραβιάσεις ιδιωτικότητας ή την κακή χρήση μοντέλων. Προκύπτουν από το πώς οι άνθρωποι, τα προνόμια και οι πλατφόρμες διασταυρώνονται σε πραγματικές ροές εργασίας.

Η έκθεση μυστικών σε προτροπές AI είναι ένα ορατό σήμα αυτής της ευρύτερης μετασχηματίσεως. Υπογραμμίζει τις περιορισμούς των ελέγχων περιφέρειας και της διακυβέρνησης πολιτικής και ενισχύει την ανάγκη για φράγματα που λειτουργούν όπου λαμβάνονται οι αποφάσεις. Οι οργανισμοί που προσαρμόζονται θα μεταβούν πέρα από τους αντιδραστικούς ελέγχους και προς μοντέλα διακυβέρνησης που βασίζονται στην πραγματική συμπεριφορά. Θα αντιμετωπίσουν τις ολοκλήρωσεις και τις άδειες ως ανθεκτικές σχέσεις πρόσβασης. Θα οδηγούν τους εργαζόμενους στο σημείο της δράσης αντί να βασίζονται αποκλειστικά στην επιβολή πολιτικής.

Το AI εξελίσσεται από εργαλείο σε συνεργάτη στη σύγχρονη εργασία. Η ασφάλεια αυτής της συνεργασίας απαιτεί διακυβέρνηση που跟πατά, προστατεύοντας κρίσιμα δεδομένα ενώ οδηγεί σε ασφαλέστερες αποφάσεις και διατηρεί την ταχύτητα και την αποτελεσματικότητα που το AI κάνει δυνατή.