Raportul Manifest dezvăluie o lacună în pregătirea pentru securitatea lanțului de aprovizionare cu inteligență artificială, pe măsură ce echipele de securitate ale întreprinderilor se confruntă cu probleme de vizibilitate și guvernanță

Un raport nou raport de la Manifest, „Dincolo de cutia neagră: Cum inteligența artificială obligă la o reevaluare a lanțului de aprovizionare cu software”, dezvăluie o discrepanță în creștere între încrederea executivă și realitatea operațională în ceea ce privește pregătirea pentru securitatea lanțului de aprovizionare cu inteligență artificială. Pe baza unui sondaj realizat pe mai mult de 300 de lideri și practicieni în domeniul securității din Statele Unite și EMEA, studiul constată că, deși majoritatea executivilor consideră că organizațiile lor sunt pregătite pentru riscurile lanțului de aprovizionare cu inteligență artificială, echipele de securitate de pe teren raportează lacune semnificative în guvernanță, utilizare a inteligenței artificiale în umbră și vizibilitate limitată asupra componentelor care alimentează sistemele software moderne.

Rezultatele evidențiază o tensiune centrală care apare în tehnologia enterprise: adoptarea inteligenței artificiale se accelerează rapid în produse și fluxuri de lucru, dar mecanismele necesare pentru a urmări, guverna și securiza aceste sisteme nu țin pasul.

Inteligența artificială re creează probleme de securitate a lanțului de aprovizionare în forme noi

Pentru mai mult de un deceniu, organizațiile au lucrat la îmbunătățirea securității lanțului de aprovizionare cu software prin urmărirea dependențelor, monitorizarea vulnerabilităților și stabilirea cadrului de guvernanță. Cu toate acestea, raportul Manifest susține că inteligența artificială reintroduce, în esență, multe dintre aceleași riscuri – acum răspândite în modele, seturi de date, agenți și servicii de inteligență artificială terțe.

Componentele de inteligență artificială funcționează adesea ca sisteme opace. Întreprinderile nu pot explica de obicei cum au fost antrenate modelele, care seturi de date au fost utilizate sau care servicii externe sunt încorporate în aplicațiile lor. Ca urmare, organizațiile se confruntă cu o nouă clasă de risc al lanțului de aprovizionare: sisteme software pe care nu le pot inspecta, verifica sau monitoriza în mod fiabil în timp.

Raportul subliniază că vizibilitatea este deja în scădere. 63% din organizații raportează prezența „inteligenței artificiale în umbră”, referindu-se la unelte sau integrări de inteligență artificială adoptate fără supraveghere din partea echipelor de securitate, achiziții sau managementul riscului.

Daniel Bardenstein, CEO și co-fondator al Manifest, a declarat că datele arată o discrepanță în creștere între percepția executivă și realitatea operațională: „Încrederea executivă în pregătirea pentru securitatea inteligenței artificiale nu se potrivește cu ceea ce echipele de securitate a aplicațiilor tratează zi de zi. Liderii consideră că guvernanța este în vigoare, dar practicienii observă utilizarea necontrolată a inteligenței artificiale, proprietatea neclară și puncte oarbe în ceea ce rulează de fapt în produse și furnizori.”

Executivii spun că sunt pregătiți, dar echipele de securitate nu sunt de acord

Una dintre cele mai izbitoare constatări din raport este divergența dintre încrederea liderilor și evaluările de securitate de pe linia întâi.

Aproape 80% din executivii de securitate spun că organizațiile lor au practici mature de securitate a inteligenței artificiale, în timp ce doar aproximativ 40% din echipele de securitate a aplicațiilor sunt de acord cu această evaluare.

Echipele de securitate a aplicațiilor sunt adesea primele care întâlnesc eșecuri operaționale în cadrul de guvernanță, deoarece interacționează direct cu lanțul de aprovizionare cu software. Acești practicieni raportează întâlnirea unor volume mari de alerte, proprietate neclară a responsabilităților de securitate și unelte fragmentate în medii de dezvoltare și securitate.

Conform raportului, 47% din respondenți au identificat echipele izolate și proprietatea neclară ca principala piedică în îmbunătățirea securității lanțului de aprovizionare cu software.

Rezultatul este un mediu în care organizațiile pot considera că au programe de securitate puternice, în timp ce lacune critice rămân în vizibilitate, răspundere și coordonare operațională.

Paradoxul SBOM: Generat, dar rareori utilizat

O altă idee principală a studiului se referă la Listele de materiale ale software-ului (SBOM) – inventare de componente software concepute pentru a ajuta organizațiile să urmărească dependențe și vulnerabilități.

Adoptarea SBOM s-a extins semnificativ în ultimii ani, în special din cauza presiunii reglementare și a atacurilor asupra lanțului de aprovizionare. Cu toate acestea, cercetarea Manifest sugerează că multe organizații tratează generarea SBOM ca pe o casetă de bifat a conformității, mai degrabă decât o capacitate operațională.

Raportul subliniază câteva statistici cheie:

• 60% din organizații generează SBOM
• Mai mult de jumătate nu gestionează sau utilizează activ acestea în practică
• 79,6% utilizează unelte de analiză a compoziției software (SCA)
• Utilizarea operațională a SBOM rămâne mult mai mică, la 41,8%

Fără o centralizare, normalizare, aplicare a politicilor și monitorizare continuă, SBOM devin artefacte statice, mai degrabă decât unelte active de gestionare a riscurilor.

Echipele de securitate exprimă și scepticism față de platformele tradiționale de analiză a compoziției software. 56,3% din respondenți spun că uneltele SCA creează zgomot sau întârzie echipele de dezvoltare, în timp ce 46,4% își exprimă îndoielile că aceste unelte reduc în mod semnificativ riscurile software din lumea reală.

Această discrepanță ilustrează o provocare mai amplă de maturitate: organizațiile pot genera volume mari de date de securitate, dar adesea lipsesc infrastructura operațională pentru a traduce aceste semnale în reducerea riscurilor.

Datele de transparență îmbunătățesc securitatea și viteza de implementare

În ciuda acestor provocări, cercetarea arată că organizațiile care obțin transparență semnificativă în lanțul de aprovizionare cu software obțin beneficii măsurabile.

Aproape 49,4% din respondenți raportează că primesc date de transparență verificabile – cum ar fi SBOM, înregistrări de proveniență, binare semnate – de la furnizori în timpul achiziționării.

Când aceste informații sunt fiabile și operaționalizate, impactul este semnificativ:

• 64% raportează o implementare mai rapidă a noilor tehnologii
• 61,6% raportează o rezolvare mai rapidă a problemelor de securitate
• 15,5% raportează o reducere a timpului de închidere

Organizațiile care lipsesc astfel de transparență plătesc ceea ce raportul descrie ca o „taxă de transparență” – timpul, costul și riscul suplimentar asociat cu investigarea manuală a componentelor software opace.

Industriile puternic reglementate ilustrează această provocare. Serviciile financiare și organizațiile de sănătate raportează unele dintre cele mai scăzute rate de primire a datelor de transparență verificabile de la furnizori – 14,3% și 19,5% respectiv – în ciuda faptului că au cea mai mare nevoie de acestea.

Adoptarea inteligenței artificiale se accelerează în întreprinderi

Studiul subliniază, de asemenea, cât de repede inteligența artificială s-a încorporat în ecosistemele software ale întreprinderilor.

Virtually nicio organizație chestionată nu a raportat evitarea completă a inteligenței artificiale. În schimb, companiile experimentează diverse abordări:

• 80,2% utilizează modele de inteligență artificială comerciale aprobate intern
• 79,9% utilizează în mod larg unelte comerciale, cum ar fi ChatGPT sau Cursor
• 56,7% antrenează modele cu greutăți deschise pe date interne
• 29,3% construiesc modele de inteligență artificială personalizate de la zero

Serviciile financiare și companiile de tehnologie conduc adoptarea. Aproape 90% din organizațiile de servicii financiare raportează modele de inteligență artificială interne aprobate, și 46,9% construiesc modele personalizate de la zero, mult peste media generală.

Aceste sectoare au stimulente puternice pentru a se mișca rapid. În serviciile financiare, inteligența artificială afectează direct detectarea fraudelor, gestionarea riscurilor și generarea de venituri. În companiile de tehnologie, inteligența artificială se află din ce în ce mai mult în centrul ofertelor de produse și capacităților platformei.

Cu toate acestea, ritmul rapid de adoptare adesea depășește guvernanța.

Inteligența artificială în umbră devine o problemă răspândită

Cercetarea confirmă că inteligența artificială în umbră – unelte sau modele desfășurate fără supraveghere formală – este deja răspândită.

Doar 34,8% din respondenți raportează că nu au inteligență artificială în umbră în organizațiile lor, în timp ce restul recunosc cel puțin o utilizare necontrolată a inteligenței artificiale.

Acest model se reflectă în valurile anterioare de „IT în umbră”, în care angajații au adoptat servicii cloud sau unelte SaaS în afara proceselor oficiale de achiziționare.

Diferențele regionale sunt, de asemenea, în curs de apariție. Organizațiile din EMEA raportează rate mai mari de funcționare fără inteligență artificială în umbră (45,7%), probabil din cauza cadrului de reglementare mai puternic și a proceselor de achiziționare mai stricte comparativ cu alte regiuni.

Cu toate acestea, raportul avertizează că uneltele de securitate tradiționale nu au fost concepute pentru a urmări modele de inteligență artificială, seturi de date și servicii terțe în medii de dezvoltare distribuite.

Riscurile de licențiere și juridice sunt o altă zonă oarbă majoră

Dincolo de guvernanța tehnică, studiul subliniază, de asemenea, provocările juridice și de conformitate asociate cu adoptarea inteligenței artificiale.

Înțelegerea termenilor de licențiere, drepturilor de proprietate intelectuală și restricțiilor de utilizare a modelelor și seturilor de date de inteligență artificială rămâne dificilă pentru multe organizații. Sondajul a constatat:

• 93% din respondenți spun că organizația lor are nevoie de îmbunătățiri în gestionarea obligațiilor de licențiere și proprietate intelectuală a inteligenței artificiale
• 54,6% sunt de acord puternic că aceasta rămâne o provocare majoră

Aceste riscuri devin deosebit de acute atunci când organizațiile antrenează modele cu greutăți deschise pe date interne sau combină seturi de date proprietare cu componente de inteligență artificială terțe.

Fără cadrul de guvernanță mai puternic, companiile ar putea introduce involuntar încălcări ale licențierii sau expunere la conformitate în sistemele de producție.

Alinierea operațională poate fi adevărata provocare

În timp ce uneltele de securitate continuă să evolueze, raportul sugerează că cea mai mare barieră în calea securității eficiente a lanțului de aprovizionare cu inteligență artificială poate să nu fie tehnologia însăși.

În schimb, multe organizații se confruntă cu fragmentarea proprietății, fluxuri de lucru desconectate și lipsa unui sistem comun de înregistrare pentru componente software și inteligență artificială.

Principalele constrângeri menționate includ:

• 47,3% constrângeri organizaționale
• 36,3% abilități insuficiente
• 35,7% limitări bugetare
• 34,8% lipsă de înțelegere a managementului
• 32,6% lipsă de personal

Aceste lacune operaționale fac dificilă traducerea semnalelor de securitate în aplicarea politicilor sau reducerea riscurilor măsurabile.

De ce securitatea lanțului de aprovizionare cu inteligență artificială devine o prioritate strategică

Pe măsură ce inteligența artificială se încorporează în fiecare strat al software-ului enterprise, conceptul de lanț de aprovizionare cu software se extinde pentru a include modele, seturi de date de antrenament, servicii de inferență și platforme de inteligență artificială terțe.

Raportul Manifest concluzionează că organizațiile trebuie să meargă dincolo de uneltele de vizibilitate punctuale și să construiască control operațional continuu asupra lanțurilor de aprovizionare cu inteligență artificială.

Acest lucru include:

• Urmarirea tuturor modelelor de inteligență artificială utilizate în medii de dezvoltare
• Verificarea provenienței și licențierii datelor de antrenament
• Aplicarea politicilor de guvernanță în timpul dezvoltării și implementării
• Menținerea inventarelor continue similare cu SBOM pentru componente de inteligență artificială

Fără aceste mecanisme, lacuna dintre adoptarea inteligenței artificiale și guvernanța inteligenței artificiale va continua să se lărgească.

Și, așa cum studiul face clar, această lacună există deja în multe întreprinderi de astăzi.

data Punerea în aplicare a politicilor de guvernanță în timpul dezvoltării și implementării Menținerea inventarelor continue similare cu SBOM pentru componente de inteligență artificială Fără aceste mecanisme, lacuna dintre adoptarea inteligenței artificiale și guvernanța inteligenței artificiale va continua să se lărgească. Și, așa cum studiul face clar, această lacună există deja în multe întreprinderi de astăzi.