Riscul de expunere a datelor secrete în fluxurile de lucru ale întreprinderilor: un risc ascuns al inteligenței artificiale

Majoritatea discuțiilor despre riscurile inteligenței artificiale în întreprinderi încep cu o preocupare familiară: angajații care lipesc datele clienților în chatbot-uri. Confidențialitatea și expunerea regulamentară domină titlurile și ședințele consiliului de administrație, iar cercetările Deloitte arată că confidențialitatea datelor și securitatea sunt printre principalele riscuri ale inteligenței artificiale cu care se confruntă organizațiile.

Însă datele care provin din utilizarea reală a inteligenței artificiale în întreprinderi spun o altă poveste. Informația sensibilă cea mai frecventă care curge în instrumentele de inteligență artificială nu este deloc datele personale. Sunt secrete și credențiale.

Cheile API, tokenurile de acces, hook-urile web și artefactele de autentificare reprezintă acum cea mai mare parte a expunerilor de date sensibile observate în prompturile de inteligență artificială. Aceste dezvăluiri rareori provin din neglijență sau intenție malefică și, în schimb, apar din activități rutiniere, cum ar fi depanarea unei integrări eșuate, rezolvarea problemelor de automatizare, testarea codului sau rezolvarea unei probleme a clientului. Pe măsură ce inteligența artificială se încorporează în fluxurile de lucru zilnice, aceste momente apar constant și adesea în afara vizibilității controlului tradițional de securitate.

Consecințele sunt clare. Pe măsură ce adoptarea inteligenței artificiale se extinde, organizațiile obțin o imagine mai precisă a locurilor în care apar riscurile reale, iar guvernanța trebuie să evolueze pentru a le aborda.

Un risc ascuns de expunere a datelor secrete în fluxurile de lucru ale întreprinderilor

O analiză recentă a utilizării inteligenței artificiale, realizată de Nudge Security, a examinat telemetria anonimă din mediile întreprinderilor pentru a înțelege cum sunt utilizate în realitate instrumentele de inteligență artificială în locul de muncă. În loc de a se baza pe sondaje sau autodeclarări, cercetarea a analizat activitatea observată de inteligență artificială, integrări și comportamentul prompturilor în ecosistemele SaaS ale întreprinderilor.

Rezultatele oferă o nouă perspectivă asupra locurilor în care riscurile reale ale inteligenței artificiale apar în fluxurile de lucru ale întreprinderilor. Expunerile de date sensibile în prompturile de inteligență artificială sunt dominate de credențialele operaționale. Secretele și credențialele reprezintă aproximativ 48% din evenimentele de date sensibile detectate, comparativ cu 36% pentru datele financiare și 16% pentru informațiile legate de sănătate. Aceste modele sugerează că cea mai semnificativă provocare de expunere a datelor în inteligența artificială nu este scurgerea de confidențialitate, ci dispersia secretelor.

Aceeași cercetare arată că adoptarea inteligenței artificiale a depășit experimentarea. Instrumentele de inteligență artificială sunt încorporate în fluxurile de lucru, integrate cu platformele de bază ale afacerilor și tot mai capabile să ia acțiuni autonome. Furnizorii de modele de limbaj mari sunt acum aproape ubiqui, cu OpenAI prezent în 96% din organizații și Anthropic în 78%.

Cercetările McKinsey arată că 88% din organizații raportează utilizarea regulată a inteligenței artificiale în cel puțin o funcție de afaceri, comparativ cu 78% anul trecut. Instrumentele de inteligență ale ședințelor, platformele de codare asistate de inteligență artificială, generatorii de prezentări și tehnologiile vocale sunt larg răspândite, reflectând modul în care inteligența artificială s-a extins dincolo de interfețele de chat în fluxurile de lucru zilnice. Această extindere este importantă, deoarece riscul urmează utilizării. Pe măsură ce inteligența artificială devine încorporată în mediile de dezvoltare, platformele de colaborare și fluxurile de lucru ale suportului clienților, ea câștigă proximitate cu sistemele și datele operaționale sensibile.

Adoptarea a fost, de asemenea, condusă de la bază. Un studiu recent KPMG a arătat că 44% din angajați utilizează instrumente de inteligență artificială în moduri pe care angajatorii lor nu le-au autorizat, reflectând modul în care aceste instrumente intră rapid în fluxurile de lucru zilnice. Angajații instalează extensii de browser, conectează asistenți și experimentează cu integrări pentru a accelera sarcinile zilnice, adesea în afara proceselor centralizate de achiziții. Analistii de securitate descriu acest model ca inteligență artificială în umbră, în care instrumentele funcționează în interiorul browserelor și fluxurilor de lucru SaaS dincolo de vizibilitatea tradițională a IT-ului. Deoarece aceste instrumente pot fi deployate instantaneu și necesită puțină configurare tehnică, programele de guvernanță construite în jurul proceselor de aprobare a furnizorilor și politicilor de utilizare acceptabilă au dificultăți în a ține pasul cu modul în care inteligența artificială este introdusă și utilizată în întreprindere.

De ce secretele scurse pot crea riscuri operaționale imediate

Datele personale rămân sensibile și reglementate, dar secretele au un impact operațional imediat. O cheie API scursă poate oferi acces la sistemele de producție. Un token compromis poate expune depozite. O adresă URL a unui hook web poate permite automatizarea neautorizată. Credențialele apar frecvent în prompturile de inteligență artificială în timpul fluxurilor de lucru rutiniere. Dezvoltatorii lipesc tokenuri în interfețele de chat în timp ce depanează eșecurile de autentificare, inginerii pot partaja fragmente de configurare pentru a diagnostica problemele de integrare. Aceste acțiuni nu sunt neobișnuite. Secretele sunt încorporate în fluxurile de lucru tehnice și apar în jurnale, scripturi, fișiere de configurare și ieșiri de automatizare. Când echipele sunt sub presiune pentru a rezolva problemele rapid, ele pot partaja aceste artefacte fără a se opri să considere ce date sensibile conțin.

Interfețele de inteligență artificială amplifică acest comportament. Prompturile încurajează partajarea contextului. Încărcarea fișierelor susține o depanare mai bogată. Fluxurile de lucru integrative fac ca datele să fie mutate ușor între sisteme. Cercetarea Nudge Security a arătat că 17% din prompturi includ activități de copiere și lipire sau încărcare de fișiere. În acest mediu, credențialele sensibile pot fi expuse în secunde.

Guvernanța tradițională ratează riscul comportamental

Programele de guvernanță a inteligenței artificiale se concentrează adesea pe controale formale, cum ar fi politici și instrumente aprobate. Acest abordare presupune că riscul provine din utilizarea abuzivă sau comportamentul modelului. În practică, expunerile cele mai semnificative apar în timpul fluxurilor de lucru rutiniere desfășurate de angajați cu bună intenție.

Peisajul inteligenței artificiale se mișcă rapid, cu noi tehnologii lansate zilnic. Pe măsură ce angajații tăi ajung la cel mai recent instrument, ei pot ocoli abordarea tradițională a controlului rețelei, deoarece pur și simplu nu pot ține pasul. Browserul permite observarea directă a comportamentului contextual, care oferă flexibilitatea necesară pentru a ține pasul cu peisajul în continuă evoluție al muncii moderne.

Acest decalaj explică de ce organizațiile pot implementa politici puternice și totuși experimenta expuneri de date sensibile. Politicile stabilesc așteptări. Comportamentul determină rezultatele. Guvernanța eficientă necesită vizibilitate în ceea ce privește modul în care instrumentele de inteligență artificială sunt utilizate în realitate și balize care să ghideze decizii mai sigure în momentul în care datele sunt partajate.

Integrările și agenții extind sfera de expunere

Profilul de risc al unui instrument de inteligență artificială este modelat de ceea ce poate accesa. Integrările creează căi de încredere între sisteme. Granturile OAuth, tokenurile API și conturile de serviciu permit instrumentelor de inteligență artificială să recupereze documente, să actualizeze bilete sau să interacționeze cu depozite de cod. Cercetările privind adoptarea inteligenței artificiale în întreprinderi subliniază că integrările definesc în mod eficient sfera de expunere. O permisiune defectuoasă sau un token compromis poate expune întregi depozite de documente sau medii de dezvoltare, deoarece conexiunile de încredere permit mișcarea datelor la viteza mașinii.

Inteligența artificială agențială introduce complexitate suplimentară. Implementările inițiale se concentrează adesea pe funcționalitate în detrimentul principiului de privilegiu minim. Permisiunile acordate în timpul experimentării pot persista mult după ce cazurile de utilizare inițiale evoluează. În timp, aceste permisiuni acumulate creează riscuri silențioase. Echipele de securitate trebuie să trateze integrările și permisiunile agenților ca decizii de acces durabile, și nu ca conveniențe temporare.

Ce ar trebui să facă acum echipele de securitate

Reducerea expunerii secretelor în fluxurile de lucru ale inteligenței artificiale necesită o schimbare de la controale reactive la o guvernanță care reflectă modul în care se desfășoară munca în realitate. Liderii de securitate pot începe cu pași practici care îmbunătățesc vizibilitatea, ghidează un comportament mai sigur și reduc expunerea fără a încetini productivitatea:

• Hartă unde interacțiunile cu inteligența artificială au loc.
  Identificați mediile în care datele intră în instrumentele de inteligență artificială, incluzând extensiile de browser, mediile de dezvoltare, platformele de automatizare și interfețele de chat. Vizibilitatea continuă în aceste puncte de contact oferă baza pentru o guvernanță eficientă.
• Intervenți în momentul în care deciziile sunt luate.
  Implementați scanarea secretelor, prompturi de ștergere și avertizări în timp real care alertează utilizatorii atunci când credențialele sau artefactele sensibile sunt pe punctul de a fi partajate. Îndrumarea oportună reduce expunerea accidentală, păstrând în același timp viteza fluxului de lucru.
• Aplicați guvernanța integrărilor cu aceeași rigurozitate ca și aplicațiile OAuth.
  Revizuiți instrumentele de inteligență artificială conectate la e-mail, documente, sisteme de ticketing și depozite. Aplicați scopuri de permisiune minimă și efectuați revizuiri periodice ale permisiunilor pentru a reduce riscul de expunere pe termen lung.
• Creați fluxuri de lucru mai sigure pentru depanare și suport.
  Ofertați șabloane redactate, conectori siguri și instrumente interne pentru analizarea jurnalelor sau a fișierelor de configurare, astfel încât echipele să poată utiliza inteligența artificială pentru rezolvarea problemelor fără a expune credențialele live.
• Stabiliți balize pentru automatizarea bazată pe agenți.
  Cereți aprobarea umană pentru acțiuni cu impact ridicat, înregistrați activitatea agenților în mod centralizat și utilizați tokenuri de acces cu scop limitat pentru a preveni extinderea permisiunilor și automatizarea neintenționată.
• Întemeiați instruirea pe fluxuri de lucru reale.
  Instruirea este mai eficientă atunci când reflectă sarcini comune, cum ar fi depanarea integrărilor, revizuirea jurnalelor sau încărcarea fișierelor. Exemplele practice ajută angajații să recunoască riscurile în momentul în care acestea apar.

Aceste măsuri aliniază guvernanța cu munca zilnică, permițând organizațiilor să reducă expunerea secretelor, sprijinind în același timp câștigurile de productivitate care impulsionează adoptarea inteligenței artificiale.

De la politica de inteligență artificială la guvernanța comportamentală a inteligenței artificiale

Inteligența artificială evoluează de la un instrument de productivitate la un strat operațional încorporat în munca zilnică, cu cercetări care arată agenții de inteligență artificială sunt acum încorporați în fluxurile de lucru ale întreprinderilor și prognoze care proiectează agenți specifici de sarcini într-o parte semnificativă a aplicațiilor întreprinderilor. Pe măsură ce adoptarea se adâncește, riscurile dominante se extind dincolo de încălcări ale confidențialității sau abuzul modelului. Ele provin din modul în care oamenii, permisiunile și platformele se intersectează în fluxurile de lucru reale.

Expunerea secretelor în prompturile de inteligență artificială este un semnal vizibil al acestei transformări mai ample. Acesta subliniază limitările controlului perimetral și guvernanței bazate pe politici și subliniază necesitatea balizelor care funcționează acolo unde se iau deciziile. Organizațiile care se adaptează vor trece de la controale reactive la modele de guvernanță bazate pe comportament real. Ele vor trata integrările și permisiunile ca relații de acces durabile. Ele vor ghida angajații în momentul acțiunii, mai degrabă decât să se bazeze exclusiv pe aplicarea politicii.

Inteligența artificială se mișcă de la un instrument la un colaborator în munca modernă. Securizarea acestei colaborări necesită o guvernanță care ține pasul, protejând datele critice, ghidând decizii mai sigure și menținând viteza și eficiența pe care inteligența artificială le face posibile.