Искусственный интеллект уже внутри вашего бизнеса. Если вы не обеспечиваете его безопасность, вы отстаете

Независимо от того, официально ли вы ввели искусственный интеллект во всю организацию, он уже есть. Сотрудники используют ChatGPT для составления документов, вероятно, загружают конфиденциальные данные в онлайн-инструменты, чтобы ускорить анализ, и полагаются на генеративные инструменты, чтобы сократить все, от кодирования до обслуживания клиентов. Искусственный интеллект уже используется, с вашего разрешения или без него, и это должно не давать спокойствия руководителям служб информационной безопасности.

Это тихое распространение неверифицированных инструментов искусственного интеллекта по всем отделам создало новый, быстро растущий слой тени ИТ. Он децентрализован, в значительной степени невидим и полон рисков. От нарушений соблюдения требований до утечки данных и неотслеживаемого принятия решений последствия игнорирования этого всплеска использования искусственного интеллекта реальны. Однако слишком многие компании все еще думают, что могут сдержать его с помощью политики или брандмауэров.

Правда в том, что искусственный интеллект нельзя заблокировать. Его можно только обеспечить безопасностью. И чем раньше компании признают это, тем раньше они смогут начать закрывать опасные пробелы, которые искусственный интеллект уже открыл.

Теневой искусственный интеллект проникает в организации и является слепым местом безопасности

Мы видели эту схему раньше. Внедрение облачных технологий взлетело в начале 2010-х годов точно таким же образом, когда команды тянулись к инструментам, которые помогали им работать быстрее, часто без одобрения службы безопасности. Многие службы безопасности пытались сопротивляться изменениям, но в конечном итоге были вынуждены заниматься реактивной очисткой, когда произошли нарушения, неправильная конфигурация или нарушения соблюдения требований.

Сегодня то же самое происходит с искусственным интеллектом. Согласно нашему Отчету о состоянии безопасности искусственного интеллекта за 2024 год, более половины организаций используют искусственный интеллект для разработки своих собственных настраиваемых приложений, и однако немногие имеют видимость того, где живут эти модели, как они настроены или открывают ли они конфиденциальные данные.

Это создает два риска:

1. Сотрудники используют публичные инструменты для доступа к конфиденциальным или чувствительным данным, что подвергает эти данные внешним системам без надзора.
2. Внутренние команды развертывают модели искусственного интеллекта без адекватных мер безопасности, что приводит к уязвимостям, которые можно использовать, и плохой практике, которая может не пройти аудит.

Теневой искусственный интеллект не только проблема безопасности, но и кризис управления. Если вы не видите, где используется искусственный интеллект, вы не можете управлять тем, как он обучен, какие данные он имеет доступ, или какие результаты он генерирует. И если вы не отслеживаете решения искусственного интеллекта, вы теряете возможность объяснить или защитить их, оставляя вас открытым для регулирующих, репутационных или операционных рисков.

Почему традиционные инструменты безопасности не справляются

Большинство инструментов безопасности не были созданы для обработки искусственного интеллекта. Они не распознают артефакты моделей, не могут сканировать пути данных, специфичные для искусственного интеллекта, и не знают, как отслеживать взаимодействия с большими языковыми моделями или обеспечивать управление моделями. Даже инструменты, которые существуют, склонны фокусироваться на узких частях головоломки, оставляя организации, которые jongлируют решениями без единого взгляда.

Это проблема. Безопасность искусственного интеллекта не может быть после мысли или добавлением. Она должна быть встроена в то, как вы управляете своей облачной средой, защищаете свои данные и структурируете свои DevSecOps-пайплайны. В противном случае вы недооцениваете, насколько искусственный интеллект становится центральным для ваших операций, и упускаете возможность обеспечить его безопасность как основную часть вашей бизнес-инфраструктуры.

Миф о “просто заблокируйте его” должен закончиться

Это заманчиво думать, что вы можете решить эту проблему с помощью полного запрета через политику “никаких инструментов искусственного интеллекта третьих сторон” или “никакой внутренней экспериментальной работы”. Но это желательное мышление. Просто говоря, сотрудники сегодня используют инструменты искусственного интеллекта, чтобы выполнить свою работу быстрее. И они делают это не злонамеренно, они делают это, потому что это работает.

Искусственный интеллект является умножителем сил и люди будут тянуться к нему, пока он помогает им выполнить сроки, уменьшить рутину или решить проблемы быстрее.

Попытка заблокировать такое поведение прямо не остановит его. Это просто приведет к тому, что оно уйдет глубже в подполье. И когда что-то пойдет не так, вы будете в худшем возможном положении, без видимости, без политики и без плана реагирования.

Принимайте искусственный интеллект стратегически, безопасно и прозрачно

Более умный подход заключается в том, чтобы принять искусственный интеллект проактивно, но на ваших условиях. Это начинается с трех вещей:

1. Дайте сотрудникам безопасные, санкционированные варианты. Если вы хотите направить использование в сторону менее рискованных инструментов, вам нужно предложить безопасные альтернативы. Будь то внутренние модели искусственного интеллекта, проверенные инструменты третьих сторон или интегрированные помощники искусственного интеллекта в основных системах, ключом является встреча с сотрудниками там, где они есть, с инструментами, которые столь же быстры, но намного более безопасны.

2. Установите четкие политики и обеспечьте их соблюдение. Управление искусственным интеллектом требует конкретных, действенных и легко выполнимых правил. Какие данные можно делиться с инструментами искусственного интеллекта? Какие красные линии? Кто отвечает за проверку и утверждение внутренних проектов искусственного интеллекта? Опубликуйте свои политики и убедитесь, что ваши механизмы обеспечения соблюдения, технические и процедурные, находятся на месте.

3. Инвестируйте в видимость и мониторинг. Вы не можете обеспечить безопасность того, чего не видите. Вам нужны инструменты, которые могут обнаружить использование теневого искусственного интеллекта, выявить открытые ключи доступа, пометить неправильно настроенные модели и подчеркнуть, где конфиденциальные данные могут просачиваться в наборы данных или результаты. Управление позой искусственного интеллекта быстро становится столь же критичным, как управление позой облачной безопасности.

Руководители служб информационной безопасности должны возглавить этот переход

Нравится вам это или нет, это определяющий момент для лидерства в области безопасности. Роль руководителя службы информационной безопасности больше не только защищает инфраструктуру. Она становится более ориентированной на обеспечение безопасного инновационного развития, что означает помощь организации в использовании искусственного интеллекта для ускорения работы, гарантируя, что безопасность, конфиденциальность и соблюдение требований интегрированы в каждый шаг.

Такое лидерство выглядит как:

• Обучение совета директоров и руководителей на реальные и воспринимаемые риски искусственного интеллекта
• Создание партнерств с инженерными и производственными командами для внедрения безопасности на ранних этапах развертывания искусственного интеллекта
• Инвестирование в современные инструменты, которые понимают, как работают системы искусственного интеллекта
• Строительство культуры, где ответственное использование искусственного интеллекта является работой каждого

Руководителям служб информационной безопасности не нужно быть экспертами по искусственному интеллекту в комнате, но им нужно быть теми, кто задает правильные вопросы. Какие модели мы используем? Какие данные их кормят? Какие ограничители на месте? Можем ли мы доказать это?

Основная мысль: бездействие является наибольшим риском

Искусственный интеллект уже меняет, как работают наши бизнесы. Будь то команды обслуживания клиентов, которые составляют быстрые ответы, команды финансов, которые анализируют прогнозы, или разработчики, которые ускоряют свой рабочий процесс, искусственный интеллект встроен в повседневную работу. Игнорирование этой реальности не замедляет принятие, оно просто приглашает слепые пятна, утечки данных и регулирующие провалы.

Наиболее опасный путь вперед – бездействие. Руководители служб информационной безопасности и лидеры безопасности должны признать, что искусственный интеллект уже здесь. Он в ваших системах, он в ваших рабочих процессах, и он не уйдет. Вопрос в том, обеспечите ли вы его безопасность, прежде чем он создаст ущерб, который вы не сможете исправить.

Принимайте искусственный интеллект, но никогда без безопасности в первую очередь. Это единственный способ оставаться впереди того, что придет дальше.