AI ที่ซ่อนอยู่เป็นความล้มเหลวในการออกแบบ ไม่ใช่ปัญหาของคน

ฉันอยากให้คุณจำประโยคหนึ่งจากบทความนี้ หากคุณลืมทุกสิ่งอื่น ให้จำไว้ว่า AI ที่ซ่อนอยู่ เป็นผลโดยตรงจากการทำให้เส้นทางที่ปลอดภัยเป็นเส้นทางที่ช้า

นั่นไม่ใช่ความคิดเห็นที่ร้อนแรง นั่นคือรูปแบบที่ฉันสังเกตเห็นมาเป็นเวลา 25 ปีในทุกโดเมนความปลอดภัย — ตั้งแต่ IT ที่ซ่อนอยู่ไปจนถึง BYOD และการกระจายคลาวด์ และตอนนี้กำลังเกิดขึ้นอีกครั้งกับ AI แต่เร็วกว่าและมีความเสี่ยงสูงกว่า

ช่องว่างที่ควรทำให้คุณไม่นอน

ดัชนีรูปแบบการทำงานของ Microsoft และ LinkedIn ในปี 2024 ได้ให้ตัวเลขที่ชัดเจนเกี่ยวกับสิ่งที่ผู้นำด้านความปลอดภัยส่วนใหญ่รู้สึกในใจแล้วว่า 75% ของพนักงานที่มีความรู้ใช้เครื่องมือ AI ที่ทำงาน และ 78% ของพวกเขาได้นำเครื่องมือ AI มาใช้ นั่นไม่ใช่การลองใช้ นั่นคือกำลังแรงงานที่ตัดสินใจไม่รอ IT จนกว่าจะตามทัน

และนี่คือส่วนที่เจ็บปวด การสำรวจของ Checkmarx ในปี 2025 พบว่าเพียง 18% ขององค์กรที่มีนโยบายการกำกับดูแลที่ครอบคลุมการสร้างโค้ดโดยใช้ AI — แม้ว่า_most ทีมวิศวกรรมจะใช้เครื่องมือเหล่านี้ทุกวัน หากช่องว่างนั้นกว้างสำหรับโค้ด ลองนึกภาพว่ามันจะดูอย่างไรสำหรับกระบวนการทำงานที่ใช้ AI ที่ทีมของคุณกำลังดำเนินการอยู่ การนำรับไม่ได้รอการกำกับดูแล มันกำลังล้ำหน้า

ผู้คนของคุณไม่ได้กระทำการโดยไม่คิด พวกเขากำลังกระทำการอย่างมีเหตุผล พวกเขาพบเครื่องมือที่ทำให้พวกเขาเร็วขึ้น และเส้นทางที่เป็นทางการในการใช้งานอย่างปลอดภัยเกี่ยวข้องกับการติดตั้ง Python การสร้างโครงการ GCP การสร้างบัญชีบริการ การดาวน์โหลดไฟล์เครดิตเชลล์ไปยังแล็ปท็อป และการกำหนดค่าเซิร์ฟเวอร์ MCP ท้องถิ่น เรื่องจริง ผลลัพธ์จริง คือบุคคลนั้นหยุดสามขั้นตอน

รูปแบบการล้มเหลวที่ฉันเห็น

ให้ฉันทำให้รูปแบบนั้นเป็นรูปธรรม ฉันสังเกตเห็นรูปแบบต่างๆ มาแล้วในหลายองค์กร

ผู้อำนวยการฝ่ายการตลาดอ่านบล็อกโพสต์ การเชื่อมต่อ AI ที่ช่วยให้ Google Analytics MCP เซิร์ฟเวอร์ทำงานได้ภายในเวลาไม่กี่วินาที ดูเหมือนจะดี เธอต้องการทำเช่นนั้น

เธอจึงเริ่มต้นเส้นทางที่ไม่ได้รับการจัดการ ติดตั้ง依存การสร้างโครงการคลาวด์ สร้างบัญชีบริการ ดาวน์โหลดไฟล์เครดิตเชลล์ไปยังแล็ปท็อป และกำหนดค่าการรวมท้องถิ่น

เธอหยุดสามขั้นตอน มีแรงเสียดทานมากเกินไป เครื่องมือที่ไม่เหมาะสมสำหรับบุคคลนั้น

ตอนนี้ฟังว่าฉันพูดอะไร บาปไม่ใช่ผู้อำนวยการฝ่ายการตลาด เธอฉลาด เธอมีแรงจูงใจ เธอเป็นคนอย่างที่คุณต้องการให้ใช้เครื่องมือ AI บาปคือเส้นทางที่ปลอดภัยช้ากว่าเส้นทางที่ไม่ปลอดภัย

นั่นคือรูปแบบการล้มเหลวของโปรแกรมการเข้าถึงที่ฉันเคยเห็นทั้งหมด เมื่อเส้นทางที่มีการกำกับดูแลยากกว่าเส้นทางที่ไม่มีการกำกับดูแล ผู้คนจะหาทางที่ไม่มีการกำกับดูแล ทุกครั้ง และคุณจะพบเรื่องนี้ที่การละเมิด ไม่ใช่ก่อนหน้านั้น

สุสานทั้งห้า

ฉันเห็นองค์กรพยายามแก้ไขปัญหานี้ด้วยวิธีต่างๆ ห้าแบบก่อนที่จะพบวิธีที่แท้จริงที่ทำงาน วิธีที่ไม่ได้ผลทั้งหมดล้มเหลวเนื่องจากรากที่มีแรงเสียดทานโดยไม่เพิ่มความเร็ว

ความพยายามครั้งแรกคือการให้ทีมทุกทีมเลือกเครื่องมือ AI ของตนเอง ผลลัพธ์คือการสมัครสมาชิกที่ทับซ้อนกัน 14 รายการและไม่มีประวัติการตรวจสอบ คุณได้ทำให้การนำรับเป็นประชาธิปไตยและรวมศูนย์ไม่สำเร็จ

ความพยายามครั้งที่สองคือการวางทุกอย่างไว้หลัง SSO SSO แก้ปัญหาการเข้าสู่ระบบ SSO ไม่ได้แก้ปัญหาการกระทำ เมื่อตัวแทนได้รับการรับรองแล้ว ชั้น SSO ของคุณจะไม่เห็นอะไรต่อไป

ความพยายามครั้งที่สามคือการแบ่งปันบัญชีบริการระหว่างตัวแทน เหตุการณ์หนึ่งครั้งและคุณจะมีการยืนยันตัวตนเป็นศูนย์ คุณไม่สามารถบอกได้ว่าตัวแทนไหนทำอะไรเมื่ออะไรผิดพลาด

ความพยายามครั้งที่สี่คือการเขียนนโยบาย AI และวางไว้ในวิกิ ฉันเห็นองค์กรใช้เวลาหกสัปดาห์ในการสร้างนโยบายการใช้ AI ที่ครอบคลุม ส่งไปยังทุกคน และพบว่าสามเดือนต่อมาว่าน้อยกว่าหนึ่งในสามของพนักงานที่ได้อ่านเอกสารนั้น ไม่มีใครอ่านเอกสาร คนอ่านค่าเริ่มต้น — สิ่งที่ง่ายคือสิ่งที่ทำ — และหน้าวิกิไม่เคยเป็นสิ่งที่ง่าย

ความพยายามครั้งที่ห้าคือการสร้างคณะกรรมการที่จะตรวจสอบโครงการ AI ทุกโครงการ คุณคิดว่าคุณกำลังทำสิ่งที่รับผิดชอบ คุณกำลังสร้างปัญหาอีกครั้ง ในระยะเวลาหนึ่งในสี่ ทีมของคุณจะหาทางหลบเลี่ยงคุณ — และคุณได้สร้างปัญหา AI ที่ซ่อนอยู่ที่คุณพยายามป้องกัน

ทุกสุสานมีคำจารึกเดียวกัน คือ ข้อมูลประจำตัวที่กระจายอยู่ทั่วแล็ปท็อป ไม่มีประวัติการตรวจสอบ และมีเงินมากมายที่ต้องเสี่ยง

การพลิกกลับที่แท้จริงที่ทำงาน

การแก้ไขไม่ใช่การเพิ่มแรงเสียดทาน มันคือการพลิกกลับ

การรักษาความปลอดภัยแบบดั้งเดิมสร้างแรงเสียดทานเพื่อป้องกันพฤติกรรมที่ไม่ดี ผู้ใช้จะหาทางหลบเลี่ยง มันจะแสดงออกมาเมื่อมีการละเมิด

พลิกกลับ มาทำให้เส้นทางที่ได้รับการจัดสรรเร็วกว่าเส้นทางที่ไม่ได้รับการจัดสรร

มันจะดูอย่างไรในทางปฏิบัติ ผู้อำนวยการฝ่ายการตลาดคนเดียวกัน — แทนที่จะดิ้นรนกับ Python และบัญชีบริการ — ขอการเข้าถึง Google Analytics จากภายใน AI ที่ช่วยเหลือของเธอ การขอเข้าถึงจะถูกส่งไปยังเครื่องมือกำกับดูแล ความเสี่ยงต่ำ เครื่องมือที่ทราบ ผู้ใช้ที่ทราบ — อนุมัติอัตโนมัติ ข้อมูลประจำตัวถูกเก็บไว้ในห้องเก็บของ มีระยะเวลาสั้น และไม่เคยสัมผัสกับแล็ปท็อปของเธอ ทุกๆ การส่งคำถามจะถูกบันทึกไว้ เธอสามารถทำงานรายงานได้ภายในหนึ่งนาที

คนเดียวกัน ผลลัพธ์เดียวกับที่เธอต้องการ ใช้เวลาเพียงเศษเสี้ยวของเวลาที่ใช้ มีประวัติการตรวจสอบที่สมบูรณ์ ผลลัพธ์ที่แตกต่าง

นั่นคือสิ่งที่การจัดการการเข้าถึง AI ดูเหมือนเมื่อมันถูกสร้างขึ้นอย่างถูกต้อง เส้นทางที่เร็วที่สุดกลายเป็นเส้นทางที่ปลอดภัยที่สุด การกระตุ้นให้หลบเลี่ยง IT หายไป — ไม่ใช่เพราะคุณบังคับให้ปฏิบัติตามกฎระเบียบอย่างเข้มงวด แต่เพราะคุณทำให้การปฏิบัติตามกฎระเบียบง่ายกว่าการหลบเลี่ยง เมื่อเส้นทางที่มีการกำกับดูแลของคุณเร็วกว่าเส้นทางที่ไม่มีการกำกับดูแล AI ที่ซ่อนอยู่จะเริ่มแก้ไขปัญหาเอง

การวัดสิ่งที่สำคัญ

นี่คือตัวชี้วัดที่ไม่เคยหายไป คือ เส้นทางที่มีการจัดสรรเร็วกว่าเส้นทางที่ไม่มีการจัดสรรหรือไม่ การวัดนี้ไม่ใช่การวัดครั้งเดียว มันเป็นสัญญาณที่ต่อเนื่อง ทุกครั้งที่คุณเพิ่มขั้นตอน การตรวจสอบ การอนุมัติ — ถามว่าคุณเพิ่มเส้นทางที่ไม่ได้รับการจัดสรรให้สวยงามขึ้นหรือไม่

การบริการตนเองไม่ใช่คุณลักษณะของประสิทธิภาพการผลิต มันเป็นคุณลักษณะด้านความปลอดภัย สิ่งนี้พลิกกลับวิธีที่ทีมความปลอดภัยส่วนใหญ่คิดเกี่ยวกับการจัดการการเข้าถึง และเป็นการเปลี่ยนแปลงที่สำคัญที่สุดที่ฉันสามารถให้ได้ แรงเสียดทานสร้างความเสี่ยง — ทุกครั้ง

หากคุณต้องการพฤติกรรม ให้ทำเป็นค่าเริ่มต้น หากคุณไม่ต้องการพฤติกรรม ให้ทำมันให้ยากกว่าทางเลือกอื่น สร้างตามหลักการนี้ และปัญหา AI ที่ซ่อนอยู่ส่วนใหญ่จะแก้ไขตัวเอง