Освітлення ризиків бізнесу: Як Shadow AI змінює ландшафт мобільних загроз

Штучний інтелект революціонізує спосіб нашої роботи. Від сумісного документування та складання контрактів до генерації коду та автоматизації робочих процесів, інструменти штучного інтелекту стали невід’ємною частиною щоденної діяльності бізнесу. Однак поряд з затвердженим використанням штучного інтелекту в організаціях існує зростаюча тенденція, відома як Shadow AI – несанкціоноване використання інструментів штучного інтелекту без офіційного нагляду з боку ІТ- або безпекових команд.

Shadow AI не просто порушення політики ІТ. Це представляє собою структурну прогалину в управлінні на перетині ідентифікації, захисту даних, дотримання вимог та автономних систем. Коли можливості штучного інтелекту розширюються, особливо в мобільних середовищах, організації стикаються з швидко зростаючою поверхнею загроз, яку традиційні засоби безпеки не були спроможні вирішити.

Мобільні пристрої: Коефіцієнт сили ризику Shadow AI

По мірі прискорення мобільного прийняття ризик Shadow AI зростає. Смартфони та планшети стали оперативним центром підприємства, об’єднуючи ідентифікацію, повідомлення та доступ до хмарних сервісів в одному постійно активному кінцевому пристрої. Тим часом штучно-інтелектуальні додатки заповнюють магазини додатків, дозволяючи працівникам розгортати автономні можливості миттєво, часто поза наглядом ІТ. Насправді, Lookout визначив понад 25 000 мобільних додатків зі штучно-інтелектуальними можливостями, які вже присутні в Apple App Store та Google Play Store, підкреслюючи, як швидко ця вразливість розвивається на мобільному краю.

По мірі того, як мобільність та несанкціонований штучний інтелект перетинаються, підприємницька вразливість зростає, підтверджуючи фундаментальну істину: мобільний ризик – це ризик бізнесу.

Автономний штучний інтелект: Автономні цифрові актори всередині організації

Автономний штучний інтелект вводить ще одну зміну в підприємницький ризик. На відміну від пасивних генеративних інструментів, які просто створюють контент у відповідь на запит, автономні системи розроблені для планування, прийняття рішень та виконання дій самостійно. Вони можуть автономно ініціювати спілкування, запускати фінансові транзакції, змінювати записи, взаємодіяти з підприємницькими додатками та ланцюжити багатокрокові робочі процеси без нагляду людини. По суті, вони діють як цифрові актори всередині організації.

Коли ці можливості функціонують поза встановленими кадрами управління, вони посилюють ризик на швидкості машини. Рішення, які раніше вимагали людського судження, тепер можуть бути виконані миттєво, багаторазово та у великому масштабі. Дозволи на доступ, інтеграції API та делеговані повноваження перетворюють ці системи з консультативних інструментів у оперативні агенти, здатні переміщувати дані, змінювати системи та ініціювати бізнес-процеси.

Наприклад, мобільний штучно-інтелектуальний асистент з доступом до корпоративної електронної пошти та хмарного сховища міг би автономно підсумувати конфіденційні матеріали ради директорів та передавати їх зовнішньому штучно-інтелектуальному сервісу для “аналізу”. Навіть якщо це було зроблено з добрими намірами, наслідки для управління є глибокими: конфіденційна інформація може покинути контрольовані середовища, можуть бути спровоковані нормативні зобов’язання, аудиторські сліди можуть бути неповними, а вимоги щодо резиденції даних можуть бути порушені. Ризик полягає не лише у витоці даних, а й у делегуванні оперативної влади системам, які можуть не бути видимими, санкціонованими чи керованими.

Управління та зростання ISO 42001

По мірі прискорення ризику штучного інтелекту, глобальні кадри управління еволюціонують, щоб встановити структуру та підзвітність. Серед найважливіших є ISO/IEC 42001, міжнародний стандарт системи управління штучним інтелектом. ISO 42001 вимагає від організацій впровадження процесів управління ризиками для нагляду, моніторингу та безперервного управління системами штучного інтелекту.

Цей стандарт застосовується не лише до традиційних розгортань штучного інтелекту, а й до автономних систем штучного інтелекту, здатних до автономної дії. Організації повинні продемонструвати видимість, контроль та слідковість по всьому використанню штучного інтелекту в своїх середовищах. Shadow AI безпосередньо підтримує цю вимогу. Коли працівники розгортають інструменти штучного інтелекту поза санкціонованими каналами, підприємства втрачають можливість достовірно стверджувати повне управління штучним інтелектом.

У регульованих галузях – включаючи охорону здоров’я, фінансові послуги, державний сектор та критичну інфраструктуру – ця прогалина в управлінні особливо суттєва. Некеровані використання штучного інтелекту можуть створити суттєву ризикову вразливість згідно з законами про конфіденційність, правилами захисту даних та договорними зобов’язаннями.

Традиційні засоби безпеки не достатні для мобільних пристроїв

Багато організацій припускають, що існуючі засоби безпеки – такі як шлюзи електронної пошти, платформи захисту кінцевих точок та CASB – достатні для управління ризиком штучного інтелекту. На практиці вони не достатні. Shadow AI, особливо в мобільних середовищах, де діяльність відбувається повністю на смартфонах та планшетах, може уникнути засобів контролю на робочому столі та обійти традиційний моніторинг мережі. Без спеціальної видимості мобільних додатків команди безпеки не мають необхідної інформації для виявлення витоку даних, несанкціонованої автоматизації або автономної діяльності систем поза кадрами управління.

Імператив дотримання вимог: Визначення мобільних додатків штучного інтелекту

Для відповідності вимогам ISO 42001 та майбутніх нормативних очікувань організації потребують можливостей безпеки, які можуть визначити мобільні додатки зі штучним інтелектом, виявити несанкціоноване або високоризикове використання штучного інтелекту, моніторити потоки даних між додатками штучного інтелекту та підприємницькими системами, оцінювати поведінкові моделі автономної поведінки та застосовувати політичні засоби контролю безпосередньо на мобільному кінцевому пристрої. Продукти безпеки, здатні класифікувати та аналізувати мобільні додатки зі штучним інтелектом – особливо ті, які мають автономні можливості – стають необхідними інструментами дотримання вимог, а не необов’язковими поліпшеннями.

Без видимості щодо того, які мобільні додатки включно штучний інтелект, організації не можуть проводити суттєві оцінки ризику штучного інтелекту, документувати нагляд чи застосовувати кадри управління. По мірі того, як штучний інтелект стає частиною продуктивних додатків, платформ спілкування та інструментів робочих процесів, виявлення повинно еволюціонувати за межі традиційного визначення зловмисного коду до аналізу поведінки, мапування дозволів та безперервного моніторингу доступу та руху даних.

Виклик до дії

Shadow AI не є майбутньою проблемою; це вже вбудовано в мобільні пристрої, які живлять підприємницьку діяльність. По мірі прискорення прийняття мобільних технологій прогалини в управлінні будуть розширюватися спочатку – і найшвидше – на мобільних пристроях. Лідери безпеки повинні знати, які додатки штучного інтелекту присутні на корпоративних та BYOD-пристроях, виявляти автономну поведінку в мобільних додатках та моніторити потоки даних, які залишають кінцеві пристрої. Оскільки Shadow AI процвітає в зашифрованому мобільному трафіку та екосистемах додатків, дотримання вимог зараз залежить від мобільних можливостей безпеки, які розкривають діяльність штучного інтелекту та застосовують кадри управління.

По мірі того, як штучний інтелект змінює підприємницькі операції, управління штучним інтелектом означає забезпечення безпеки мобільних пристроїв, які працівники носять з собою щодень.