Rủi ro phơi nhiễm dữ liệu AI mà không ai để ý đến: Tiết lộ bí mật trong các quy trình làm việc doanh nghiệp

Đa số các cuộc thảo luận về rủi ro AI trong doanh nghiệp bắt đầu với một mối quan ngại quen thuộc: nhân viên dán dữ liệu khách hàng vào các công cụ trò chuyện. Quyền riêng tư và phơi nhiễm quy định chiếm ưu thế trong các tiêu đề và báo cáo của hội đồng quản trị, và nghiên cứu từ Deloitte cho thấy rằng quyền riêng tư và bảo mật dữ liệu là những rủi ro hàng đầu mà các tổ chức lo lắng về AI.

Tuy nhiên, dữ liệu từ việc sử dụng AI trong thực tế cho thấy một câu chuyện khác. Thông tin nhạy cảm nhất chảy vào các công cụ AI không phải là dữ liệu cá nhân. Đó là bí mật và thông tin xác thực.

Khóa API, token truy cập, webhook và các artifact xác thực hiện chiếm tỷ lệ lớn nhất trong số các sự kiện phơi nhiễm dữ liệu nhạy cảm được quan sát trong các lời nhắc AI. Những tiết lộ này hiếm khi xuất phát từ sự bất cẩn hoặc ý định xấu và thay vào đó xuất phát từ các công việc hàng ngày như gỡ lỗi tích hợp, giải quyết vấn đề tự động hóa, kiểm tra mã hoặc giải quyết vấn đề của khách hàng. Khi AI được tích hợp vào các quy trình làm việc hàng ngày, những khoảnh khắc này xảy ra liên tục và thường nằm ngoài tầm nhìn của các biện pháp bảo mật truyền thống.

Hậu quả là rõ ràng. Khi việc áp dụng AI mở rộng, các tổ chức đang có một bức tranh chính xác hơn về nơi rủi ro thực sự xuất hiện, và quản trị phải phát triển để giải quyết chúng.

Rủi ro phơi nhiễm dữ liệu AI bị bỏ qua đang ẩn náu ngay trước mắt

Một phân tích sử dụng AI gần đây được thực hiện bởi Nudge Security đã kiểm tra telemetry ẩn danh trên các môi trường doanh nghiệp để hiểu cách các công cụ AI thực sự được sử dụng trong nơi làm việc. Thay vì dựa vào khảo sát hoặc báo cáo tự nguyện, nghiên cứu đã phân tích hoạt động AI quan sát được, tích hợp và hành vi lời nhắc trên các hệ sinh thái SaaS doanh nghiệp.

Kết quả mang lại cái nhìn sâu sắc mới về nơi rủi ro AI thực sự xuất hiện trong sử dụng doanh nghiệp. Các sự kiện phơi nhiễm dữ liệu nhạy cảm trong các lời nhắc AI bị chi phối bởi thông tin xác thực vận hành. Bí mật và thông tin xác thực chiếm khoảng 48% số sự kiện dữ liệu nhạy cảm được phát hiện, so với 36% cho dữ liệu tài chính và 16% cho thông tin liên quan đến sức khỏe. Những mẫu này cho thấy rằng thách thức phơi nhiễm dữ liệu AI lớn nhất không phải là rò rỉ quyền riêng tư, mà là sự lan rộng của bí mật.

Nghiên cứu cũng cho thấy rằng việc áp dụng AI đã vượt qua giai đoạn thử nghiệm. Các công cụ AI được tích hợp vào các quy trình làm việc, tích hợp với các nền tảng kinh doanh cốt lõi và ngày càng có khả năng thực hiện hành động tự chủ. Các nhà cung cấp mô hình ngôn ngữ lớn cốt lõi hiện gần như phổ biến, với OpenAI có mặt trong 96% tổ chức và Anthropic trong 78%.

Nghiên cứu từ McKinsey cho thấy 88% tổ chức báo cáo sử dụng AI thường xuyên trong ít nhất một chức năng kinh doanh, so với 78% một năm trước. Các công cụ thông minh cuộc họp, nền tảng mã hóa hỗ trợ AI, trình tạo trình bày và công nghệ giọng nói được triển khai rộng rãi, phản ánh cách AI đã mở rộng từ các giao diện trò chuyện vào các quy trình làm việc hàng ngày. Sự mở rộng này quan trọng vì rủi ro đi theo sử dụng. Khi AI được tích hợp vào môi trường phát triển, nền tảng hợp tác và quy trình hỗ trợ khách hàng, nó sẽ tiếp cận gần hơn với các hệ thống và dữ liệu vận hành nhạy cảm.

Việc áp dụng cũng được thúc đẩy từ dưới lên. Một nghiên cứu gần đây của KPMG cho thấy rằng 44% nhân viên sử dụng các công cụ AI theo cách mà người sử dụng không được ủy quyền, phản ánh cách nhanh chóng những công cụ này được đưa vào các quy trình làm việc hàng ngày. Nhân viên cài đặt các tiện ích mở rộng trình duyệt, kết nối các trợ lý và thử nghiệm các tích hợp để tăng tốc các nhiệm vụ hàng ngày, thường nằm ngoài các quy trình mua sắm tập trung. Các nhà phân tích bảo mật mô tả mẫu này là shadow AI, trong đó các công cụ hoạt động trong trình duyệt và các quy trình làm việc SaaS nằm ngoài tầm nhìn của các biện pháp bảo mật truyền thống. Bởi vì những công cụ này có thể được triển khai ngay lập tức và yêu cầu rất ít thiết lập kỹ thuật, các chương trình quản trị được xây dựng xung quanh các quy trình phê duyệt nhà cung cấp và chính sách sử dụng chấp nhận được đấu tranh để theo kịp cách AI thực sự được giới thiệu và sử dụng trên toàn doanh nghiệp.

Tại sao các bí mật bị rò rỉ có thể tạo ra rủi ro vận hành ngay lập tức

Dữ liệu cá nhân vẫn còn nhạy cảm và được quy định, nhưng các bí mật mang lại tác động vận hành ngay lập tức. Một khóa API bị rò rỉ có thể cung cấp quyền truy cập vào các hệ thống sản xuất. Một token bị xâm phạm có thể暴 lộ các kho lưu trữ. Một URL webhook có thể cho phép tự động hóa không được ủy quyền. Thông tin xác thực thường xuất hiện trong các lời nhắc AI trong quá trình làm việc hàng ngày. Các nhà phát triển dán token vào các giao diện trò chuyện trong khi giải quyết các vấn đề xác thực, các kỹ sư có thể chia sẻ các đoạn cấu hình để chẩn đoán các vấn đề tích hợp. Những hành động này không bất thường. Bí mật được nhúng trong các quy trình làm việc kỹ thuật và xuất hiện trong nhật ký, tập lệnh, tệp cấu hình và đầu ra tự động hóa. Khi các đội phải giải quyết vấn đề nhanh chóng, họ có thể chia sẻ các artifact này mà không dừng lại để xem xét dữ liệu nhạy cảm mà chúng chứa.

Các giao diện AI khuếch đại hành vi này. Các lời nhắc khuyến khích chia sẻ ngữ cảnh. Tải tệp hỗ trợ gỡ lỗi phong phú hơn. Các quy trình làm việc tích hợp làm cho việc di chuyển dữ liệu giữa các hệ thống trở nên dễ dàng. Nghiên cứu của Nudge Security cho thấy rằng 17% lời nhắc bao gồm hoạt động sao chép và dán hoặc tải tệp. Trong môi trường này, thông tin xác thực nhạy cảm có thể bị phơi nhiễm trong vài giây.

Quản trị truyền thống bỏ lỡ rủi ro hành vi

Các chương trình quản trị AI thường tập trung vào các biện pháp kiểm soát chính thức như chính sách và công cụ được phê duyệt. Cách tiếp cận này giả định rằng rủi ro xuất phát từ lạm dụng hoặc hành vi mô hình. Trong thực tế, các sự phơi nhiễm quan trọng nhất xảy ra trong quá trình làm việc hàng ngày được thực hiện bởi các nhân viên có ý định tốt.

Đường phố AI đang di chuyển nhanh, với các công nghệ mới được phát hành hàng ngày. Khi nhân viên của bạn với đến công cụ mới nhất, họ có thể bỏ qua cách tiếp cận truyền thống của kiểm soát mạng vì họ đơn giản là không thể theo kịp. Trình duyệt cho phép quan sát hành vi ngữ cảnh, cung cấp sự linh hoạt cần thiết để theo kịp cảnh quan công việc hiện đại đang thay đổi liên tục.

Sự mất kết nối này giải thích tại sao các tổ chức có thể thực hiện các chính sách mạnh mẽ nhưng vẫn trải qua sự phơi nhiễm dữ liệu nhạy cảm. Chính sách thiết lập các kỳ vọng. Hành vi quyết định kết quả. Quản trị hiệu quả đòi hỏi phải có tầm nhìn vào cách các công cụ AI thực sự được sử dụng và các rào cản hướng dẫn quyết định an toàn hơn vào thời điểm dữ liệu được chia sẻ.

Các tích hợp và đại lý mở rộng phạm vi phơi nhiễm

Hồ sơ rủi ro của một công cụ AI được định hình bởi những gì nó có thể truy cập. Các tích hợp tạo ra các đường dẫn đáng tin cậy giữa các hệ thống. Các quyền OAuth, token API và tài khoản dịch vụ cho phép các công cụ AI lấy tài liệu, cập nhật vé hoặc tương tác với các kho mã. Nghiên cứu về việc áp dụng AI trong doanh nghiệp cho thấy rằng các tích hợp hiệu quả định nghĩa phạm vi phơi nhiễm. Một quyền bị cấu hình sai hoặc token bị xâm phạm có thể phơi nhiễm toàn bộ kho tài liệu hoặc môi trường phát triển vì các kết nối đáng tin cậy cho phép di chuyển dữ liệu với tốc độ máy.

Đại lý AI giới thiệu thêm sự phức tạp. Các triển khai sớm thường ưu tiên chức năng hơn nguyên tắc đặc quyền tối thiểu. Các quyền được cấp trong quá trình thử nghiệm có thể tồn tại lâu sau khi các trường hợp sử dụng ban đầu đã phát triển. Theo thời gian, những quyền này tích lũy tạo ra rủi ro im lặng. Các đội bảo mật phải coi các tích hợp và quyền đại lý là các quyết định truy cập lâu dài chứ không phải là sự tiện lợi tạm thời.

Điều mà các đội bảo mật nên làm ngay bây giờ

Giảm phơi nhiễm bí mật trong các quy trình làm việc AI đòi hỏi một sự thay đổi từ các biện pháp kiểm soát phản ứng sang quản trị phản ánh cách công việc thực sự xảy ra. Các nhà lãnh đạo bảo mật có thể bắt đầu với các bước thực tế giúp cải thiện tầm nhìn, hướng dẫn hành vi an toàn hơn và giảm phơi nhiễm mà không làm chậm năng suất:

• Lập bản đồ nơi các tương tác AI xảy ra. Xác định các môi trường mà dữ liệu đi vào các công cụ AI, bao gồm cả các tiện ích mở rộng trình duyệt, môi trường phát triển, nền tảng tự động hóa và giao diện trò chuyện. Tầm nhìn liên tục vào các điểm tiếp xúc này cung cấp nền tảng cho quản trị hiệu quả.
• Can thiệp vào thời điểm quyết định được thực hiện. Thực hiện quét bí mật, lời nhắc xóa và cảnh báo kịp thời cảnh báo người dùng khi thông tin xác thực hoặc artifact nhạy cảm sắp được chia sẻ. Hướng dẫn kịp thời giảm phơi nhiễm vô tình trong khi vẫn giữ tốc độ quy trình làm việc.
• Áp dụng quản trị tích hợp với cùng mức độ nghiêm ngặt như ứng dụng OAuth. Xem xét các công cụ AI được kết nối với email, tài liệu, hệ thống vé và kho. Thực thi các phạm vi đặc quyền tối thiểu và thực hiện các đánh giá quyền định kỳ để giảm rủi ro phơi nhiễm lâu dài.
• Tạo quy trình làm việc an toàn hơn cho gỡ lỗi và hỗ trợ. Cung cấp các mẫu đã được xóa, kết nối an toàn và công cụ nội bộ để phân tích nhật ký hoặc tệp cấu hình để các đội có thể sử dụng AI cho giải quyết vấn đề mà không phơi nhiễm thông tin xác thực trực tiếp.
• Thiết lập rào cản cho tự động hóa dựa trên đại lý. Yêu cầu phê duyệt của con người cho các hành động có tác động cao, ghi nhật ký hoạt động của đại lý trung tâm và sử dụng token truy cập có phạm vi để ngăn chặn sự lan rộng của quyền và tự động hóa không mong muốn.
• Đặt nền tảng đào tạo trong các quy trình làm việc thực tế. Giáo dục hiệu quả nhất khi nó phản ánh các nhiệm vụ phổ biến như gỡ lỗi tích hợp, xem xét nhật ký hoặc tải tệp. Các ví dụ thực tế giúp nhân viên nhận ra rủi ro vào thời điểm nó phát sinh.

Những biện pháp này căn chỉnh quản trị với công việc hàng ngày, cho phép các tổ chức giảm phơi nhiễm bí mật trong khi vẫn hỗ trợ các lợi ích về năng suất thúc đẩy việc áp dụng AI.

Từ chính sách AI đến quản trị hành vi AI

AI đang phát triển từ một công cụ năng suất thành một lớp vận hành được dệt vào công việc hàng ngày, với nghiên cứu cho thấy các đại lý AI hiện được nhúng trên các quy trình làm việc doanh nghiệp và dự báo cho thấy các đại lý nhiệm vụ cụ thể trong một tỷ lệ lớn các ứng dụng doanh nghiệp. Khi việc áp dụng sâu sắc hơn, các rủi ro chính vượt ra ngoài vi phạm quyền riêng tư hoặc lạm dụng mô hình. Chúng xuất phát từ sự giao nhau của con người, quyền và nền tảng trong các quy trình làm việc thực tế.

Phơi nhiễm bí mật trong các lời nhắc AI là một tín hiệu rõ ràng của sự chuyển đổi rộng lớn hơn này. Nó làm nổi bật các hạn chế của các biện pháp kiểm soát dựa trên đường biên và quản trị chỉ dựa trên chính sách, và củng cố nhu cầu về các rào cản hoạt động tại nơi quyết định được thực hiện. Các tổ chức thích nghi sẽ chuyển từ các biện pháp kiểm soát phản ứng sang các mô hình quản trị dựa trên hành vi thực tế. Họ sẽ coi các tích hợp và quyền như những mối quan hệ truy cập lâu dài. Họ sẽ hướng dẫn nhân viên vào thời điểm hành động chứ không chỉ dựa vào việc thực thi chính sách.

AI đang chuyển từ công cụ sang cộng tác viên trong công việc hiện đại. Việc bảo mật sự cộng tác này đòi hỏi quản trị phải theo kịp, bảo vệ dữ liệu quan trọng trong khi hướng dẫn quyết định an toàn hơn và duy trì tốc độ và hiệu quả mà AI có thể mang lại.