Cinchy 首席执行官 J. Paul Haynes – 采访系列

J. Paul Haynes，Cinchy 首席执行官，是一位拥有数十年经验的网络安全和技术高管，曾经领导和扩张多家企业安全公司。他最出名的是在 eSentire 的领导，他帮助公司成长为一家主要的管理检测和响应提供商，并将其丰富的工程、网络安全、私募股权支持的增长和企业风险管理经验带到了 Cinchy 公司，专注于可信的 AI 采用和治理。

Cinchy 是一家企业 AI 治理和数据协作公司，专注于帮助组织安全地连接 AI、系统和数据。其 PeriMind 平台作为 AI 行动的控制平面，为企业提供了对 AI 代理如何与业务系统交互的可见性、策略执行、安全性和审计能力，而其数据协作平台帮助团队在整个组织中管理和共享受治理的数据，无需依赖复杂的集成或重复的数据仓库。

您在 eSentire 公司度过了 15 年以上的时间，帮助公司成长为网络安全行业最受认可的公司之一。您从这段经历中获得了什么教训，并将这些教训带到了您作为 Cinchy 首席执行官的新角色中？为什么您认为现在是专注于 AI 治理和可信 AI 采用的合适时机？

我在 eSentire 学到的最重要的一课是，组织并不因为缺乏技术而挣扎。他们挣扎是因为新兴技术创造的运营复杂性比大多数公司自己能够管理的速度更快。我认为 AI 正在遵循一条非常相似的路径。

今天的挑战不是让员工尝试使用 AI。大多数组织已经在这样做。真正的挑战是将 AI 移入生产环境，在那里，决策会影响客户、财务结果、法规遵从和业务运营。

像金融服务这样的高度监管行业很好地说明了这一点。他们并不是因为不理解 AI 而行动缓慢。他们行动谨慎，因为他们还不能信任 AI 处理任务关键的工作。组织在让 AI 系统做出决定之前，需要回答一些基本问题：谁批准了这些决定？如何监控它们？何时需要人类干预？如果模型发生偏移、故障或变得不可用会发生什么？

这些问题让我想起了 15 年前网络安全的状况。安全性从技术问题演变成运营学科。我相信 AI 治理正处于同样的轨迹上。

这就是我加入 Cinchy 的原因。我们相信，信任的 AI 采用（而不是 AI 实验）将定义下一个十年，我们认为管理的 AI 治理将变得和管理的网络安全一样重要。

许多企业在过去两年中尝试了生成式 AI，但相对较少的企业成功地将 AI 部署到任务关键的工作流程中。组织从试点到生产的转变中面临的最大障碍是什么？

我不认为公司挣扎是因为技术不够好。我认为他们挣扎是因为一旦 AI 超出实验阶段，风险就会大大增加。

试点是一回事，将 AI 投入生产是另一回事。现在，它正在访问企业数据，交互业务系统，甚至可能代表员工做出决定。这时，领导层会正确地问，“我们如何控制它？我们如何监控它？以及我们什么时候需要有人介入？”

这些并不是减慢 AI 采用的理由。它们是使 AI 采用成为可能的原因。如果你能自信地回答这些问题，组织就会行动得更快。

您在整个职业生涯中都在保护企业环境免受网络威胁。保护一个由 AI 驱动的组织与保护一个传统的 IT 环境相比，有什么不同？

传统的网络安全专注于保护端点、身份、网络和云环境。AI 添加了另一个永久的企业威胁表面。每个 AI 系统都引入了新的风险。模型访问、提示注入、过度权限、模型漂移、自主决策以及以前不存在的完全新攻击路径。

重要的是，AI 安全性并不是与网络安全分开的。它扩展了网络安全。组织仍然需要每一个现有的安全控制，但现在他们还需要专门为生产环境中的 AI 系统设计的安全性。

影子 IT 一直是安全团队关注的问题，现在我们看到影子 AI 的崛起。这种挑战有多大，组织正在低估什么风险？

影子 AI 正在成为最快增长的商业风险之一，因为高管团队正在在没有先行建立治理的情况下鼓励快速采用 AI。大多数员工并不是故意要造成伤害。他们只是想变得更高效。问题在于，AI 系统继承了用户已经拥有的权限。

一位高管可能会无意中将机密的财务数据、客户信息或知识产权暴露给公众，只因为他们要求 AI 分析这些信息。

这就是为什么组织需要可见性、策略控制和治理，不是为了减慢 AI 采用的速度，而是为了使其安全到可以扩大的程度。

AI 代理越来越多地被授予访问企业系统、数据和决策过程的权限。当 AI 系统可以自主运行而不是简单地生成内容时，会出现什么新的问责和治理挑战？

AI 代理从根本上改变了治理对话，因为它们不再只是生成内容。它们正在采取行动。每当一个自主系统可以批准交易、访问企业系统或做出业务决策时，组织都需要完全的问责制。

每个行动都应该回答简单的问题：

• 发生了什么事？
• 为什么会发生这种事？
• 哪个 AI 代理做出了决定？
• 谁授权了它？
• 何时应该有人介入？

这些原则并不是新鲜的。行业已经在像萨班斯-奥克斯利法案这样的法规下生活了几十年。AI 只是将这些相同的期望扩展到自主的数字工人。

许多组织正在因为竞争压力而争相部署 AI。商业领导者如何在需要速度的同时平衡治理、合规性和风险管理的需要？

治理不应该减慢 AI 采用的速度。它应该加速它。组织在建立了治理后会行动得更快，因为他们会对自己正在构建的环境有信心。这意味着建立一个安全的、可监控的 AI 架构，持续评估模型的漂移和性能，管理访问企业系统，并在 AI 到达生产之前拥有明确的运营控制。

就像组织采用了管理检测和响应来简化网络安全一样，我相信许多组织将采用管理的 AI 治理来获得专业知识，而无需在内部建立大型专家团队。

董事会正在越来越多地参与 AI 监督。董事会成员应该向管理团队询问关于 AI 战略、治理和问责制的问题？

董事会应该问一个基本问题：管理层是否能够证明 AI 正在按照与其他关键业务系统相同的治理水平运行？

这意味着了解 AI 在哪里被使用、谁拥有它、如何监控决策、如何管理风险以及如果 AI 服务变得不可用，组织将如何继续运营。成功的组织不一定是那些采用 AI 最快的组织。他们将是那些建立了信任 AI 的运营学科的组织。

网络安全行业已经花了几十年时间开发框架、控制和最佳实践。是否有来自网络安全的教训可以直接应用于 AI 治理，还是 AI 需要一种完全新的方法？

网络安全为 AI 治理提供了一个优秀的蓝图。身份管理、最小权限、持续监控、审计跟踪、事件响应和恢复能力仍然是必不可少的。新的是，AI 引入了传统系统从未有的挑战，包括模型漂移、幻觉、提示操纵和对第三方基础模型的依赖。因此，AI 不是取代网络安全，而是建立在网络安全之上，并添加了一个额外的治理层。

“信任的 AI 采用”实际上是什么样子？是否有特定的治理原则或运营保障措施，每个企业在扩大 AI 计划之前都应该具备？

我倾向于像我们多年前思考网络安全一样思考它。没有人问安全性是否创造了价值。问题是你是否信任你的环境足以让业务继续运行。

AI 正在朝着同样的方向发展。如果你看不到它在做什么、控制它可以访问什么或了解它为什么做出某些决定，你可能不会让它处理任何重要的事情。

一旦你有了这种信心，采用就会自然发生。组织停止将 AI 当作一个有趣的实验，并开始将其视为业务的另一个部分。

展望未来三到五年，AI 治理和竞争优势之间的关系将如何演变？强大的治理将成为一种区别，还是只是做业务的要求？

在接下来的三到五年里，强大的 AI 治理不会成为一种竞争区别。它将成为一种商业要求。那些建立了治理的组织将更快地采用 AI，因为他们将有信心将关键工作负载投入生产。那些没有做到这一点的组织将停留在实验阶段，而竞争对手将实现显著的生产力、创新和客户体验的收益。最终，治理不会减慢 AI 采用。它将是组织能够完全信任 AI 的原因。

感谢您接受这次精彩的采访，希望了解更多的读者请访问 Cinchy。