天空之高安全公司首席技术官Steve Tait – 采访系列

Steve Tait，天空之高安全公司（Skyhigh Security）的首席技术官，是一位具有超过25年经验的资深执行技术领导者，曾在网络安全、国防、金融服务和医疗保健领域工作。他于2024年8月加入天空之高安全公司，负责公司的安全服务边缘（SSE）技术愿景、架构和云基础设施战略。

天空之高安全公司是一家私营的、云原生网络安全公司，总部位于加利福尼亚州圣何塞，提供了一套全面的安全服务边缘（SSE）平台。该平台统一了CASB、安全Web网关、零信任私有访问、CNAPP、DLP和远程浏览器隔离等解决方案，以保护数据并确保跨Web、云、电子邮件和私有应用程序的安全协作。凭借对实时数据保护、威胁防御和合规性的关注，天空之高安全公司通过为现代混合工作环境设计的可扩展、数据感知架构，服务于全球超过3,000家客户，包括许多《财富》500强公司和主要金融机构。

您在移动数据领域开始了您的职业生涯，然后在不同领域的工程和领导角色中晋升——哪些早期经验塑造了您对网络安全的热情，并使您走到今天的位置？

当我加入BAE系统时，我对那些令人难以置信的团队的工作有了深刻的理解，他们会对最恶意的病毒和恶意软件进行逆向工程，以便了解如何防御它们。网络犯罪行业的庞大规模和组织性专业性真是令人大开眼界。例如，网络攻击背后的代码有时可以追溯到多个国家行为者和犯罪组织。这不是青少年在卧室里的行为，而是一项严肃的全球性商业。防御这种行为对社会来说是一件好事，我想成为其中的一部分。

您曾经说过，“数字转型已经结束”，我们现在进入了人工智能转型时代——您如何在公司战略和成果方面区分这两个阶段？

数字转型是关于使用技术来重新设计业务流程，使其更加高效、有效，并为客户提供更好的体验。从业务角度来看，人工智能转型寻求实现相同的目标。然而，根本区别在于，数字转型通过流程自动化、数据聚合和高级数据可视化来实现这一目标，而人工智能转型通过原始内容创作、伴侣分析和自主决策来实现这一目标。数字转型旨在优化和简化人类决策过程。人工智能转型具有消除许多决策过程的能力！

您认为公司在从传统自动化转向集成生成式人工智能时面临的最大组织挑战是什么？

为了真正利用人工智能的优势，需要进行巨大的转变。几年后，业务可能会看起来完全不同。然而，尽管存在炒作，人工智能仍处于早期阶段。今天，最大的人员组织问题实际上是培训。许多公司已经推出了通常的20分钟企业培训视频来介绍人工智能，但这根本不够。员工需要学习如何利用这项技术，了解它带来的真正风险，并理解它的工作原理，即使只是一点点。这样，员工就可以帮助业务在技术方面进行转型。然后，需要实施安全工具来捕获无意中的错误，这又回到了诸如数据丢失防护（DLP）等技术。

在《安全杂志》中，您强调了提示注入和幻觉等风险——哪种威胁向量最让您担心，Skyhigh如何解决它？

无意的数据外泄是企业面临的最大威胁。仅从Skyhigh跟踪的数据来看，过去一年中上传到大型语言模型（LLM）的数据量增加了惊人的80%。许多接口像商业助手一样运行，鼓励上传更多信息。与第三方分析共享信息的行为——将文件打包并上传到SFTP位置——会让员工停下来思考他们正在做什么以及潜在的风险。使用人工智能工具进行分析并将数据块粘贴到提示中以获得快速答案，只需要几秒钟的努力，但问题仍然存在：数据去了哪里，如何使用？因此，Skyhigh的主要重点是人工智能应用的数据丢失防护，特别是联合飞行员（copilots）方面的防护。

您引用了统计数据，显示94%的AI应用存在LLM风险，11%的上传到AI的文件是敏感的——您看到企业如何应对这些问题？

企业仍然主要使用“用户政策”和“阻塞”作为他们的主要技术，但许多企业仍然对每天使用的AI数量浑然不知。我们看到很多企业对发现、可见性以及将数据丢失防护技术扩展到AI（特别是主要的联合飞行员应用）方面感兴趣。

企业联合飞行员可以访问大量的专有数据——防止未经授权的数据泄露或滥用的最有效策略是什么？

一切从政策和培训开始。其次，数据标签和DLP技术至关重要。例如，Microsoft AIP标签可以防止Microsoft Copilot索引机密数据。结合CASB和DLP工具，AIP标签可以根据数据分类自动添加。对文档和提示数据进行的DLP可以防止意外的数据上传。

您强调了公民开发者创建自己的应用程序的风险——公司如何在促进创新和确保安全开发之间取得平衡？

这始终归结为培训。仅仅因为某人是“公民开发者”，并不意味着他们可以选择性地忽略标准工程师培训中包含的安全基本原则。他们不需要知道所有熟练软件工程师可能知道的内容，但基本的特权访问和水平特权升级概念在构建应用程序时很重要。从我的角度来看，在提供这些工具的访问权限之前，应该完成适当的培训。然后，需要实施安全工具来捕获无意中的错误，这又回到了诸如DLP等技术。

作为Skyhigh Security的CTO，您在接下来的12-18个月内优先考虑哪个人工智能风险缓解领域——联合飞行员、公民开发或合规基础设施？

意识是至关重要的，Skyhigh已经提供了全面的暗影AI发现工具。Microsoft Copilot和ChatGPT Enterprise是我们2025年的主要重点。我们已经在这两者上推出了控制措施，并将在2025年剩余时间内进一步扩展这些控制措施。进入2026年，我们将重点转向提示控制，以保护免受恶意提示、越狱和其他关键LLM风险的影响。

您预见哪一项突破或转变可能会完全改变我们对企业安全在人工智能第一世界的看法？

代理人工智能。它才刚刚开始，但影响可能是巨大的。随着更多代理链条在一起，攻击向量会随着链条的增加而增加。很多网络犯罪都是因为“看起来不对劲”而被人类发现的。在这些代理链中，如何发现损害的迹象将是一个真正的挑战。

感谢这次精彩的采访，希望了解更多的读者可以访问天空之高安全公司。