С ростом популярности искусственного интеллекта безопасность приобретает все большее значение в каждой организации, что порождает новую проблему — приложения «теневого ИИ», которые необходимо проверять на соответствие политикам безопасности, пишет на портале Network Computing Камал Шринивасан, старший вице-президент по управлению продуктами и программами компании Parallels (часть Alludo).
Проблема теневых ИТ последних лет превратилась в проблему теневого ИИ. Растущая популярность больших языковых моделей (LLM) и мультимодальных языковых моделей привела к тому, что продуктовые команды в организациях стали использовать эти модели для создания сценариев применения, повышающих производительность. Появилось множество инструментов и облачных сервисов, упрощающих создание и развертывание приложений генеративного ИИ (GenAI) командами маркетинга, продаж, разработки, юристов, кадровиков и т. д. Однако, несмотря на быстрое внедрение GenAI, службы безопасности еще не определились с последствиями и политикой. При этом команды разработчиков продуктов, создающие приложения, не ждут, пока их догонят команды безопасности, тем самым создавая потенциальные проблемы безопасности.
ИТ-отделы и службы безопасности сталкиваются с несанкционированными приложениями, которые могут приводить к угрозам проникновения в сеть, утечке данных и сбоям в работе. В то же время организации должны избегать слишком жесткого подхода, который может затормозить инновации и помешать разработке прорывного продукта. Принудительное применение политик, которые не позволят пользователям экспериментировать с приложениями GenAI, негативно скажется на производительности и приведет к дальнейшему обособлению.
Проблема видимости теневого ИИ
Теневые ИТ создали сообщество сотрудников, которые используют неавторизованные устройства для поддержки своих рабочих нагрузок. Это также породило «гражданских разработчиков», которые могут использовать инструменты no-code или low-code для создания приложений, не обращаясь к официальным каналам для получения нового ПО. Сегодня мы имеем гражданских разработчиков, использующих ИИ для создания ИИ-приложений или других типов ПО.
Эти приложения, созданные с помощью ИИ, обеспечивают продуктивность и ускоряют завершение проектов или показывают, как далеко могут зайти LLM в решении сложной задачи DevOps. Хотя обычно приложения теневого ИИ не являются вредоносными, они могут потреблять облачное хранилище, увеличивать расходы на хранение данных, создавать угрозы для сети и приводить к утечке данных.
Как ИТ-отделы могут получить видимость теневого ИИ? Целесообразно укрепить практики, применяемые для снижения рисков теневых ИТ, с оговоркой, что LLM могут сделать любого гражданским разработчиком. При этом объем приложений и генерируемых данных значительно увеличивается. Это означает усложнение задачи по защите данных для ИТ-команд, которые должны наблюдать, отслеживать, изучать и затем действовать.
Защита данных в мире теневого ИИ
Результаты работы теневого ИИ должны быть обнаружены, проанализированы и подчинены тем же политикам безопасности, которые применяются к другим рабочим нагрузкам с данными на предприятии. Убедиться в том, что инструменты обнаружения данных, мониторинга и применения правил политики работают с максимальной производительностью, — важнейший первый шаг. Аналитики могут использовать средства автоматизации на базе ИИ, работающие в круглосуточном режиме, чтобы отмечать необычное поведение и помогать предотвращать нарушения конфиденциальности данных и нормативных требований.
Выводы ИИ также требует инновационных подходов из-за огромного объема обрабатываемых и генерируемых данных, которые, будучи неконтролируемыми, могут привести к тому, что организация окажется под угрозой нарушения правил конфиденциальности данных. Так называемые «конфиденциальные вычисления» — это один из подходов, который применяют некоторые компании. По сути, это шифрование данных во время их обработки, благодаря чему конфиденциальные и частные данные не могут быть раскрыты. Это способ гарантировать, что данные, используемые и/или генерируемые приложениями теневого ИИ, не будут подвергаться риску.
Удаленный теневой ИИ добавляет сложности
Текущая статистика рынка говорит о том, что удаленная работа останется жизнеспособным вариантом в обозримой перспективе. Различные исследовательские прогнозы показывают, что значительная часть рабочей силы в ИТ-индустрии, особенно те, кто обладают навыками разработки приложений и применения ИИ, определяют эту тенденцию. В других областях, таких как медицина, здравоохранение, бухгалтерия, финансы и маркетинг, также наблюдается значительное присутствие удаленной работы. Представители всех этих профессий имеют возможность стать практиками теневого ИИ, поскольку генеративный ИИ легко доступен.
Организациям необходимо тщательно разрабатывать и активно применять различные меры безопасности удаленных приложений, чтобы помогать ИТ-отделу лучше контролировать несанкционированные и не полностью проверенные теневые приложения. Решения для удаленных приложений, например, могут помочь организациям, которые уже находятся в процессе облачной трансформации, развернуть архитектуру нулевого доверия (Zero Trust Architecture, ZTA). Это достигается путем внедрения решения для удаленной изоляции браузера, которое оценивает запросы с учетом политики доступа и мер безопасности компании. Это позволит ИТ-отделу начать внедрять ZTA на уровне облака для всех пользователей, независимо от того, где они находятся или распределены по всему миру. Еще одним преимуществом является отсутствие необходимости в дорогостоящем периферийном оборудовании.
Четыре способа предотвращения утечек данных посредством теневого ИИ
Одной из главных проблем для организаций в мире GenAI является безопасность данных. При вводе в ИИ-инструменты конфиденциальной информации о компании, исходного кода или финансовых данных возникают опасения по поводу раскрытия чувствительных данных и того, будет ли эта информация использована для обучения базовых моделей. Некоторые отрасли, такие как здравоохранение или финансовые услуги, весьма чувствительны к утечкам данных.
Чтобы предотвратить подобные риски, необходимо соблюдать четыре правила:
- Усилить все основные меры безопасности, регулирующие потоки данных.
- Добавить специфические для ИИ меры по укреплению безопасности.
- Усовершенствовать решения для удаленных работников, чтобы обеспечить снижение рисков, связанных с теневым ИИ.
- Принять, что сотрудники стремятся к продуктивности, и ИИ может быть полезен, если его правильно контролировать.
Эти методы обеспечат безопасную среду данных.
