С нарастването на внедряването на изкуствен интелект ръководителите научават трудни уроци относно сигурността, надзора и отговорността.
Компаниите по целия свят внедряват изкуствен интелект в своите операции – от AI агенти до добавяне на изкуствен интелект към съществуващи инструменти за сигурност и други вътрешни технологични системи.
Внедряването на изкуствен интелект обикновено се развива много по-бързо, отколкото организациите могат да изградят необходимите защитни механизми и рамки за управление, за да защитят системите и клиентските данни, според експерти по сигурност. Те предупреждават, че висшите ръководители и членовете на бордовете трябва да обърнат сериозно внимание на въпросите, свързани с киберсигурността и надзора, преди да внедрят изкуствения интелект изцяло.
Доклад от октомври на PwC показва, че компаниите са по-малко подготвени да се защитят от кибератаки, насочени към AI системи. Половината от ръководителите по сигурността заявяват, че защитата на изкуствения интелект е най-голямата им празнина в готовността, изпреварвайки заплахите за сигурността в облака, пробивите през трети страни и зловредния софтуер за откуп (ransomware).
„Всъщност смятам, че наблюдаваме нарастващо съзнание сред бизнес лидерите, че възможностите и рисковете от изкуствения интелект трябва да се разглеждат заедно“, заяви Тоня Угорец, съръководител на Института за киберсигурност и иновации в риска към PwC, пред Cybersecurity Dive.
Констатациите се основават на проучване сред повече от 3900 бизнес и технологични лидери в 71 страни по света.
Управление на киберриска
Сред основните въпроси на управлението, свързани с изкуствения интелект, е необходимостта от определяне на ясна отговорност върху технологията. В много компании липсва яснота кой отговаря за внедряването на изкуствен интелект и кой решава какви мерки са необходими за защита на данните и осигуряване на сигурността на други критични системи.
„Нашите констатации показват, че все още няма единен модел на отговорност за управлението и риска при изкуствения интелект“, каза Угорец.
По-малко от 30% от отговорността за изкуствения интелект се пада на главното информационно ръководство (CIO), техническите директори (CTO) или други технологични лидери, установява докладът. Около една четвърт от организациите имат специализиран ръководител по изкуствен интелект, а 17% от организациите заявяват, че отговорността за изкуствения интелект е на директора по информационна сигурност (CISO).
Без ясни линии на отговорност остава неясно кой в крайна сметка отговаря за управлението на киберриска от изкуствения интелект и за гарантирането, че AI програмите на организацията са адресирали опасенията за сигурността преди внедряването им.
Надзор над автономните AI агенти
Компаниите са инвестирали значително във внедряването на инструменти с автономни AI агенти, в много случаи за повишаване на производителността или подобряване на ефективността на съществуващите им продукти. Едно от основните опасения, пред които са изправени лидерите по киберриск, е нивото на достъп, предоставено на тези инструменти, и дали има достатъчен човешки надзор, който да следи какво действително са способни да правят тези базирани на AI инструменти.
„Третирайте всеки агент като нова самоличност с определен отговорен човек“, каза Джордж Герчоу, главен директор по сигурността в Bedrock Data, пред Cybersecurity Dive. „Даден агент наследява достъпа на субекта, от чието име работи. Не се налага да пробива защити – той просто минава през вратите, които сме оставили отворени.“
Доклад за третото тримесечие на KPMG показва, че 49% от организациите са установили сценарии за употреба с висок риск, при които достъпът на автономни агенти е ограничен. За сравнение, този процент е бил 28% през същото тримесечие на предходната година.
Риск от трети страни
Един от основните проблеми със сигурността, пред които са изправени компаниите, е как да проследяват киберриска от софтуер на трети страни. Много компании, внедряващи изкуствен интелект, използват инструменти от външни доставчици, вместо да разработват свои собствени AI продукти вътрешно.
Инструментите на трети страни често имат широк достъп до чувствителна информация и привилегирован достъп, което им дава директен достъп до свързани системи. Ако лидерите по сигурността нямат необходимата видимост върху връзките с трети страни, базираните на AI инструменти могат да получат достъп до информация, която съществуващите инструменти за сигурност не могат да видят.
„Така че проверката на тези доставчици както от гледна точка на киберсигурността, така и от техническа гледна точка“ е важно изискване, според Паша Стернберг, главен юрист и адвокат по поверителност и киберсигурност в Polsinelli.
Неуправляем AI (Shadow AI)
Постоянен риск за сигурността в организациите е т.нар. нерегламентиран/неуправляем AI (shadow AI) – т.е. базирани на AI инструменти, които не са одобрени или проверени от организацията. Корпоративните служители продължават да изтеглят базирани на AI приложения, за да повишат производителността си, да научат ново умение или за лична употреба.
Въпреки това компаниите често имат ограничена видимост за това как се използват тези инструменти или какви потенциални рискове биха могли да внесат при взаимодействие с корпоративните системи или клиентските данни.
Националният център за киберсигурност на Обединеното кралство (NCSC) предупреди компаниите миналия месец, че shadow AI може да въведе непредвидени рискове в корпоративната среда.
Правни експерти предупредиха, че компаниите често не успяват да разберат въздействието от използването на неодобрени инструменти от собствените им служители.
„Трудно е да защитите и управлявате нещо, за чието съществуване не знаете“, каза Сара Глоувър, акционер и адвокат по поверителност и киберсигурност в Polsinelli.