影子 AI 的风险和回报 [Q&A]

快速阅读: 《Beta新闻》消息，人工智能的使用带来巨大机遇，但也伴随着风险，尤其是在未经公司批准的情况下使用“影子”AI应用时。赛博赫芬实验室报告称，企业数据流向AI系统的流量激增485%，存在数据泄露和知识产权被盗的风险。为应对这些威胁，公司需增强数据流动可见性和分类，加快事件响应时间，并采用新的数据检测与响应（DDR）技术。此外，大型血缘模型能预测数据操作风险，自动保护公司数据。

人工智能阴影下的风险与机遇

[问答]伊恩·巴克尔 13 分钟前发布 无评论 Twitter

与其他形式的“幕后”技术一样，员工未经公司批准使用的人工智能（AI）也是一把双刃剑。赛博赫芬实验室近期报告称，企业数据流向AI系统的流量激增了485%，其中大部分流向了风险较高的阴影AI应用程序。但它同时也提供了巨大的机会，公司不能忽视这些机会。与其完全禁止，不如集中精力找到安全启用其使用的方法，同时保护敏感数据并保持合规性。我们采访了数据安全血统公司赛博赫芬的产品官尼尚·多希，了解阴影AI的风险和好处。

巴克尔·纳特（BN）：阴影AI应用对公司的风险是什么？

尼尚·多希（ND）：阴影AI让我想起了几年前的“影子”SaaS问题。当时，员工会采用未经批准的SaaS工具以更快更高效地完成工作，从而绕过IT和安全团队。如今，员工将数据分享给AI应用的动机并没有什么不同，更多人转向AI工具以提高生产力或解决棘手任务。事实上，最近关于企业数据流向AI工具激增的报告突显了这一趋势的普遍性，因为员工越来越依赖这些平台来完成工作。但阴影AI是不同的——而且更危险。在阴影SaaS中，供应商通常有动力保护客户数据，因为泄露可能会破坏他们的声誉和业务。而在阴影AI中，动态发生了变化。数据不再仅仅是需要保护的东西；它成为供应商的核心资源，常用于训练模型和改进平台。这导致了激励机制的错配。一些供应商高度动机去收集、保留甚至利用这些数据，这带来了显著的安全、隐私和合规风险。看看美国联邦贸易委员会（FTC）对亚马逊Alexa和Ring部门的执法行动，数据保留和不当使用实践引发了严重关切。这种错配使得阴影AI更加难以驾驭。不仅仅是未经授权的使用——而是确保数据在系统中安全且负责任地使用，而这些目标可能与供应商的优先事项不一致。这就是为什么简单禁止阴影AI工具不是解决方案。员工仍然会找到变通方法，公司也会错过利用AI进行创新和提高效率的宝贵机会。最终，关键是安全地启用阴影AI。这意味着制定明确的使用政策，实施监控和控制数据流向AI平台的工具，并与优先考虑安全数据处理的可信供应商合作。这也意味着教育员工关于与未经批准的AI工具共享敏感信息的风险，并提供符合他们需求的批准和安全替代方案。

巴克尔·纳特（BN）：您认为AI是否会加速知识产权泄露和数据盗窃？

尼尚·多希（ND）：AI绝对有可能加速知识产权泄露和数据盗窃。原因在于这些工具从根本上改变了用户与数据互动的方式。像微软Copilot和Glean这样的工具已经从简单的聊天机器人进化为能够访问大量公司数据的强大代理。它们从内部数据库、系统和文件中提取信息，使数据检索比以前更快更容易。用户不再搜索文档或运行复杂查询，而是提出问题并获得直接答案。这种访问的便捷性可以立即暴露任何未被注意到的数据分类、访问控制或安全策略漏洞。如果系统没有妥善锁定，敏感数据只需一个提问即可暴露。更大的问题是，大多数传统的访问控制、DLP和数据安全工具并不是为此类交互设计的。公司需要重新思考整个数据安全堆栈，以确保其能够处理这些新的AI驱动工作流程。如果不解决这些问题，组织面临数据泄露、盗窃和其他安全事故增加的风险。

巴克尔·纳特（BN）：公司如何更好地保护自己免受潜在的数据泄露？

尼尚·多希（ND）：组织可以：

增强数据流动可见性：实施解决方案，实时查看数据在组织内外的移动情况。这减轻了安全团队的压力，并增强了与商业伙伴的合作，有效降低了风险。

全面分类数据：扩展数据分类功能，涵盖广泛的数据类型和使用案例。上下文数据分类超越单纯的内容扫描，理解数据的来源、与之互动的人员以及存储位置。这种上下文理解对于执行精确的安全策略至关重要。

加快事件响应时间：通过详细、分步分析事件来增强事件响应能力，直到安全事件发生。这种方法使组织能够迅速有效地应对潜在的数据泄露或入侵。

挑战在于，现有的数据安全工具传统上专注于扫描内容以识别数据类型。然而，它们往往缺乏区分敏感企业数据和良性信息所需的上下文。例如，当员工使用个人AI账户通过粘贴代码片段调试代码时，理解这些代码是专有的还是开源的至关重要。

话虽如此，一个新的安全类别正在出现，以对抗对敏感数据的内部威胁。数据检测与响应（DDR）结合并取代了传统的数据丢失防护（DLP）和内部风险管理（IRM）技术，并大大提高了其能力。研究公司高德纳预测，到2027年，70%的大型企业将采用一种综合方法来解决内部风险和数据外泄使用案例。

巴克尔·纳特（BN）：能否解释一下“大型血缘模型”是什么，以及它如何帮助缓解这些不断增长的威胁？

尼尚·多希（ND）：与大型语言模型不同，后者预测句子中最可能出现的下一个单词，“大型血缘模型”（如支持赛博赫芬线性AI的模型）预测最可能出现的下一个动作或事件作用于某段数据。它基于数万亿次数据流进行训练，跟踪公司内的数十亿数据片段。例如，首席财务官处理高管股权奖励表格时，很可能通过Slack将其发送给另一位财务团队成员，但几乎不可能通过Signal将其分享给记者。与需要安全团队为每种潜在风险事件构建复杂策略的传统数据安全产品不同，线性AI自动检测这些风险事件并采取措施保护公司数据。

巴克尔·纳特（BN）：哪些公司目前遇到这些问题，您预计这个问题会扩大吗？

尼尚·多希（ND）：我们看到这个问题在各行各业都在增长。制药公司正在寻找保护其研发的方法。对于制造企业来说，这是保护产品设计和生产方法。我们也看到AI初创企业和财富100强科技公司来找我们保护他们的源代码和模型权重。随着AI使用的增加和揭示更多的机密“暗数据”，这些数据以前很难被员工找到，我们看到了对各种领域安全启用生成式AI解决方案的需求增长。

图片版权：卡萨达/存款照片

(以上内容均由Ai生成)