Pracownicy firm, korzystający z narzędzi generatywnej sztucznej inteligencji (GenAI) mogą ujawniać wiele, poufnych informacji – ostrzegają eksperci bezpieczeństwa. Firma Check Point Technologies zwraca uwagę na fakt, iż narzędzia AI wykorzystywane przez firmy do analityki sprzedaży czy kodowania (wykorzystujące modele LLM) mogą stanowić zagrożenie.
Bezpieczeństwo przetwarzania wpisywanych treści może budzić obawy. Potwierdzają je ostatnie analizy Check Point – wrażliwe dane, wykorzystywane do szkolenia lub „dostrajania” dużych modeli językowych (LLM), mogą wyciekać. – Nie można ufać modelom LLM w zakresie ochrony wrażliwych danych – uważają eksperci Check Point w raporcie i rekomendują podejście Zero Trust AI (ang. zero zaufania do sztucznej inteligencji) i traktowanie takich narzędzi jako wymagających ścisłej kontroli dostępu.
Tradycyjnie modele bezpieczeństwa o zerowym zaufaniu opierały się na wyraźnym rozróżnieniu między użytkownikami i aplikacjami. Jednak aplikacje zintegrowane z LLM zakłócają to rozróżnienie, funkcjonując jednocześnie jako użytkownik i program. Ta rzeczywistość wprowadza nowy zestaw luk w zabezpieczeniach, narażających na wyciek danych, natychmiastowe wstrzykiwanie (prompt injection), ryzykowny dostęp do zasobów online, a nawet dostęp do zasobów korporacyjnych w imieniu pracowników – wymieniają specjaliści Check Point Software.
Obawy potwierdzają najnowsze badania firmy Cyberhaven Labs, które ujawniają, że co czwarte zapytanie wprowadzane przez pracowników do takich aplikacji AI zawiera dane, które powinny być chronione.
– Problemem jest szybki rozwój technologii, gdzie liczba firm i ich pracowników, korzystających z narzędzi GenAI rośnie nieproporcjonalnie szybko, w stosunku do wzrostu świadomości zarządów i pracowników o potencjalnych zagrożeniach związanych z wykorzystaniem takich narzędzi – podkreśla Wojciech Głażewski, dyrektor generalny firmy Check Point Software Technologies w Polsce.
Aby sprostać tym wyzwaniom, potrzebny jest unikalny zestaw środków typu „zero trust”. Dlatego przedsiębiorstwa powinny korzystać z „zamkniętych”, płatnych narzędzi AI, jak np. ChatGPT Enterprise, a dostęp powinien być skrupulatnie monitorowany przez działy bezpieczeństwa IT.