Keselamatan Lama Tidak Mampu Melindungi AI Syarikat: Bina Cara untuk Menghentikan AI Anda Sekarang

"Kita tidak perlu berbelanja untuk keselamatan." Masih ramai syarikat yang berfikir begini. Syarikat kami kecil, jadi tidak akan disasarkan. Setakat ini tiada apa-apa berlaku, jadi semuanya baik.

Saya percaya serangan siber yang cukup besar untuk tercatat dalam sejarah juga boleh berlaku di Jepun. Saya bukan mahu menakutkan sesiapa; maksud saya, kita patut bersedia dengan andaian itu. Malah hari ini, penyerang juga boleh menggunakan AI. Apabila kos melancarkan serangan menurun, lebih banyak syarikat akan menjadi sasaran.

AI kini bekerja di dalam syarikat

Sehingga baru-baru ini, AI ialah alat di mana manusia bertanya, membaca jawapan, dan membuat keputusan. Kini AI membaca data dalaman, bersambung dengan alat lain, dan benar-benar menjalankan kerja.

Lukis garisan antara luar dan dalam, dan kukuhkan pintu masuk. Itulah cara keselamatan diamalkan sejak sekian lama. Cara itu tidak salah, tetapi apabila AI yang sudah berada di dalam membaca data dalaman dan bertukar maklumat dengan perkhidmatan luar, memerhati pintu masuk sahaja tidak memberitahu apa yang sedang berlaku di dalam.

Satu penerangan daripada syarikat keselamatan Palo Alto Networks menyatakan bahawa apabila AI semakin meluas dalam syarikat, keterlihatan sahaja tidak mencukupi: syarikat memerlukan kawalan masa nyata terhadap akses, penggunaan, data dan perbelanjaan AI. Mereka menamakannya "AI control plane". Dalam kata-kata saya sendiri, ia ialah "cara bagi syarikat untuk menghentikan atau menyempitkan akses, data dan perbelanjaan AI semasa ia sedang berjalan". Ia satu konsep, bukan nama produk tertentu.

"Keselamatan itu mahal" juga satu salah faham

Sisi lain kepada "tidak perlu berbelanja untuk keselamatan" ialah "keselamatan terlalu mahal, jadi kita tidak mampu menyentuhnya". Saya rasa ini juga satu salah faham.

Banyak alat sudah tersedia sebagai perisian sumber terbuka (OSS), dan hari ini anda boleh menggunakan AI untuk membina sesuatu yang sesuai dengan syarikat anda sendiri. Sebagaimana AI menunjukkan kekuatannya apabila digunakan dalam serangan siber, ia juga sama kuat untuk pertahanan. Membaca log untuk mengesan aktiviti mencurigakan, mencari kelemahan dalam tetapan, memeriksa sama ada peraturan dalaman dipatuhi: semua ini ialah perkara yang AI mahir lakukan.

Pengalaman yang membantu, dan kegagalan kerana terlambat

Terus terang, ia bukan dirancang, tetapi kerana kami telah memasang pengurus kata laluan dan MDM (sistem untuk mengurus peranti syarikat secara berpusat), tindak balas apabila sesuatu berlaku menjadi jauh lebih mudah. Syarikat tahu siapa menggunakan akaun mana dan di mana setiap peranti berada, dan boleh mengubah atau menghentikannya serta-merta. Apabila difikirkan semula, itulah sebuah control plane yang kecil.

Yang penting dalam keselamatan ialah keupayaan untuk mengubah sistem syarikat sendiri dengan cepat apabila sesuatu berlaku di syarikat lain. Jika anda tidak tahu apa yang berada di mana, anda tidak dapat mengubahnya walaupun anda mahu.

Sebaliknya, ada juga kegagalan kerana terlalu berhati-hati sehingga tidak sempat. Anda mahu menetapkan langkah yang sempurna sebelum bertindak, dan keadaan berubah semasa anda masih berbincang. Dalam dunia AI yang bergerak pantas, ini lebih-lebih lagi benar.

Prinsip: cuba secara kecil dengan beberapa orang

Prinsip saya, secara ringkas, ialah "cuba dengan beberapa orang dahulu". Sistem keselamatan baharu dan peraturan baharu untuk penggunaan AI sama-sama dimulakan dengan segelintir orang, supaya perkara yang tidak sesuai dapat ditemui dan dibaiki ketika masih kecil. Bergerak pantas dan berperingkat untuk keputusan yang boleh diundur, dan berhati-hati dengan keputusan yang sukar diundur. Yang penting ialah memilih di mana untuk berhati-hati.

Selain itu, bergantung kepada perkhidmatan luar tidak lagi bermakna anda selamat. Perkhidmatan luar juga boleh menjadi sasaran, dan pihak yang paling memahami cara AI digunakan dalam syarikat ialah syarikat itu sendiri. Sebab itu saya rasa lebih baik syarikat juga menggunakan AI secara dalaman untuk membina langkah keselamatan yang sesuai dengan syarikat sendiri.

Kawal tiga perkara: akses, data dan kos

• Akses: tentukan apa yang boleh disentuh oleh setiap AI, hadkan kepada yang perlu sahaja, dan pastikan kebenaran boleh ditarik balik serta-merta apabila anda mahu menghentikannya
• Data: tentukan apa yang boleh diberikan kepada AI dan apa yang tidak boleh keluar dari syarikat, dan cerminkannya dalam peraturan dan sistem
• Kos: tetapkan had bulanan, terima makluman apabila menghampirinya, dan hentikan apabila melebihinya

Jika anda dapat melihat dan menghentikan ketiga-tiga perkara ini, AI bukan lagi sesuatu yang diserahkan bulat-bulat; ia menjadi alat di bawah kawalan syarikat.

Kerana boleh dihentikan, anda boleh mencuba dengan yakin

Sebelum ini, saya menulis tentang menjadikan penerapan AI sebagai "eksperimen" dengan menetapkan syarat berundur sebelum bermula. Syarat berundur hanya berkesan apabila ada cara untuk berhenti. Keselamatan bukan brek kepada penggunaan AI; ia ialah asas yang membolehkan anda menekan pedal minyak dengan yakin.

Minggu ini, senaraikan alat AI yang digunakan dalam syarikat anda, dan bagi setiap satu, tulis apa yang boleh diaksesnya, data apa yang anda berikan, berapa kosnya sebulan, dan siapa yang akan menghentikannya, dan bagaimana, jika anda mahu. Ruang kosong yang anda temui ialah langkah pertama anda.