生成式 AI 究竟對資安長來說是福還是禍？
自從 OpenAI 旗下 ChatGPT 成為人們日常用語已經整整一年，伴隨其後也陸續出現了 Google Bard 和其他生成式人工智慧產品。轉眼之間，員工、承包商、客戶和合作夥伴似乎都在展示他們新發現的耀眼新奇事物 —— 亦即採用大型語言模型的人工智慧引擎，但他們對這些模型知之甚少。
人們驚訝於這些工具提高了知識和準確性，也驚訝於它們可以幫助節省時間。同樣令他們驚訝的是，該人工智慧引擎竟然在毫無頭緒時提供荒謬的答案或幻覺，這麼做也被證明是浪費時間 —— 但這麼糟的狀況不會持續太久。
查詢人工智慧引擎的意外後果也很快浮上檯面，正如 2023 年初三星（Samsung）公司事件所證實的那樣，該公司發現商業機密被不輕意地上傳到 ChatGPT。雖然這些資訊顯得相當正面，但因為這些機密資訊已經與 ChatGPT 母公司 OpenAI 共享，任何進行類似查詢的人都可以（假設地）從工程師的輸入中受益，商業機密也因此不再是秘密。
地下人工智慧（Shadow AI）的迅速崛起應該不足為奇
就我而言，三星對於此一發現的後續處置十分得當。雖然這是一個很大的差錯，但也讓我們自我警惕不要讓這種事情再次發生，我們需要發展我們自己的內部能力，以確保商業機密不被洩露。
對於所有人而言，包括那些在 IT 資訊技術提供和支援方面只有些許經驗的人來說，很顯然地當人工智慧引擎為大眾所使用時，形成風險之河的源頭有了新的母源（mother source）：人工智慧查詢引擎。地下 IT（Shadow IT） 有了一個新生的兄弟：地下 AI。
以色列雲端安全服務供應商 Wiz 資料與威脅研究總監 Alon Schindel 認為，地下人工智慧的到來並不令人意外，他認為這與「五到十年前的雲端狀況很類似：每個人都在某種程度上使用它，但卻缺乏一個能夠治理它的程序。」
「在創新的競爭中，開發人員和資料科學家常常在沒有安全團隊監督的情況下，將全新人工智慧服務引進入到他們的環境中，無意中也創造了地下人工智慧，」Schindel 表示。「缺乏可見性讓確保人工智慧管道的安全性，以及防範人工智慧的錯誤配置和漏洞變得更加困難。不當的人工智慧安全控制可能導致重大風險，因此將安全嵌入到人工智慧管道的每個部分會非常重要。」
每家公司應該對生成式人工智慧做到的三件事
尋求解決方案是是非常符合常識的做法。我們只需要回顧一下由網路安全軟體公司 Code42 資安長 Jadee Hanson 在 2023 年 4 月所分享的內容，她當時特別談到了三星的經驗：「ChatGPT 和人工智慧工具可能非常有用和強大，但員工需要瞭解哪些資料適合輸入 ChatGPT，哪些不適合，安全團隊需要對組織發送到 ChatGPT 的內容有適當的可見性。」
筆者採訪了網路安全軟體和服務公司 Imperva 資料安全資深副總裁暨技術長（Field CTO） Terry Ray，他分享了他對地下 AI 的看法，並提供了每個組織實體都應該做到的三大關鍵要務：
- 建立對每個資料儲存庫的可見性，包括為了「以防萬一」而儲存起來的「地下」資料庫。
- 對每一項資料資產進行分類 ─ 唯有如此，人們才會知道每項資產的價值。（花費 100 萬美元保護一項已然過時或價值低得多的資產是否合理？）
- 監控和分析 ─ 監控資料是否移向不該在的地方。
瞭解你對生成式人工智慧風險的承受能力
同樣的，企業雲端資料保護服務供應商 Skyhigh Security 全球雲端威脅負責人 Rodman Ramezanian 特別強調了瞭解自身風險承受能力的重要性。他警告說，那些沒有關注大型語言模型（LLM）正以驚人速度傳播的人會感到驚訝。
他認為只靠安全防護措施是不夠的；使用者必須接受培訓和指導，瞭解如何使用已經批准的人工智慧實例，以及避免使用未經批准人工智慧實例的方法，並且這種培訓 / 指導應以動態和增量的方式提供。這樣做便能透過每一次的增量來提升整體安全狀態。
資安長負責保護公司的資料，無論是智慧財產權、客戶資訊、財務預測、上市計畫等，他們可以被動採納或主動追求新技術。如果他們選擇後者，他們可能還希望為新增事件應對機制做好準備，因為不排除會有事件發生的可能性。如果他們選擇前者，他們就會發現前頭會有繁重的工作等著他們，因為他們的工作將涵蓋整個企業，並決定什麼可以引進內部，就像三星正在做的那樣。
生成式 AI 是不可避免的，所以要做好各種面向的準備
想要識別和減輕使用人工智慧工具所帶來的潛在風險，其方法莫過於得與企業內部各個實體充分互動，並為營運的各個面向制定政策、步驟，並打造使用人工智慧的途徑。接下來，迫切需要創建並實施員工 / 承包商的教育訓練和實作演練。資安長和他們的組織可以支援、識別安全差異，提出緩解可能風險的途徑，並為那些未受足夠約束的人事物做好安全控管措施。
Ray 為資安長們提供了一些非常及時的思考建議，這尤其對在「網路招聘」時代中真正競爭激烈的人才招聘和挽留情景上特別重要。這個領域的新員工不但必須能使用現有的工具，還能構建自己的工具，甚至使用人工智慧來讓這些工具更趨完善。
畢竟，人工智慧是一種力量倍增器，應該充分利用它所能帶來的好處。然而在你接受這個概念時，你還必須接受人工智慧的認證、政策和程序，最重要的是要對人工智慧何時何地及如何被使用保持警覺性。企業實體尤其需要知道並保護他們的「起司」（Cheese） ─ 亦即重要資產的所在之處。
選擇權掌握在資安長手中 ─ 你可以緊密封鎖並徹底禁止聊天機器人，採取所有看似正確的步驟來防止地下人工智慧。然而，就像水能滲透岩層一樣，使用者會找到方法來利用它。明智的資安長會確保必要的管道存在，以便讓「水」安全可靠地流動。
<資料來源：OwlNews / 文-Christopher Burgess・譯-酷魯，https://news.owlting.com/articles/583474>