Shadow AI está em ascensão e causando problemas para as organizações.
Um estudo recente do MIT revelou que mais de 90% dos funcionários utilizam ferramentas pessoais de IA, enquanto apenas 40% das organizações gerem a sua utilização oficial.
Além disso, o último relatório da IBM concluiu que 97% das organizações sofreram incidentes de segurança cibernética relacionados com IA, mas a maioria ainda carece de governação.
Diretor Sênior de Pesquisa de Segurança e Inteligência Competitiva da Exabeam.
Um enorme cabo de guerra eclodiu no cenário da cibersegurança: deveriam as organizações limitar o uso da IA sombria, potencialmente sufocando a criatividade e a inovação, ou deveriam deixá-la correr e absorver o risco de exploração que a acompanha?
Poderia haver um meio-termo que buscasse encontrar um equilíbrio entre inovação, visibilidade, realização e realização?
Shadow AI: O que é e qual é o problema?
Um grande problema é a incerteza que surge na IA sombra geral. Shadow AI não tem uma definição universal, mas geralmente ocorre quando as empresas usam recursos dos quais não têm conhecimento para executar funções de negócios.
Uma razão pela qual limitar a IA sombra é tão difícil de implementar é que ela é fácil de implementar, não apenas nas indústrias, mas também na vida cotidiana.
As pessoas sempre encontrarão a maneira mais fácil de realizar uma tarefa. Se houver uma maneira de adotarem a tecnologia para tornar seu trabalho mais eficiente, eles o farão, mesmo que sua organização não a aceite.
O problema é que a natureza criativa da IA torna difícil controlá-la. Entre o indivíduo e o convidado, existe muita área cinzenta para criar riscos.
As organizações não têm como saber se alguma informação confidencial foi obtida fora do que o usuário compartilha e não podem confirmar se as informações geradas pela IA são corretas ou mesmo autênticas.
Os perigos da adoção precipitada
A capacidade de adotar tecnologias novas e estimulantes sempre precederá a capacidade de compreendê-las e controlá-las, e a IA demonstra isso em uma escala sem precedentes.
O crescimento exponencial e a expansão da IA na paisagem cibernética moderna deram aos indivíduos o maior controlo sobre a sua expressão criativa em qualquer momento da história, e com isso surge uma oportunidade indiscutível.
Porém, por outro lado, as organizações implementaram e adotaram a IA sem realmente entendê-la. Como resultado, o potencial para violações organizacionais aumentou e a quantidade de trabalho e análise exigida às equipas de segurança para mitigar essas violações tornou-se esmagadora ao ponto em que a resposta ao risco não consegue acompanhar a taxa de crescimento da IA.
Precisamos analisar como gerenciamos o risco de terceiros, bem como indenizações e contratos. A razão para isso é que mesmo que uma organização possua o agente de IA, ele geralmente é desenvolvido usando software de outra empresa.
É aí que reside o problema de até que ponto as organizações estão dispostas a ajudar quando surge um problema, dependendo do gatilho ou do grau de envolvimento nas possíveis consequências.
Agentes de IA: a chave para desbloquear a liberdade criativa
Também precisamos de uma forma de criar maior visibilidade nas ações dos agentes de IA. No passado, isso vinha de logs de rede, logs de endpoint e estratégias de prevenção contra perda de dados. Precisamos de compreender as entradas e saídas do sistema, quais as identidades envolvidas e qual era o contexto da situação quando os problemas começaram a surgir.
Do lado da resposta, precisamos determinar a rapidez com que podemos identificar se existe um problema. No entanto, as ações de resposta precisam de ser atualizadas para enfrentar os desafios colocados pelos agentes modernos de IA. Deve ser estabelecida uma equipe de governança de IA, responsável por reter os agentes de IA para executar suas tarefas programadas sem criar riscos.
Isto permite que os indivíduos utilizem a liberdade criativa e a conveniência que advêm da IA, ao mesmo tempo que protegem as organizações dos riscos de ataque e permitem que as equipas de segurança executem as suas tarefas sem a supervisão constante dos agentes. A IA confiável e fortalecida torna o sistema de defesa de segurança mais eficaz.
Deve haver uma ação de resposta adicional para treinar novamente, desabilitar ou forçar agentes de IA que não existe atualmente. Deveria haver uma contraparte dentro do SOC para fornecer uma resposta imediata, e os empresários serão responsáveis pela construção dessa estrutura. No momento, estamos no nível CMMI para esse processo, talvez até zero.
Os analistas de ameaças internas estarão sujeitos a esses ajustes. Se conseguirmos construir uma estrutura e desenvolver um processo para gerir a sobrecarga de informação criada pela IA sombra, os analistas de ameaças internos estarão mais bem equipados para gerir as ameaças antes que se tornem destrutivas para as organizações.
Ter uma política de uso de IA clara e facilmente aplicável, com ferramentas conhecidas e comprovadas e um processo para revisão, teste e implementação de novos agentes ou ferramentas de IA, é a única maneira de atingir o nível certo de mitigação de riscos com revisões de engenharia e segurança. É fundamental que este processo seja simples e transparente. Caso contrário, os funcionários sempre procurarão formas de evitá-lo.
Requer compreender o caminho para o uso da IA. As organizações não podem controlar o que não compreendem e muitas deram prioridade à implementação rápida em detrimento da visibilidade e da governação. Se conseguirmos encontrar um equilíbrio entre inovação e segurança, as organizações poderão maximizar a sua segurança contra ameaças externas, ao mesmo tempo que dão aos seus funcionários a liberdade de inovar e mudar o mundo.
Listamos os melhores softwares antivírus: análises de especialistas, testes e classificações.
