MetaverseTech

當AI遇見資安   你需要重新思考AI驅動的新世界

文/劉虹君

當AI席捲世界,無所不在,它影響的不再僅止於人們的日常,但凡與AI有關的資安議題都需要重視,尤其企業在運用AI時,更需注意安全性與風險管理,以避免產生資安風險。    
依據NSTC(美國國家科學科技理事會),AI資安(AI security)有兩個定義,分別是AI for Cybersecurity和Security of AI。  

AI資安的定義和說明

一、AI for Cybersecurity:人們運用AI來呈現自動化,解決資安問題,用在資安的防禦和預測分析。
二、Security of AI:包括AI系統的規格怎麼驗證,怎麼去確保AI的功能、安全、強健性和公平性。AI所作決策是不是能夠被信任?如果遇到對抗式攻擊,就會需要新技術,但整體情境跟所發生的邏輯跟應該不會有太大的變化,還有AI賦能系統能不能被信任,都是Security of AI需要討論的。 因為AI的熱潮,人們會想利用AI來解決資安的問題,但從另一個角度看,AI本身是否可能成為駭客的目標,衍生Hacking AI,帶來更多資安問題? 隨著AI話題的延燒,生成式AI蔚為風氣。這項技術整合了各種產品、服務與科技而不斷成長,與此同時,持續性進化的生成式AI的應用也造成一定程度的資安影響。  

AI運用可能導致的資安風險

一部分的企業搭上AI風潮,採用AI結合產品應用在公司內部,例如企劃部門,行銷人員使用文字生成器撰寫文案,使其能瞬間產生行銷活動的粗略草稿,此舉可能會導致資料外洩、資料滲透與競爭情報威脅,帶來資安風險並衍生相關客戶或公關議題。

又例如應用在IT和開發部門,程式設計師使用大型語言模型(LLM)尋找程式碼錯誤,並自動生成文件。這會導致資料滲透、資料外洩與資料完整性威脅,產生的文件可能冒險曝露公司正規不揭露的重要系統細節。另外也會帶來程式碼安全性、資料篡改、勒索軟體與IP竊取問題。可能風險則是未依循SDLC資安實作的不安全程式碼、違反智慧財產權許可要求的程式碼,或生成式AI遭勒索產物系統危害。  

生成式AI最可能的商業使用案例很多著眼於內部營運,這也敦促資安領導者不要忽視供應商與第三方風險的因子。「有鑑於大部份企業組織發現生成式AI已整合在佈署的產品與服務上,資安領導者的當務之急就是第三方風險管理。」 AI相關產品的供應商除了提供該產品和服務解決方案外,應保障其解決方案的安全性。資安單位必須依相關使用資安風險案例為基礎,編制自有的一套供應商安全性與風險管理的提問,審慎評估。      

本文作者劉虹君

Related Articles

Back to top button