Bezpieczeństwo danych AI

Tradycyjna ochrona danych wyznacza granicę wokół pamięci masowych, sieci i stacji końcowych. AI zmienia ten obraz. Dane są kopiowane do zbiorów treningowych, indeksowane pod wyszukiwanie i wplatane w generowany tekst. Każda kopia tworzy miejsce, w które zwykłe mechanizmy kontroli nie zaglądają: pipeline logowania u dostawcy, indeks wektorowy albo pamięć modelu. Ochrona musi podążać za danymi, a nie za infrastrukturą, i zaczyna się od klasyfikacji danych.

Liczą się trzy właściwości. Poufność: wrażliwe dane wejściowe nie mogą trafić do podmiotów, których organizacja nie upoważniła. Integralność: dane treningowe i pobierany kontekst nie mogą być zmieniane tak, by psuć zachowanie modelu. Kontrola: organizacja musi wiedzieć, jakie kopie istnieją, gdzie są i na jakich warunkach są przetwarzane.

Regulacje sięgają tego samego obszaru. Zasady RODO dotyczące ograniczenia celu, minimalizacji danych i przejrzystości obowiązują dane treningowe i prompty tak samo jak każde inne przetwarzanie. Obowiązki zgłaszania naruszeń mogą też powstać na skutek ujawnienia związanego z AI.

Dane docierają do systemów AI pięcioma drogami:

Prompt jest transferem danych. Zależnie od warunków dostawcy przesłana treść może być przechowywana do przeglądu albo użyta do trenowania kolejnych wersji. To, co model zapamiętał w trakcie treningu, może wypłynąć w odpowiedziach dla innych osób. Wyciek przez prompt LLM nie widać w sieci: to zwykłe żądanie HTTPS do renomowanej domeny z poufną umową w treści. Wykrycie wymaga czytania treści, a nie tylko sprawdzenia adresata. Na tym opiera się ochrona przed utratą danych (DLP).

Wyniki wyciekają w drugą stronę. Podsumowanie lub odpowiedź wygenerowana z pobranych dokumentów może ujawnić informacje odbiorcy, który nigdy nie miał dostępu do źródła. Wewnętrzna liczba może trafić do projektu dla klienta, a dane osobowe mogą zostać osadzone w wygenerowanym tekście. Jako nowa treść wynik może też ominąć mechanizmy szukające znanych plików.

Duża część incydentów bezpieczeństwa danych AI zaczyna się od shadow AI, czyli odmiany shadow IT dotyczącej AI. Pracownicy używają niezatwierdzonych narzędzi AI do prawdziwej pracy, bo są darmowe i działają od ręki. Ekspozycja wynika wtedy z narzędzi, których organizacja nie wybrała, z warunków, których nie przeczytała, i z zasad przechowywania, których nie może zbadać. Przeciwdziałanie ma trzy części:

1. 1

   Ustaw jasną politykę dopuszczalnego użycia

   Określ, do jakich zadań AI wolno używać w pracy.

2. 2

   Zaproponuj zatwierdzone alternatywy

   Udostępnij zatwierdzone narzędzia na te same potrzeby.

3. 3

   Monitoruj, co trafia do usług AI

   Zyskaj wgląd w treść danych wysyłanych do usług AI.

Zatruwanie danych celuje w etap treningu. Atakujący wstrzykuje lub zmienia próbki tak, by model uczył się błędnych skojarzeń i zapamiętywał ukryte wyzwalacze reagujące na konkretne frazy. Obrona opiera się na pochodzeniu danych, kontrolowanym zbieraniu i ocenie przed wdrożeniem.

Wstrzykiwanie promptów celuje w kontekst. Instrukcje ukryte w dokumencie, na stronie lub w wiadomości, którą model czyta później, próbują nadpisać zamiar operatora. Mogą wykradać pobrane dane do odpowiedzi albo uruchamiać nieautoryzowane działania narzędzi. System, który pobiera niezaufane treści, dziedziczy wszystko, co te instrukcje mówią. Inwersja modelu i wnioskowanie o członkostwie idą inną drogą: próbują wydobyć dane treningowe z wdrożonego modelu.

Anexet obserwuje kanały, którymi prompty i pliki opuszczają firmę, a konsola Anexet DLP pokazuje, co zostało złapane. Zrzut ekranu przedstawia zakładkę AI przechwyconego e-maila: wypisane są potencjalne zagrożenia, zapisane krótkie podsumowanie, a przypomnienie informuje, że wynik AI wymaga weryfikacji. Analiza może działać na lokalnym modelu AI wewnątrz organizacji, więc przechwycony tekst nie opuszcza infrastruktury.

Skuteczne programy łączą kilka środków: klasyfikację przed skopiowaniem danych, weryfikację dostawcy przed zatwierdzeniem usługi, zarządzanie dostępem do korpusów wyszukiwania, inspekcję treści we wszystkich kanałach, monitorowanie wklejanego tekstu na stacjach końcowych i ślad audytu każdego zdarzenia. Blokowanie dostępu do niezatwierdzonych usług AI to jedna z tych warstw, opisana w blokowaniu wycieków danych do usług AI.

Każdy środek potrzebuje właściciela. Role zwykle wyglądają tak:

Zacznij od danych, które najbardziej zaszkodziłyby po wycieku, a potem od kanałów, którymi naprawdę wychodzą. Polityki pisane naraz dla każdego pliku kończą się blokowaniem pracy i wyłączeniem.

Czytaj dalej: Cyberbezpieczeństwo i sztuczna inteligencja; Systemy DLP — czym są i jak działają.