Месец на киберсигурността с ЛЕВ ИНС: Безопасно използване на AI и 5 правила за защита на данните

Изкуственият интелект може да обобщи дълъг текст, да предложи идеи, да преведе документ или да помогне с първата версия на имейл. Това удобство обаче често ни кара да действаме бързо: копираме текст, качваме файл или свързваме нов инструмент, преди да сме помислили каква информация споделяме и кой може да има достъп до нея. Точно тук започва разговорът за безопасното използване на AI. Важният въпрос не е само дали инструментът може да изпълни задачата, а дали е подходящ за нея, какви данни му предоставяме и как ще проверим резултата.

В третата седмица на месеца на киберсигурността с ЛЕВ ИНС, разглеждаме безопасната употреба на изкуствен интелект, включително т.нар. Shadow AI. Темата надгражда предишните седмици за фишинга и гласовите измами: AI може да помага в ежедневната работа, но може и да бъде използван за създаване на убедителни съобщения, фалшиви гласове и съдържание, което изглежда достоверно.

Включете се в третото ни седмично предизвикателство за AI и вземете своята дигитална карта сега!

Какво означава безопасно използване на AI?

Безопасното използване на AI означава да подбираме инструмента според задачата, да споделяме само необходимата информация, да разбираме какви разрешения сме дали и да проверяваме генерирания резултат, преди да разчитаме на него.

Това важи както в работата, така и в личния живот. Един и същ принцип важи, когато използваме AI за обобщаване на вътрешен документ, писане на публикация, преглед на договор или съвет за ежедневен въпрос: информацията, която подаваме, и решенията, които вземаме след това, остават наша отговорност.

AI инструментите не обработват всички данни по един и същ начин. Условията за съхранение, използване и изтриване на въведена информация се различават според услугата, вида на профила и настройките. Затова не е безопасно да предполагаме, че всеки разговор е поверителен или че въведеното съдържание автоматично се изтрива.

Какво е Shadow AI?

Shadow AI е използването на AI инструменти за работа без знанието, одобрението или правилата на организацията. Например служител може да използва непроверено приложение, за да обобщи договор, да анализира клиентски данни или да подобри код.

Често това се прави с практична цел — да се спести време или да се улесни задача. Рискът възниква, когато никой не е проверил дали инструментът е подходящ за служебна информация, какви данни събира и какви достъпи получава.

Качването на информация във външна услуга може да създаде риск за поверителността и сигурността ѝ. Това не означава, че всяко използване на AI е опасно или че всяка въведена информация се използва за обучение. Означава, че преди употреба е важно да знаем какво точно споделяме и какви правила важат за конкретния инструмент.

Пет правила за безопасно използване на AI

1. Избирайте одобрен и проверен инструмент
В работна среда използвайте AI инструменти, които са одобрени от организацията. Така може да има ясни правила за допустимите задачи, видовете информация и разрешенията, които инструментът получава.

Ако не сте сигурни дали дадена услуга може да се използва за работа, попитайте отговорния екип или проверете вътрешните указания. Не се водете само по това, че приложението е популярно, безплатно или лесно за достъп.

При лична употреба проверете кой предоставя услугата, какви са условията за поверителност и дали има настройки за историята на разговорите и използването на данните.

2. Споделяйте само информацията, която е необходима
Преди да въведете текст или да качите файл, преценете дали съдържанието включва лични данни, клиентска информация, финансови сведения, пароли, кодове за достъп, вътрешни документи или друга поверителна информация.

Ако задачата може да се изпълни без тези данни, премахнете ги. Например заменете имена и конкретни идентификатори с общи обозначения като „клиент А“ или „служител“. При документ може да подадете само откъс, който е необходим за конкретната задача.

Това правило се нарича минимизиране на данните: споделяйте само онова, което е необходимо за целта.

3. Проверявайте доставчика и разрешенията
Преди да използвате AI услуга, обърнете внимание какви разрешения иска. Нужно ли е приложението да има достъп до файлове, поща, контакти, календар или други профили? Съвпада ли този достъп с функцията, за която искате да го използвате?

Проверете и какви възможности предлага услугата за управление на историята, изтриване на разговори и контрол върху данните. При служебни инструменти следвайте указанията на организацията и не свързвайте лични профили или приложения към работни системи без разрешение.

Ако вече не използвате даден инструмент, прегледайте и отменете ненужните му достъпи.

4. Проверявайте отговора, преди да го използвате
AI може да създаде отговор, който звучи уверено, но съдържа неточности, пропуски или измислени подробности. Проверявайте факти, числа, цитати, източници и важни инструкции, особено когато резултатът ще бъде публикуван, изпратен на клиент или използван за решение.

Не използвайте AI като единствен източник за финансови, правни, здравни или свързани със сигурността решения. При важен казус потърсете първоизточник или компетентен специалист.

Човекът, който използва резултата, носи отговорност за това как той ще бъде приложен. AI може да предложи помощ, но не поема тази отговорност вместо нас.

5. Докладвайте съмнителна употреба или проблем
Ако забележите, че служебна информация е въведена в неодобрен инструмент, или установите, че AI приложение има достъп, който не разбирате, действайте според вътрешния процес за докладване. Сигнализирайте навреме, за да може организацията да прецени каква информация е засегната и какви стъпки са нужни.

При личен профил отменете непознатите разрешения, сменете паролата при съмнение за компрометиране и включете допълнителна защита на акаунта, когато е налична.

Ранната реакция помага да се ограничи евентуален проблем и да се изясни какво се е случило.

Защо Shadow AI е риск за организацията?

Когато AI инструмент се използва без знанието на организацията, тя може да няма видимост какви данни са споделени, какви разрешения са дадени и как се обработва информацията. Така се затруднява прилагането на общите правила за достъп, поверителност и работа с външни доставчици.

Рискът зависи и от функциите на инструмента. Обикновен чатбот, който отговаря на въпрос, има различни възможности от приложение, свързано с поща, документи или вътрешни системи. Колкото повече достъп и самостоятелни действия има една AI система, толкова по-внимателно трябва да бъдат определени нейните права и ограничения.

Подходът не е просто да се забрани всяка употреба на AI. Организациите имат нужда от разбираеми правила, одобрени инструменти и обучение, така че служителите да знаят как да използват технологията безопасно. Насоките на NIST за управление на риска при AI поставят акцент върху оценката на риска и човешкия надзор, а OWASP включва разкриването на чувствителна информация сред основните рискове за приложенията с големи езикови модели.

AI и измамите: Фишинг и deepfake съдържание

Безопасното използване на AI е свързано и с разпознаването на измами. AI може да помогне за създаване на добре написани фишинг съобщения, които изглеждат убедително. Генериран глас или видео може да направи фалшива молба за пари или достъп по-трудна за разпознаване.

Затова запомнете практическото правило от предишните теми на кампанията: гласът, снимката или видеото сами по себе си не доказват кой стои отсреща. При спешна молба, искане за превод, код или достъп проверете информацията по независим канал, например обадете се на познат номер или потърсете човека директно.

Във видеото към тази статия Явор Колев разглежда темата за безопасната употреба на AI и рисковете, свързани с нея и обръща внимание на ситуациите, в които удобството може да ни накара да споделим повече информация или да се доверим на отговор без проверка.

Какво да направим, преди да използваме AI?

Преди да въведете данни или да свържете приложение, отделете няколко секунди и си задайте пет въпроса:

Одобрен и подходящ ли е този инструмент за задачата?
Каква информация ще споделя?
Мога ли да премахна личните или поверителните данни?
Какви разрешения получава приложението?
Как ще проверя резултата, преди да го използвам?
Тези проверки не отнемат много време, но могат да предотвратят споделяне на чувствителна информация, неправилно решение или ненужен достъп до профили и документи.

Безопасното използване на AI започва с информиран избор

AI може да бъде полезен помощник, когато го използваме с ясна цел и подходящи правила. Избирайте одобрени инструменти, споделяйте минимално количество данни, проверявайте разрешенията и се отнасяйте критично към резултатите.

Това е фокусът на третата седмица от „Месец на киберсигурността“ на ЛЕВ ИНС. Гледайте видеото с Явор Колев, включете се в седмичния куиз и проверете знанията си за безопасното използване на AI. Всяка седмица от кампанията носи ново предизвикателство и дигитална карта; участниците, които съберат четирите карти, могат да получат сертификат за киберграмотност.

Често задавани въпроси за безопасното използване на AI

Какво е Shadow AI?
Shadow AI е използването на AI инструменти за служебни задачи без знанието или одобрението на организацията. Това може да затрудни контрола върху споделените данни и дадените разрешения.

Безопасно ли е да въвеждам лични данни в AI?
Преди да въведете лични данни, проверете дали инструментът е подходящ и как обработва информацията. В работна среда следвайте вътрешните правила. Когато е възможно, премахнете имената и други идентификатори и споделете само необходимото за задачата.

Използва ли всеки AI инструмент разговорите за обучение?
Не може да се направи едно общо заключение за всички услуги. Практиките зависят от конкретния доставчик, настройките, вида на профила и условията на услугата. Проверете актуалната информация за поверителност и управление на данните на инструмента, който използвате.

Може ли да се вярва на отговорите на AI?
AI може да даде полезна отправна точка, но отговорите му могат да съдържат неточности или измислени подробности. Проверявайте важната информация в надеждни източници, преди да я публикувате или да вземете решение по нея.

Какво да направя, ако споделя служебна информация в неодобрен AI инструмент?
Следвайте вътрешния процес за докладване и уведомете отговорния екип възможно най-скоро. Не изтривайте и не прикривайте случилото се — точната информация ще помогне да се прецени какви данни са засегнати и какви действия са нужни.