วิธีสร้างสถาปัตยกรรม AI อย่างปลอดภัยในโปรแกรมความปลอดภัยทางไซเบอร์ของคุณ

เมื่อปลายเดือนมิถุนายน บริษัทด้านความปลอดภัยทางไซเบอร์ Group-IB ได้เปิดเผยสิ่งที่น่าสังเกต การละเมิดความปลอดภัยที่ส่งผลกระทบต่อบัญชี ChatGPT. บริษัทตรวจพบอุปกรณ์ที่ถูกบุกรุกมากถึง 100,000 เครื่อง โดยแต่ละเครื่องมีข้อมูลประจำตัวของ ChatGPT ซึ่งต่อมามีการแลกเปลี่ยนในตลาด Dark Web ที่ผิดกฎหมายในช่วงปีที่ผ่านมา การละเมิดนี้กระตุ้นให้เกิดความสนใจในทันทีเพื่อจัดการกับความปลอดภัยของบัญชี ChatGPT ที่ถูกบุกรุก เนื่องจากข้อความค้นหาที่มีข้อมูลที่ละเอียดอ่อนอาจถูกเปิดเผยต่อแฮ็กเกอร์

ในอีกเหตุการณ์หนึ่ง ภายในเวลาไม่ถึงหนึ่งเดือน Samsung ประสบกับกรณีที่มีเอกสารถึง XNUMX กรณีซึ่งพนักงานไม่ได้ตั้งใจ รั่วไหลข้อมูลที่ละเอียดอ่อนผ่าน ChatGPT. เนื่องจาก ChatGPT เก็บข้อมูลอินพุตของผู้ใช้เพื่อปรับปรุงประสิทธิภาพของตัวเอง ความลับทางการค้าที่มีค่าเหล่านี้เป็นของ Samsung จึงอยู่ในความครอบครองของ OpenAI บริษัทที่อยู่เบื้องหลังบริการ AI สิ่งนี้ก่อให้เกิดความกังวลอย่างมากเกี่ยวกับการรักษาความลับและความปลอดภัยของข้อมูลที่เป็นกรรมสิทธิ์ของ Samsung

เนื่องจากความกังวลดังกล่าวเกี่ยวกับการที่ ChatGPT ปฏิบัติตามกฎข้อบังคับการคุ้มครองข้อมูลทั่วไปของสหภาพยุโรป (GDPR) ซึ่งกำหนดหลักเกณฑ์ที่เข้มงวดสำหรับการรวบรวมและใช้งานข้อมูล อิตาลีได้สั่งห้ามทั่วประเทศ เกี่ยวกับการใช้ ChatGPT

ความก้าวหน้าอย่างรวดเร็วของแอปพลิเคชัน AI และ AI เชิงกำเนิดได้เปิดโอกาสใหม่ ๆ สำหรับการเร่งการเติบโตของระบบธุรกิจอัจฉริยะ ผลิตภัณฑ์ และการดำเนินงาน แต่เจ้าของโปรแกรมความปลอดภัยทางไซเบอร์จำเป็นต้องรับรองความเป็นส่วนตัวของข้อมูลในขณะที่รอการพัฒนากฎหมาย

เครื่องยนต์สาธารณะกับเครื่องยนต์ส่วนตัว

เพื่อให้เข้าใจแนวคิดได้ดีขึ้น เรามาเริ่มด้วยการกำหนด AI สาธารณะและ AI ส่วนตัว AI สาธารณะหมายถึงแอปพลิเคชันซอฟต์แวร์ AI ที่เข้าถึงได้แบบสาธารณะซึ่งได้รับการฝึกอบรมเกี่ยวกับชุดข้อมูล ซึ่งมักมาจากผู้ใช้หรือลูกค้า ตัวอย่างที่สำคัญของ AI สาธารณะคือ ChatGPT ซึ่งใช้ประโยชน์จากข้อมูลที่เปิดเผยต่อสาธารณะจากอินเทอร์เน็ต รวมถึงบทความที่เป็นข้อความ รูปภาพ และวิดีโอ

AI สาธารณะยังสามารถรวมอัลกอริทึมที่ใช้ชุดข้อมูลที่ไม่เฉพาะสำหรับผู้ใช้หรือองค์กรเฉพาะ ดังนั้น ลูกค้าของ AI สาธารณะควรตระหนักว่าข้อมูลของพวกเขาอาจไม่เป็นส่วนตัวทั้งหมด

ในทางกลับกัน AI ส่วนตัวเกี่ยวข้องกับการฝึกอบรมอัลกอริทึมเกี่ยวกับข้อมูลที่ไม่ซ้ำกันสำหรับผู้ใช้หรือองค์กรเฉพาะ ในกรณีนี้ หากคุณใช้ระบบแมชชีนเลิร์นนิงเพื่อฝึกโมเดลโดยใช้ชุดข้อมูลเฉพาะ เช่น ใบแจ้งหนี้หรือแบบฟอร์มภาษี โมเดลนั้นจะยังคงเป็นเอกสิทธิ์สำหรับองค์กรของคุณ ผู้จำหน่ายแพลตฟอร์มไม่ได้ใช้ข้อมูลของคุณในการฝึกโมเดลของตนเอง ดังนั้น AI ส่วนตัวจะป้องกันไม่ให้ใช้ข้อมูลของคุณเพื่อช่วยเหลือคู่แข่ง

รวม AI เข้ากับโปรแกรมและนโยบายการฝึกอบรม

เพื่อทดลอง พัฒนา และรวมแอปพลิเคชัน AI เข้ากับผลิตภัณฑ์และบริการของตน โดยปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุด เจ้าหน้าที่ด้านความปลอดภัยทางไซเบอร์ควรนำนโยบายต่อไปนี้ไปปฏิบัติ

การรับรู้ของผู้ใช้และการศึกษา: ให้ความรู้แก่ผู้ใช้เกี่ยวกับความเสี่ยงที่เกี่ยวข้องกับการใช้ AI และกระตุ้นให้พวกเขาระมัดระวังเมื่อส่งข้อมูลที่ละเอียดอ่อน ส่งเสริมแนวทางปฏิบัติในการสื่อสารที่ปลอดภัยและแนะนำให้ผู้ใช้ตรวจสอบความถูกต้องของระบบ AI

• การลดขนาดข้อมูล: จัดเตรียมเฉพาะเครื่องมือ AI ด้วยจำนวนข้อมูลขั้นต่ำที่จำเป็นต่อการทำงานให้สำเร็จ หลีกเลี่ยงการแชร์ข้อมูลที่ไม่จำเป็นหรือละเอียดอ่อนซึ่งไม่เกี่ยวข้องกับการประมวลผลของ AI
• การไม่เปิดเผยตัวตนและการไม่ระบุตัวตน: เมื่อใดก็ตามที่เป็นไปได้ ให้ปกปิดชื่อหรือยกเลิกการระบุข้อมูลก่อนที่จะป้อนลงในเครื่องมือ AI สิ่งนี้เกี่ยวข้องกับการลบข้อมูลส่วนบุคคลที่สามารถระบุตัวตนได้ (PII) หรือคุณสมบัติที่ละเอียดอ่อนอื่นๆ ที่ไม่จำเป็นสำหรับการประมวลผลของ AI

วิธีปฏิบัติในการจัดการข้อมูลอย่างปลอดภัย: กำหนดนโยบายและขั้นตอนที่เข้มงวดในการจัดการข้อมูลที่ละเอียดอ่อนของคุณ จำกัดการเข้าถึงเฉพาะบุคลากรที่ได้รับอนุญาตเท่านั้น และบังคับใช้กลไกการพิสูจน์ตัวตนที่รัดกุมเพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต ฝึกอบรมพนักงานเกี่ยวกับแนวปฏิบัติที่ดีที่สุดเกี่ยวกับความเป็นส่วนตัวของข้อมูล และใช้กลไกการบันทึกและการตรวจสอบเพื่อติดตามการเข้าถึงและการใช้งานข้อมูล

การเก็บรักษาและการกำจัด: กำหนดนโยบายการเก็บรักษาข้อมูลและกำจัดข้อมูลอย่างปลอดภัยเมื่อไม่ต้องการใช้อีกต่อไป ดำเนินการให้ถูกต้อง กลไกการกำจัดข้อมูลเช่น การลบอย่างปลอดภัยหรือการลบการเข้ารหัส เพื่อให้แน่ใจว่าข้อมูลจะไม่สามารถกู้คืนได้หลังจากที่ไม่ต้องการใช้อีกต่อไป

ข้อควรพิจารณาทางกฎหมายและการปฏิบัติตาม: ทำความเข้าใจเกี่ยวกับการแบ่งสาขาทางกฎหมายของข้อมูลที่คุณป้อนลงในเครื่องมือ AI ตรวจสอบให้แน่ใจว่าวิธีที่ผู้ใช้ใช้ AI เป็นไปตามข้อบังคับที่เกี่ยวข้อง เช่น กฎหมายคุ้มครองข้อมูล หรือมาตรฐานเฉพาะอุตสาหกรรม

การประเมินผู้ขาย: หากคุณกำลังใช้เครื่องมือ AI ที่ให้บริการโดยผู้จำหน่ายบุคคลที่สาม ให้ทำการประเมินมาตรการรักษาความปลอดภัยอย่างละเอียด ตรวจสอบให้แน่ใจว่าผู้ขายปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดในอุตสาหกรรมเพื่อความปลอดภัยของข้อมูลและความเป็นส่วนตัว และมีการป้องกันที่เหมาะสมเพื่อปกป้องข้อมูลของคุณ ตัวอย่างเช่น การรับรอง ISO และ SOC ให้การรับรองจากบุคคลที่สามที่มีคุณค่าเกี่ยวกับการปฏิบัติตามมาตรฐานที่เป็นที่ยอมรับของผู้ขายและความมุ่งมั่นในการรักษาความปลอดภัยของข้อมูล

ทำให้นโยบายการใช้งานที่ยอมรับได้ของ AI (AUP) เป็นทางการ: นโยบายการใช้งานที่ยอมรับได้ของ AI ควรสรุปจุดประสงค์และวัตถุประสงค์ของนโยบาย โดยเน้นย้ำถึงการใช้เทคโนโลยี AI อย่างมีความรับผิดชอบและมีจริยธรรม ควรกำหนดกรณีการใช้งานที่ยอมรับได้ ระบุขอบเขตและขอบเขตสำหรับการใช้งาน AI AUP ควรส่งเสริมความโปร่งใส ความรับผิดชอบ และการตัดสินใจอย่างมีความรับผิดชอบในการใช้งาน AI ส่งเสริมวัฒนธรรมการปฏิบัติด้าน AI อย่างมีจริยธรรมภายในองค์กร การตรวจสอบและอัปเดตเป็นประจำทำให้มั่นใจว่านโยบายเกี่ยวข้องกับการพัฒนาเทคโนโลยี AI และจริยธรรม

สรุป

การปฏิบัติตามแนวทางเหล่านี้ทำให้เจ้าของโปรแกรมสามารถใช้ประโยชน์จากเครื่องมือ AI ได้อย่างมีประสิทธิภาพ ในขณะเดียวกันก็ปกป้องข้อมูลที่ละเอียดอ่อนและรักษามาตรฐานทางจริยธรรมและความเป็นมืออาชีพ การตรวจสอบความถูกต้องของเนื้อหาที่สร้างโดย AI เป็นสิ่งสำคัญในขณะเดียวกันก็ปกป้องข้อมูลที่ป้อนเข้าซึ่งนำไปสู่ข้อความแจ้งการตอบสนอง

• เนื้อหาที่ขับเคลื่อนด้วย SEO และการเผยแพร่ประชาสัมพันธ์ รับการขยายวันนี้
• PlatoData.Network Vertical Generative Ai เพิ่มพลังให้กับตัวเอง เข้าถึงได้ที่นี่.
• เพลโตไอสตรีม. Web3 อัจฉริยะ ขยายความรู้ เข้าถึงได้ที่นี่.
• เพลโตESG. ยานยนต์ / EVs, คาร์บอน, คลีนเทค, พลังงาน, สิ่งแวดล้อม แสงอาทิตย์, การจัดการของเสีย. เข้าถึงได้ที่นี่.
• BlockOffsets การปรับปรุงการเป็นเจ้าของออฟเซ็ตด้านสิ่งแวดล้อมให้ทันสมัย เข้าถึงได้ที่นี่.
• ที่มา: https://www.darkreading.com/edge/how-to-safely-architect-ai-in-your-cybersecurity-programs