Es ist ein ganzes Jahr her, seit chatgpt von OpenAI seinen Weg in die damalige Umgangssprache gefunden hat, schnell gefolgt von Googles Bard und anderen generativen KI-Angeboten. Bevor man „Rumpelstilzchen“ sagen konnte, schien es, als würden Mitarbeiter, Auftragnehmer, Kunden und Partner alle ihr neu entdecktes glänzendes Objekt in Bewegung setzen – die KI-Engines nutzten große Sprachmodelle, über die sie kaum Kenntnisse hatten.

Die Menschen waren erstaunt, als diese Werkzeuge das Wissen und die Genauigkeit steigerten, und wunderten sich auch über die Zeitersparnis, die sie mit sich bringen konnten. Ebenso erstaunt waren sie, als die Engine keine Ahnung hatte und unsinnige Antworten oder Halluzinationen lieferte und sich so als Zeitverschwendung erwies – allerdings nicht für lange.

Die unbeabsichtigten Folgen der Abfrage von KI-Engines zeigten bald ihr hässliches Gesicht, wie der Vorfall Anfang 2023 bei Samsung zeigte, bei dem festgestellt wurde, dass Geschäftsgeheimnisse unbekümmert in ChatGPT hochgeladen worden waren. Obwohl die Informationen offenbar recht positiv waren, waren die Geschäftsgeheimnisse nicht mehr geheim, da sie mit dem ChatGPT-Mutterunternehmen OpenAI geteilt wurden und jeder, der eine ähnliche Anfrage stellte, (hypothetisch) von den Beiträgen des Ingenieurs profitieren könnte.

Der rasante Aufstieg der Schatten-KI dürfte keine Überraschung sein

Samsung hat diese Entdeckung meiner Meinung nach genau richtig gehandhabt. Ein großes Problem, und damit das nicht noch einmal passiert, müssen wir unsere eigenen internen Fähigkeiten entwickeln, damit Geschäftsgeheimnisse geheim bleiben.

Für alle, auch diejenigen mit nur einem Funken Erfahrung in der Bereitstellung und Unterstützung von Informationstechnologie, war es offensichtlich, dass die Quellflüsse, die den Fluss des Risikos bilden, eine neue Mutterquelle hatten, als die KI-Engines für die breite Masse genutzt wurden: die KI-Abfragemaschine . Shadow IT hatte ein neugeborenes Geschwisterchen, Shadow AI.

Das Aufkommen der Schatten-KI sollte keine wirkliche Überraschung sein, bemerkt Alon Schindel, Direktor für Daten- und Bedrohungsforschung bei Wiz, der erzählte, dass es eine Analogie zu „wo die Cloud vor fünf bis zehn Jahren war: Jeder nutzt sie in gewissem Umfang.“ , aber nur sehr wenige verfügen über einen Prozess, um dies zu regeln.

„Im Innovationswettlauf erzeugen Entwickler und Datenwissenschaftler oft unbeabsichtigt Schatten-KI, indem sie neue KI-Dienste in ihre Umgebung einführen, ohne dass das Sicherheitsteam dies beaufsichtigt“, sagt Schindel gegenüber CSO. „Mangelnde Transparenz macht es schwierig, die Sicherheit in der KI-Pipeline zu gewährleisten und sich vor KI-Fehlkonfigurationen und Schwachstellen zu schützen. Unsachgemäße KI-Sicherheitskontrollen können zu kritischen Risiken führen, weshalb es von größter Bedeutung ist, Sicherheit in jeden Teil der KI-Pipeline zu integrieren.“

Drei Dinge, die jedes Unternehmen in Bezug auf generative KI tun sollte

Die Lösung ist sehr vernünftig. Wir müssen nur auf das zurückkommen, was Code42 CISO Jadee Hanson im April 2023 speziell über die Samsung-Erfahrung sagte: „ChatGPT- und KI-Tools können unglaublich nützlich und leistungsstark sein, aber Mitarbeiter müssen verstehen, welche Daten angemessen sind.“ in ChatGPT eingegeben werden und was nicht, und Sicherheitsteams müssen einen angemessenen Überblick darüber haben, was die Organisation an ChatGPT sendet.“

Ich habe mit Terry Ray, SVP Data Security und Field CTO bei Imperva, gesprochen, der seine Gedanken zur Schatten-KI mitteilte und drei wichtige Erkenntnisse lieferte, die jedes Unternehmen bereits umsetzen sollte:

• Sorgen Sie für Transparenz in jedem Daten-Repository, einschließlich der „Schatten“-Datenbanken, die „nur für den Fall“ weggeräumt werden.
• Klassifizieren Sie jeden Datenbestand – damit kennt man den Wert eines Vermögenswerts. (Ist es sinnvoll, 1 Million US-Dollar auszugeben, um einen Vermögenswert zu schützen, der veraltet oder weitaus weniger wert ist?)
• Überwachung und Analyse – achten Sie darauf, dass die Daten dorthin gelangen, wo sie nicht hingehören.

Kennen Sie Ihre GenAI-Risikotoleranz

Auch Rodman Ramezanian, Global Cloud Threat Lead bei Skyhigh Security, wies darauf hin, wie wichtig es sei, die eigene Risikotoleranz zu kennen. Er warnte davor, dass diejenigen, die die unglaublich rasante Verbreitung großer Sprachmodelle (LLMs) nicht beobachten, eine Überraschung erleben werden.

Er meinte, dass Leitplanken nicht ausreichen; Benutzer müssen darin geschult und gecoacht werden, wie sie sanktionierte Instanzen von KI verwenden und solche vermeiden, die nicht genehmigt sind, und dass diese Schulung/Coaching dynamisch und schrittweise bereitgestellt werden sollte. Dadurch wird die allgemeine Sicherheitslage mit jedem Schritt verbessert.

CISOs, deren Aufgabe es ist, die Daten des Unternehmens zu schützen, sei es geistiges Eigentum, Kundeninformationen, Finanzprognosen, Markteinführungspläne usw., können sich dafür einsetzen oder hinterherjagen. Sollten sie sich für Letzteres entscheiden, möchten sie sich möglicherweise auch auf einen Anstieg der Reaktion auf Vorfälle vorbereiten, da es zu Vorfällen kommen wird. Wenn sie sich für Ersteres entscheiden, werden sie eine Menge Arbeit vor sich haben, da sie im gesamten Unternehmen arbeiten und entscheiden müssen, was intern umgesetzt werden kann, wie es Samsung tut.

GenAI ist unvermeidlich, seien Sie also darauf vorbereitet, seinen Ablauf zu steuern

Die Möglichkeit, potenzielle Risiken aus dem Einsatz von KI-Tools zu erkennen und zu mindern, besteht darin, sich umfassend mit den verschiedenen Einheiten innerhalb eines Unternehmens auseinanderzusetzen und Richtlinien und Verfahren sowie Wege zur Nutzung von KI für jeden Aspekt des Betriebs zu erstellen. Gefolgt von der offensichtlichen Notwendigkeit, Mitarbeiter-/Auftragnehmerschulungen und praktische Übungen zu erstellen und umzusetzen. Der CISO und seine Organisation können dahinter stehen, unterstützen, die Sicherheitsdefizite identifizieren und Wege vorschlagen, um das Mögliche abzumildern, und diejenigen anschnallen, die frei herumlaufen.

Ray fügte einige sehr aktuelle Denkanstöße für CISOs hinzu, die im Zeitalter der wirklich wettbewerbsorientierten Einstellungs- und Bindungslandschaft der „Cyber-Einstellung“ besonders wichtig sind. Der neue Mitarbeiter in diesem Bereich muss in der Lage sein, die verfügbaren Tools zu nutzen und eigene zu erstellen und dabei KI zu nutzen, um sie zu perfektionieren.

Schließlich ist KI ein Kraftmultiplikator, der für das Gute genutzt werden sollte, das er bewirken kann. Aber während Sie das Konzept annehmen, müssen Sie auch KI-Zertifizierungen, -Richtlinien und -Verfahren akzeptieren und vor allem wachsam darüber sein, wo und wie sie eingesetzt werden. Unternehmen müssen insbesondere ihren „Käse“ kennen und bewachen – den Ort, an dem sich die preisgekrönten Besitztümer befinden.

Die Wahl liegt in den Händen des CISO – Sie können strenge Maßnahmen ergreifen und die Chatbots gänzlich verbieten, indem Sie scheinbar die richtigen Schritte unternehmen, um Schatten-KI zu verhindern. Doch wie Wasser, das durch Grundgestein sickert, werden die Benutzer in Zukunft einen Weg finden, es zu nutzen. Dem klugen CISO wird es gut tun, dafür zu sorgen, dass die notwendigen Kanäle vorhanden sind, damit das Wasser sicher und zuverlässig fließen kann.