AI 已經進入您的企業。如果沒有安全保障，您就會落後於人

無論您是否正式採用 AI，AI 已經進入您的組織。員工正在利用 ChatGPT 草擬文件，可能會將敏感資訊上傳至線上工具以加快分析速度，並依賴產生式工具加快從程式碼生產到客戶支援的一切工作。無論您是否同意，人工智能都在不斷演進，而這個現實應該引起每位資訊安全長的關注。

未經審核的 AI 工具在各個部門間無聲無息地擴散，已孕育出一個迅速擴張的影子 IT 層。它分散、經常無法察覺，而且漏洞百出。從合規性違規、資料外洩到無法追蹤的決策，都會造成重大影響。儘管如此，許多組織仍認為他們可以透過政策或防火牆來控制人工智能。

事實上，AI 是無法被阻止的；它只能被保護。企業越快意識到這一點，就能越快解決 AI 已經造成的安全漏洞。

影子 AI 是組織內日益嚴重的安全盲點

我們曾經目睹過這種情況。在 2010 年代初期，雲端應用的最初激增也遵循著類似的軌跡 - 團隊採用可提高生產力的工具，但往往會繞過安全協定。許多安全團隊試圖抵制，但事後卻發現他們要忙著控制外洩、錯誤配置和法規遵從問題。

如今，同樣的趨勢也在 AI 上重演。我們的《2024 年人工智慧安全狀況報告》指出，超過半數的組織正在使用人工智慧建立自訂應用程式，但卻幾乎無法清楚瞭解這些模型的託管地點、配置方式，或是否會危害敏感資料。

這種情況帶來了兩大風險：

1. 員工利用具有專屬或敏感資料的公共 AI 工具，在沒有適當監督的情況下，將這些資訊暴露給外部系統。
2. 內部團隊在沒有足夠安全控制的情況下部署 AI 模型，導致可能無法通過合規性稽核的漏洞和作法。

影子 AI 不僅是一個安全問題，還可能升級為治理危機。如果沒有 AI 使用情況的可視性，您就無法管理訓練流程、資料存取或產出的產生。無法追蹤 AI 驅動的決策意味著您無法解釋或辯解這些決策，讓您的組織容易受到法規、聲譽和營運上的威脅。

傳統安全工具為何不足

大多數安全解決方案並非針對 AI 的特定挑戰而設計。它們無法識別模型工件、掃描 AI 資料路徑、監控大型語言模型 (LLM) 互動或強制執行模型治理。即使是專門的工具也只傾向於處理個別方面，迫使組織在沒有統一安全觀點的情況下管理零散的解決方案。

這是一個關鍵問題。AI 安全性不能是附加或事後的想法。它必須整合到您的雲端管理策略、資料保護協定和 DevSecOps 工作流程中。如果做不到這一點，就會低估 AI 在您營運中日益重要的角色，並錯失將其視為基本業務基礎架構加以保護的機會。

必須摒棄封鎖 AI 的錯誤策略

透過「禁止第三方 AI 工具」或「禁止內部 AI 試驗」等政策實施全面禁止，看起來似乎很直接。然而，這種做法是不切實際的。員工已經在使用 AI 來提升生產力，這並非惡意行為，而是因為它能帶來成果。

AI 就像是生產力的助推器，只要它能幫助人們在最後期限前完成工作、減少重複性的任務並有效率地解決問題，人們就會繼續使用它。

試圖完全封鎖 AI 的使用並不會消除它；它只會將它推向更深的地底。當問題最終出現時，您會在缺乏可見性、既定政策或回應計畫的情況下面對問題。

以策略、安全性和可視性來採用 AI

更聰明的方法是根據您自己的條件主動接納 AI，並將重點放在三個關鍵領域：

1. 為員工提供安全、經核准的替代方案。為了減少對高風險工具的依賴，請提供安全的選項。無論是透過內部 LLM、經審查的第三方應用程式，或是核心平台中的整合式 AI 助理，目標都是提供同樣有效率但顯著更安全的工具。

2. 建立並執行明確的政策。AI 治理必須精確、實用且容易執行。定義哪些資料可以與 AI 工具共用，建立明確的邊界，並指定審核和批准內部 AI 計畫的責任。廣泛溝通這些政策，並確保技術和程序執行措施都能運作。

3. 將可視性與監控放在優先地位。您無法確保看不到的安全。實施能夠偵測影子 AI 使用、識別暴露的存取金鑰、標記錯誤配置的模型，以及監控敏感資料可能洩漏到訓練資料集或輸出的工具。AI 勢態管理正迅速成為與雲端安全勢態管理同樣重要的工作。

CISO 必須引導這場變革

對於安全領導階層而言，這是一個關鍵時刻。CISO 的角色正從基礎結構保護擴展至安全創新啟用。這意味著要協助組織利用 AI 來提高速度和效率，同時確保安全性、隱私權和合規性在每個階段都不可或缺。

這種領導力包括

• 教育董事會成員與主管有關實際與預期的 AI 風險
• 與工程和產品團隊合作，在 AI 部署週期中及早嵌入安全性元素
• 投資於專為 AI 系統安全設計的當代工具
• 培養負責任的 AI 使用是共同責任的文化

CISO 不需要成為 AI 專家，但他們必須提出關鍵問題：我們正在使用哪些模型？哪些資料會助長這些模型？實施了哪些保護措施？我們能否驗證我們的安全立場？

基本要點：不採取行動會帶來最大的風險

AI 已經在重塑企業營運。無論是加快客戶服務回應、加強財務預測，或是加速開發工作流程，AI 都已深深融入日常工作。否認這個現實並不能減緩 AI 的應用，反而只會增加漏洞、資料曝露和法規遵循的失敗。

最危險的做法就是什麼都不做。CISO 和安全領導者必須承認不可否認的事實：AI 已經出現在您的系統和工作流程中，而且將持續存在。關鍵問題在於您是否會主動保護它，還是等到它造成無法逆轉的傷害時才採取行動。

擁抱 AI，但始終都要以安全第一為原則。這是為未來做好準備的唯一方法。