AI 已經進入您的企業。如果沒有安全保障,您就會落後於人

無論您是否正式採用 AI,AI 已經進入您的組織。員工正在利用 ChatGPT 草擬文件,可能會將敏感資訊上傳至線上工具以加快分析速度,並依賴產生式工具加快從程式碼生產到客戶支援的一切工作。無論您是否同意,人工智能都在不斷演進,而這個現實應該引起每位資訊安全長的關注。
未經審核的 AI 工具在各個部門間無聲無息地擴散,已孕育出一個迅速擴張的影子 IT 層。它分散、經常無法察覺,而且漏洞百出。從合規性違規、資料外洩到無法追蹤的決策,都會造成重大影響。儘管如此,許多組織仍認為他們可以透過政策或防火牆來控制人工智能。
事實上,AI 是無法被阻止的;它只能被保護。企業越快意識到這一點,就能越快解決 AI 已經造成的安全漏洞。
影子 AI 是組織內日益嚴重的安全盲點
我們曾經目睹過這種情況。在 2010 年代初期,雲端應用的最初激增也遵循著類似的軌跡 - 團隊採用可提高生產力的工具,但往往會繞過安全協定。許多安全團隊試圖抵制,但事後卻發現他們要忙著控制外洩、錯誤配置和法規遵從問題。
如今,同樣的趨勢也在 AI 上重演。我們的《2024 年人工智慧安全狀況報告》指出,超過半數的組織正在使用人工智慧建立自訂應用程式,但卻幾乎無法清楚瞭解這些模型的託管地點、配置方式,或是否會危害敏感資料。
這種情況帶來了兩大風險:
- 員工利用具有專屬或敏感資料的公共 AI 工具,在沒有適當監督的情況下,將這些資訊暴露給外部系統。
- 內部團隊在沒有足夠安全控制的情況下部署 AI 模型,導致可能無法通過合規性稽核的漏洞和作法。
影子 AI 不僅是一個安全問題,還可能升級為治理危機。如果沒有 AI 使用情況的可視性,您就無法管理訓練流程、資料存取或產出的產生。無法追蹤 AI 驅動的決策意味著您無法解釋或辯解這些決策,讓您的組織容易受到法規、聲譽和營運上的威脅。
傳統安全工具為何不足
大多數安全解決方案並非針對 AI 的特定挑戰而設計。它們無法識別模型工件、掃描 AI 資料路徑、監控大型語言模型 (LLM) 互動或強制執行模型治理。即使是專門的工具也只傾向於處理個別方面,迫使組織在沒有統一安全觀點的情況下管理零散的解決方案。
這是一個關鍵問題。AI 安全性不能是附加或事後的想法。它必須整合到您的雲端管理策略、資料保護協定和 DevSecOps 工作流程中。如果做不到這一點,就會低估 AI 在您營運中日益重要的角色,並錯失將其視為基本業務基礎架構加以保護的機會。
必須摒棄封鎖 AI 的錯誤策略
透過「禁止第三方 AI 工具」或「禁止內部 AI 試驗」等政策實施全面禁止,看起來似乎很直接。然而,這種做法是不切實際的。員工已經在使用 AI 來提升生產力,這並非惡意行為,而是因為它能帶來成果。
AI 就像是生產力的助推器,只要它能幫助人們在最後期限前完成工作、減少重複性的任務並有效率地解決問題,人們就會繼續使用它。
試圖完全封鎖 AI 的使用並不會消除它;它只會將它推向更深的地底。當問題最終出現時,您會在缺乏可見性、既定政策或回應計畫的情況下面對問題。
以策略、安全性和可視性來採用 AI
更聰明的方法是根據您自己的條件主動接納 AI,並將重點放在三個關鍵領域:
為員工提供安全、經核准的替代方案。為了減少對高風險工具的依賴,請提供安全的選項。無論是透過內部 LLM、經審查的第三方應用程式,或是核心平台中的整合式 AI 助理,目標都是提供同樣有效率但顯著更安全的工具。
建立並執行明確的政策。AI 治理必須精確、實用且容易執行。定義哪些資料可以與 AI 工具共用,建立明確的邊界,並指定審核和批准內部 AI 計畫的責任。廣泛溝通這些政策,並確保技術和程序執行措施都能運作。
將可視性與監控放在優先地位。您無法確保看不到的安全。實施能夠偵測影子 AI 使用、識別暴露的存取金鑰、標記錯誤配置的模型,以及監控敏感資料可能洩漏到訓練資料集或輸出的工具。AI 勢態管理正迅速成為與雲端安全勢態管理同樣重要的工作。
CISO 必須引導這場變革
對於安全領導階層而言,這是一個關鍵時刻。CISO 的角色正從基礎結構保護擴展至安全創新啟用。這意味著要協助組織利用 AI 來提高速度和效率,同時確保安全性、隱私權和合規性在每個階段都不可或缺。
這種領導力包括
- 教育董事會成員與主管有關實際與預期的 AI 風險
- 與工程和產品團隊合作,在 AI 部署週期中及早嵌入安全性元素
- 投資於專為 AI 系統安全設計的當代工具
- 培養負責任的 AI 使用是共同責任的文化
CISO 不需要成為 AI 專家,但他們必須提出關鍵問題:我們正在使用哪些模型?哪些資料會助長這些模型?實施了哪些保護措施?我們能否驗證我們的安全立場?
基本要點:不採取行動會帶來最大的風險
AI 已經在重塑企業營運。無論是加快客戶服務回應、加強財務預測,或是加速開發工作流程,AI 都已深深融入日常工作。否認這個現實並不能減緩 AI 的應用,反而只會增加漏洞、資料曝露和法規遵循的失敗。
最危險的做法就是什麼都不做。CISO 和安全領導者必須承認不可否認的事實:AI 已經出現在您的系統和工作流程中,而且將持續存在。關鍵問題在於您是否會主動保護它,還是等到它造成無法逆轉的傷害時才採取行動。
擁抱 AI,但始終都要以安全第一為原則。這是為未來做好準備的唯一方法。
相關文章
DeepMind執行長哈西里斯:我每天睡六個小時,通常在凌晨1點左右感到精力充沛。
Fortune 最近刊登了對谷歌 DeepMind 執行長 Demis Hassabis 的採訪,揭示了他對休息和生產力的非傳統方法。Hassabis 透露,他睡眠時間非常少,將清醒時間劃分為兩個不同的工作階段。關於他的睡眠習慣,Hassabis 表示:“我目標睡六小時,但我的習慣非同尋常。我可以在白天有效運作。”他強調,睡眠少於六小時會對大腦健康產生負面影響。Hassabis 於 2010 年聯合創立了 DeepMind(後被谷歌收購),並因其在蛋白質結構預測方面的開創性工作榮獲 20
儘管營收未達預期,OpenAI 與 Anthropic 仍爭奪市場份額
儘管近期有報導指出 OpenAI 未達營收目標,導致本週二科技股承壓,但私人人工智慧實驗室的投資者仍展現出韌性。資深投資者已確認,儘管媒體報導負面,他們仍不會削減投資。分析師認為當前的 AI 競逐仍處於初期階段,因此排除「贏家通吃」的結果。儘管高昂的運算成本對營收造成壓力,但各實驗室可透過調高訂閱費來提升獲利能力。產業格局正經歷微妙的變化與 OpenAI 不同,競爭對手 Anthropic 獲得了
加州自動駕駛合規:罰單、地理圍欄與 100 萬英里的新時代
Guident 在南佛羅里達州營運一輛 AuveTech 接駁車,並運用其遠端監控技術,管理西棕櫚灘的一條四英里路線以及博卡拉頓的一條一英里路線。| 圖片來源:Guident加州正重新定義無人駕駛車輛的監管格局,從科技產業的「快速行動、打破常規」心態,轉向嚴格的問責制與嚴謹的行駛里程要求。Guident 執行董事長兼執行長哈羅德·布勞恩(Harold Braun)在《機器人報告》(The Robo
相關專題推薦
評論 (2)
0/500
Interesting how AI integration happens with or without formal policies. Saw a coworker use ChatGPT for client reports last week – no one batted an eye. 🤔 Are we just trusting these tools with sensitive data because they’re convenient? Feels like the genie’s already out of the bottle, and security is playing catch-up.
La ciberseguridad con IA me preocupa tanto en el trabajo como en lo personal. Si los empleados suben info sensible a ChatGPT sin pensar, ¿quién garantiza que no se filtre? Al final, los más vulnerables somos los usuarios comunes, no las grandes empresas con sus propios sistemas. 😅 La solución no es prohibir, sino educar y dar herramientas seguras, pero eso cuesta dinero y tiempo...

無論您是否正式採用 AI,AI 已經進入您的組織。員工正在利用 ChatGPT 草擬文件,可能會將敏感資訊上傳至線上工具以加快分析速度,並依賴產生式工具加快從程式碼生產到客戶支援的一切工作。無論您是否同意,人工智能都在不斷演進,而這個現實應該引起每位資訊安全長的關注。
未經審核的 AI 工具在各個部門間無聲無息地擴散,已孕育出一個迅速擴張的影子 IT 層。它分散、經常無法察覺,而且漏洞百出。從合規性違規、資料外洩到無法追蹤的決策,都會造成重大影響。儘管如此,許多組織仍認為他們可以透過政策或防火牆來控制人工智能。
事實上,AI 是無法被阻止的;它只能被保護。企業越快意識到這一點,就能越快解決 AI 已經造成的安全漏洞。
影子 AI 是組織內日益嚴重的安全盲點
我們曾經目睹過這種情況。在 2010 年代初期,雲端應用的最初激增也遵循著類似的軌跡 - 團隊採用可提高生產力的工具,但往往會繞過安全協定。許多安全團隊試圖抵制,但事後卻發現他們要忙著控制外洩、錯誤配置和法規遵從問題。
如今,同樣的趨勢也在 AI 上重演。我們的《2024 年人工智慧安全狀況報告》指出,超過半數的組織正在使用人工智慧建立自訂應用程式,但卻幾乎無法清楚瞭解這些模型的託管地點、配置方式,或是否會危害敏感資料。
這種情況帶來了兩大風險:
- 員工利用具有專屬或敏感資料的公共 AI 工具,在沒有適當監督的情況下,將這些資訊暴露給外部系統。
- 內部團隊在沒有足夠安全控制的情況下部署 AI 模型,導致可能無法通過合規性稽核的漏洞和作法。
影子 AI 不僅是一個安全問題,還可能升級為治理危機。如果沒有 AI 使用情況的可視性,您就無法管理訓練流程、資料存取或產出的產生。無法追蹤 AI 驅動的決策意味著您無法解釋或辯解這些決策,讓您的組織容易受到法規、聲譽和營運上的威脅。
傳統安全工具為何不足
大多數安全解決方案並非針對 AI 的特定挑戰而設計。它們無法識別模型工件、掃描 AI 資料路徑、監控大型語言模型 (LLM) 互動或強制執行模型治理。即使是專門的工具也只傾向於處理個別方面,迫使組織在沒有統一安全觀點的情況下管理零散的解決方案。
這是一個關鍵問題。AI 安全性不能是附加或事後的想法。它必須整合到您的雲端管理策略、資料保護協定和 DevSecOps 工作流程中。如果做不到這一點,就會低估 AI 在您營運中日益重要的角色,並錯失將其視為基本業務基礎架構加以保護的機會。
必須摒棄封鎖 AI 的錯誤策略
透過「禁止第三方 AI 工具」或「禁止內部 AI 試驗」等政策實施全面禁止,看起來似乎很直接。然而,這種做法是不切實際的。員工已經在使用 AI 來提升生產力,這並非惡意行為,而是因為它能帶來成果。
AI 就像是生產力的助推器,只要它能幫助人們在最後期限前完成工作、減少重複性的任務並有效率地解決問題,人們就會繼續使用它。
試圖完全封鎖 AI 的使用並不會消除它;它只會將它推向更深的地底。當問題最終出現時,您會在缺乏可見性、既定政策或回應計畫的情況下面對問題。
以策略、安全性和可視性來採用 AI
更聰明的方法是根據您自己的條件主動接納 AI,並將重點放在三個關鍵領域:
為員工提供安全、經核准的替代方案。為了減少對高風險工具的依賴,請提供安全的選項。無論是透過內部 LLM、經審查的第三方應用程式,或是核心平台中的整合式 AI 助理,目標都是提供同樣有效率但顯著更安全的工具。
建立並執行明確的政策。AI 治理必須精確、實用且容易執行。定義哪些資料可以與 AI 工具共用,建立明確的邊界,並指定審核和批准內部 AI 計畫的責任。廣泛溝通這些政策,並確保技術和程序執行措施都能運作。
將可視性與監控放在優先地位。您無法確保看不到的安全。實施能夠偵測影子 AI 使用、識別暴露的存取金鑰、標記錯誤配置的模型,以及監控敏感資料可能洩漏到訓練資料集或輸出的工具。AI 勢態管理正迅速成為與雲端安全勢態管理同樣重要的工作。
CISO 必須引導這場變革
對於安全領導階層而言,這是一個關鍵時刻。CISO 的角色正從基礎結構保護擴展至安全創新啟用。這意味著要協助組織利用 AI 來提高速度和效率,同時確保安全性、隱私權和合規性在每個階段都不可或缺。
這種領導力包括
- 教育董事會成員與主管有關實際與預期的 AI 風險
- 與工程和產品團隊合作,在 AI 部署週期中及早嵌入安全性元素
- 投資於專為 AI 系統安全設計的當代工具
- 培養負責任的 AI 使用是共同責任的文化
CISO 不需要成為 AI 專家,但他們必須提出關鍵問題:我們正在使用哪些模型?哪些資料會助長這些模型?實施了哪些保護措施?我們能否驗證我們的安全立場?
基本要點:不採取行動會帶來最大的風險
AI 已經在重塑企業營運。無論是加快客戶服務回應、加強財務預測,或是加速開發工作流程,AI 都已深深融入日常工作。否認這個現實並不能減緩 AI 的應用,反而只會增加漏洞、資料曝露和法規遵循的失敗。
最危險的做法就是什麼都不做。CISO 和安全領導者必須承認不可否認的事實:AI 已經出現在您的系統和工作流程中,而且將持續存在。關鍵問題在於您是否會主動保護它,還是等到它造成無法逆轉的傷害時才採取行動。
擁抱 AI,但始終都要以安全第一為原則。這是為未來做好準備的唯一方法。
DeepMind執行長哈西里斯:我每天睡六個小時,通常在凌晨1點左右感到精力充沛。
Fortune 最近刊登了對谷歌 DeepMind 執行長 Demis Hassabis 的採訪,揭示了他對休息和生產力的非傳統方法。Hassabis 透露,他睡眠時間非常少,將清醒時間劃分為兩個不同的工作階段。關於他的睡眠習慣,Hassabis 表示:“我目標睡六小時,但我的習慣非同尋常。我可以在白天有效運作。”他強調,睡眠少於六小時會對大腦健康產生負面影響。Hassabis 於 2010 年聯合創立了 DeepMind(後被谷歌收購),並因其在蛋白質結構預測方面的開創性工作榮獲 20
儘管營收未達預期,OpenAI 與 Anthropic 仍爭奪市場份額
儘管近期有報導指出 OpenAI 未達營收目標,導致本週二科技股承壓,但私人人工智慧實驗室的投資者仍展現出韌性。資深投資者已確認,儘管媒體報導負面,他們仍不會削減投資。分析師認為當前的 AI 競逐仍處於初期階段,因此排除「贏家通吃」的結果。儘管高昂的運算成本對營收造成壓力,但各實驗室可透過調高訂閱費來提升獲利能力。產業格局正經歷微妙的變化與 OpenAI 不同,競爭對手 Anthropic 獲得了
Interesting how AI integration happens with or without formal policies. Saw a coworker use ChatGPT for client reports last week – no one batted an eye. 🤔 Are we just trusting these tools with sensitive data because they’re convenient? Feels like the genie’s already out of the bottle, and security is playing catch-up.
La ciberseguridad con IA me preocupa tanto en el trabajo como en lo personal. Si los empleados suben info sensible a ChatGPT sin pensar, ¿quién garantiza que no se filtre? Al final, los más vulnerables somos los usuarios comunes, no las grandes empresas con sus propios sistemas. 😅 La solución no es prohibir, sino educar y dar herramientas seguras, pero eso cuesta dinero y tiempo...





首頁






