人工智慧安全是每個人——包括 Google 在內——都面臨的即時挑戰

我最近有機會在洛杉磯一場活動的後台，與 Google Cloud 營運長法蘭西斯·德·索薩（Francis de Souza）進行了交談。 在周遭的喧囂中，德·索薩——說話時帶著大學教授般沉穩而從容的語調——為正在應對當今人工智慧安全局勢的企業提供了實用的指導。他指出：「將會有一段過渡期，之後我認為我們就能邁向更理想的境地。」

雖然他當時並未特別提及 Google，但顯然就連 Google 本身仍在努力克服這些挑戰。

德·索薩的核心訊息，正是資安專業人士長期以來試圖向高層主管強調、如今因人工智慧而變得迫在眉睫的觀點：資安絕不能是事後才考慮的環節。「當企業踏上這段人工智慧之旅時，必須採取平台化策略，」他表示。 「資安不是事後才能加裝的，也不是可以交由員工自行處理的事。」他特別針對「影子 AI」——即員工在缺乏組織監督的情況下使用消費級工具——提出警告，並主張企業必須從一開始就要求平台具備資安、治理與可稽核性。 「沒有數據策略和安全策略的 AI 策略是不存在的。這兩者必須相輔相成。」

值得注意的是：他並非僅在推廣 Google Cloud。當我指出他的建議聽起來像是一則 Google 廣告時，他予以反駁。他表示，Google 致力於多雲端策略，並指出自認僅在單一雲端環境運作的企業，幾乎可以肯定並非如此。 「即使他們選擇單一雲端，仍會依賴 SaaS 應用程式，而且業務夥伴可能正在使用不同的雲端服務，」他說。「對企業而言，建立一套能橫跨各雲端與各運作模式、且一致的安全防禦態勢至關重要。」

他還指出，威脅態勢已發生根本性變化，使得舊有的防禦模式反應過於遲緩。他提到，從初始入侵到攻擊進入下一階段的平均時間已從八小時縮短至 22 秒，且攻擊面已擴展至傳統網路邊界之外。 「除了您慣常的基礎架構之外，現在還有各種模型。您有用於訓練模型的資料管道。您有代理程式，還有提示字串。所有這些都需要受到保護。」

德·索薩指出了一項尚未受到足夠關注的威脅：在企業內部系統中移動的代理程式，可能會揭露那些多年來無人問津、早已被遺忘的資料儲存庫。 「許多組織擁有舊版的 SharePoint 伺服器 [及存取控制]，雖然從未真正更新，但這原本無關緊要，因為根本沒人知道它們在哪裡。然而，在企業內部漫遊的代理程式將會找到這些資料資產，並將其中的資料暴露出來。」

在他看來，解決之道在於以機器速度對抗機器速度。「我們現在正見證一種『AI 原生、完全基於代理程式』的防禦體系的崛起，組織可以運行代理程式來驅動其防禦機制，」他說。 「與其採用由人類主導的防禦機制，甚至需要人類介入，現在人類可以監督一套完全由代理程式驅動的防禦體系。」他補充道，這已成為領導層層級的問題，而不僅僅是技術層面的問題。「這是董事會層級的問題，也是高階管理團隊的問題。這不僅僅是資安團隊的問題。」

然而，即使人工智慧承擔了更多防禦工作，具備監督能力的人才卻供不應求——而且人工智慧本身所引入的漏洞，其增長速度遠超過資安團隊的應對能力。 「我們將需要人才來應對這場『漏洞末日』，」LinkedIn 首席資訊安全官 Lea Kissner 本週向《紐約時報》表示，並補充說她預計業界至少在未來數年內，都無法以任何可持續的長期方式理解 AI 安全。

這讓我們回到了平台供應商本身。《The Register》在過去幾週發表了一系列報導，記錄了一波 Google Cloud 開發者因未經授權呼叫 Gemini 模型的 API 而收到五位數帳單的事件——這些服務是許多開發者從未使用過或刻意啟用的。 這些案例的模式如出一轍：原本用於 Google 地圖的 API 金鑰，依照 Google 自身的指示公開設定，卻在 Google 擴大其適用範圍卻未明確披露變更後，悄然獲得了存取 Gemini 的權限。

面試準備平台 Prentus 的執行長 Rod Danan 表示，在攻擊者利用他遭竊的 API 金鑰後，他的帳單在約 30 分鐘內飆升至 10,138 美元。 同樣遭遇帳戶遭入侵的雪梨開發者伊蘇魯·馮塞卡（Isuru Fonseka），儘管原以為已設定了 250 美元的消費上限，醒來卻發現帳單金額竟高達約 17,000 澳元。 他們都不知道的是，Google 的自動化系統根據帳戶歷史紀錄，在未經明確同意的情況下，將他們的計費層級升級，使實際上限提高至高達 100,000 美元。

在《The Register》刊出初步報導後，Google 已向兩人退還款項。儘管如此，Google 仍向《The Register》表示，並無計劃更改其自動升級計費層級的政策，並強調相較於執行用戶所設定的預算偏好，該公司更優先考量防止服務中斷。

與此同時，還有一個獨立的問題：當開發者試圖關閉服務時會發生什麼情況？ 《The Register》本週報導了資安公司 Aikido 的研究發現，即使開發者察覺金鑰遭竊並立即刪除，也未必能確保安全。根據 Aikido 的研究結果，由於 Google 的金鑰撤銷機制會逐步在整個基礎架構中傳播，攻擊者顯然仍可繼續使用該金鑰長達 23 分鐘。 Aikido 研究員約瑟夫·萊昂（Joseph Leon）向《The Register》表示，在此時間窗口內，成功率難以預測——某些時刻仍有超過 90% 的請求通過驗證——而攻擊者可利用這段時間從 Gemini 竊取檔案及快取的對話資料。

Leon 還指出，Google 自身較新的憑證格式似乎不存在同樣的問題：服務帳戶 API 憑證約在五秒內即被撤銷，而 Gemini 較新的以 AQ 為前綴的金鑰格式則約需一分鐘。 「兩者皆在 Google 的規模下運作，」他在 Aikido 的相關論文中寫道。「兩者都表明，對於 Google API 金鑰而言，這在技術上同樣是可以解決的。」簡而言之，根據 Leon 的說法，這 23 分鐘的空窗期並非工程上的限制，而是該公司優先順序的問題。

在閱讀 de Souza 的建議時，這點值得深思——他的建議確實合理，且應予以高度重視。他的觀點並無不妥，但目前各平台所提出的規範與其自身適應速度之間仍存在落差，對此保持覺察同樣至關重要。