人工智能已经进入您的企业。如果无担保，您就落后了

无论您是否已经正式采用人工智能，它都已经进入了您的组织。员工正在利用 ChatGPT 起草文件，可能将敏感信息上传到在线工具以加快分析速度，并依靠生成工具加快从代码生成到客户支持的所有工作。无论您是否批准，人工智能都在不断发展，这一现实应该引起每一位首席信息安全官的关注。

未经审查的人工智能工具在所有部门的无声传播，催生了一个迅速扩大的影子 IT 层。它是分散的，往往无法察觉，而且漏洞百出。从合规性漏洞和数据泄露到无法追踪的决策，其影响是巨大的。尽管如此，许多组织仍然认为他们可以通过政策或防火墙来控制人工智能。

现实情况是，人工智能是无法阻止的，只能确保其安全。企业越快认识到这一点，就能越快解决人工智能已经造成的安全漏洞。

影子人工智能是企业内部日益严重的安全盲点

我们曾经目睹过这种情况。2010 年代初，云计算应用的最初激增也遵循了类似的轨迹--团队采用了能提高工作效率的工具，但往往绕过了安全协议。许多安全团队试图抵制，但却发现自己在事后忙于遏制漏洞、错误配置和合规性问题。

如今，同样的趋势正在人工智能领域重演。我们的《2024 年人工智能安全状况报告》显示，超过一半的企业正在使用人工智能构建定制应用程序，但很少有企业能够清楚地了解这些模型的托管位置、配置方式或是否会泄露敏感数据。

这种情况带来了两大风险：

1. 员工利用带有专有或敏感数据的公共人工智能工具，在没有适当监督的情况下将这些信息暴露给外部系统。
2. 内部团队在没有足够安全控制的情况下部署人工智能模型，导致可利用的弱点和可能无法通过合规性审计的做法。

影子人工智能不仅仅是一个安全问题，它还可能升级为治理危机。如果不了解人工智能的使用情况，就无法管理培训流程、数据访问或输出生成。无法跟踪人工智能驱动的决策意味着您无法解释或为其辩护，从而使您的组织容易受到监管、声誉和运营方面的威胁。

传统安全工具为何不足

大多数安全解决方案并不是为应对人工智能特定挑战而设计的。它们无法识别模型工件、扫描人工智能数据通道、监控大型语言模型（LLM）交互或执行模型治理。即使是专门的工具也往往只能解决一些孤立的问题，从而迫使企业在没有统一安全视角的情况下管理零散的解决方案。

这是一个关键问题。人工智能安全不能是附加或事后的想法。它必须集成到您的云管理策略、数据保护协议和 DevSecOps 工作流程中。如果做不到这一点，就会低估人工智能在企业运营中日益增长的作用，错失将其作为基本业务基础设施加以保护的机会。

必须放弃封锁人工智能的错误策略

通过 "禁止第三方人工智能工具 "或 "禁止内部人工智能实验 "等政策实施全面禁止似乎很直接。然而，这种方法是不现实的。员工已经在使用人工智能提高工作效率，这并非出于恶意，而是因为它能带来成果。

人工智能是生产力的助推器，只要它能帮助人们在截止日期前完成任务、减少重复性工作并高效解决问题，人们就会继续使用它。

试图完全阻止人工智能的使用并不会消除它，而只会将它进一步推向地下。当问题最终出现时，你将在没有可见性、既定政策或应对计划的情况下面对它们。

通过战略、安全和可见性采用人工智能

更明智的方法是根据自身条件主动拥抱人工智能，重点关注三个关键领域：

1. 为员工提供安全、经认可的替代方案。为了减少对高风险工具的依赖，应提供安全的选择。无论是通过内部 LLM、经过审核的第三方应用程序，还是在核心平台中集成人工智能助手，目标都是提供同样高效但更安全的工具。

2. 制定并执行明确的政策。人工智能管理必须精确、实用、易于实施。定义哪些数据可以与人工智能工具共享，建立明确的界限，并指定审查和批准内部人工智能计划的责任。广泛宣传这些政策，并确保技术和程序执行措施的可操作性。

3. 优先考虑可见性和监控。看不到的东西是无法确保安全的。实施能够检测影子人工智能使用情况的工具，识别暴露的访问密钥，标记配置错误的模型，并监控敏感数据可能泄漏到训练数据集或输出中的位置。人工智能态势管理正迅速变得与云安全态势管理一样重要。

首席信息安全官必须引导这一转变

这是安全领导力的关键时刻。CISO 的职责正在从基础设施保护扩展到安全创新支持。这意味着要帮助企业利用人工智能提高速度和效率，同时确保安全、隐私和合规性在每个阶段都不可或缺。

这种领导力包括

• 向董事会成员和高管宣传人工智能的实际风险与感知风险
• 与工程和产品团队合作，在人工智能部署周期的早期就植入安全因素
• 投资于专为人工智能系统安全设计的现代工具
• 培养一种将负责任地使用人工智能作为共同责任的文化

CISO 不需要成为 AI 专家，但他们必须提出关键问题：我们正在使用哪些模型？哪些数据会助长它们？实施了哪些保护措施？我们能否验证我们的安全立场？

重要启示不作为带来最大风险

人工智能已经在重塑业务运营。无论是促进更快的客户服务响应、加强财务预测，还是加快开发工作流程，人工智能都已深深融入日常工作。否认这一现实不会减缓人工智能的应用，只会增加漏洞、数据暴露和合规失败。

最危险的做法是无所作为。首席信息安全官和安全领导者必须承认这一不可否认的事实：人工智能存在于您的系统和工作流程中，而且会一直存在下去。关键的问题是，您是要主动保护它的安全，还是要等到它造成不可逆转的伤害时再行动。

拥抱人工智能，但始终要采取安全第一的方法。只有这样，才能为未来做好准备。