如何在采用人工智能的同时遵循安全设计原则

生成人工智能 (gen AI ) 技术的快速崛起为全球各行各业带来了变革时代。在过去 18 个月中，企业越来越多地将 gen AI 融入其运营中，利用其潜力来创新和简化流程。从自动化客户服务到增强产品开发，gen AI 的应用范围广泛且影响深远。根据IBM 最近的一份报告，大约 42% 的大型企业已经采用了AI，该技术能够自动化销售、营销、财务和客户服务等各个领域高达 30% 的知识工作活动。

然而，加速采用新一代人工智能也带来了重大风险，例如不准确性、知识产权问题和网络安全威胁。当然，这只是一系列采用云计算等新技术的企业中的一个例子，后来才意识到从一开始就应该优先考虑纳入安全原则。现在，我们可以从过去的失误中吸取教训，在开发基于新一代人工智能的企业应用程序时尽早采用安全设计原则。

云转型热潮中的经验教训

近期的云应用浪潮为在任何技术转型早期优先考虑安全性提供了宝贵的见解。许多组织采用云技术是为了降低成本、提高可扩展性和灾难恢复等好处。然而，急于获得这些好处往往导致安全疏忽，导致因配置错误而发生引人注目的泄露事件。下图显示了这些配置错误的影响。它按初始攻击媒介说明了数据泄露的成本和频率，其中云配置错误的平均成本高达 398 万美元：

图片

图 1：以百万美元计；占所有泄露事件的百分比（IBM 2024 年数据泄露成本报告）

2023 年发生了一起值得注意的事件：一个配置错误的云存储桶泄露了多家公司的敏感数据，包括电子邮件地址和社会安全号码等个人信息。这次泄露事件凸显了不当云存储配置带来的风险以及声誉受损造成的财务影响。

同样，2023 年，企业工作区软件即服务 (SaaS) 应用程序中的漏洞导致了一次重大数据泄露，其中通过不安全的帐户获得了未经授权的访问。这揭示了账户管理和监控不足的影响。这些事件以及许多其他事件（记录在最近发布的IBM 2024 年数据泄露成本报告中）强调了安全设计方法的迫切需要，确保安全措施从一开始就成为这些 AI 采用计划不可或缺的一部分。

人工智能转型计划需要尽早采取安全措施

随着企业迅速将新一代人工智能融入其运营，从一开始就解决安全问题的重要性怎么强调也不为过。人工智能技术虽然具有变革性，但也带来了新的安全漏洞。最近与人工智能平台相关的漏洞证明了这些风险及其对企业的潜在影响。

以下是过去几个月中与人工智能相关的安全漏洞的一些示例：

1. Deepfake 诈骗：在一个案例中，一家英国能源公司的首席执行官被骗转账 243,000 美元，他以为自己正在与老板交谈。该骗局利用了Deepfake技术，凸显了人工智能驱动欺诈的可能性。

2. 数据中毒攻击：攻击者可以通过在训练期间引入恶意数据来破坏人工智能模型，从而导致错误输出。当一家网络安全公司的机器学习模型受到攻击时，就出现了这种情况，导致威胁响应延迟。

3. 人工智能模型漏洞：聊天机器人等人工智能应用中的漏洞已导致许多未经授权访问敏感数据的事件。这些漏洞凸显了人工智能接口周围需要采取强有力的安全措施。

人工智能安全漏洞的商业影响

人工智能安全漏洞的后果是多方面的：

• 财务损失：违规行为可能导致直接财务损失以及与缓解措施相关的重大成本

• 运营中断：数据中毒和其他攻击可能会扰乱运营，导致错误决策和延迟应对威胁

• 声誉损害：违规行为可能损害公司的声誉，削弱客户信任和市场份额

随着企业迅速采用面向客户的应用程序来采用新一代人工智能技术，采取结构化的方法来保护这些技术非常重要，这样可以降低企业业务被网络对手中断的风险。

确保人工智能应用安全的三管齐下方法

为了有效地保护新一代人工智能应用，企业应采用涵盖整个人工智能生命周期的全面安全策略。有三个关键阶段：

1. 数据收集和处理：确保数据的安全收集和处理，包括加密和严格的访问控制。

2. 模型开发和训练：在人工智能模型的开发、训练和微调过程中实施安全实践，以防止数据中毒和其他攻击。

3. 模型推理和实时使用：实时监控人工智能系统并确保持续的安全评估，以检测和减轻潜在威胁。

这三个阶段应该与典型的基于云的 AI 平台的共享责任模型一起考虑（如下所示）。

图 2：安全使用新一代人工智能——责任共担矩阵

在IBM 生成式人工智能安全框架中，您可以找到这三个阶段和要遵循的安全原则的详细描述。它们与运行大型语言模型和应用程序的底层基础设施层的云安全控制相结合。

图 3：IBM 生成式 AI 安全框架

平衡发展与安全

向新一代人工智能的过渡使企业能够推动其业务应用程序的创新，自动执行复杂任务并提高效率、准确性和决策能力，同时降低成本并提高业务流程的速度和灵活性。

从云采用浪潮中可以看出，从一开始就优先考虑安全性至关重要。通过尽早将安全措施纳入 AI 采用流程，企业可以将过去的失误转化为关键里程碑，并保护自己免受复杂的网络威胁。这种主动方法可确保遵守快速发展的 AI 监管要求，保护企业及其客户的敏感数据并维护利益相关者的信任。这样，企业就可以安全且可持续地实现其 AI 战略目标。

原文链接：https://securityintelligence.com/posts/how-to-embrace-secure-by-design-while-adopting-ai/