AI-védelmi kontrollok bevezetése
Gyártói AI-védelmi megoldásokat telepítünk, amelyek láthatóvá teszik és szabályozzák az AI-szolgáltatások használatát, és szűrik a kártékony utasításokat.
Mikor van rá szükség
Ha az AI már a napi munka része
A munkatársak gyakran előbb kezdik használni az AI-eszközöket, mint ahogy a szervezet szabályt hozna rájuk. Ezek a helyzetek jelzik, hogy technikai kontrollra van szükség.
Árnyék-AI
Egy-egy osztály saját bankkártyával előfizet egy AI-eszközre, feltölti a saját adatait, és erről senki nem tud. Ez az árnyék-IT új változata.
Érzékeny adat nyilvános szolgáltatásban
Ha egy munkatárs szerződéstervezetet vagy ügyféladatot illeszt be egy nyilvános AI-szolgáltatásba, az adat elhagyja a szervezetet. Ez a GDPR szerint adattovábbítás, és az üzleti titok védelme is elveszhet.
Rosszindulatú utasítás a bemenetben
A nyelvi modell nem tudja megbízhatóan megkülönböztetni az utasítást az adattól, ezért a felhasználó bemenetében érkező rosszindulatú utasítást is végrehajthatja. Ha az AI-ágens leveleket küldhet vagy fájlokat olvashat, ez közvetlen utat nyit az adatok kiszivárogtatására.
A bevezetés
A szabályoktól a jelentésig
Előbb a szabályok készülnek el, mert a telepítés és a jelentés is ezekre épül.
-
A szabályok rögzítése
Az ügyféllel közösen rögzítjük, mely AI-szolgáltatások engedélyezettek a szervezetben, és melyek tiltottak.
-
Telepítés és beállítás
Telepítjük a gyártói AI-védelmi megoldást, és beállítjuk rajta a rögzített szabályokat.
-
Naplózás és jelentés
A megoldás naplózza az AI-szolgáltatások használatát. A jelentésből látszik, mely szolgáltatásokat használják a szervezetben.
-
Átadás
A szabályokat és a beállításokat dokumentálva adjuk át. A bevezetés utáni üzemeltetés egyedi megállapodás alapján kérhető.
Szállítandó anyagok
Mit kap a munka végén
átadott tétel
- Az engedélyezett és tiltott AI-szolgáltatások szabályai
- Telepítés és beállítás
- Naplózás és jelentés az AI-használatról
- Átadási dokumentáció
Kapcsolódó szolgáltatások
Ami a kontrollok elé és mellé tartozik
A szabályokhoz tudni kell, mit használnak ma a munkatársak.
Shadow AI felmérés AI használati szabályzattal
Feltárjuk, milyen AI-eszközöket használnak a munkatársak és milyen adatokkal. Az eredményből javaslat készül a szükséges technikai kontrollokra.
GenAI adatszivárgás-védelem
Megakadályozza, hogy érzékeny adat kerüljön az AI-eszközökbe, kifejezetten az AI-szolgáltatások felé menő forgalomban.
LLM és AI-ágens infrastruktúra biztonsági felülvizsgálata
Saját fejlesztésű vagy bevezetett nyelvi modellek, AI-ágensek és RAG-rendszerek felülvizsgálata az OWASP LLM Top 10 alapján.
Biztonsági és AI-használati tréning
Cégre szabott élő képzés arról, mit szabad beírni egy AI-eszközbe és mit nem, a klasszikus biztonsági tudatossággal egy programban.
Gyakori kérdések
Amit a legtöbben kérdeznek
Kiszűri a kontroll az összes prompt-injekciót?
Nem. A prompt-injekciót a szűrés sem szünteti meg teljesen, ezért a védelemnek a hatás korlátozására kell épülnie. Saját AI-rendszer tervezésénél ehhez a bemenetet és az utasítást szigorúan el kell különíteni, a modell által hívható eszközöket minimalizálni kell, a kimenetet futtatás előtt ellenőrizni, a kockázatos műveleteknél pedig emberi jóváhagyást kérni. Ezt az LLM és AI-ágens infrastruktúra biztonsági felülvizsgálata ellenőrzi. A részleteket a vállalati AI-bevezetés kockázatairól szóló cikkünk tartalmazza.
Elég letiltani a nyilvános AI-szolgáltatásokat?
A tiltás önmagában nem működik, mert a munkatársak megkerülik. Helyette használható alternatívát kell adni: ilyen lehet egy vállalati előfizetés adatfeldolgozói szerződéssel vagy egy helyben futó modell. A munkatársaknak azt is világossá kell tenni, mit szabad hova beírni.
Honnan tudjuk, milyen AI-szolgáltatásokat használnak most a munkatársak?
Az első kép a proxy- vagy tűzfalnaplókból is kilistázható: mely AI-szolgáltatásokat érik el a szervezetből, és milyen mennyiségben. Tapasztalatunk szerint az eredmény szinte mindig meglepő. Erről az árnyék-AI-ról szóló cikkünkben írtunk.
