-
Mörg nota „Sign in with Google/Microsoft“ til að prófa ný gervigreindarverkfæri án þess að pæla í leyfunum sem þau fá.
-
Þessi verkfæri fá oft varanlegan aðgang að tölvupósti, dagatölum og skjölum, sem skapar svokallaða „Skugga-gervigreind“ (Shadow AI).
-
Stærsta hættan er að gögn fyrirtækja leki til þriðja aðila án þess að nokkur viti af því fyrr en það er um seinan.
Við þekkjum þetta öll. Þú finnur nýtt og spennandi gervigreindarverkfæri sem lofar að skrifa fundargerðir eða flokka tölvupóstinn þinn. Til að byrja þarftu bara að smella á einn hnapp: „Skrá inn með Google“. Það er fljótlegt, þægilegt og virðist öruggt. En samkvæmt nýrri grein hjá Sola Security er einmitt þetta augnablik ein stærsta öryggisholan í nútíma vinnuumhverfi.
Hvað er Shadow AI?
„Skuggagervigreind“ eða Shadow AI á sér stað þegar starfsfólk byrjar að nota gervigreindarlausnir án vitundar eða samþykkis tölvudeildarinnar. Þetta gerist oftast í gegnum OAuth-tengingar. Þegar þú smellir á „Accept“ á skjánum sem biður um leyfi til að skoða skjölin þín, ertu í raun að afhenda lykilinn að stafræna heimilinu þínu.
Af hverju er þetta vandamál?
Vandinn liggur í því að þessi leyfi eru oft mjög víðtæk. Þegar gervigreind á að hjálpa þér með tölvupóst, þarf hún að geta lesið tölvupóstinn þinn. Ef þú hættir svo að nota tólið mánuði síðar, þá er „lykillinn“ (token-ið) ennþá virkur hjá fyrirtækinu sem bjó til tólið. Ef það fyrirtæki verður fyrir tölvuárás, eru þín gögn líka í hættu.
Gunnsa-vinkillinn: Lykillinn undir mottunni
Hugsaðu um þetta eins og að þú fáir þér nýjan nágranna sem býðst til að vökva blómin hjá þér á meðan þú ert í fríi. Þú gefur honum aukalykil að húsinu. En í stað þess að skila lyklinum þegar þú kemur heim, þá geymir hann hann í vasanum „bara ef ske kynni“.
Svo kemur í ljós að þessi nágranni er ekkert endilega að vökva blómin sjálfur; hann fékk einhvern ókunnugan gaur til að gera það fyrir sig og sýndi honum hvar lykillinn er geymdur. Ef sá gaur ákveður að kíkja í skápana þína eða missir lykilinn í hendurnar á innbrotsþjóf, þá ert þú í vondum málum. OAuth-leyfi fyrir gervigreind eru nákvæmlega svona: Við erum að dreifa stafrænum „aukalyklum“ út um allt internetið án þess að hafa hugmynd um hver endar á því að nota þá.
Hvernig getum við verndað okkur?
Það þarf ekki að banna gervigreind, en við þurfum að vera meðvitaðri.
-
Lestu smáa letrið: Skoðaðu nákvæmlega hvaða gögn forritið biður um. Þarf myndvinnsluforrit virkilega að geta lesið tölvupóstinn þinn?
-
Hreinsaðu til: Farðu reglulega í öryggisstillingar hjá Google eða Microsoft og afturkallaðu aðgang hjá forritum sem þú ert hætt(ur) að nota.
-
Notaðu fyrirtækja-viðurkennd tól: Ef þú ert í vinnunni, athugaðu hvort það séu til „opinberar“ leiðir til að nota þessa tækni.
Niðurlag
Hversu mörg „AI“ tól ætli séu með aðgang að þínum gögnum einmitt núna sem þú ert löngu búin(n) að gleyma að þú prófaðir? Er ekki tími til kominn að fara í smá vorhreingerningu á OAuth-lyklunum?