تُعدّ التهديدات السيبرانية حقيقية للغاية وتتزايد بشكل ملحوظ. في الوقت نفسه، تتبنى المؤسسات بحماس أدوات الذكاء الاصطناعي وتستفيد منها في مختلف أقسامها. ورغم ما يحمله الذكاء الاصطناعي من مزايا لا تُنكر، إلا أنه ينطوي على مخاطر خاصة به.
والأبرز من ذلك كله، والذي يكمن في الظلال، هو خطر غير مرئي تقريبًا يُعرف باسم الذكاء الاصطناعي الخفي.
لطالما كان العنصر البشري الحلقة الأضعف في سلسلة الأمن السيبراني. فعلى الرغم من الوعي والتدريب المستمرين، لا يزال الموظفون يتجاوزون البروتوكولات والتطبيقات المعتمدة رسميًا والمتاحة للاستخدام في بيئة العمل. ومن هنا نشأ مصطلح "الذكاء الاصطناعي الخفي"، الذي يشير إلى استخدام الموظفين لأدوات الذكاء الاصطناعي التوليدي بشكل سري.
بإمكان المؤسسات تبني أحدث الإجراءات الأمنية، ومع ذلك، قد تؤدي ثغرة أمنية واحدة إلى شل جميع المبادرات. الخطر الحقيقي واضح؛ فالبيانات الحساسة معرضة للخطر. لذا، يُعد فهم الذكاء الاصطناعي الخفي أمرًا بالغ الأهمية لتجنب الكشف غير المقصود عن البيانات الحساسة.
ما هو الذكاء الاصطناعي الخفي؟
يُعرَّف الذكاء الاصطناعي الخفي بأنه استخدام غير مصرح به وغير معتمد وغير موثق لأدوات وتطبيقات ونماذج وأنظمة الذكاء الاصطناعي داخل المؤسسة، دون علمها أو موافقتها الصريحة أو إشرافها الأمني. ويحدث ما يقارب 90% من استخدام الذكاء الاصطناعي في المؤسسات دون علم فرق الأمن وتقنية المعلومات، مما يعرض المؤسسات لمخاطر مثل تسريب البيانات والوصول غير المصرح به.
تتشابه تقنيات الذكاء الاصطناعي غير الرسمية مع تقنية المعلومات غير الرسمية، حيث تُستخدم التقنيات والتطبيقات والأدوات والخدمات دون موافقة قسم تقنية المعلومات في المؤسسة. والسبب الرئيسي لاستخدامها غالبًا هو تحسين الكفاءة وتبسيط سير العمل.
غالباً ما يختبئ الذكاء الاصطناعي الخفي في وضح النهار، متغلغلاً في سير العمل في كل وحدة عمل وقطاع تقريباً. يستخدم الموظفون في مختلف القطاعات الذكاء الاصطناعي العام لزيادة الكفاءة، غالباً خارج نطاق الحوكمة المعتمدة من قبل قسم تقنية المعلومات.
على الرغم من أن استخدام أدوات الذكاء الاصطناعي غير المعتمدة قد لا ينطوي على نية سيئة، إلا أن غياب الرؤية والحوكمة من قبل فرق تكنولوجيا المعلومات يجعل الذكاء الاصطناعي الخفي تهديدًا صامتًا يمكن أن يعرض البيانات لجهات خبيثة.
التهديدات الصامتة للذكاء الاصطناعي الخفي
ينطوي الذكاء الاصطناعي الخفي على مخاطر كامنة تُعرّض سلامة البيانات والخصوصية والأمان للخطر. ويعود ذلك أساسًا إلى أن أدوات الذكاء الاصطناعي أنظمة متعطشة للبيانات، إذ تُراكم كميات هائلة من المعلومات المُقدّمة إليها، وتُضيف هذه المعلومات إلى قاعدة بيانات أوسع نطاقًا قد تُستخدم لتدريب نماذج الذكاء الاصطناعي.
قد يقوم الموظفون، دون إدراك كامل لكيفية عمل أدوات الذكاء الاصطناعي، بإدخال بيانات حساسة في تطبيقات غير مصرح بها. وقد تكشف هذه التطبيقات، دون قصد، معلومات حساسة لجهات خارجية تفتقر إلى ممارسات آمنة للتعامل مع البيانات.
توضح العديد من أدوات الذكاء الاصطناعي ذلك بوضوح في privacy policy قد تتم معالجة البيانات الحساسة خارج نطاق أمن مؤسستك. وهذا يعني بوضوح أنه قد يتم استخدام البيانات السرية للمؤسسة أو مشاركتها مع جهات خارجية.
بحسب تقرير فارونيس لحالة أمن البيانات ، فإن 99% من المؤسسات لديها بيانات حساسة معرضة للخطر بسبب أدوات الذكاء الاصطناعي. ويشير التقرير نفسه إلى أن 98% من الشركات لديها موظفون يستخدمون تطبيقات غير مصرح بها، بما في ذلك تطبيقات الذكاء الاصطناعي غير المصرح بها، حيث يبلغ متوسط عدد التطبيقات غير الرسمية في كل شركة 1200 تطبيق.
بما أن الذكاء الاصطناعي الخفي يعمل خارج نطاق الرقابة الرسمية، فإن ذلك يؤدي إلى:
أ. معالجة البيانات الحساسة غير المصرح بها
قد يقوم موظفو المؤسسة عن طريق الخطأ بإدخال بيانات خاصة وحساسة وسرية للغاية في أنظمة الذكاء الاصطناعي غير المعتمدة وغير المصرح بها دون فهم كامل لتداعياتها، مثل ما إذا كانت أداة الذكاء الاصطناعي ستخزن هذه البيانات، وإذا كان الأمر كذلك، فإلى متى، وما إذا كان سيتم مشاركتها خارجيًا أو معالجتها لتدريب نموذج الذكاء الاصطناعي، وما إلى ذلك.
ب. توسع نطاق التهديد
تتزايد التهديدات الإلكترونية بالفعل. إن تغذية نماذج الذكاء الاصطناعي بمعلومات سرية وبيانات حساسة يزيد من نطاق الهجوم، وذلك بجذب جهات خبيثة للتجسس على واجهات برمجة التطبيقات غير الآمنة، والنماذج التي تفتقر إلى بروتوكولات الأمان، مما يعرض البيانات للخطر.
ج. تسميم النموذج والمخرجات الفاسدة
لا تُصمم جميع نماذج الذكاء الاصطناعي بنوايا حسنة. وحتى لو كانت كذلك، فقد تُدرّب على بيانات خبيثة وغير دقيقة يمكن للموظفين استخدامها في بيئة رسمية، مما يؤدي إلى معلومات متحيزة ومُتلاعب بها.
د. الثغرات التنظيمية والامتثال
عدم وجود data privacy ويؤدي الأمن إلى زيادة خطر التعرض للبيانات وانتهاكات الامتثال للوائح مثل اللائحة العامة لحماية البيانات (GDPR) وقانون خصوصية المستهلك في كاليفورنيا/قانون حماية خصوصية المستهلك في كاليفورنيا (CCPA/CPRA) وقانون قابلية نقل التأمين الصحي والمساءلة (HIPAA) وقانون الذكاء الاصطناعي للاتحاد الأوروبي ، وما إلى ذلك.
هـ. انعدام إمكانية التتبع والمساءلة
إن نماذج الذكاء الاصطناعي غير المصرح بها غير معتمدة لسبب وجيه. فقد تنتج مخرجات متحيزة وغير دقيقة يصعب تتبعها في كثير من الأحيان، مما يعني أن المعلومات التي يستخدمها الموظف قد تكون فاسدة، ولا توجد طريقة للتحقق من البيانات التي تم إدخالها أو معالجتها وكيفية توليد المخرجات.
الذكاء الاصطناعي الخفي مقابل الذكاء الاصطناعي المرخص
على عكس الذكاء الاصطناعي غير الرسمي، الذي لا يخضع للتنظيم أو الترخيص، فإن الذكاء الاصطناعي المُرخَّص يتضمن استخدام أدوات ذكاء اصطناعي مُدقَّقة وآمنة ومعتمدة من قِبل قسم تقنية المعلومات. ولعل السبب وراء موافقة فريق تقنية المعلومات على منصات الذكاء الاصطناعي هذه هو أنها توفر ضمانات أمنية مُدمجة، وتتوافق مع سياسات الشركة والمتطلبات التنظيمية، والأهم من ذلك، أنها تتمتع بضوابط حوكمة شفافة.
تُمكّن أدوات الذكاء الاصطناعي المعتمدة الموظفين من الاستفادة من المنصة بسهولة، إذ يتم تطويرها وفقًا لحوكمة الشركات. في المقابل، يتجاوز الذكاء الاصطناعي غير الرسمي رقابة قسم تقنية المعلومات، مما يؤدي إلى استخدام الموظفين لهذه الأدوات بشكل منفرد، وبالتالي زيادة المخاطر الأمنية. وينتج عن ذلك تفاقم الثغرات الأمنية الخفية التي قد لا تظهر إلا عند تفاقم المشكلات.
كيفية الحماية من الذكاء الاصطناعي الخفي
بحسب شركة غارتنر، قام 41% من الموظفين في عام 2022 بتثبيت واستخدام تطبيقات خارج نطاق رؤية أقسام تقنية المعلومات لديهم. ومن المتوقع أن ترتفع هذه النسبة إلى 75% بحلول عام 2027. وللحماية من الذكاء الاصطناعي الخفي، تحتاج المؤسسات إلى تبني نهج استباقي، يشمل ما يلي:
أ. اكتساب رؤية شاملة
لا يمكنك تأمين ما لا تراه. عليك أن تدرك أن الذكاء الاصطناعي الخفي موجود بالفعل داخل مؤسستك، وأن تُفعّل خاصية اكتشاف استخدام الذكاء الاصطناعي تلقائيًا. حدد نماذج/تطبيقات الذكاء الاصطناعي المستخدمة، وصرح باستخدامها وفقًا لذلك.
ب. وضع سياسة واضحة لاستخدام الذكاء الاصطناعي
ضع سياسة استخدام مخصصة للذكاء الاصطناعي تُفصّل الأدوات المعتمدة، وما إذا كان بإمكان الموظفين إدخال بيانات حساسة، وما هي الضمانات المتاحة. نظّم إمكانية الوصول من خلال الهويات المؤسسية وراقب الاستخدام وفقًا لذلك. اعتمد نهجًا استباقيًا بدلًا من نهج رد الفعل.
ج. تدريب الموظفين
توعية الموظفين وجميع الجهات المعنية بالاستخدام الآمن لأدوات الذكاء الاصطناعي. الاحتفاظ بقائمة معتمدة لأدوات الذكاء الاصطناعي وحظر الأدوات غير المصرح بها. توفير تدريب دوري للموظفين حول مخاطر استخدام أدوات الذكاء الاصطناعي غير المصرح بها، مثل تسريب البيانات وظهور نتائج وهمية، مما قد يضر بسلامة البيانات ويؤدي إلى عقوبات عدم الامتثال.
تمكين التبني السريع والآمن للذكاء الاصطناعي في مؤسستك
يتطلب التغلب على التحديات المرتبطة بالذكاء الاصطناعي غير الرسمي إطار عمل قوي لأمن البيانات والذكاء الاصطناعي ، يعمل على أتمتة اكتشاف أنظمة الذكاء الاصطناعي المستخدمة داخل المؤسسة. تُمكّن Securiti المؤسسات من اكتشاف استخدام الذكاء الاصطناعي وتقييمه وحمايته في جميع أنحاء المؤسسة.
اطلب عرضًا توضيحيًا لمعرفة المزيد حول كيفية Securiti يساعد المؤسسات على التغلب على الذكاء الاصطناعي الخفي.
الأسئلة الشائعة (FAQs)
