CISO стурбовані: Тіньовий ШІ та опір керівництва ускладнюють AI

Згідно зі звітом Okta, опублікованим у середу, 81% керівників відділів інформаційної безпеки (CISO) стурбовані тим, що їхні системи штучного інтелекту (ШІ) не керуються належним чином. Це відбувається на тлі складної ситуації, коли компанії не знаходять балансу між ризиками та перевагами агентного ШІ.

Проблеми з видимістю та контролем

Опитування Okta виявило значні прогалини у видимості та контролі над AI-агентами. Лише 47% опитаних компаній заявили, що знають про всі AI-агенти у своїх мережах, і лише 46% повідомили, що контролюють доступ цих агентів до корпоративних даних.

Виклик тіньового ШІ

Однією з найбільших проблем є так званий «тіньовий ШІ» (Shadow AI), коли користувачі швидко впроваджують корисні інструменти без дозволу або навіть без повідомлення команд безпеки. Це створює прогалини у видимості та збільшує ризики. 68% CISO повідомили про виявлення принаймні деякого несанкціонованого використання ШІ.

Недостатній контроль над авторизованими інструментами

Навіть щодо авторизованих інструментів ШІ, компанії не завжди забезпечують належний контроль. Приблизно одна п'ята організацій дозволяє AI-агентам отримувати доступ до мережевих ресурсів за допомогою спільних облікових даних або облікових записів з високими привілеями, що створює слабкі межі для поведінки агентів. Аналогічна частка респондентів дозволяла командам, які створювали AI-агенти, керувати ними самостійно. Лише чверть опитаних керували AI-агентами через спеціалізовану систему управління доступом.

Розбіжності з керівництвом

Узгодженість з керівництвом є ще однією серйозною проблемою. Менше однієї третини CISO заявили Okta, що вони відчувають «повну узгодженість» зі своїм керівництвом, включаючи генеральних директорів та ради директорів, щодо рівня ризику, який слід брати зі ШІ. У США цей показник становив лише 12%. Багато керівників все ще розглядають заходи безпеки для інструментів ШІ як перешкоду для зростання бізнесу, а не як захист корпоративного благополуччя. Менше половини CISO вважають, що їхні ради директорів розглядають безпеку ШІ як фактор, що сприяє розвитку бізнесу.

Загрози від ШІ, що використовується зловмисниками

CISO також глибоко стурбовані тим, як ШІ допомагає зловмисникам здійснювати атаки. Понад половина (57%) керівників безпеки у глобальному опитуванні заявили, що вони надзвичайно або дуже стурбовані витоками даних, спричиненими ШІ; у США цей показник був значно вищим (84%). Серед головних побоювань керівників безпеки – фішингові атаки, посилені ШІ, шкідливі AI-агенти та діпфейки, що обходять автентифікацію.

Звіт Okta базується на опитуванні 306 CISO та інших керівників кібербезпеки у США, Великій Британії, Японії, Німеччині, Канаді та Франції.

Що це означає для розробників

Команди розробників, які створюють AI-агенти, часто керують ними самостійно, що створює ризики через відсутність інтеграції в централізовані системи управління доступом. Це вказує на необхідність розробки та впровадження більш суворих фреймворків для управління доступом AI-агентів до корпоративних ресурсів.

Ключові факти

81% CISO стурбовані неналежним управлінням їхніми AI-системами.
Лише 47% компаній знають про всі AI-агенти у своїх мережах, і 46% контролюють їхній доступ до даних.
68% CISO повідомили про виявлення несанкціонованого використання ШІ (тіньовий ШІ).
Приблизно одна п'ята організацій дозволяє AI-агентам доступ до мережевих ресурсів зі спільними обліковими даними або високопривілейованими обліковими записами.
Менше однієї третини CISO відчувають повну узгодженість з керівництвом щодо ризиків ШІ (лише 12% у США).