Riepilogo
Molte organizzazioni pensano di non usare l'IA, ma ovviamente i loro dipendenti stanno sperimentando ogni sorta di nuovi strumenti di IA, poiché la curiosità per l'IA attanaglia la cultura. Ciò che questi lavoratori non sanno è come potrebbero esporre i dati aziendali. Sta succedendo velocemente e qualsiasi azienda che non abbia una strategia di AI deve impostare parametri e guardrail ora.
La chiave è informare i dipendenti del rischio e imparare da loro come questi strumenti aiutano a portare a termine il lavoro, in modo che i guardrail proteggano ma non impediscano la crescita aziendale.
Conduttrice: Stephanie Aceves, direttore senior della gestione dei prodotti, Tanium
Guest: Candy Alexander, CISO e responsabile della pratica informatica, NeuEon Inc.
Mostra note
Per ulteriori informazioni su shadow AI e shadow IT, consulta i nostri articoli su Focal Point, la pluripremiata rivista online di notizie informatiche di Tanium, e queste altre utili risorse.
- I dipendenti stanno adottando l’“intelligenza artificiale ombra” e mettendo a Risk i dati aziendali | Focal Point
- Ep. 18: Far luce su Shadow IT | Convergere
- 4 Priorità di leadership critiche per i CISO nell’era dell’IA | Focal Point
- Prevenire il pregiudizio dell'IA inizia in cima - Basta chiedere a queste donne Chief AI Officer | Focal Point
- Che cos’è il monitoraggio dell’esperienza digitale? Perché la strategia DEM è importante e rafforza l’esperienza dei dipendenti e dei clienti | Tanium
- Le 8 fasi dell’“Emotional Roller Mountains” dell’IA | Tanium
Trascrizione
La seguente intervista è stata modificata per chiarezza.
"L'altro giorno ho sentito uno spot su YouTube che stavo guardando e mi hanno detto: "Oh, con l'uso dell'IA, che è più intelligente degli umani, ..." e ho solo riso ... il marketing si sta aggrappando a questo per i prodotti di consumo, dicendo che l'IA è la cosa migliore di sempre. Questo è ciò che la nostra Community di utenti finali sta ascoltando”.Candy Alexander, CISO e responsabile della pratica informatica, NeuEon Inc.
Stephanie Aceves: Ciao, mi chiamo Stephanie Aceves. Sono un direttore senior della gestione dei prodotti di Tanium e oggi su Let’s Converge parliamo di shadow IT e shadow AI. Benvenuti alla seconda parte della nostra serie in due parti che esamina questo problema sempre più pericoloso per le imprese.
Nella prima parte, abbiamo trattato alcuni degli strumenti di gestione dei progetti che i tuoi dipendenti potrebbero utilizzare e di cui non sei a conoscenza, e ciò che potrebbe essere un fatto sorprendente per alcuni, è che i tuoi dipendenti che utilizzano lo shadow IT hanno davvero buone intenzioni. Il più delle volte, stanno solo cercando di capire come fare il loro lavoro meglio e più velocemente. E non si rendono conto che utilizzando tecnologie non approvate, potrebbero mettere a rischio l'azienda.
Insieme a me oggi per parlare di questo problema c’è Candy Alexander, Chief Information Security Officer e Cyber Practice Lead di NeuEon Inc., una delle principali società di consulenza per la gestione aziendale. Oltre a sviluppare e gestire programmi di sicurezza aziendale, Candy è stata eletta – due volte – come presidente internazionale della Information Systems Security Association, ed è stata per lungo tempo nel loro consiglio di amministrazione internazionale.
Ok, torniamo alla nostra discussione.
C'è un nuovo giocatore che entra nello spazio, e questo è l'intelligenza artificiale ombra.
Alexander: È davvero un'era rivoluzionaria in cui stiamo entrando con l'IA, e può andare in diversi modi. Spero solo e ho fiducia che andrà bene, ma penso che ci saranno alcuni dossi spaventosi nella notte.
Aceves: Nelle aziende con cui lavoriamo nel mio lavoro, parliamo con i dirigenti delle preoccupazioni per la… rinascita dell’IA, in particolare con l’avvento degli LLM [grandi modelli linguistici]. E quando parliamo con loro, c'è molta preoccupazione per la perdita di dati, che è un problema simile a quello che abbiamo definito nel tipico shadow IT. E si continua a capire che molte volte l'IA, specialmente con gli LLM, il rischio è di addestrare il modello con quelle che potrebbero essere informazioni sensibili. Puoi dirci qualcosa di più specifico dalla lente dell'IA e in che modo ciò sta influenzando o come prevede influenzerà le aziende mentre continuiamo a evolverci, adattarci e sfruttare questo nuovo tipo di tecnologia?
Alexander: È divertente perché questa è un'interessante introduzione di "nuove" tecnologie, ma non è davvero nuova. Voglio dire, ammettiamolo, l'IA è in circolazione da sempre.
Aceves: Assolutamente.
Alexander: Ma ovviamente, ora che è diventata mainstream, tutti usano l'IA e sta diventando sempre più significativa con la... disponibilità di ChatGPT. Molte organizzazioni diranno: "Non usiamo l'IA. E naturalmente si fa un po’ ridere, perché certamente lo fanno. Abbiamo dipendenti che useranno, ad esempio, ChatGPT o...Google Bard o Gemini ora, per fare cose come usarle per ravvivare la loro scrittura o curriculum o marketing, qualsiasi cosa. Quindi è davvero difficile capire questo utilizzo. Inoltre, l'altra parte dello spettro è l'uso di un certo tipo di IA, l'IA generativa, per il completamento del codice, giusto?
Ho appena parlato questa settimana per quanto riguarda il software della supply chain. E questo è, a mio parere, uno dei modi in cui saremo in grado di identificare l'uso dell'IA in relazione allo sviluppo e quindi di esaminarlo. Saremo in grado di identificarci con l'uso del software della supply chain, la supply chain, i tipi di IA che si sta utilizzando, andando a esplorare l'IA spiegabile, di cui tutti parlano, e poi mettere i parametri intorno al suo utilizzo... e valutare costantemente quell'uso. E questo è importante. Ma voglio tornare dall'altra parte, dove ci sono le organizzazioni che dicono, beh, non abbiamo una strategia di IA. E il mio consiglio per loro è, è meglio affrettarsi e farlo ora e impostare quei parametri.
E deve iniziare con qualcosa di semplice come la politica di utilizzo accettabile. Metti quei parametri, quei guardrail, quel controllo direzionale su ciò che è accettabile e ciò che non lo è. E... tenete presente che l'IA generativa è proprio questo: sta apprendendo in modo generativo e aumentando le proprie conoscenze e il proprio ambito in base alle informazioni fornite. Pensateci: volete davvero che le vostre informazioni aziendali facciano parte di quel data lake o del pool di dati? Assolutamente no. Quindi devi pensare al caso d'uso. E proprio come con la catena di fornitura del software, [ti suggerisco] di mappare i componenti e come interagiscono tra loro, quando entrano? La stessa cosa con un caso d'uso IA per gli utenti finali, che si tratti di Microsoft Copilot o di qualche altro strumento IA. Dovete capire come verrà utilizzato e volete utilizzare un'IA open source o volete utilizzare un'IA privata per la vostra organizzazione in modo che le query che rientrano nell'uso dell'IA rimangano all'interno dei confini della vostra organizzazione?
Aceves: Lo adoro. E sai, alcuni dei leader con cui ho parlato, le loro preoccupazioni sull'IA, in particolare sull'IA generativa e su questi modelli GPT, sono che molti di loro sono ora incorporati in tecnologie che non [realizzato] in realtà, come il mio motore di ricerca ora utilizza un qualche tipo di GPT. In tali situazioni, nemmeno l'utente è consapevole tutto il tempo. E così la politica aziendale diventa più difficile perché un utente non è consapevole di fare qualcosa che è intrinsecamente rischioso per l'organizzazione.
Abbiamo sentito che un sacco di organizzazioni diverse stanno cercando di spostare i modelli effettivi in interni, e quindi hanno diritti e proprietà dei dati e di tutto l'apprendimento che avviene su quei modelli, ma come fanno a Enforce i controlli per sapere se sono reindirizzati a un modello approvato internamente o in generale solo per impedire che vengano utilizzati in modi forse un po 'più mascherati - e non per motivi nefasti, ma tutti quelli con cui parliamo, [ogni azienda] parla dell'IA che stanno usando. E mi piace che tu lo abbia chiamato.
L’AI esiste da molto tempo. La maggior parte delle tecnologie utilizza un qualche tipo di machine learning o prende grandi set di dati e ne trae conclusioni e intelligenza. Ma è stato davvero l'avvento del GPT a disposizione dei consumatori che ha causato questa massiccia esplosione. Quindi, con la consapevolezza che l'IA è in agguato in ogni angolo, come fanno le aziende a iniziare a mitigare il rischio di perdita di dati - mi piacerebbe dire che c'è un elenco di tutti i siti Web nel mondo che useranno un qualche tipo di LLM e addestreranno i loro modelli sui tuoi dati, ma come possiamo andare avanti?
Alexander: Wow, è enorme. Perché è ovunque, e a mio modesto parere, [le soluzioni] dovranno essere sfaccettate. E lo stiamo vedendo. Stiamo vedendo la legislazione uscire da diversi paesi in tutto il mondo per mettere quei parametri su di esso da un punto di vista normativo. E poi si arriva a una prospettiva tecnologica. Quindi iniziamo con il governo, poi si scende nell'uso organizzativo, e penso che stiamo ancora aspettando e vedremo ulteriori sviluppi su come essere in grado di identificare questo attraverso la tecnologia.
Proprio come, ad esempio, un'analogia con questo è il cloud computing. Come fai a capire dove si trovano tutte le tue istanze di dati nel cloud? Beh, ci sono solo un paio di giocatori in quello spazio in questo momento. E una davvero buona che, a mio modesto parere, vi aiuterà a identificare dove siete nel cloud, dovremo avere lo stesso tipo di tecnologia con l'IA che usa il proverbiale o il perimetro di qualsiasi cosa sia.
Non so se sarà sul desktop o altrove, ma quel tipo di filtro e sensore. E poi la terza componente, e odio dirlo, torna a quel modello di "persone, processi e tecnologia", rende gli utenti consapevoli di ciò che sta accadendo. Perché l’IA è potenzialmente pericolosa? Lo stanno solo guardando – anche spot televisivi … Ho sentito uno spot l’altro giorno su YouTube che stavo guardando e hanno detto, “Oh, con l’uso dell’IA, che è più intelligente degli umani …” e ho appena riso.
Aceves: Oh mio Dio.
Alexander: Il marketing [prodotto di consumo] si sta aggrappando a questo, [dicendo] l’IA è la cosa migliore di sempre. Questo è ciò che la nostra Community di utenti finali sta ascoltando, e lo stanno vedendo attraverso l'uso di "Non è divertente giocare con Gemini o ChatGPT, o anche andare su Facebook e prendere la mia immagine e farmi sembrare una modella?"
Voglio dire, considerano l'IA fantastica. Non vedono i pericoli intrinseci, non sentono quelle storie dell'orrore che sentiamo in cui abbiamo avuto un ChatGPT per un certo tipo di chatbot che interagiva con un individuo in Europa ed erano depressi e li hanno spinti al punto in cui si sono tolti la vita. Quindi non capiscono i rischi, i veri rischi che sono inerenti all'intelligenza artificiale. Naturalmente, hanno adottato misure per correggere i pregiudizi e le allucinazioni che stanno accadendo con l'IA, ma per quanto riguarda un normale Joe o Jane per strada, non stanno comprendendo questi rischi.
È qui che dobbiamo intervenire come professionisti della sicurezza e consigliare all'azienda e alla nostra Community di utenti che con il bene viene male, proprio come mantenerlo di base. Consigliandoli, questo è il motivo per cui vogliamo rimanere con un'IA aziendale e non usare alcune di queste cose esterne. E informarli della fuga di dati, la fuga involontaria di dati aziendali. Questo è il motivo per cui vuoi renderli consapevoli dei pregiudizi e delle allucinazioni che puoi ottenere e dell'integrità dei dati. Ci sono un sacco di cose che sono inerenti all'uso dell'IA oggi. È come il selvaggio West. È bello, ma è pericoloso.
Aceves: E penso anche che il mio ruolo ora sia nella gestione dei prodotti e sento fortemente che i fornitori hanno una responsabilità. E mentre costruiamo prodotti di cui i nostri clienti hanno bisogno, e l'IA è assolutamente uno strumento in grado di fornire valore e risultati che stanno cercando, c'è una responsabilità sui fornitori e sui fornitori di software.
Quando GPT è andato in diretta per il consumatore, stavo leggendo articoli ed è stato interessante vedere i ricercatori di sicurezza, in realtà ce n'era uno anche in Europa, che interagivano con i LLM e sono stati in grado di usare - hanno parlato della psicologia junghiana e del sé ombra per far ammettere all'IA segreti che non avrebbero dovuto essere rivelati a un consumatore. Ed è stato affascinante, hai scavato nel tecnico, nel modo in cui è stato eseguito, e penso che l'azienda abbia rilasciato una dichiarazione che si trattava di una conversazione estesa con l'IA.
Quando penso a un’estensione, ho i miei pensieri su quanto tempo ci vorrebbe. Credo che fosse da qualche parte lungo la linea di otto a 10 domande, che per me, seduto di fronte a una nuova tecnologia, che non è esteso.
Alexander: Giusto.
Aceves: Si tratta di un’interazione di 5-10 minuti in cui chiedo e valuto. E quindi c'è una responsabilità che i fornitori hanno, specialmente nei confronti dei loro clienti finali, di mettere [in] questi guardrail. Penso che la sicurezza abbia visto un enorme cambiamento in questo con pratiche di codifica sicure.
Mi sono laureato in informatica e ingegneria del software, e non avevo una sola classe dedicata alla sicurezza. Ora i tempi sono cambiati e ora ci sono pratiche di codifica di sicurezza integrate di default. E mi aspetto che dovremo adottarlo fin dall'inizio con l'IA perché qui c'è troppo rischio. Per il tuo punto, non c'è solo il rischio di perdita di dati, ma come fai, una volta che i modelli iniziano ad apprendere da soli, a non avere più il controllo che faresti con qualsiasi altro set di codice.
E so che ci sono le versioni fantascientifiche della paura di questo, ma è una preoccupazione legittima su quali guardrail sono in atto e su come l'IA può capirli e potenzialmente manipolarli nel contesto di un'azienda. Mi piace che tu ne abbia parlato e ne parliamo con i clienti che vogliono adottare più IA e tecnologie abilitate. E sono nervosi. E non solo per la fuga di dati. Ma è qualcosa su cui davvero non abbiamo il controllo. È quasi come un’intelligenza a sé stante, che ha regole e paradigmi a cui aderisce e che non sono sempre trasparenti nemmeno per il creatore, il che è semplicemente affascinante da pensare.
Alexander: Penso che sia la parte spaventosa. Ecco perché entrano in gioco i legislatori. Perché si tratta di – quello che stai toccando, secondo me – è etico, morale. E non è quello lo spazio in cui lavoro, ma sono felice di sentire e vedere che i governi lo sono. Perché è assolutamente terrificante. Ma detto questo, non è lo spazio in cui gioco, ma è il mio spazio per rendere gli utenti consapevoli - come possiamo applicare questo ed essere consapevoli dei rischi intrinseci.
La buona notizia è che, a meno che tu non sia un ricercatore, probabilmente non entrerai in quel regno, quel regno davvero interessante che è indefinito e tipo di morphing e squishy, al contrario dell'uso delle applicazioni aziendali. Ma ciò non significa che non vi sia la possibilità che l'uso aziendale vada storto e abbia conseguenze o risultati inaspettati. Ed è quello che, ancora una volta, è il nostro lavoro. Quindi [questo è] un bel po' di tutto quel [come] dobbiamo rimanere consapevoli e rendere consapevoli i rischi inerenti all'IA ombra.
Aceves: Sì, assolutamente. Stavo guardando qualche canale YouTube casuale, ... qualcosa sulla comunicazione animale, i ricercatori condividevano come usano l'IA per capire le balene beluga e possono usare l'intelligenza artificiale per determinare fondamentalmente quale balena sta parlando... E quindi le applicazioni sono così affascinanti, anche al di fuori della sicurezza, si iniziano a vedere questi parallelismi.
Il mio background è la risposta agli incidenti e il red teaming. Uno dei maggiori problemi che i team di sicurezza hanno è il volume del rumore, ed è un modello simile a quello di un team di biologia marina che ha tonnellate di registrazioni audio e non può passare al setaccio. Non lo sanno. E così hanno usato l'intelligenza artificiale per scegliere le cose importanti e identificare, OK, questo è il linguaggio o la parola che questa balena sta usando, ed è affascinante vedere la convergenza di tutte queste cose.
Alexander: È veramente rivoluzionario, lo sai, giusto? Voglio dire, ovunque si utilizzi l'IA ed è eccitante, favoloso, ma come ho detto, un po' spaventoso allo stesso tempo.
Aceves: Grazie mille per questa affascinante conversazione, Candy.
Ho parlato con Candy Alexander, CISO e responsabile della pratica informatica presso NeuEon Inc.
Se desideri saperne di più su shadow IT e shadow AI, dai un’occhiata a Focal Point, la rivista online di notizie informatiche di Tanium. Abbiamo link ad articoli pertinenti nelle note dello spettacolo. Basta visitare Tanium .com/p per le pubblicazioni.
Per ascoltare più conversazioni con i principali leader aziendali ed esperti di sicurezza di oggi, assicurati di iscriverti a Let's Converge sulla tua App podcast preferita. E se ti è piaciuto questo episodio, vai avanti e dacci una valutazione a cinque stelle.
Grazie per aver ascoltato. Non vediamo l'ora di condividere ulteriori informazioni sulla cyber-serie sul prossimo episodio di Let's Converge.
