С приблизително 180 милиона глобални потребители, специалистите по сигурността не могат да си позволят да игнорират ChatGPT. Или по-скоро рисковете, свързани с ChatGPT. Независимо дали служителите на компанията са поставили случайно чувствителни данни, нападателите използват ChatGPT, за да се насочат към работната сила с фишинг имейли, или е нарушен ChatGPT и е изложена потребителска информация – съществуват множество рискове за организационните данни и системи, които трябва да бъдат взети под внимание.
В това ръководство се потапяме дълбоко в различните рискове, пред които всички организации потенциално са изправени от уязвимостите в сигурността на ChatGPT. Но ние не сме тук, за да ви плашим. Това ръководство предлага практики и решения за минимизиране на тези рискове, като същевременно позволява на служителите да се насладят на предимствата на производителността на генеративния AI. За да извлечете максимума от това ръководство, препоръчваме да прочетете рисковете и най-добрите практики, да ги сравните с вашия стек и цялостен план, да подчертаете всички пропуски, които трябва да бъдат адресирани, и да работите за затварянето на тези дупки.
Какво е ChatGPT?
ChatGPT е AI чатбот, който може да разбира и генерира човешки текст въз основа на входа (подканите), който получава. Това позволява на ChatGPT да изпълнява широка гама от многостранни задачи, като съставяне на имейли, кодиране, предлагане на проницателни съвети и участие в нюансирани разговори по различни теми. В резултат на това ChatGPT стана широко популярен и се използва от милиони потребители по целия свят.
ChatGPT се захранва от LLM (голям езиков модел), наречен GPT (Generative Pre-trained Transformer). GPT моделите са модели, които обработват информация като човешки мозък. Това им позволява да извлекат контекст, уместност и връзки между данните. Тъй като GPT моделите са обучени на различни набори от данни, техните резултати са приложими в широк спектър от приложения.
Както ChatGPT, така и GPT са разработени от OpenAI. Най-новият GPT модел, пуснат от OpenAI, е GPT-4, който е в състояние да интерпретира входове на текст и изображения. ChatGPT може да работи на GPT-4, за платени потребители, или на GPT-3.5, за неплатени планове, наред с други опции.
Въпреки иновативните му възможности, има и нарастващи опасения относно сигурността на ChatGPT и потенциалните рискове. Да видим кои.
Защо сигурността на ChatGPT е нарастващо безпокойство
Нарастващата загриженост относно сигурността на ChatGPT произтича от обширните му възможности за обработка и генериране на човешки текст, съчетан с огромните количества данни, въведени от потребителите. Това го прави един от най-мощните съвременни инструменти за иновации, но и за експлоатация. Загрижеността за сигурността на ChatGPT не е неоснователна. В началото на 2023г, OpenAI идентифицира и поправи грешка, която позволява на потребителите да виждат заглавия и съдържание от историята на чатовете на други потребители. Ако това съдържание е включвало чувствителни данни, то е било разкрито на външни потребители.
Проблемът с ChatGPT е необходимостта да се балансира производителността със сигурността. Бизнесът и отделните лица все повече разчитат на ChatGPT за различни приложения, от обслужване на клиенти до създаване на съдържание. Това обаче означава, че потенциалът за злоупотреба също става по-широко разпространен. Ето защо е важно да се гарантира, че не се въвежда чувствителна или поверителна информация.
Обучението на служителите и съответните инструменти за сигурност могат да решат тези опасения на ChatGPT. Те могат да предпазят от злоупотреба и изтичане на данни и да помогнат за увеличаване на бдителността към атаки и халюцинации. Освен това е важно да се въведат насоки за етика и сигурност на предприятията относно това кои типове данни могат да бъдат въведени и кои не. Заедно – инструменти, обучение и процеси могат да осигурят на предприятията производителност на ChatGPT без рискове за сигурността.
Уязвимости на сигурността на ChatGPT
Има четири основни сценария, при които ChatGPT може да се превърне във вектор за нарушения на данните:
1. Злоупотреба от служители на организацията
Когато служителите взаимодействат с ChatGPT, те може неволно да напишат или да поставят чувствителна или частна фирмена информация в приложението. Това може да включва изходен код, клиентски данни, IP, PII, бизнес планове и др. Това създава риск от изтичане на данни, тъй като входните данни могат потенциално да бъдат съхранявани или обработвани по начини, които не са изцяло под контрола на компанията.
От една страна, тези данни могат да се съхраняват от OpenAI или да се използват за преквалификация на модели, което означава, че противници или конкуренти могат да получат достъп до тях чрез собствени подкани. В други случаи, ако нападателите нарушат OpenAI, те могат да получат достъп до тези данни.
Неоторизиран достъп до чувствителни данни може да има финансови, правни и бизнес последици за организацията. Нападателите могат да използват данните за рансъмуер, фишинг, кражба на самоличност, продажба на IP и изходен код и др. Това излага на риск репутацията на компанията, може да доведе до глоби и други правни мерки и може да изисква значителни ресурси за смекчаване на атаката или плащане на откуп.
2. Насочени атаки, използващи възможностите на ChatGPT
Дори организации, чиито служители не използват ChatGPT, не са освободени от потенциалното му въздействие върху сигурността върху тях. Нападателите могат да използват ChatGPT като свой собствен усилвател на производителността и да го използват, за да атакуват организацията. Например, те могат да го използват за създаване на сложни фишинг имейли, за атаки чрез социално инженерство, за събиране на информация, която може да бъде използвана в по-нататъшни атаки срещу организация, или за разработване или отстраняване на грешки в зловреден код.
3. Атаки срещу самия ChatGPT
В ChatGPT имаме доверие? Милиони се обърнаха към ChatGPT с най-важните си работни задачи и лични съображения, споделяйки поверителни данни. Но какво се случва, ако сигурността на OpenAI е компрометирана? Успешното пробиване на OpenAI чрез ChatGPT уязвимости може да означава, че нападателите имат достъп до чувствителни данни, обработени от AI системата. Това включва подканите, въведени от потребителите, хронологията на чатовете, потребителски данни като имейл и информация за плащане и метаданни за подкани като типовете и честотата на подканите. Резултатът може да бъде нарушения на поверителността, пробиви на данни или кражба на самоличност.
4. Правни рискове и рискове, свързани със съответствието
Много организации използват ChatGPT в среди, регулирани от законите за защита на данните (напр. GDPR, HIPAA). Въпреки това организациите могат по невнимание да нарушат тези разпоредби, ако ChatGPT обработва лични данни без адекватни предпазни мерки, което води до правни санкции и увреждане на репутацията.
Рискове за сигурността на ChatGPT за предприятия
Защитата на ChatGPT се отнася до всички мерки за сигурност и протоколи, внедрени за осигуряване на безопасност и сигурност, свързани с използването на ChatGPT. Те са необходими за защита срещу следните рискове:
1. Рискове за целостта на данните и поверителността
Нарушения на данните/Кражба на данни/Изтичане на данни
Способността на ChatGPT да обработва огромни количества информация повишава риска от пробиви на данни. Ако в модела се въведе чувствителна информация, има потенциал за изтичане на данни. Това може да се случи, ако мерките за сигурност на платформата са компрометирани или ако тези данни се използват за обучение на модела и след това се предоставят като отговор на подкана от конкурент или нападател.
Събиране на информация
Злонамерените участници биха могли да използват ChatGPT за събиране на чувствителна информация, като участват в привидно безобидни разговори, които са предназначени да извличат разузнавателни данни. Това може да включва информация за системите и мрежовите компоненти, които компаниите използват, практики за сигурност, които се използват като средство за преодоляването им, практики за това как да се атакуват системи, информация за потребителските предпочитания, потребителски метаданни и др.
Разпространение на дезинформация
ChatGPT може по невнимание да разпространява невярна информация, подвеждащи факти или да изфабрикува данни. Това може да се случи поради халюцинации или ако нападателите съзнателно въведат невярна информация в ChatGPT, така че тя е включена в обучението на модела и предоставена в други отговори. Това може да доведе до вземане на решения въз основа на неточна информация, засягаща почтеността и репутацията на предприятието.
Автоматизирана пропаганда
Като пример за горното, способността за генериране на убедително и персонализирано съдържание може да бъде злоупотребена за разпространение на пропаганда или манипулиране на общественото мнение в голям мащаб.
Изфабрикувани и неточни отговори
Подобно на разпространението на дезинформация, това включва ChatGPT генериране на фалшиви или подвеждащи отговори, които биха могли погрешно да се считат за фактически, засягайки бизнес решенията и доверието на клиентите.
2. Пристрастия и етични опасения
Модел и отклонение на изхода
Вродените отклонения в данните за обучението могат да доведат до изкривени или предубедени резултати. Например, ако отговорите правят разлика между етнически групи или полове при вземане на решения за наемане или повишения. Това може да доведе до неетично вземане на решения и потенциално да доведе до проблеми с връзките с обществеността и правни последици.
Рискове за защита на потребителите
Предприятията трябва да се ориентират по тънката граница между използването на възможностите на ChatGPT за производителност и гарантирането, че не вредят по невнимание на потребителите чрез предубедени или неетични резултати. Те също така трябва да гарантират, че служителите не включват PII или чувствителна клиентска информация в подкани, което потенциално нарушава разпоредбите за поверителност.
Смекчаване на пристрастията
Въпреки че OpenAI полага усилия за намаляване на пристрастията, остава рискът не всички пристрастия да бъдат адресирани по подходящ начин, което води до потенциално дискриминационни практики или резултати.
3. Случаи на злонамерена употреба
Разработка на злонамерен софтуер и рансъмуер
ChatGPT може да бъде злоупотребен за разработване на сложен зловреден софтуер или скриптове за рансъмуер, което представлява значителна заплаха за сигурността на предприятията. Въпреки че е против политиката на OpenAI да се използва ChatGPT за атаки, инструментът все още може да бъде манипулиран чрез различни подкани, като например да помолите чатбота да действа като тестер на писалка или да пише или отстранява грешки в привидно несвързани кодови скриптове.
Генериране на зловреден код
Както бе споменато по-горе, ChatGPT може да се използва за генериране на код, който може да използва уязвимости в софтуера или системите, улеснявайки неоторизиран достъп или пробиви на данни.
Злонамерени фишинг имейли
Нападателите могат да използват ChatGPT, за да създават изключително убедителни фишинг имейли, увеличавайки вероятността от успешни измами и кражба на информация. С този инструмент с изкуствен интелект те могат да създават имейли, които симулират тонове и гласове, като публично известни фигури, да звучат като корпоративни професионалисти, като главни изпълнителни директори и ИТ, да елиминират граматическите грешки, които са един от сигналите за фишинг имейли, и да пишат в широк набор от езици, което им позволява да разширят своя спектър на атака.
Атаки на социалното инженерство
Подобно на фишинг имейлите, ChatGPT може да генерира контекстуално подходящи и убедителни съобщения. Това означава, че може да бъде въоръжен за извършване на атаки чрез социално инженерство, подмамвайки служителите да компрометират протоколите за сигурност.
представяне
Усъвършенстваните езикови възможности на ChatGPT го правят инструмент за създаване на съобщения или съдържание, което се представя за лица или организации, което води до потенциална измама и социално инженерство. и дезинформация.
Заобикаляне на системите за модериране на съдържание
Сложното генериране на език може да се използва за създаване на съобщения, които избягват откриването от стандартните системи за модериране на съдържание. Това представлява риск за онлайн безопасността и съответствието, тъй като традиционните инструменти за сигурност са по-малко ефективни от преди.
4. Оперативни и политически рискове
Рискове, свързани с интелектуалната собственост (IP) и авторските права
Генерирането на съдържание от ChatGPT може по невнимание да наруши съществуващите права на интелектуална собственост. Ако ChatGPT създаде съдържание, което отразява или много прилича на съществуващи материали, защитени с авторски права, резултатът може да бъде нарушаване на IP, което представлява правни и финансови рискове за предприятията.
Кражба на интелектуална собственост
Другата страна на монетата е, когато ChatGPT предоставя отговори въз основа на вашата собствена информация или творческо съдържание, което води до финансови загуби и конкурентно неизгодно положение.
Jailbreak атаки (атаки срещу ChatGPT)
Злонамереният актьор се опитва да заобиколи или използва вградените предпазни мерки на OpenAI с цел да го накара да изпълнява задачи извън предвидените или етично допустимите граници. Това може да варира от генериране на съдържание, което нарушава правилата за използване, до манипулиране на модела за разкриване на информация, която е предназначена да укрива. Такива атаки биха могли да компрометират целостта на данните на предприятия, които използват ChatGPT и са въвели чувствителна информация, и да ги направят податливи на бизнес и правни последици, ако използват неправилни данни от отговорите на ChatGPT.
Грешки в поверителността на ChatGPT (Атака срещу ChatGPT)
Уязвимости или пропуски в системата, които потенциално биха могли да компрометират поверителността на потребителите. Това може да са проблеми, които случайно разкриват чувствителни потребителски данни или вратички, които злонамерените участници използват за достъп до неоторизирана информация. Те биха могли да компрометират целостта на предприятието, разкривайки бизнес планове, изходен код, информация за клиенти, информация за служители и др.
Промени в политиката на компанията OpenAI
Промените в политиките на OpenAI по отношение на използването на ChatGPT могат да имат последици за предприятията, разчитащи на неговата технология. Такива промени могат да включват модификации на насоките за поверителност на потребителите, политиките за използване на данни или етичните рамки, ръководещи развитието на ИИ и разгръщане. Несъответствие между тези нови политики и очакванията на потребителите или правните стандарти, което може да доведе до опасения за поверителността, намалено доверие на потребителите, правни предизвикателства и предизвикателства за съответствие или предизвикателства с непрекъснатостта на работата.
Рискове при разширението на ChatGPT
Използването на разширения на ChatGPT, които са добавки или интеграции, които разширяват възможностите на ChatGPT, също представлява риск за сигурността на ChatGPT. Ето някои от основните:
- Уязвимости в сигурността – Разширенията могат да въведат слабости в сигурността, особено ако не са разработени или поддържани със строги стандарти за сигурност. Това може да включва въвеждане на зловреден код в браузъра на потребителя, ексфилтриране на данни и др.
- Загриженост за поверителността – Разширенията, които обработват или обработват потребителски данни, могат да представляват риск за поверителността, особено ако не спазват законите за защита на данните или ако събират, съхраняват или предават данни по несигурни начини.
- Достъп до данни за самоличност – Със злонамерени разширения нападателите могат да получат достъп до данни за самоличност – пароли, бисквитки и MFA токени. Това им позволява да пробият системата и да напреднат в нея странично.
Как да използвате безопасно ChatGPT
Стигнахме до любимата част – какво да правим? Има начин да emусилете вашата работна сила да се възползва от огромния потенциал за производителност на ChatGPT, като същевременно елиминира способността им неволно да излагат на показ чувствителни данни. Ето как:
Разработете ясни политики за използване
Определете данните, които ви интересуват най-много: изходен код, бизнес планове, интелектуална собственост и др. Създайте насоки за това как и кога служителите могат да използват ChatGPT, като наблегнете на типовете информация, които не трябва да се споделят с инструмента или трябва да се споделят само при строги условия.
Провеждане на програми за обучение и осведомяване
Обучете служителите за потенциалните рискове и ограничения при използването на инструменти за изкуствен интелект, включително:
- Сигурност на данните и риск от споделяне на чувствителни данни
- Потенциалната злоупотреба с AI при кибератаки
- Как да разпознаете генерирани от AI опити за фишинг или други злонамерени комуникации
Насърчавайте култура, при която инструментите за изкуствен интелект се използват отговорно като допълнение към човешкия опит, а не като заместител.
Използвайте корпоративно разширение за браузър
До ChatGPT се влиза и се използва през браузъра, като уеб приложение или разширение на браузъра. Следователно традиционните крайни точки или инструменти за мрежова сигурност не могат да се използват за защита на организациите и за предотвратяване на служителите да поставят или въвеждат чувствителни данни в GenAI приложения.
Но едно корпоративно разширение за браузър мога. Чрез създаването на специална политика за ChatGPT, браузърът може да предотврати споделянето на чувствителни данни чрез изскачащи предупреждения или да блокира изцяло използването. В екстремни случаи корпоративният браузър може да бъде конфигуриран да деактивира изцяло ChatGPT и неговите разширения.
Откриване и блокиране на рискови разширения
Сканирайте браузърите на служителите си, за да откриете инсталираните злонамерени разширения ChatGPT които трябва да бъдат премахнати. В допълнение, непрекъснато анализирайте поведението на съществуващите разширения на браузъра, за да им попречите да имат достъп до чувствителни данни на браузъра. Деактивирайте способността на разширенията да извличат идентификационни данни или други чувствителни данни от браузърите на вашата работна сила.
Укрепете вашите контроли за сигурност
Предвид способността на нападателите да използват ChatGPT в своя полза, направете киберсигурността по-висок приоритет. Това включва:
- Укрепване на контролите срещу фишинг, зловреден софтуер, инжекции и ransomware
- Ограничаване на достъпа до вашите системи за предотвратяване на неразрешено използване, което може да е резултат от способността на нападателите да, като MFA
- Поддържане на вашия софтуер с корекции и актуален
- Внедряване на мерки за сигурност на крайната точка
- Осигуряване на хигиена на паролата
- Непрекъснато наблюдение за откриване на подозрително поведение и не забравяйте да разработите и практикувате своите планове за реакция при инциденти.
Представяме ви ChatGPT DLP от LayerX
LayerX е корпоративно решение за браузър, което защитава организациите от пренасяни от мрежата заплахи и рискове. LayerX има уникално решение за защита на организациите срещу излагане на чувствителни данни чрез ChatGPT и други генеративни AI инструменти, без да нарушава работата на браузъра.
Потребителите могат да картографират и дефинират данните за защита, като изходен код или интелектуална собственост. Когато служителите използват ChatGPT, се прилагат контроли като изскачащи предупреждения или блокиране, за да се гарантира, че няма да бъдат разкрити защитени данни. LayerX гарантира сигурна продуктивност и пълно използване на потенциала на ChatGPT, без да компрометира сигурността на данните.
За повече информация, кликнете тук.