ความมั่นคงปลอดภัยด้าน AI | AI อาจเป็นทางลัดสู่การรั่วไหลของข้อมูลและเทคโนโลยี การจัดทำระบบป้องกันเป็นภารกิจสำคัญ

การรั่วไหลของเทคโนโลยีที่เกิดขึ้นในรูปแบบซึ่งระบบรักษาความมั่นคงปลอดภัยเดิมตรวจจับได้ยาก เป็นอีกปัจจัยหนึ่งที่ทำให้การรับมือมีความซับซ้อนยิ่งขึ้น

ระบบรักษาความมั่นคงปลอดภัยเดิมได้รับการออกแบบโดยมุ่งตรวจสอบการอัปโหลดหรือจัดเก็บไฟล์ แต่การรั่วไหลของข้อมูลและเทคโนโลยีจำนวนมากในทางปฏิบัติเกิดขึ้นจากการคัดลอกและวางซึ่งเป็นขั้นตอนการป้อนพรอมป์ ไม่ใช่จากไฟล์

ส่งผลให้องค์กรไม่เพียงไม่สามารถป้องกันการรั่วไหลได้เท่านั้น แต่อาจไม่ทราบด้วยซ้ำว่าเกิดการรั่วไหลขึ้นแล้ว

ดังนั้น ในกระบวนการใช้ AI ขั้นตอนการทำงานที่ขาดความสามารถในการมองเห็นและควบคุมจึงเป็นปัจจัยเสี่ยงที่สำคัญยิ่งกว่าตัวเทคโนโลยี

มีรายงานกรณีในองค์กรต่างประเทศที่โครงสร้างอัลกอริทึมหลักถูกเปิดเผยต่อภายนอก เพียงเพราะมีการป้อนข้อมูลลงในพรอมป์ AI ระหว่างการตรวจสอบโค้ดสำหรับการพัฒนาหรือการจัดระเบียบเอกสารทางเทคนิค

ทันทีที่พนักงานหรือผู้บริหารป้อนข้อมูลลับลงในพรอมป์ ข้อมูลดังกล่าวอาจหลุดออกจากขอบเขตการควบคุมขององค์กรได้

เป็นการยากที่จะตัดความเป็นไปได้ทั้งหมดที่ข้อมูลซึ่งป้อนเข้าไปอาจถูกนำไปใช้เป็นบันทึกหรือข้อมูลสำหรับการวิเคราะห์ ทั้งนี้ขึ้นอยู่กับรูปแบบการดำเนินงานของบริการ AI

เป็นรูปแบบการโจมตีที่ใช้ข้อมูลจากภายนอกเพื่อชักนำให้ AI เปิดเผยข้อมูลโดยไม่ตั้งใจหรือหลีกเลี่ยงกฎภายใน

ความเสี่ยงจะสูงเป็นพิเศษในงานอัตโนมัติ เช่น การให้บริการลูกค้า การสรุปเอกสาร และการตรวจสอบโค้ด

ความเสี่ยงดังกล่าวอาจลุกลามเกินกว่าเหตุด้านความมั่นคงปลอดภัยเพียงเล็กน้อย และทำให้องค์กรต้องรับผิดทางกฎหมายหรือตามสัญญาโดยมิได้ตั้งใจในกระบวนการตัดสินใจอัตโนมัติ

ผลลัพธ์จาก AIปรากฏในรูปแบบของ ‘ผลงานที่สร้างขึ้นในลำดับที่ 2’ จึงเป็นเรื่องยากอย่างยิ่งที่จะพิสูจน์ในภายหลังถึงความเหมือนกันกับเทคโนโลยีต้นฉบับ เส้นทางการรั่วไหล และผู้รับผิดชอบ

ด้วยเหตุนี้ องค์กรอาจเผชิญกับความเสี่ยงด้านการบริหารดังต่อไปนี้

ความมั่นคงปลอดภัยด้าน AI ไม่ได้จำกัดอยู่เพียงขอบเขตของฝ่ายรักษาความมั่นคงปลอดภัยสารสนเทศหรือผู้รับผิดชอบเฉพาะรายอีกต่อไป แต่กำลังขยายเป็นความเสี่ยงด้านการบริหารที่ต้องจัดการในระดับทั่วทั้งองค์กร

เมื่อใช้ Generative AI แบบเปิดโดยตรง ข้อมูลที่พนักงานหรือผู้บริหารป้อนจะถูกส่งไปยังเซิร์ฟเวอร์ของบริการภายนอก มิใช่ระบบภายในองค์กร

ในกระบวนการนี้ องค์กรตรวจสอบหรือควบคุมได้ยากว่าข้อมูลดังกล่าวถูกจัดเก็บและประมวลผลที่ใด รวมถึงถูกนำกลับไปใช้ฝึกโมเดลอีกหรือไม่

ในทางกลับกัน องค์กรสามารถบริหารจัดการขอบเขตการจัดเก็บ การประมวลผล และการเข้าถึงข้อมูลได้โดยตรงในสภาพแวดล้อมแบบภายในองค์กร ซึ่งองค์กรติดตั้งเซิร์ฟเวอร์ของตนเองและใช้งาน AI เฉพาะภายในระบบ หรือในโครงสร้าง Private AI ที่ใช้ VPC เฉพาะ แม้จะใช้คลาวด์ภายนอกแต่ AI ทำงานในพื้นที่อิสระซึ่งแยกไว้สำหรับองค์กรเพียงแห่งเดียว

โครงสร้างดังกล่าวช่วยควบคุมไม่ให้ข้อมูลรั่วไหลออกสู่ภายนอก และกำลังกลายเป็นเงื่อนไขพื้นฐานมากกว่าจะเป็นเพียงทางเลือก

การอาศัยเพียงนโยบายหรือคำรับรองย่อมมีข้อจำกัด

การป้องกันความผิดพลาดจำเป็นต้องมีกลไกหยุดยั้งทางกายภาพที่มากกว่าระเบียบวินัย

การควบคุมต้องครอบคลุมทุกขั้นตอน ตั้งแต่การรวบรวมข้อมูล การฝึกโมเดล การอนุมาน จนถึงการทำลายข้อมูล

การรั่วไหลของเทคโนโลยีและข้อมูลจาก Generative AI เป็นประเด็นที่ต้องกำหนดความรับผิดอย่างชัดเจนแล้ว

ควรกำหนดผู้รับผิดชอบด้านนโยบายการใช้ AI การควบคุมการเข้าถึง และการรับมือเหตุการณ์ รวมทั้งนำหัวข้อเกี่ยวกับ AI เข้าสู่ระบบรักษาความมั่นคงปลอดภัยเดิม เช่น ISMS-P

เรื่องนี้เชื่อมโยงโดยตรงกับโครงสร้างการป้องกันทางกฎหมายที่ใช้พิสูจน์ว่าองค์กรได้ปฏิบัติหน้าที่ด้านการบริหารจัดการแล้วเมื่อเกิดเหตุ

AI เป็นทั้งเครื่องมือที่ช่วยเพิ่มความสามารถในการแข่งขันขององค์กร และอาจกลายเป็นช่องทางการรั่วไหลของข้อมูลที่รวดเร็วที่สุดหากไม่มีการควบคุม

ด้วยเหตุนี้ การตรวจสอบโครงสร้างการตัดสินใจและระบบความรับผิดขององค์กรควบคู่กันจึงมีความสำคัญ

สำนักงานกฎหมาย Daeryun ได้จัดตั้งกลุ่ม AI และ Data Intelligence เพื่อรับมือกับการเปลี่ยนแปลงดังกล่าว และพัฒนาระบบวิเคราะห์คดีและรับมือความเสี่ยงโดยใช้ข้อมูลเป็นศูนย์กลาง ซึ่งเชื่อมโยง ▲การกำกับดูแลการปฏิบัติตามข้อกำหนดด้าน AI ▲กลยุทธ์ AI สำหรับแต่ละอุตสาหกรรม ▲ความมั่นคงปลอดภัยไซเบอร์และการรับมือภาวะวิกฤต ▲นิติวิทยาศาสตร์ดิจิทัล&อีดิสคัฟเวอรี

หากจำเป็นต้องตรวจสอบโครงสร้างการใช้ AI ประเมินความเสี่ยงจากข้อมูลรั่วไหล หรือออกแบบธรรมาภิบาล AI ภายในองค์กร ควรพิจารณาทบทวนกลยุทธ์รับมือผ่านการประเมินแบบบูรณาการจากมุมมองของโซลูชันด้านความมั่นคงปลอดภัยและความเสี่ยงด้านการบริหารจัดการ