僅29%資安團隊能例行匯報員工傳送至AI工具的敏感資料 - OwlNews

圖／示意圖商傳媒｜林昭衡／綜合外電報導近期一份調查揭示，全球僅有29%的資安專業團隊能夠例行性地匯報，過去30天內有多少敏感資料被員工傳送到生成式人工智慧（GenAI）工具中。這項數據凸顯了企業在面對快速發展的AI技術時，對於數據安全與隱私管理的巨大挑戰。根據《Unite.ai》報導，多數企業資安長與資訊技術（IT）專業人士雖認為GenAI工具帶來的高風險令人擔憂，甚至有48%的受訪者將其列為數據外洩（指敏感資料被未經授權地移出或洩漏）風險的前三名，但實際的監控能力卻遠遠不足。儘管超過一半的受訪者自評對GenAI的可視性（visibility）達4到5分（滿分5分），僅有29%能透過實際報告來驗證其對敏感資料流向的掌握度。企業內部在AI工具的採用上，也面臨嚴峻的「影子IT」問題。根據資安公司Jazz的客戶遙測數據顯示，平均每間企業使用了高達169.5種不同的AI工具，然而其中僅有9.8種是經過核准的，這意味著高達94.2%的AI工具是在企業內部數據安全規範（公司保護重要資料的規定）之外運作。此外，只有22%的受訪者表示會嚴格阻擋敏感資料透過GenAI管道傳輸，遠低於可移除式媒體（removablemedia）的31%。資安團隊難以有效管理AI工具數據傳輸機制（資料從公司內部系統傳輸至外部AI服務的過程）有多重原因。許多AI服務網站同時提供企業帳號和個人免費帳號，使得難以區分資料使用情境。現有的控制措施，例如網路層阻擋或瀏覽器內容檢查，往往只能針對單一檢測點，無法全面涵蓋所有數據流向。受訪者中，46%的人坦言，為了避免影響業務流程而未能更積極地實施阻擋，另有39%對於數據丟失預防（DLP，一種避免敏感資料外洩的技術方案）的準確性缺乏信心。另一方面，智庫GuidelightAI對Anthropic、Google、Meta、OpenAI及xAI等大型AI開發商公開的AI控制實踐進行評估，結果顯示沒有一家獲得C+以上的總體評分。這項評估雖然不代表這些公司缺乏內部控制，但資安專家強調，安全仰賴實證而非假設。隨著AI系統自主性與對現實世界系統存取權限的提高，AI能力發展的速度已超越了資安控制，這使得網路資安專業人士深感憂慮。專家指出，人工智慧對短期內最大的威脅並非創造全新的網路攻擊模式，而是大幅加速現有攻擊的執行速度。過往需耗費數小時的研究工作，現在可能在數分鐘內完成，使得傳統以人為中心的資安應變流程可能變得過時。因此，AI開發商有責任建立明確的邊界、測試其極限，並在系統失控時承擔責任，以確保AI系統在提升能力之際，也能為全球帶來更安全的環境。