क्या शैडो एआई शैडो आईटी से बदतर है?

एक शांत कार्यालय हानिरहित दिख सकता है। प्रकाश में नहाए हुए मॉनिटर के रैक, बातचीत को ढकने वाले हेडफोन, और काम की गतिविधि बिना किसी संकेत के चलती रहती है कि नीचे कुछ अशुभ छिपा है। लेकिन बढ़ते हुए, वहां आकस्मिक, अनधिकृत तकनीकें हैं — यहां एक व्यक्तिगत क्लाउड फोल्डर और वहां एक अनधिकृत AI चैटबॉट। जल्द ही, संगठन को इन सभी नए अप्रत्याशित जोखिमों का प्रबंधन करना होगा। लेकिन शैडो IT छिपे हुए खतरों का पहला लोड था। शैडो AI ने दांव बढ़ा दिया है।

शैडो AI क्या है और यह क्यों बढ़ रहा है

शैडो IT का एक विस्तार, शैडो AI में कर्मचारियों द्वारा गैर-अनुमोदित तकनीक का उपयोग शामिल है। शैडो IT आमतौर पर उपभोक्ता तकनीक को संदर्भित करता है, जैसे फाइल-शेयरिंग ऐप्स या व्यक्तिगत उपकरण। शैडो AI आमतौर पर तेजी से चलने वाले, डेटा-भूखे सिस्टम से जुड़ा होता है जिनका व्यवहार अनियमित हो सकता है।

\ गार्टनर द्वारा किए गए शोध के अनुसार, 80% संगठनों में डेटा गवर्नेंस में अंतराल का अनुभव होता है। ये अंतराल लोगों के लिए AI-जनित व्यवहार को याद करना आसान बनाते हैं। कई टीमें साइबरसुरक्षा तत्परता मूल्यांकन में विफल होती हैं। AI से जुड़े जोखिम कर्मचारियों द्वारा नए उपकरणों को अपनाने से बढ़ जाते हैं, जो उनकी टीमों द्वारा पर्याप्त रूप से समीक्षा करने की तुलना में तेजी से होता है। चूंकि 30% डेटा उल्लंघन विक्रेताओं या आपूर्तिकर्ताओं से उत्पन्न होते हैं, यह जानना कि एक टीम किन उपकरणों का उपयोग करती है, एक कंपनी की डिजिटल संपत्तियों को सुरक्षित करने का एक महत्वपूर्ण घटक है।

\ शैडो AI ने आकर्षण प्राप्त किया है क्योंकि कर्मचारी AI-जनित सामग्री को सामग्री बनाने, जटिल जानकारी को संक्षेप में प्रस्तुत करने और तकनीकी समस्याओं का समाधान करने का एक तेज तरीका मानते हैं। यह दैनिक कार्य में घर्षण को कम करता है लेकिन ऐसे जोखिम पेश करता है जो पहले शैडो IT चिंताओं के साथ नहीं देखे गए थे, जिसमें डेटा एक्सपोज़र, अनुपालन जोखिम और मॉडल-स्तर के जोखिम शामिल हैं।

शैडो AI बनाम शैडो IT

शैडो IT को लंबे समय से अज्ञात कमजोरियों के लिए दोषी ठहराया जाता रहा है। पहले के उल्लंघनों का एक उच्च प्रतिशत अहस्ताक्षरित SaaS उपकरणों या व्यक्तिगत स्टोरेज के कारण था। AI उपकरण पूरी तरह से समीकरण को बदल देते हैं। जिस पैमाने और गति पर वे काम करते हैं, उनकी अपारदर्शिता के साथ, ऐसे जोखिम पैदा करते हैं जिन्हें पता लगाना और नियंत्रित करना अधिक कठिन है।

\ उत्पादन में AI का उपयोग करने वाले 78% संगठनों के साथ, कुछ उल्लंघन अब अप्रबंधित तकनीकी एक्सपोज़र के कारण होते हैं। बड़ा IT मॉडल अभी भी मायने रखता है, लेकिन AI हमले की सतह को व्यापक बनाने के लिए एक नया आयाम पेश करता है।

शैडो AI और शैडो IT के बीच प्रमुख अंतर

शैडो AI शैडो IT के समान है क्योंकि दोनों कर्मचारी की अधिक उत्पादक होने की इच्छा से उत्पन्न होते हैं, लेकिन वे जोखिम के स्थान में भिन्न होते हैं।

• शैडो IT उपकरणों में निश्चित तर्क होता है, जो व्यवहार को अनुमानित बनाता है। शैडो AI उपकरणों के व्यवहार का पूर्वानुमान लगाना अधिक जटिल है क्योंकि मॉडल को लगातार संशोधित और पुनः प्रशिक्षित किया जा सकता है।
• शैडो IT जोखिमों में डेटा को बिना अधिकार के संग्रहीत या स्थानांतरित किया जाना शामिल है। शैडो AI जोखिमों में मॉडल इनवर्जन, डेटा पॉइज़निंग और मॉडल प्रशिक्षण शामिल हैं।
• शैडो IT निर्धारणवादी है, जबकि AI उपकरण भ्रम पैदा कर सकते हैं, खराब सामान्यीकरण कर सकते हैं, और अत्यधिक आत्मविश्वास के साथ गलत आउटपुट उत्पन्न कर सकते हैं।

\ शैडो AI आगामी नियमों के संदर्भ में भी उत्पन्न होता है, जैसे EU आर्टिफिशियल इंटेलिजेंस एक्ट, जो नियामक जांच को बढ़ा सकता है।

सुरक्षा जोखिम जो शैडो AI को अधिक तत्काल बनाते हैं

शैडो AI इंजीनियरिंग, मार्केटिंग और वित्त में समस्याओं का कारण बन सकता है। जैसे-जैसे AI आउटपुट के आधार पर निर्णय लिए जाते हैं, स्वामित्व डेटा लीक हो सकता है, और आंतरिक व्यापार प्रक्रियाओं में बिना किसी के ध्यान में आए हेरफेर किया जा सकता है।

\

• मॉडल मैनिपुलेशन: हमलावर ऐसा डेटा तैयार कर सकते हैं जो परिणामों को विकृत करता है।
• प्रॉम्प्ट इंजेक्शन एक्सपोज़र: एक बनाया गया प्रॉम्प्ट मॉडल से निजी जानकारी निकालने के लिए इस्तेमाल किया जा सकता है।
• डेटा लिनिएज गैप्स: AI उपकरण ऐसे तरीकों से डेटा उत्पन्न और संग्रहीत कर सकते हैं जिन्हें सुरक्षा टीमें ट्रैक नहीं कर सकतीं।
• अनुपालन ड्रिफ्ट: AI उपकरण बदलते हैं, और विकसित होने वाली गवर्नेंस योजनाएं अप्रासंगिक हो सकती हैं।

\ जेनरेटिव AI के आगमन के साथ चिंता बढ़ती है। एक विक्रेता के प्रश्न का उत्तर देने वाला चैटबॉट या जेनरेटिव AI सारांश हानिरहित लग सकता है, लेकिन इससे संवेदनशील उपयोग डेटा या मूल्यवान स्वामित्व बौद्धिक संपदा का खुलासा होने का जोखिम होता है। कार्नेगी मेलन विश्वविद्यालय ने पाया कि बड़े भाषा मॉडल नियम-आधारित प्रणालियों की तुलना में प्रतिकूल प्रॉम्प्ट्स के प्रति कहीं अधिक संवेदनशील हैं। समस्या तब बढ़ जाती है जब कर्मचारी बिना पर्यवेक्षण के उपकरणों का उपयोग कर सकते हैं।

\ एक AI-सक्षम निर्णय वृक्ष पारंपरिक निर्णय वृक्ष की तुलना में अधिक पक्षपातपूर्ण हो सकता है। शैडो AI अक्सर तृतीय-पक्ष उपकरणों में फीड की गई अपूर्ण प्रशिक्षण जानकारी प्राप्त करता है। AI सिस्टम की संरचित निगरानी अपडेट की अखंडता सुनिश्चित करेगी। जब टीमें इसकी अनदेखी करती हैं, तो मॉडल का डेटा और व्यवहार बहता है।

सुरक्षा टीमें शैडो AI एक्सपोज़र को कैसे कम कर सकती हैं

हालांकि शैडो AI कई जोखिम पैदा करता है, संगठन दृश्यता को नीति और तकनीकी नियंत्रणों के साथ जोड़कर उनमें से कई को कम कर सकते हैं, जो कर्मचारी उत्पादकता की रक्षा करते हुए संतुलन बनाते हैं, बिना उन्हें समय लेने वाले चेक-इन या अवरुद्ध साइटों से बोझिल किए। सुरक्षा टीमों को शैडो AI को एक दंड मुद्दे के बजाय एक गवर्नेंस मुद्दे के रूप में मानने से लाभ होता है। शमन रणनीतियों को अनिवार्य रूप से विकसित होना होगा क्योंकि कर्मचारी उत्पादकता बढ़ाने के लिए AI उपकरणों का उपयोग करते हैं।

1. एक स्पष्ट AI गवर्नेंस फ्रेमवर्क बनाएं

एक गवर्नेंस योजना को निर्दिष्ट करना चाहिए कि किन AI उपकरणों को अनुमोदित किया जाए, कर्मचारी किस प्रकार के डेटा का उपयोग कर सकते हैं, उच्च-दांव वाले निर्णय लेने से पहले मॉडल आउटपुट की समीक्षा कैसे करें, और अप्रत्याशित मॉडल व्यवहार होने पर क्या करें। बाद वाले तत्व में शामिल है कि कौन व्यवहार की समीक्षा करता है, कौन इसके कारणों की जांच करता है, और परिणाम क्या हैं।

\ निगरानी के साथ, संगठन AI को किसी अन्य उद्यम संपत्ति के रूप में मान सकते हैं, जो अन्य विरासत उद्यम प्रणालियों के समान ही ट्रेसेबिलिटी, ऑडिटेबिलिटी, सुरक्षा और अनुपालन जिम्मेदारियों के अधीन है।

2. अनुमोदित AI उपकरण प्रदान करें

जांचे गए, केंद्रीकृत AI उपकरणों तक पहुंच वाली टीमें अवरोधकों को बायपास करने के लिए अनधिकृत सार्वजनिक AI की ओर रुख करने की संभावना कम रखती हैं। जैसे-जैसे नौकरियां अधिक स्वचालित होती जाती हैं, कर्मचारी विभिन्न मॉडलों में अधिक प्रयास डालेंगे। कर्मचारी पहले से ही नौकरी पर AI का उपयोग करने में साप्ताहिक लगभग 4.6 घंटे खर्च कर रहे हैं, जो प्रति सप्ताह 3.6 घंटे के औसत व्यक्तिगत उपयोग समय से अधिक है। तृतीय पक्षों से AI, उचित निगरानी के बिना, पहले से ही उद्यम उपकरणों की तुलना में अधिक आम हो सकता है जो जांचे और अनुमोदित हैं। कंपनियों को अपनी नीतियों को लागू करने के लिए तत्काल कदम उठाने चाहिए।

\ एक प्रबंधित वातावरण के साथ, संगठन उपकरणों के माध्यम से उपयोग की निगरानी कर सकते हैं, डेटाबेस के भीतर अनुमतियां सेट कर सकते हैं, और विभागों में डेटा गवर्नेंस लागू कर सकते हैं। यह कर्मचारी उत्पादकता में सुधार करता है और साथ ही व्यवसाय के डेटा अखंडता और अनुपालन की रक्षा करता है।

3. डेटा मूवमेंट और मॉडल उपयोग की निगरानी करें

दृश्यता उपकरण जो असामान्य व्यवहार को फ्लैग करते हैं — जैसे AI उपयोग में अचानक वृद्धि, असामान्य एंडपॉइंट्स पर डेटा अपलोड करना, या संवेदनशील डेटा के साथ कम समय में मॉडल तक पहुंचना — सुरक्षा टीमों को दुरुपयोग और डेटा लीक की पहचान करने में मदद कर सकते हैं। रिपोर्ट्स से पता चलता है कि पिछले वर्ष के दौरान, 60% तक कर्मचारियों ने अनधिकृत AI उपकरणों का उपयोग किया, और 93% ने बिना अधिकार के कंपनी डेटा इनपुट करने की बात स्वीकार की।

\ इन पैटर्न का जल्दी पता लगाने से उपचार, पुनः शिक्षा, अनुमति पुनर्गठन, या प्रक्रिया को समाप्त करने में सक्षम हो सकता है इससे पहले कि यह डेटा लीकेज या अनुपालन उल्लंघन का कारण बने।

4. कर्मचारियों को AI-विशिष्ट जोखिमों पर प्रशिक्षित करें

सामान्य रूप से साइबरसुरक्षा प्रशिक्षण पर्याप्त नहीं है। AI प्रॉम्प्ट्स के पीछे के इरादे को गलत समझकर भ्रम पैदा कर सकता है और प्रामाणिक लगने वाली, झूठी, या पक्षपातपूर्ण सामग्री उत्पन्न कर सकता है। इसके अतिरिक्त, कर्मचारियों को यह समझना चाहिए कि AI का उपयोग सॉफ्टवेयर या सेवाओं के उपयोग से अलग है। सुरक्षित उपयोग के लिए मानसिक मॉडल बदलने, प्रॉम्प्ट जोखिमों को समझने और व्यक्तिगत डेटा को संभालने की आवश्यकता होती है।

\ बुनियादी मशीन साक्षरता वाले उपयोगकर्ता आउटपुट की तथ्य-जांच करेंगे और व्यक्तिगत डेटा को अधिक साझा करने की संभावना कम होगी। वे उपकरणों को मूल्यवान सह-पायलट के रूप में मानेंगे, लेकिन उन्हें मानव पर्यवेक्षण के तहत उपयोग किया जाना चाहिए।

संगठनों को शैडो AI से बचाना

शैडो AI शैडो IT की तुलना में तेजी से बढ़ रहा है और इसकी पहचान करना कठिन है। हालांकि जोखिमों का पैमाना और जटिलता अलग है, कर्मचारी की मदद लेने से दोनों की अधिक प्रभावी रूप से पहचान की जा सकती है। गवर्नेंस नीतियां कंपनियों को सही संतुलन बनाने में मदद कर सकती हैं। सुरक्षा टीमों को अपने एक्सपोज़र का पुनर्मूल्यांकन करना चाहिए, उभरते खतरों के लिए सतर्क रहना चाहिए, और तुरंत कार्रवाई करनी चाहिए इससे पहले कि अदृश्य AI-आधारित उपकरण व्यावसायिक अनुप्रयोगों में महत्वपूर्ण निर्णय लें।