سوفوس از ابزار امنیتی جدید برای مدیریت استفاده کارکنان از هوش مصنوعی رونمایی کرد
با Sophos AI Defense آشنا شوید؛ ابزار امنیتی سوفوس برای شناسایی ابزارهای هوش مصنوعی مورد استفاده کارکنان و مدیریت Shadow AI در سازمان‌ها.
شرکت امنیت سایبری سوفوس از عرضه عمومی Sophos AI Defense خبر داد؛ ابزاری سازمانی که به تیم‌های فناوری اطلاعات و امنیت کمک می‌کند بفهمند کارکنان از چه ابزارهای هوش مصنوعی استفاده می‌کنند، کدام سرویس‌ها مورد تأیید سازمان هستند و چگونه می‌توان استفاده از این ابزارها را مطابق سیاست‌های امنیتی مدیریت کرد. این محصول برای مقابله با پدیده‌ای به نام «هوش مصنوعی پنهان» یا Shadow AI طراحی شده است؛ استفاده از ابزارهای هوش مصنوعی بدون اطلاع یا تأیید مسئولان سازمان.
هوش مصنوعی پنهان چیست و چرا برای سازمان‌ها اهمیت دارد؟
تصور کنید کارمندی برای تهیه سریع‌تر یک گزارش، متن یک قرارداد، اطلاعات مشتریان یا بخشی از اسناد داخلی شرکت را در یک سرویس هوش مصنوعی بارگذاری می‌کند. ممکن است هدف او صرفاً صرفه‌جویی در زمان باشد، اما سازمان لزوماً نمی‌داند چه اطلاعاتی در اختیار آن سرویس قرار گرفته، داده‌ها چگونه پردازش می‌شوند یا چه مقرراتی بر نگهداری آن‌ها حاکم است. به استفاده از ابزارهای هوش مصنوعی خارج از فرایندهای تأیید و نظارت سازمان، معمولاً «Shadow AI» گفته می‌شود. این اصطلاح لزوماً به معنای استفاده از یک ابزار مخرب نیست؛ حتی یک سرویس معتبر نیز اگر بدون بررسی سیاست‌های محرمانگی، الزامات سازمان و نوع داده‌های ورودی استفاده شود، می‌تواند ریسک ایجاد کند. این مسئله با گسترش ابزارهای هوش مصنوعی مولد، دستیارهای برنامه‌نویسی و عامل‌های هوشمند اهمیت بیشتری پیدا کرده است. کارکنان ممکن است از چند سرویس مختلف برای نوشتن، ترجمه، تحلیل داده یا تولید کد استفاده کنند، درحالی‌که تیم امنیت تصویر کاملی از این فعالیت‌ها ندارد. در چنین شرایطی، تدوین یک دستورالعمل داخلی به‌تنهایی کافی نیست؛ سازمان باید تا حد امکان بتواند اجرای سیاست‌های خود را نیز بررسی و مدیریت کند.
Sophos AI Defense چگونه کار می‌کند؟
Sophos AI Defense محصولی برای مدیریت و نظارت بر استفاده از هوش مصنوعی در محیط سازمانی است که در بستر Sophos Fusion ارائه شده است. هدف اصلی آن، فراهم‌کردن دید بهتر نسبت به ابزارهای هوش مصنوعی مورد استفاده و امکان اعمال سیاست‌های مشخص برای آن‌هاست. بر اساس مستندات رسمی سوفوس، این ابزار می‌تواند برنامه‌های هوش مصنوعی شناسایی‌شده در شبکه، کاربران استفاده‌کننده و وضعیت اجرای سیاست‌های سازمان را در اختیار مدیران قرار دهد. ابزارهای تحت وب مانند ChatGPT، Claude.ai و Copilot و همچنین برخی ابزارهای برنامه‌نویسی و عامل‌های هوش مصنوعی در فهرست نمونه‌های مورد پشتیبانی مستندات محصول قرار دارند. مدیران امنیتی می‌توانند برای فعالیت‌های شناسایی‌شده سیاست‌هایی تعریف کنند که بر اساس آن‌ها استفاده از یک ابزار مجاز باشد، درباره فعالیتی هشدار داده شود یا فعالیتی مسدود شود. این قابلیت به سازمان کمک می‌کند به‌جای ممنوع‌کردن یکسان همه ابزارهای هوش مصنوعی، استفاده از آن‌ها را متناسب با نیاز کاری و سیاست‌های امنیتی مدیریت کند. برای مثال، یک شرکت ممکن است استفاده از دستیار هوش مصنوعی را برای نگارش متن‌های عمومی مجاز بداند، اما استفاده از برخی ابزارهای تأییدنشده را در محیط کاری محدود کند. با این حال، نحوه اجرای هر سیاست به قابلیت‌های فعال محصول، حسگرهای امنیتی موجود و تنظیمات سازمان وابسته است.
این محصول چه ارتباطی با جلوگیری از افشای اطلاعات دارد؟
یکی از نگرانی‌های مهم در استفاده سازمانی از هوش مصنوعی، انتقال ناخواسته اطلاعات حساس به سرویس‌هایی است که سازمان بر آن‌ها کنترل کافی ندارد. داده‌های مشتریان، اطلاعات مالی، اسناد داخلی، اطلاعات ورود یا کدهای اختصاصی شرکت، نمونه‌هایی از داده‌هایی هستند که باید پیش از ارسال به سرویس‌های خارجی بررسی شوند. Sophos AI Defense با شناسایی ابزارهای مورد استفاده و فراهم‌کردن امکان اعمال سیاست‌های کنترلی، به سازمان کمک می‌کند استفاده از این سرویس‌ها را مدیریت کند. این قابلیت به‌ویژه برای تیم‌هایی اهمیت دارد که می‌خواهند استفاده کارکنان از هوش مصنوعی ادامه پیدا کند، اما این استفاده خارج از چارچوب‌های امنیتی نباشد. البته باید میان قابلیت‌های فعلی و برنامه‌های توسعه محصول تفاوت قائل شد. سوفوس برخی امکانات پیشرفته‌تر، از جمله بازرسی و محافظت از محتوای درخواست‌های کاربران به هوش مصنوعی و قابلیت‌های تکمیلی برای مدیریت عامل‌های هوشمند را در برنامه توسعه خود مطرح کرده است. بنابراین نباید همه این قابلیت‌ها را بدون بررسی نسخه و وضعیت عرضه، امکانات فعال و عمومی محصول دانست.
چه سازمان‌هایی می‌توانند از Sophos AI Defense استفاده کنند؟
این محصول برای سازمان‌هایی طراحی شده که می‌خواهند استفاده از هوش مصنوعی را در محیط کاری خود بهتر بشناسند و مدیریت کنند؛ از جمله کسب‌وکارهایی که کارکنان آن‌ها از دستیارهای هوش مصنوعی، ابزارهای برنامه‌نویسی یا سرویس‌های تحلیل و تولید محتوا استفاده می‌کنند. Sophos AI Defense یک ابزار عمومی برای نصب روی گوشی شخصی یا محافظت مصرف‌کننده خانگی نیست. این محصول بخشی از اکوسیستم امنیتی سازمانی سوفوس است و عرضه آن به‌صورت افزونه‌ای پولی برای مشتریان واجد شرایط برخی محصولات EDR، XDR و MDR این شرکت انجام می‌شود. استفاده از آن به شرایط فنی و پیکربندی محیط سوفوس وابسته است؛ بنابراین سازمان‌ها باید پیش از خرید، سازگاری زیرساخت و الزامات فعال‌سازی را بررسی کنند.
آیا Sophos AI Defense استفاده از هوش مصنوعی را کاملاً ایمن می‌کند؟
خیر. چنین ابزاری را نباید تضمینی برای جلوگیری از تمام نشت‌های اطلاعاتی یا همه خطرهای مرتبط با هوش مصنوعی در نظر گرفت. شناسایی ابزارها و اعمال سیاست‌های استفاده، بخشی از فرایند مدیریت ریسک است؛ اما امنیت نهایی به پیکربندی درست، تعریف سیاست‌های روشن، آموزش کارکنان، مدیریت دسترسی‌ها و کنترل داده‌های حساس نیز وابسته است. سازمان‌ها همچنان باید مشخص کنند چه داده‌هایی اجازه ورود به ابزارهای هوش مصنوعی را دارند، کدام سرویس‌ها برای چه کاربردهایی تأیید شده‌اند و در صورت شناسایی فعالیت غیرمجاز چه اقدامی انجام می‌شود. ابزارهای فنی زمانی مؤثرترند که در کنار این سیاست‌ها قرار بگیرند.
جمع‌بندی
Sophos AI Defense پاسخی سازمانی به مسئله‌ای است که با فراگیرشدن ابزارهای هوش مصنوعی جدی‌تر شده است: سازمان نمی‌تواند ریسکی را که از آن خبر ندارد، به‌درستی مدیریت کند. این محصول با فراهم‌کردن امکان شناسایی و کنترل استفاده از ابزارهای هوش مصنوعی، به تیم‌های امنیتی کمک می‌کند میان بهره‌برداری از مزایای این فناوری و حفاظت از اطلاعات سازمان تعادل برقرار کنند؛ هرچند میزان محافظت آن به امکانات فعال، زیرساخت موجود و سیاست‌های اجرایی سازمان بستگی دارد.
منابع اصلی:
