Yapay Zeka ve Makine Öğrenimi, Yeni Nesil Teknolojiler ve Güvenli Geliştirme, Standartlar, Düzenlemeler ve Uyumluluk
Kuruluş Genelinde Güvenli Yapay Zekanın Uygulanmasına Yönelik Stratejik Çerçeve
Abbas Kudrati •
16 Aralık 2024
Kabul edelim ki yapay zeka ve üretken yapay zeka artık geleceğin teknolojileri değil. Onlar buradalar ve her yerdeler. İster müşteri sorgularını ele alan sohbet robotları, yönetim kurulu raporlarını özetleyen araçlar veya siber güvenlik yığınınızdaki yapay zeka odaklı tehdit algılama sistemleri olsun, yapay zeka teknolojileri ses getiriyor. Ancak büyük güç, büyük sorumluluğu da beraberinde getirir. Bir CISO olarak, bu güçlü araçların kuruluşun Aşil topuğu haline gelmemesini sağlamak sizin sorumluluğunuzdadır.
Ayrıca bakınız: Active Directory Güvenliği Operasyonel Dayanıklılığı Nasıl Artırır?
Bu iki bölümlük blog serisinin 1. Bölümünde, bir CISO olarak yapay zeka/gen yapay zeka havuzuna balıklama dalmadan önce anlamanız gerekenleri keşfedeceğiz. Yapay zekanın uygulanmasına ilişkin ipuçları için Bölüm 2’yi okuyun.
1. Neyle Karşılaştığınızı Bilin: Yapay Zeka ve Nesil Yapay Zeka
Yapay zeka büyük bir şemsiyedir ve onun altında hisse senedi fiyatlarını tahmin eden makine öğrenimi modellerinden e-posta yanıtlarını otomatikleştirmeye yardımcı olan doğal dil işleme araçlarına kadar her şey bulunur. Öte yandan Yapay Zeka Kuşağı yaratıcı kardeştir; metin, görseller ve hatta kod gibi şeyler üretir. ChatGPT, DALL-E veya tüyler ürpertici derecede gerçekçi deepfake videolarını düşünün.
Ancak önemli bir endişe varlığını sürdürüyor: Bu araçlar risksiz gelmiyor. Örneğin:
- Verilerin açığa çıkması: Bir şirketin, müşteri destek yapay zeka modelinin gerçek verilerden çok fazla “öğrenmesi” nedeniyle yanlışlıkla hassas müşteri bilgilerini sızdırdığını hatırlıyor musunuz? Evet, bu olur.
- Yanlış bilgi: Yapay zeka sisteminiz güncelliğini kaybetmiş veya yanıltıcı verilere dayalı raporlar oluşturmaya başlarsa ne olur? Aniden, kararlarınız bataklık üzerine kuruludur.
- Düşmanca saldırılar: Bilgisayar korsanları, girdilerde ince değişiklikler yaparak yapay zeka modellerini kandırabilir. Saldırganın savunmasını nasıl aşacağını bildiği için yapay zekanızın bir kimlik avı e-postasını yanlış sınıflandırdığını hayal edin.
Götürmek: Yapay zekayı kullanmadan önce ne yaptığını, nasıl çalıştığını ve nelerin yanlış gidebileceğini araştırın.
2. Kapsamlı bir Yapay Zeka Varlıkları Envanteri Oluşturun
Bunu AI envanter kontrol listeniz olarak düşünün. Sunucuları belgelenmemiş halde bırakamazsınız, o halde neden yapay zeka sistemlerinizi denetimsiz bir şekilde ortada bırakasınız ki? Açık bir liste oluşturun:
- Kullanılan uygulamalar: İK sorguları için bir chatbot var mı? Finansta dolandırıcılık tespit yapay zekası mı? Hepsini listeleyin.
- Veri kaynakları: Veriler nereden geliyor? Dahili mi? Üçüncü şahıs? Halka açık bir şekilde kazındı mı?
- API’ler ve entegrasyonlar: Bu yapay zeka araçlarını başka kim kullanıyor? Diğer dahili sistemler? Dış satıcılar mı?
Örneğin bir şirket, yapay zeka destekli pazarlama aracının şifrelenmemiş müşteri verilerini eski bir veritabanından çektiğini keşfetti. Bu hattın erkenden onarılması, onları olası bir ihlalden ve bir PR kabusundan kurtardı.
3. Üçüncü Taraf Risklerini Değerlendirin
Üçüncü taraf yapay zeka araçlarını kullanmak, paket servisi sipariş etmeye benzer. Elbette zaman kazandırır ama mutfakta ne olup bittiğini her zaman bilemezsiniz. Satıcıların güvenliği zayıf olabilir veya veri işleme uygulamaları belirsiz olabilir. İşte yapmanız gerekenler:
- Satıcınıza sorun: “Eğitim sırasında verilerimizi nasıl koruyorsunuz?”
- Sertifikaları doğrulayın: SOC 2 veya ISO 27001 gibi çerçevelerle uyumluluğu arayın.
- Talep şeffaflığı: Modellerinin nasıl çalıştığını açıklayabildiklerinden emin olun; eğer bu bir kara kutuysa, bu bir tehlike işaretidir.
Gerçek dünya ipucu: Tanıdığım bir CISO, bir yapay zeka satıcısının açık rıza olmadan müşteri verilerini kullanarak modelleri eğittiğini keşfetti. Şirket hemen tedarikçi değiştirdi ve ciddi uyumluluk sorunlarını önledi.
4. Yapay Zeka Kullanımını Düzenleyici ve Etik Standartlarla Hizalayın
Yapay zeka yönetişimi yalnızca savunma oynamakla ilgili değildir. AB Yapay Zeka Yasası gibi düzenlemeler küresel olarak uygulamaya konuluyor ve isteyeceğiniz son şey hazırlıksız yakalanmak. İşte bugün yapabilecekleriniz:
- Değişen yasaları izleyin: AI düzenlemelerindeki gelişmeleri takip etmesi için ekibinizden birini görevlendirin.
- Veri denetimlerini çalıştırın: Yapay zeka araçlarınızın hangi verilere eriştiğini düzenli olarak inceleyin. Onlara yanlışlıkla GDPR veya CCPA kapsamındaki hassas verileri mi veriyorsunuz?
- Etik korkuluklar: Yapay zeka sistemlerinizin önyargıyı sürdürmediğinden emin olun. Örneğin, işe alım için yapay zeka kullanıyorsanız belirli demografik grupların lehine olmadığını doğrulamak için düzenli kontroller yapın.
Kolay kazanç: Hukuk ve uyumluluk ekiplerinizi temel yapay zeka ilkeleri konusunda eğiterek, tehlike işaretlerini tam kapsamlı sorunlara dönüşmeden önce tespit etmelerine yardımcı olun.
5. Güvenlik Ekiplerinizi Eğitin ve Becerilerini Geliştirin
Mevcut güvenlik ekibiniz güvenlik duvarları ve uç nokta koruması konusunda birinci sınıf olabilir, ancak yapay zeka tamamen yeni bir oyundur. Ekibin becerilerini geliştirmek Herkül’ün zorlayacağı bir görev olmak zorunda değil. İşte yapabilecekleriniz:
- Küçük başlayın: Model zehirlenmesi veya düşmanca saldırılar gibi yapay zekaya özgü tehditler üzerine atölye çalışmaları düzenleyin.
- Ücretsiz araçlardan yararlanın: Bing için Copilot, OpenAI veya Google’ın TensorFlow’u gibi platformlar eğitimler ve en iyi güvenlik uygulamalarını sunar.
- İşbirliğini teşvik edin: Ortak çalışma oturumları aracılığıyla veri biliminiz ve siber güvenlik ekipleriniz arasındaki iş birliğini geliştirin. Bu değerli bilgi alışverişini mümkün kılacaktır.
Bir meslektaşım bir keresinde bana ekipler arası basit bir beyin fırtınası oturumunun yapay zeka sahtekarlık tespit sistemindeki bir kusuru keşfetmelerine nasıl yardımcı olduğunu anlatmıştı. Bunu düzeltmek için fazladan bir doğrulama katmanı eklemek zorunda kaldılar. Sorun çözüldü.
Kapanış Düşünceleri
Yapay zeka ve nesil yapay zeka heyecan vericidir ancak CISO’ların göz ardı edemeyeceği riskleri de beraberinde getirir. Ortamı anlayarak (hangi araçların kullanıldığı, verilerin nereden geldiği ve üçüncü taraf ve düzenleyici zorluklarla nasıl başa çıkılacağı), yapay zekanın güvenli ve sorumlu bir şekilde benimsenmesi için sağlam bir temel oluşturacaksınız.
Bu blogun 2. Bölümünde yapay zeka sistemlerini güvence altına almak, model sağlamlığını test etmek ve sizi diğerlerinden önde tutacak yönetişim çerçeveleri oluşturmak için belirli stratejiler hakkında daha fazla uygulamalı bilgi edineceğiz.