کارمندی برای نوشتن یک گزارش، فایل اکسل فروش مشتریان را در یک چت‌بات بارگذاری می‌کند. همکار دیگری برای پیدا کردن خطای یک اسکریپت، کل فایل تنظیمات سرور را همراه با رمزها کپی می‌کند. هیچ‌کدام قصد بدی ندارند، اما در هر دو مورد اطلاعات محرمانه شرکت روی سرورهای یک سرویس بیرونی رفته است؛ جایی که کنترلی بر آن ندارید. مسئله اصلی محرمانگی در هوش مصنوعی همین است: نه خود فناوری، بلکه داده‌هایی که بی‌حساب وارد آن می‌شود.
وقتی متنی را به چت‌بات می‌دهید چه اتفاقی می‌افتد؟
در سرویس‌های ابری، متن و فایل شما به سرور ارائه‌دهنده ارسال و آنجا پردازش می‌شود. بسته به نوع حساب و شرایط استفاده، ممکن است این اتفاق‌ها بیفتد:
- نگهداری تاریخچه گفت‌وگو برای مدتی مشخص یا تا زمانی که کاربر پاکش کند.
- استفاده از گفت‌وگوها برای بهبود مدل، که در برخی سرویس‌ها پیش‌فرض است و قابل خاموش‌کردن.
- بازبینی انسانی بخشی از گفت‌وگوها برای کنترل کیفیت یا تخلف.
- اتصال به ابزارهای دیگر مثل ایمیل یا فضای ابری که دسترسی چت‌بات را بیشتر می‌کند.
این شرایط بین حساب‌های رایگان، شخصی و سازمانی تفاوت زیادی دارد و ارائه‌دهندگان آن را به‌مرور تغییر می‌دهند؛ پس به آنچه سال گذشته درست بود تکیه نکنید و متن فعلی شرایط را بخوانید.
چه اطلاعاتی را هرگز نباید وارد کرد؟
- رمز عبور، کلید API، توکن و گواهی‌ها؛ حتی داخل یک فایل تنظیمات یا لاگ.
- اطلاعات شناسایی و تماس مشتریان و کارکنان، شماره حساب و اطلاعات مالی افراد.
- قراردادها، قیمت‌گذاری و اسناد مذاکره که افشای آن به شرکت آسیب می‌زند.
- نقشه شبکه، آدرس‌های داخلی و تنظیمات فایروال که برای مهاجم نقشه راه است.
- کد اختصاصی نرم‌افزارهای شرکت و اطلاعات محصولاتی که هنوز معرفی نشده‌اند.
پیش از وارد کردن هر متن از خود بپرسید: اگر این متن فردا در اختیار رقیب یا عموم قرار بگیرد، مشکلی پیش می‌آید؟ اگر جواب بله است، واردش نکنید.
چطور همچنان از هوش مصنوعی استفاده کنیم؟
- داده را پاک‌سازی کنید: نام‌ها، شماره‌ها، آدرس‌های IP و رمزها را پیش از ارسال با مقادیر ساختگی مثل
CUSTOMER_1یا10.0.0.xجایگزین کنید. - فقط بخش لازم را بفرستید: برای پیدا کردن خطای اسکریپت، همان چند خط مشکل‌دار کافی است، نه کل فایل.
- از حساب سازمانی استفاده کنید: نسخه‌های سازمانی معمولاً کنترل بیشتری روی نگهداری و استفاده از داده می‌دهند؛ جزئیات را در قرارداد سرویس بررسی کنید.
- تنظیمات حریم خصوصی را بازبینی کنید: گزینه استفاده از داده برای آموزش مدل و مدت نگهداری تاریخچه را بررسی و طبق سیاست شرکت تنظیم کنید.
- برای داده‌های بسیار حساس، مدل محلی را بسنجید: برخی مدل‌های متن‌باز را می‌شود روی سرور داخل شرکت اجرا کرد تا داده از شبکه خارج نشود. در مقابل، این راه سخت‌افزار مناسب، نگهداری و امنیت سرور می‌خواهد و کیفیت خروجی ممکن است با سرویس‌های ابری متفاوت باشد.
نقش واحد IT
سیاست بدون کنترل فنی کافی نیست. واحد IT می‌تواند فهرست سرویس‌های مجاز را مشخص کند، ورود به آن‌ها را با حساب‌های سازمانی و ورود دومرحله‌ای انجام دهد، در صورت امکان دسترسی به سرویس‌های تأییدنشده را در فایروال یا پروکسی محدود کند و با ابزارهای جلوگیری از نشت داده (DLP) ارسال اطلاعات حساس را پایش کند. آموزش کوتاه و دوره‌ای کارکنان هم بخش مهمی از کار است؛ بیشتر نشت‌ها از ناآگاهی است، نه بدخواهی.
چک‌لیست
- فهرست اطلاعات ممنوع برای ورود به سرویس‌های هوش مصنوعی مکتوب و ابلاغ شده است.
- سرویس‌های مجاز و نوع حساب قابل استفاده مشخص است.
- شرایط نگهداری و استفاده از داده در سرویس‌ها بررسی شده و دوره‌ای بازبینی می‌شود.
- کارکنان پاک‌سازی داده پیش از ارسال را بلدند.
- حساب‌ها با ورود دومرحله‌ای محافظت می‌شوند.
- برای داده‌های بسیار حساس، گزینه اجرای محلی سنجیده شده است.
محافظت از داده در عصر هوش مصنوعی ادامه همان اصول قدیمی امنیت اطلاعات است. کارشناسان ITPlus724 می‌توانند در تنظیم فایروال، کنترل دسترسی، امنیت شبکه و آماده‌سازی سرورهای داخلی برای اجرای محلی این ابزارها همراه شما باشند.