Cloud flare: garantire pratiche di intelligenza artificiale sicure

Specifiche

• Prodotto: Guida alle pratiche di intelligenza artificiale sicura GenAI
• Autore: Dawn Parzych, Direttore del marketing dei prodotti, Cloudflare
• Contenuto: Strategia di intelligenza artificiale per la sperimentazione sicura dell'intelligenza artificiale generativa (GenAI)

Informazioni sul prodotto

La Guida alle Pratiche di GenAI Secure AI fornisce spunti e strategie per le organizzazioni che desiderano implementare tecnologie di intelligenza artificiale in modo sicuro. Scritta da Dawn Parzych, questa guida affronta le sfide di sicurezza specifiche associate all'adozione di GenAI, offrendo suggerimenti e best practice per l'utilizzo, la creazione e la protezione di soluzioni di intelligenza artificiale su larga scala.

Garantire pratiche di intelligenza artificiale sicure
Una guida per i CISO su come creare una strategia di intelligenza artificiale scalabile

Sintesi

Benvenuto, CISO!
"IA" è forse la parola più in voga al giorno d'oggi, ed è anche una delle questioni più urgenti per la comunità della sicurezza. La sua influenza richiede la nostra attenzione, ed è per questo che noi di Cloudflare abbiamo scritto questa guida per aiutarvi a valutare la sperimentazione sicura dell'Intelligenza Artificiale Generativa (GenAI) nella vostra organizzazione.
Gli strumenti di intelligenza artificiale stanno rapidamente diventando più potenti e accessibili, aprendo opportunità di innovazione in tutti i settori. Tuttavia, come per altri cambiamenti di paradigma, la GenAI presenta sfide uniche in termini di sicurezza, privacy e conformità. L'adozione diffusa della GenAI può innescare picchi di utilizzo imprevisti, casi di abuso da parte degli utenti, comportamenti dannosi e pratiche informatiche pericolose, aumentando il rischio di violazioni dei dati e perdite di informazioni sensibili.
Con l'espansione dell'adozione sul posto di lavoro, è necessario prepararsi con un modello GenAI che indichi come utilizzare, sviluppare e proteggere su larga scala. Discutiamo i rischi e leview Suggerimenti che il tuo team può utilizzare per proteggere GenAI in base ai livelli di maturità e all'utilizzo. Con queste strategie, la tua organizzazione può creare una strategia GenAI che si adatti alle esigenze aziendali, proteggendo al contempo i tuoi dati e garantendo la conformità.

• Dawn Parzych, Direttore del marketing dei prodotti, Cloudflare

 

Proteggere la sperimentazione GenAI

Mi dispiace dirtelo, ma la storia di Sarah finisce qui. Mentre diciamo addio al nostro personaggio immaginario, con l'espansione dell'intelligenza artificiale predittiva e di GenAI, ci saranno innumerevoli "Sarah" nella vita reale, ognuna delle quali agirà da eroina nei team IT e di sviluppo, come esperta di tecnologia aziendale e come dipendente.
L'intelligenza artificiale ha affascinato sia i tecnici che gli utenti comuni, stimolando curiosità e sperimentazione. Questa sperimentazione è necessaria mentre lavoriamo per liberare appieno il potenziale dell'intelligenza artificiale. Ma senza cautela e protezioni, potrebbe anche portare a compromettere la sicurezza o a non essere più conforme alle normative.

Per raggiungere l'equilibrio e comprendere e gestire le iniziative di intelligenza artificiale in modo più efficace, le organizzazioni devono considerare tre aree chiave:

1. Utilizzo dell'intelligenza artificiale
   Utilizzo di tecnologie di intelligenza artificiale (ad esempio ChatGPT, Bard e GitHub Copilot) offerte da fornitori terzi, salvaguardando al contempo le risorse (ad esempio dati sensibili, proprietà intellettuale, codice sorgente, ecc.) e mitigando i potenziali rischi in base al caso d'uso
2. Costruire l'intelligenza artificiale
   Sviluppo di soluzioni di intelligenza artificiale personalizzate, adattate alle esigenze specifiche di un'organizzazione (ad esempio algoritmi proprietari per analisi predittive, copiloti o chatbot rivolti al cliente e sistema di rilevamento delle minacce basato sull'intelligenza artificiale)
3. Proteggere l'intelligenza artificiale
   Proteggere le applicazioni e i sistemi di intelligenza artificiale da attori malintenzionati che li manipolano per comportarsi in modo imprevedibile

 

Proteggere la sperimentazione GenAI

La trasformazione della GenAI: oggi e in futuro
L'interesse di GenAI per consumatori e organizzazioni ha portato l'azienda a intraprendere un percorso di adozione senza precedenti. Un piccolo gruppo di utenti esperti è cresciuto rapidamente, in parte grazie a un'attiva comunità open source e alla sperimentazione, guidata dai consumatori, di applicazioni come ChatGPT e Stable Diffusion.
Ciò che gli utenti hanno scoperto è che, di fatto, i robot non ci "sostituiranno".

GenAI mette gli esseri umani nella posizione di perfezionare e aumentare, piuttosto che creare tutto da zero, e può aiutare le aziende ampMigliorare l'efficienza della forza lavoro. L'intelligenza artificiale predittiva offre vantaggi simili, semplificando l'accesso ai dati per migliorare il processo decisionale, creare prodotti più intelligenti e personalizzare l'esperienza dei clienti, tra le altre iniziative.

Oggi, il 59% degli sviluppatori utilizza l'intelligenza artificiale nei propri flussi di lavoro di sviluppo1

Entro il 2026, oltre l'80% delle aziende utilizzerà API, modelli e/o app abilitati da GenAI distribuiti in ambienti di produzione (rispetto al 5% attuale)2

Entro il 2030, la GenAI aumenterà del 50% i compiti dei lavoratori della conoscenza per aumentare la produttività o aumentare la qualità media del lavoro (rispetto a <1% di oggi)3

1. SlashData, “Come gli sviluppatori interagiscono con le tecnologie di intelligenza artificiale”, maggio 2024
2. Gartner, "Guida per CTO al panorama della tecnologia dell'intelligenza artificiale generativa", settembre 2023
3. Gartner, “Tecnologie emergenti: gli approcci tecnologici chiave che definiscono l’intelligenza artificiale generativa”, settembre 2023

Utilizzo sicuro di GenAI

La sperimentazione dell'IA spazia dall'utilizzo di strumenti e servizi di IA predefiniti alla creazione di soluzioni di IA personalizzate da zero. Mentre alcune organizzazioni potrebbero procedere verso la creazione di modelli e applicazioni di IA proprietari, molte si limiteranno ad utilizzare strumenti di IA di terze parti.
In questi casi, gli strumenti di intelligenza artificiale di terze parti creano nuovi rischi perché le organizzazioni hanno solo controlli diretti limitati sulle proprie configurazioni di sicurezza e privacy.

È probabile che al momento i dipendenti utilizzino strumenti di intelligenza artificiale già pronti per il lavoro, tramite suite SaaS come Microsoft 365, chatbot integrati nei motori di ricerca o app pubbliche e persino API.

Le organizzazioni devono svolgere la dovuta diligenza per ridurre al minimo i rischi, tra cui:

• Valutazione del rischio per la sicurezza degli strumenti di terze parti
• Affrontare le preoccupazioni relative alla privacy dei dati
• Gestire la dipendenza (o l'eccessiva dipendenza) dalle API esterne
• Monitoraggio delle potenziali vulnerabilità

un exampuna di queste situazioni si verificherebbe quando i dipendenti utilizzano il pubblico web app come ChatGPT. Ogni input inserito in un prompt diventa un dato che sfugge al controllo di un'organizzazione. Gli utenti potrebbero condividere eccessivamente informazioni sensibili, riservate o regolamentate, come informazioni di identificazione personale (PII), dati finanziari, proprietà intellettuale e codice sorgente. E anche se non condividono informazioni sensibili esplicite, è possibile ricostruire il contesto dagli input per dedurre dati sensibili.
Per motivi di sicurezza, i dipendenti possono attivare un'impostazione per impedire che i loro input addestrino ulteriormente il modello, ma devono farlo manualmente. Per garantire la sicurezza, le organizzazioni devono adottare misure per impedire alle persone di inserire dati privati.

Prepararsi alle implicazioni per la sicurezza dell'IA

Esposizione dei dati
In che misura gli utenti condividono impropriamente dati sensibili con servizi di intelligenza artificiale esterni? Le tecniche di anonimizzazione/pseudonimizzazione sono sufficienti?

Rischi API
Come verranno affrontate le vulnerabilità presenti nelle API di terze parti che potrebbero rappresentare potenziali punti di accesso per gli aggressori?

Sistemi Black-Box
Quali sono i processi decisionali dei modelli di intelligenza artificiale esterni che potrebbero introdurre rischi inaspettati?

Gestione del rischio del fornitore
Cosa sai delle pratiche di sicurezza dei tuoi fornitori di intelligenza artificiale terzi? E, cosa più importante, cosa non sai?

Misure per difendere il consumo di intelligenza artificiale

1. Gestire la governance e il rischio
   • Sviluppare policy su come e quando utilizzare l'intelligenza artificiale, comprese le informazioni che l'organizzazione consente agli utenti di condividere con GenAI, le linee guida per il controllo degli accessi, i requisiti di conformità e come segnalare le violazioni
   • Condurre una valutazione d’impatto per raccogliere informazioni, identificare e quantificare i benefici e i rischi dell’utilizzo dell’IA
2. Aumentare la visibilità e i controlli per la sicurezza e la privacy
   • Registra tutte le connessioni, comprese quelle alle app di intelligenza artificiale, per monitorare costantemente le attività degli utenti, l'utilizzo degli strumenti di intelligenza artificiale e i modelli di accesso ai dati per rilevare anomalie.
   • Scopri cosa esiste nell'IT ombra (inclusi gli strumenti di intelligenza artificiale) e prendi decisioni per approvare, bloccare o sovrapporre controlli aggiuntivi
   • Esegui la scansione delle configurazioni delle app SaaS per individuare potenziali rischi per la sicurezza (ad esempio, autorizzazioni OAuth concesse da app approvate ad app abilitate all'intelligenza artificiale non autorizzate, con il rischio di esposizione dei dati)
3. Esaminare quali dati entra ed esce dagli strumenti di intelligenza artificiale e filtra tutto ciò che potrebbe compromettere la proprietà intellettuale, avere un impatto sulla riservatezza o violare le restrizioni del copyright
   • Applicare controlli di sicurezza su come gli utenti possono interagire con gli strumenti di intelligenza artificiale (ad esempio, interrompere i caricamenti, impedire il copia/incolla e cercare e bloccare gli input di dati sensibili/proprietari)
   • Metti in atto misure di sicurezza per impedire ai bot di intelligenza artificiale di rubare i tuoi dati websito
   • Bloccare completamente gli strumenti di intelligenza artificiale solo se non sono possibili altri controlli. Come sappiamo, gli utenti troveranno soluzioni alternative, che mettono la sicurezza fuori dal tuo controllo.
4. Controlla l'accesso alle app e alle infrastrutture di intelligenza artificiale
   • Garantire che ogni utente e dispositivo che accede agli strumenti di intelligenza artificiale venga sottoposto a una rigorosa verifica dell'identità per stabilire chi può utilizzare gli strumenti di intelligenza artificiale
   • Implementare controlli di accesso Zero Trust basati sull'identità. Applicare il privilegio minimo per limitare i potenziali danni derivanti da account compromessi o minacce interne.
5. Ottimizzare i costi e l'efficienza operativa
   • Comprendere come le persone utilizzano le applicazioni di intelligenza artificiale con analisi e registrazione in modo da avere il controllo sulla limitazione della velocità, sulla memorizzazione nella cache, nonché sui nuovi tentativi di richiesta e sul fallback del modello man mano che l'utilizzo aumenta

Proteggi ciò che costruisci

Addestra il tuo modello di intelligenza artificiale
Le pipeline di intelligenza artificiale stanno ampliando lo spettro di vulnerabilità. Ma grazie all'esperienza maturata nella sicurezza fin dall'inizio e durante tutto il processo di sviluppo, abbiamo una visione chiara di cosa porta al successo. Per la sicurezza dell'intelligenza artificiale, il punto di partenza naturale è il vostro modello.
Come base per le applicazioni di intelligenza artificiale, tutto ciò che viene utilizzato per addestrare il modello di intelligenza artificiale confluirà nei suoi output. Considerate come proteggere inizialmente tali dati per evitare ripercussioni negative in seguito. Se non protetti, rischiate di espandere la superficie di attacco e di creare problemi applicativi in ​​futuro.
Una sicurezza che garantisca l'integrità dei dati è fondamentale per mitigare la compromissione deliberata e accidentale dei dati. I rischi per la sicurezza nel processo di intelligenza artificiale possono includere:

• Avvelenamento dei dati: i set di dati dannosi influenzano i risultati e creano distorsioni
• Abuso di allucinazioni: gli attori della minaccia legittimano le allucinazioni dell’IA, ovvero l’invenzione di informazioni per generare risposte, in modo che set di dati dannosi e illegittimi informino gli output.

In alternativa, se non si stanno addestrando modelli, l'intelligenza artificiale interna inizierebbe selezionando un modello per eseguire le attività. In questi casi, si dovrebbe esplorare il modo in cui i creatori hanno creato e protetto il modello, poiché questo gioca un ruolo nell'inferenza.

Inferenza è il processo che segue l'addestramento dell'IA. Più un modello è addestrato e perfezionato, migliori saranno le inferenze, sebbene non sia mai garantito che siano perfette. Anche i modelli altamente addestrati possono avere allucinazioni.

Sicurezza post-distribuzione
Una volta sviluppata e implementata la tua IA interna, dovrai proteggere i suoi dati privati ​​e garantirne l'accesso sicuro. Oltre alle raccomandazioni già fornite in questo documento, tra cui l'applicazione di token per ciascun utente e la limitazione della velocità, dovresti anche considerare:

• Gestione delle quote: utilizza limiti per proteggere le chiavi API degli utenti da compromissioni e condivisioni
• Blocco di determinati numeri di sistema autonomo (ASN): impedisce agli aggressori di inviare enormi quantità di traffico alle applicazioni
• Abilitare sale d'attesa o sfidare gli utenti: rende le richieste più difficili o dispendiose in termini di tempo, rovinando l'economia per gli aggressori
• Creazione e convalida di uno schema API: delinea l'utilizzo previsto identificando e catalogando tutti gli endpoint API, quindi elenca tutti i parametri specifici e i limiti di tipo
• Analisi della profondità e della complessità delle query: aiuta a proteggersi da attacchi DoS diretti ed errori degli sviluppatori, mantenendo la tua origine in salute e servendo le richieste ai tuoi utenti come previsto
• Creazione di una disciplina basata sull'accesso basato su token: protegge dall'accesso compromesso quando i token vengono convalidati nel livello middleware o nell'API Gateway

Protezione dalle minacce robusta per tutta la sperimentazione GenAI
Dall'adozione all'implementazione, ogni stagLa maggior parte della sperimentazione GenAI dovrebbe procedere con un rischio minimo o tollerato. Grazie alle conoscenze acquisite in questo documento, che la vostra organizzazione stia utilizzando, sviluppando o pianificando l'utilizzo dell'IA in una qualche forma in futuro, avrete il potere di controllare il vostro ambiente digitale.
Sebbene sia naturale provare esitazione nell'adottare nuove funzionalità, esistono risorse che offrono la sicurezza necessaria per sperimentare l'IA in modo sicuro. Tra queste risorse, ciò di cui le organizzazioni hanno più bisogno oggi è un tessuto connettivo per tutto ciò che riguarda IT e sicurezza. Un tessuto che agisca da filo conduttore, riducendo la complessità interagendo con tutto l'ambiente, sia disponibile ovunque e svolga le necessarie funzioni di sicurezza, networking e sviluppo.

Grazie al tessuto connettivo, avrai sicurezza in una varietà di casi d'uso, tra cui:

• Conformità alle normative con la capacità di rilevare e controllare il movimento dei dati regolamentati
• Riconquistare visibilità e controllo sui dati sensibili nelle applicazioni SaaS, shadow IT e negli strumenti di intelligenza artificiale emergenti
• Proteggere il codice degli sviluppatori rilevando e bloccando il codice sorgente durante i caricamenti e i download. Inoltre, prevenire, individuare e correggere errori di configurazione nelle applicazioni SaaS e nei servizi cloud, inclusi i repository di codice.

Con l'evoluzione dell'intelligenza artificiale, l'incertezza è inevitabile. Ecco perché avere una forza stabilizzatrice come Cloudflare è così vantaggioso.

Protezione dai rischi dell'intelligenza artificiale attraverso tre tipi di LLM
A seconda dell'utilizzo, il livello di esposizione al rischio che l'IA crea per un'organizzazione varia. È fondamentale comprendere i diversi rischi associati all'utilizzo e allo sviluppo di Large Language Model (LLM) e quindi essere attivamente coinvolti in qualsiasi implementazione di LLM.

Tipologia di LLM Rischio chiave

• Accesso interno ai dati sensibili e alla proprietà intellettuale
• Rischio reputazionale del prodotto
• Fuga di dati sensibili pubblici

Scalabilità, facilità d'uso e integrazione perfetta
Il cloud di connettività di Cloudflare ti dà il controllo e migliora visibilità e sicurezza, rendendo la sperimentazione dell'intelligenza artificiale sicura e scalabile. Ancora meglio, i nostri servizi rafforzano tutto, garantendo che non ci siano compromessi.
tra esperienza utente e sicurezza.
Considerando che la maggior parte delle organizzazioni utilizzerà solo l'intelligenza artificiale oppure la utilizzerà e la svilupperà, utilizzare Cloudflare significa non dover mai sospendere i progetti di intelligenza artificiale.

• La nostra rete globale ti consente di scalare e applicare controlli con rapidità ovunque tu ne abbia bisogno
• La nostra facilità d'uso semplifica l'implementazione e la gestione delle policy su come i tuoi utenti utilizzano l'intelligenza artificiale
• Un'architettura programmabile ti consente di aggiungere livelli di sicurezza alle applicazioni che stai creando, senza interrompere il modo in cui i tuoi utenti utilizzano l'intelligenza artificiale.

Il cloud di connettività di Cloudflare protegge ogni aspetto della tua sperimentazione di intelligenza artificiale, in particolare:

• I nostri servizi Zero Trust e Secure Access Service Edge (SASE) aiutano a mitigare i rischi nel modo in cui la tua forza lavoro utilizza strumenti di intelligenza artificiale di terze parti
• La nostra piattaforma per sviluppatori aiuta la tua organizzazione a creare i propri strumenti e modelli di intelligenza artificiale in modo sicuro ed efficiente
• Per la protezione con l'intelligenza artificiale, la nostra piattaforma sfrutta l'intelligenza artificiale e le tecniche di apprendimento automatico per creare informazioni sulle minacce che vengono poi utilizzate per proteggere le organizzazioni durante la sperimentazione dell'intelligenza artificiale.

Prossimi passi
Cloudflare per l'IA è la soluzione ideale per te: dalla protezione del modo in cui la tua organizzazione utilizza l'IA alla difesa delle applicazioni di IA che sviluppi. Con i nostri servizi, puoi adottare nuove funzionalità in qualsiasi ordine, con interoperabilità illimitata e integrazioni flessibili.

Per maggiori informazioni, visita cloudflare.com

Questo documento ha solo scopo informativo ed è di proprietà di Cloudflare. Questo documento non costituisce alcun impegno o garanzia da parte di Cloudflare o delle sue affiliate nei tuoi confronti. Sei responsabile di effettuare una tua valutazione indipendente delle informazioni contenute in questo documento. Le informazioni contenute in questo documento sono soggette a modifiche e non pretendono di essere esaustive o di contenere tutte le informazioni di cui potresti aver bisogno. Le responsabilità di Cloudflare nei confronti dei suoi clienti sono regolate da accordi separati e questo documento non fa parte di, né modifica, alcun accordo tra Cloudflare e i suoi clienti. I servizi di Cloudflare sono forniti "così come sono" senza garanzie, dichiarazioni o condizioni di alcun tipo, esplicite o implicite.
© 2024 Cloudflare, Inc. Tutti i diritti riservati. CLOUDFLARE® e il logo Cloudflare sono marchi registrati di Cloudflare. Tutti gli altri nomi e loghi di aziende e prodotti possono essere marchi registrati delle rispettive aziende a cui sono associati.

Cloudflare | Garantire pratiche di intelligenza artificiale sicure1 888 99 FLARE | impresa@cloudflare.com | Cloudflare.com
REV:BDES-6307.2024AGO1129

Domande frequenti

• D: Perché è importante proteggere la sperimentazione GenAI?
  R: Proteggere la sperimentazione GenAI è fondamentale per prevenire violazioni dei dati, abusi da parte degli utenti e comportamenti dannosi che possono compromettere informazioni sensibili e interrompere le operazioni organizzative.
• D: Come possono le organizzazioni migliorare la sicurezza dell'intelligenza artificiale?
  R: Le organizzazioni possono migliorare la sicurezza dell'intelligenza artificiale comprendendo i rischi, utilizzando strumenti di intelligenza artificiale affidabili, creando soluzioni personalizzate tenendo presente la sicurezza e implementando misure di sicurezza efficaci per proteggere le applicazioni di intelligenza artificiale.

Documenti / Risorse

Cloud flare: garantire pratiche di intelligenza artificiale sicure [pdf] Guida utente Garantire pratiche di intelligenza artificiale sicure, Garantire, Pratiche di intelligenza artificiale sicure, Pratiche

Riferimenti

• Manuale d'uso