Аналитики Guy Carpenter в недавней статье говорят, быстрое внедрение и развитие искусственного интеллекта (ИИ) в последние годы повысили риск агрегации киберсобытий как из вредоносных, так и случайных источников.
В статье определены четыре основных способа, посредством которых разработка и внедрение ИИ способствуют этой агрегации: риск цепочки поставок программного обеспечения, расширение поверхности атаки, увеличение уязвимости данных и растущее использование в операциях по кибербезопасности.
Для использования ИИ компаниями он должен быть развернут либо внутри сети компании, либо снаружи через сторонних поставщиков, таких как ChatGPT или Claude. В обоих случаях, если модель ИИ третьей стороны скомпрометирована или выходит из строя, она представляет риск для всех клиентов, которые на нее полагаются.
После развертывания модели ИИ взаимодействуют с пользователями, обрабатывая входные данные и генерируя выходные данные. Однако эти процессы могут быть уязвимы как для злонамеренных, так и для случайных манипуляций.
Например, «джейлбрейк» означает попытку обмануть модель и заставить ее действовать за пределами ее предполагаемых ограничений, что может привести к раскрытию данных, потере доступности или нарушениям сети.
Кроме того, модели ИИ могут давать неверные ответы, что может привести к ответственности и серьезным последствиям для компаний, если не будут приняты меры безопасности.
Эффективность модели зависит от качества обучающих ее данных, которые часто включают большие, конфиденциальные наборы данных. Для обучения модели эти данные должны быть раскрыты или воспроизведены, что создает рынок для хранения данных и инженерных решений, которые несут свои собственные риски.
Поскольку технология ИИ получает выгоду от большего количества данных, как поставщики, так и клиенты вынуждены агрегировать их, что улучшает модель, но также увеличивает риски. Централизованные решения для хранения и обучения могут иметь серьезные последствия в случае компрометации.
Хотя ИИ часто хвалят за его потенциал в кибербезопасности, например, за автоматизацию задач безопасности высокого уровня, он также несет риски. Автоматизация может привести к ошибкам и уязвимостям, особенно при оркестровке реагирования, где ИИ может предпринимать действия, такие как карантин систем, отключение доступа к сети или сброс учетных данных без вмешательства человека.
Хотя эта «машинная» реакция имеет ценность, ИИ в сфере безопасности должен управляться с помощью мер безопасности и возможностей ручного управления, чтобы не допустить усугубления проблем и избежать непредвиденных последствий.
Несмотря на эти риски, Guy Carpenter подчеркивает, что перестраховщикам следует рассматривать ИИ как возможность для роста, а не как риск, которого следует избегать.
Guy Carpenter заключает: «В качестве первого шага андеррайтинга и управления рисками портфеля ИИ пере/страховщики должны задавать подробные вопросы и собирать надежные данные о разработке, развертывании и тестировании модели ИИ своих страхователей: какие проверки существуют для обеспечения конфиденциальности, целостности и доступности? Объединяются ли конфиденциальные наборы данных для исследований и, если да, то как эти данные защищаются? Являются ли решения ИИ частью инфраструктуры безопасности и, если да, то как управляются и контролируются привилегии?
«Мы уже увидели, как ответы на эти вопросы могут означать разницу между компромиссом и уверенностью. Использование этих данных позволяет перестраховщикам лучше понимать этот риск, выгодно проводить андеррайтинг рисков, связанных с ИИ, и управлять риском агрегации, поскольку объем страхования, связанного с ИИ, масштабируется с технологическими достижениями».
Подготовлено порталом Allinsurance.kz