AI w pracy wymyka się spod kontroli

AI i pracownicy coraz większym wyzwaniem

Dwa najnowsze ostrzeżenia pokazują, że organizacje muszą dziś mierzyć się nie tylko z klasycznymi zagrożeniami wewnętrznymi, ale też z szybkim rozprzestrzenianiem się shadow AI. Chodzi o narzędzia sztucznej inteligencji używane przez pracowników poza oficjalnie zatwierdzonymi systemami i procedurami firmy.

Z jednej strony amerykańska agencja CISA zaktualizowała swój przewodnik dotyczący zagrożeń wewnętrznych. Z drugiej – brytyjskie NCSC zwróciło uwagę, że nieautoryzowane narzędzia AI mogą otwierać nowe luki w bezpieczeństwie i utrudniać kontrolę nad danymi.

CISA rozszerza wytyczne dotyczące insider threat

CISA odświeżyła swój Insider Threat Mitigation Guide, dodając nowe studia przypadków, statystyki oraz wskazówki dotyczące pracy hybrydowej, pracy zdalnej, sztucznej inteligencji i trudnych rozstań z pracownikami.

Przewodnik, opublikowany pierwotnie w 2020 roku, ma wspierać specjalistów ds. bezpieczeństwa i HR, a także menedżerów na różnych szczeblach. Według agencji może z niego korzystać każda organizacja, niezależnie od stopnia dojrzałości programu bezpieczeństwa.

W nowej wersji materiał został uporządkowany i skrócony, a nacisk położono na praktyczne obszary, takie jak:

• kontrola dostępu,
• screening odwiedzających,
• ograniczanie ryzyka związanego z odejściem pracownika,
• rozpoznawanie sygnałów behawioralnych mogących wskazywać na zagrożenie.

CISA podkreśla też, że zagrożenia wewnętrzne nie dotyczą wyłącznie wycieku danych. W grę wchodzą również incydenty związane z przemocą, ochroną zasobów i bezpieczeństwem fizycznym.

Hybrydowa praca zmienia model ryzyka

Jednym z kluczowych wątków aktualizacji jest wpływ pracy hybrydowej i zdalnej. W takim modelu organizacja ma mniejszą kontrolę nad tym, kto ma dostęp do przestrzeni biurowej, systemów i danych. To zwiększa znaczenie zarówno zabezpieczeń fizycznych, jak i cyfrowych.

CISA zwraca również uwagę na wykorzystanie AI do manipulacji i oszustw. Chodzi nie o ogólną ocenę samej technologii, lecz o sytuacje, w których narzędzia AI mogą wspierać działania podszywania się, wprowadzania w błąd lub obchodzenia zabezpieczeń.

Shadow AI jako rosnący problem firm

Brytyjskie NCSC ostrzega z kolei, że pracownicy korzystający z niezatwierdzonych narzędzi AI mogą nieświadomie ujawniać dane firmowe lub klientowskie. W praktyce oznacza to potencjalne wycieki informacji, utratę własności intelektualnej i problemy z przestrzeganiem przepisów.

Agencja przywołała badanie Microsoftu, z którego wynika, że 71% pracowników w Wielkiej Brytanii używało narzędzi AI niezatwierdzonych przez pracodawcę. To pokazuje, że shadow AI nie jest zjawiskiem marginalnym, lecz zjawiskiem powszechnym.

NCSC wskazuje też na dodatkowe ryzyko związane z agentami AI. Jeśli taki agent ma słabe zabezpieczenia lub zostanie źle skonfigurowany, atakujący może przejąć te same dane, usługi i uprawnienia, które agent miał legalnie dostępne.

Dlaczego firmom trudno to kontrolować

Problem polega na tym, że organizacje często nie nadążają za tempem, w jakim pracownicy testują nowe usługi. Gdy wewnętrzne polityki bezpieczeństwa nie odpowiadają potrzebom biznesu, osoby zatrudnione sięgają po własne rozwiązania szybciej, niż dział IT zdąży je ocenić.

NCSC podkreśla, że celem nie powinno być całkowite wyeliminowanie shadow AI, lecz jego ograniczanie. W praktyce oznacza to:

• tworzenie pozytywnej kultury bezpieczeństwa,
• zachęcanie pracowników do otwartego zgłaszania używanych narzędzi,
• jasne określenie, jak wygląda bezpieczne korzystanie z AI,
• wskazanie zatwierdzonych alternatyw dla popularnych usług konsumenckich.

Wspólny wniosek: potrzebne są jasne zasady

Oba ostrzeżenia prowadzą do podobnego wniosku: organizacje muszą traktować ryzyko wewnętrzne szerzej niż dawniej. To już nie tylko celowe działanie pracownika, ale też nieświadome ryzykowne zachowania wynikające z nowych sposobów pracy i szybkiej adopcji AI.

Zarówno CISA, jak i NCSC sugerują, że skuteczna odpowiedź wymaga połączenia polityk bezpieczeństwa, kontroli dostępu, edukacji pracowników i stałej oceny nowych narzędzi. W środowisku, w którym AI trafia do pracy szybciej niż do oficjalnych procedur, właśnie to może zdecydować o tym, czy organizacja utrzyma kontrolę nad danymi i dostępami.