TL; DR
"AI risk management" የሚለው ስም የሚጋሩ ሁለት ተቃራኒ ዘርፎችን ይገልጻል። በAI የሚፈጠረውን አደጋ መቆጣጠር አደጋን ለመቆጣጠር AIን ከመጠቀም ጋር ተመሳሳይ አይደለም። አብዛኛዎቹ ድርጅቶች አንዱን እያደረጉ ነው፣ ሌላኛው እየተሸጠ ነው፣ እና ሁለቱንም በአግባቡ ሪፖርት እያደረጉ ነው።
- የጄኔአይአይ ስጋት አስተዳደር የአስተዳደር ችግር ከመሆኑ በፊት የግኝት ችግር ነው። እርስዎ ፈጽሞ ያልቆጠሩትን ንብረት ማስተዳደር አይችሉም፣ እና ክምችቱ ብዙውን ጊዜ የሚኖረው በ
.mcp/servers.jsonከዚያን ጊዜ ጀምሮ ማንም ሰው ፋይል አልከፈተም commitቴድ። - ለአደጋ አስተዳደር የ AI አገልግሎት በሦስት ስራዎች ላይ ቦታ ያገኛል። ትስስር፣ ማብራሪያ እና መጠን። ለመወሰን ጥሩ አይደለም፣ ለዚህም ነው የ AI ሀሳብ የሚያቀርበው እና ማንም ሰው ከማየቱ በፊት የተወሰነ ነገር የሚፈትሸው።
- ሁለቱ ዘርፎች በአንድ ወቅት ይገናኛሉ። አደጋን ለማስተዳደር የሚያሰማሩት AI ራሱ ሞዴል፣ የመሳሪያ መዳረሻ እና የምስክር ወረቀት ያለው የAI ሀብት ነው። በራስዎ ክምችት ውስጥ የሚገባ ነው።
- በመቁጠር ይጀምሩ፣ ፖሊሲ በመጻፍ አይደለም። ከግኝት በፊት የተጻፈ ፖሊሲ ምናባዊ ንብረትን ይገልጻል። በአንድ ስላይድ ላይ ሶስት ቁጥሮች ማንም ሊያረጋግጠው የማይችለውን ማዕቀፍ ይበልጣሉ።
“የሰው ሰራሽ የማሰብ ችሎታ አደጋ አስተዳደር” አሁን ሁለት የተለያዩ ነገሮችን የሚወክለው ለምንድን ነው?
ሐረጉን በማንኛውም የፍለጋ ሳጥን ውስጥ ይተይቡ፣ እና ሁለት ሙሉ በሙሉ የተለያዩ ቤተ-መጻሕፍትን መልሰው ያገኛሉ።
አንዱ ስለ ነው የ AI የሚፈጥረው አደጋ፦ ያልተጠበቀ ባህሪ የሚያሳዩ ሞዴሎች፣ ከማንም በላይ ፈቃድ ያላቸው ወኪሎች፣ በመጠን የኮድ መላኪያ ጉድለቶችን ፈጥረዋል፣ ተቆጣጣሪዎች ምን እያሄዱ እንደሆነ ይጠይቃሉ። የጄኔአይ ስጋት አስተዳደር ብለው ይጠሩታል።
ሌላኛው ስለ ነው AI እንደ የአደጋ ተግባር መሳሪያ፦ የማስጠንቀቂያዎችን የመለየት፣ የተጋላጭነትን ማጠቃለል፣ ማስተካከያ ማድረግን፣ የቁልል ዱካዎችን ለማያነብ ሰው አንድ ግኝትን ማስረዳትን ሞዴሎች። ለአደጋ አስተዳደር AI ብለው ይጥሩት።
ስም፣ የበጀት መስመር እና ብዙ ጊዜ ስላይድ ይጋራሉ። አንድ አይነት ዲሲፕሊን የላቸውም። አንዱ ተከላካይ ሲሆን ምን ሊሳሳት እንደሚችል ይጠይቃል። ሌላኛው ደግሞ ተግባራዊ ሲሆን በእጅ ምን ማድረግ ማቆም እንደምንችል ይጠይቃል። ሀ. CISእነሱን የሚያዋህዳቸው ሰዎች የሥራ ጫናን የማይቀንስ የአስተዳደር ፖሊሲ እና ማንም አደጋን የማይገመግም የአውቶሜሽን ፕሮግራም ያገኛሉ።
የተከፈለውን ስም መሰየም ማባከን አይደለም። ከሁለቱ ድርጅቶች ውስጥ የትኛው ድርጅትዎ በእርግጥ የገንዘብ ድጋፍ እያደረገ እንደሆነ ለማወቅ ፈጣኑ መንገድ ነው።
የጄኔአይ የአደጋ አስተዳደር ምን መሸፈን አለበት?
ሶስት ንብርብሮች፣ እና ከነሱ ውስጥ አንዱ ብቻ ሞዴሉ ነው።
- የአይአይ (AI) የሚጽፈው። የተፈጠረው ኮድ ከሰው ኮድ ጋር ተመሳሳይ የተጋላጭነት ክፍሎችን ይይዛል፣ እና ግምገማው ከሚቀበለው በላይ በፍጥነት ይደርሳል። ይህ ንብርብር በጣም የታወቀ ስለሆነ ሁሉንም ትኩረት ያገኛል።
- የ AI ግንኙነት ከምን ጋር እንደሚገናኝ። የክህሎት ፋይሎች፣ የደንቦች ፋይሎች፣ የMCP አገልጋይ ውቅሮች፣ የመሳሪያ ስኮፖች፣ አንድ ወኪል የሚያሄድበት ማስረጃ። ግልጽ ጽሑፍ፣ commitእንደ ሰነዶች የተገመገመ እና ረዳቱ ምን መድረስ እንደሚችል የሚገልጽ ነው። ይህ የተሳካ ጥቃት ምን ያህል ርቀት እንደሚጓዝ የሚወስነው ንብርብር ሲሆን ሞዴሉን በመጨረሻው ነጥብ በኩል ለሚፈትሽ ለማንኛውም ነገር የማይታይ ነው።
- የ AI ምን ይሳባል። ጥገኛዎች፣ ሞዴሎች፣ የውሂብ ስብስቦች፣ ውጫዊ መሳሪያዎች። አጥቂዎች ወኪልዎ የፈጠረውን የጥቅል ስም መመዝገብ ሲችሉ ከአሁን በኋላ አንድን አስተናጋጅ ማሰናበት አያስፈልጋቸውም። በ2025 በUSENIX Security ላይ የቀረበው ጥናት በ16 ሞዴሎች ውስጥ 2.23 ሚሊዮን የኮድ ናሙናዎችን አስገኝቷል እና 19.7% የሚሆኑት የሚመከሩ ፓኬጆች እንዳልነበሩ አረጋግጧል፣ ይህም ከ205,000 በላይ ልዩ የሆኑ ቅዠት ያላቸውን ስሞች አስገኝቷል።
የመጀመሪያውን ንብርብር ብቻ የሚሸፍን ማንኛውም የGenAI የአደጋ አስተዳደር ፕሮግራም ንጹህ ሪፖርት እና ያልተለወጠ የአደጋ መገለጫ ያመነጫል። ለኤልኤልኤም አፕሊኬሽኖች ከፍተኛ 10 የ OWASP በዚህ እውነታ ዙሪያ የተዋቀረ ነው፡ ከመጠን በላይ የሆነ ወኪልነት ከከፍተኛው ቅድመ-ዝግጅት አጠገብ ይገኛልcisምክንያቱም የሞዴል ችግር ሳይሆን የሽቦ ችግር ስለሆነ።
እና ሦስቱም ንብርብሮች ከማንኛውም አሰልቺ ነገር ላይ የተመሰረቱ ናቸው። ምን አይነት AI እንዳለህ ማወቅ አለብህ። ግኝት ለጄኔአይአይ የአደጋ አስተዳደር የመጀመሪያ እርምጃ አይደለም፣ የተቀረው ነገር የሚቆምበት ነገር ነው፣ እና አብዛኛዎቹ ፕሮግራሞች በጸጥታ የሚቆሙበት ቦታ ነው።
ለአደጋ አስተዳደር (AI) በእርግጥ ጥሩ የሆነው በምን ላይ ነው?
ግብይትን ወደ ጎን ትተህ ትክክለኛ መልስህ ጠባብ ቢሆንም ጠቃሚ ነው። በአደጋ አስተዳደር ውስጥ ያለው የአዕምሮ ጤና ኢንተለጀንስ በሦስት ስራዎች ላይ ቦታውን ያገኛል።
- ትስስር። ስድስት መሳሪያዎች ስድስት ተመሳሳይ ግኝቶችን በስድስት ደረጃዎች ስር ያመነጫሉ። ተመሳሳይ ችግር፣ በተመሳሳይ አካል፣ በአንድ ዋና ምክንያት፣ መሆናቸውን መወሰን ሰዎች ቀስ በቀስ እና ወጥነት በሌለው መንገድ የሚያከናውኑት አሰልቺ የንድፍ ስራ ነው።
- ማብራሪያ ፡፡ በግኝት እና በመጠገን መካከል ያለው ክፍተት አብዛኛውን ጊዜ መረዳት ነው። የብዝበዛ መንገዱን፣ የተጎዳውን ክፍል እና የፍንዳታ ራዲየስን የሚገልጽ ማብራሪያ አንድ ሰው የሚዘጋውን ትኬት “አይጠግንም” ወደ አንድ ሰው በትክክል የሚፈታው ይቀይረዋል።
- ድምጽ። የኮድ ወኪል በሳምንት ውስጥ አንድ ሺህ ፋይሎችን ሲያመርት፣ ግምገማ የቁጥጥር ሆኖ ይቆማል እና ወረፋ ይሆናል። ምንም የሰው ልጅ በዚህ ውስጥ የሚመዘን ነገር የለም፣ እና የቅጥር ብዛት ምንም ለውጥ አያመጣም።
ለአደጋ አስተዳደር የAI ጥሩ ያልሆነው ነገር መወሰን ነው። ያልተረጋገጠ ማስተካከያ የሚያቀርብ ሞዴል እንደ ባህሪ የተለበጠ ተጠያቂነት ነው። የሚቆየው ንድፍ ከተወሰነ ትንታኔ ጋር የተጣመረ የAI አመክንዮ ነው፡ የAI ሀሳብ ያቀርባል፣ እና የሆነ ነገር ማንም ሰው ከማየቱ በፊት የፖሊሲ ተገዢነትን፣ የብዝበዛን እና የለውጥ ለውጥን የመሰብሰብ ሀሳብን ይፈትሻል።
ሁለተኛ፣ ብዙም ግልጽ ያልሆነ ድል አለ። የራስዎን የስካነር ግኝቶች የሚመረምር ተመሳሳይ ብልህነት የሌሎችን ሰዎች ሁሉ ሊመረምር ይችላል። የAI ንብርብር እነሱን ከመተካት ይልቅ አስቀድመው ከገዙዋቸው መሳሪያዎች በላይ ከሆነ፣ በአደጋ አስተዳደር ውስጥ ያለው የAI ማይግሬሽን ፕሮጀክት ከመሆን ይልቅ ወደ ቁልልዎ ተጨማሪ ይሆናል፣ ይህም ብዙውን ጊዜ በዚህ ሩብ ዓመት በሚጀምር እና በሚቀጥለው ዓመት በሚጀምር ፕሮግራም መካከል ያለው ልዩነት ነው።
በአደጋ አስተዳደር ውስጥ ያለው የአዕምሮ ህክምና (AI) ስህተት የት ነው?
ሶስት የውድቀት ሁነታዎች፣ ሁሉም የተለመዱ ናቸው።
- ያለ መነሻ በራስ መተማመን። በAI የተፈጠረ የአደጋ ማጠቃለያ በሚያምር ሁኔታ ይነበባል እና ምንም አይጠቅስም። አንድ ኦዲተር ቁጥር እንዴት እንደተመረተ ሲጠይቅ፣ "ሞዴሉ እንዲህ ብሏል" የሚለው መልስ አይደለም። በአደጋ ፕሮግራም ውስጥ ያለ እያንዳንዱ ውጤት ወደ ግኝት፣ ፋይል እና መስመር የሚመለስ ዱካ ይፈልጋል።
- ያለ በር አውቶሜሽን። ብቃት ካለው ወኪል ጋር ያለው ፈተና ነገሮችን እንዲያስተካክል መፍቀድ ነው። የምርት ኮድ ላይ የሚደርስ ማንኛውም ነገር ካለ፣ አንድ ሰው በ... ላይ ማጽደቅ አለበት። pull requestይህ ዓይናፋርነት አይደለም፤ ይህ አቋም የአውሮፓ ህብረት AI ህግ ለማንኛውም ወደዚያ ይገፋፋዎታል፣ በአንድ ወቅት በተለዋወጠ የጊዜ መስመር ላይ። የማጽደቂያ ነጥቡን መገንባት አሁን የዲዛይን ወጪ ይጠይቃልcisበኦዲት ስር እንደገና መጫን አንድ ሩብ ያስከፍላል።
- ከመጋለጥ ይልቅ ጉዲፈቻን መለካት። “ቡድናችን በየቀኑ ለአደጋ አስተዳደር የአዕምሮ ህዋሳትን (AI) ይጠቀማል” የሚለው የአጠቃቀም ስታቲስቲክስ ነው። አደጋው ቀንሷል ወይ የሚለው ምንም አይናገርም።
ሁለቱ የትምህርት ዘርፎች እንዴት ይዋሃዳሉ?
እስካሁን ድረስ ማንም ሰው በስላይድ ላይ የሌለው ክፍል ይኸውና።
አደጋን ለማስተዳደር የሚያሰማሩት የAI ዘዴ ራሱ የAI ምንጭ ነው። ሞዴል ወይም በርካታ አለው። የመሳሪያ መዳረሻ አለው። የምንጭ ኮድዎን፣ ግኝቶችዎን እና ብዙ ጊዜ ምስጢሮችዎን ያነባል። በማረጋገጫ ስር ይሰራል። ከMCP አገልጋይ ጋር ሊገናኝ ይችላል። የGenAI የአደጋ አስተዳደር ክምችትዎ ካልያዘው፣ ክምችትዎ የተሳሳተ ነው፣ እና ክፍተቱ የሚገኘው እርስዎ ባለዎት በጣም ልዩ ስርዓት ውስጥ ነው።
ይህ ሁለቱን ዘርፎች አንድ ፕሮግራም ያደርገዋል። የደህንነት AI ገንቢዎችዎ ከጫኑት AI ጋር በተመሳሳይ ክምችት ውስጥ ይገባል። የማረጋገጫ ሁኔታ አለው። ስሙ የተሰየመ ባለቤት አለው። በኮምፒውተሩ ላይ ተዘርግቷል፣ ተመዝግቧል እና በር ተከፍቷል። pull request ልክ እንደሌሎች የውሂብ ማከማቻዎችዎ የመፃፍ መዳረሻ ካለው ማንኛውም ነገር ጋር።
የ AIን ለአደጋ አስተዳደር እንደ መሳሪያ ግዢ አድርገው የሚቆጥሩ ድርጅቶች ከ AI ማሰማራት ይልቅ ይህንን በመጀመሪያው ኦዲታቸው ወቅት ያገኙታል፣ እና የማይመች ውይይት ይሆናል። ቦርዱ ሲጠይቅ እንደ አንድ ክምችት፣ አንድ የአደጋ ሞዴል እና አንድ መልስ ያገኛሉ።
የሚሰራ የ AI ስጋት አስተዳደር ኦፕሬቲንግ ሞዴል ምን ይመስላል?
ስድስት ችሎታዎች፣ እያንዳንዳቸው የራሳቸው ስም ያላቸው እና እየሰሩ መሆኑን የሚያረጋግጥ ነገር አላቸው።
| ችሎታ | የሚሸፍነው | ማን ነው የያዘው | ምን ያረጋግጣል? |
|---|---|---|---|
| AI ግኝት | ሞዴሎች፣ ወኪሎች፣ የውሂብ ስብስቦች፣ የMCP አገልጋዮች፣ የኮድ መሳሪያዎች፣ የእርስዎን የደህንነት AI ጨምሮ | የAppSec መሪ | A የቀጥታ ክምችት በእያንዳንዱ ንብረት የማጽደቂያ ሁኔታ ጋር |
| የ AI አደጋ መለየት | ፈጣን የመርፌ መንገዶች፣ አደገኛ የሆኑ የወኪል ወሰኖች፣ ተንኮል አዘል ክህሎቶች እና የደንቦች ፋይሎች | የAppSec መሪ | ግኝቶቹ ወደ የታወቁ ማዕቀፎች, በፋይል እና በመስመር |
| የአቅርቦት ሰንሰለት ማጣሪያ | ፊርማ ከመኖሩ በፊት AI የሚያስገባቸው ጥገኝነቶች | የAppSec መሪ | የማጣሪያ ፍርድ በሳምንት፣ በአንድ ጥቅል |
| በAI የታገዘ ትራዬጅ | በሁሉም መሳሪያዎች ላይ ትስስር፣ ማብራሪያ፣ ቅድሚያ መስጠት | የደህንነት ስራዎች | ወደ ገንቢ የሚደርሱ ግኝቶች መቀነስ |
| የሰው በር | የምርት ኮድ ላይ በሚደርስ ማንኛውም ነገር ላይ ማፅደቅ | የፕላትፎርም ወይም የDevOps መሪ | በወኪል የተጻፉ መቶኛ pull requests ከሰው ልጅ ፈቃድ ጋር |
| ሪፖርት | ወደ ላይ የሚወጣ አቀማመጥ | CISኦ ቢሮ | ወደ ውጭ የሚላክ AI-BOM እና አንድ ቦርድ ሊሠራባቸው የሚችላቸው ሦስት ቁጥሮች |
ሰዎች የሚረሱት ረድፍ የመጀመሪያው፣ ሁለተኛው አንቀጽ ነው። የእርስዎ የደህንነት አርቲፊሻል ኢንተለጀንስ በራስዎ ክምችት ውስጥ የተካተተ ነው።
እንዴት ነው የሚጀምሩት?
ከፖሊሲ ጋር አይደለም። ከግኝት በፊት የተጻፉ ፖሊሲዎች ምናባዊ የሆነን ንብረት ይገልጻሉ።
የደህንነት ቡድንዎ ያስተዋወቀውን AI ጨምሮ በሶፍትዌርዎ ውስጥ ምን አይነት AI እየሰራ እንደሆነ ይቁጠሩ። በዚህ ደረጃ የሰዎችን ስም መሰየም ከመሬት በታች አጠቃቀምን ስለሚያስከትል እና አሁን የገዙትን ታይነት ስለሚያጠፋ ቁጥሩን በውስጥ ያትሙ። ከዚያም ቡድኖችዎ በትክክል የሚያስፈልጋቸውን የሚያንፀባርቅ የተፈቀደ ዝርዝር ይስማሙ እና ሲሳሳቱ ሊመለሱ የማይችሉትን ትናንሽ ነገሮች ዝርዝር ይግለጹ፡ ተንኮል አዘል ጥገኝነት፣ የቀጥታ ምስክርነት፣ ያልተፈቀደ ሞዴል ቁጥጥር የሚደረግበትን ውሂብ የሚነካ።
በ2027 ከAI ስጋት አስተዳደር ጋር የሚታገሉ ድርጅቶች በፍጥነት የተንቀሳቀሱ አይደሉም። በ2026 የAI ፖሊሲን በመጻፍ ምንም ነገር ያልቆጠሩት እነሱ ናቸው።
ይህ አቋም ነው ዚጌኒ የተገነባው በዚህ ዙሪያ ነው፦ ገንቢዎችዎ የጫኑትን የAI እና የደህንነት ቡድንዎ ያስተዋወቀውን የAI ክምችት የሚሸፍን አንድ ክምችት፣ በግኝቶችዎ እና ሌሎች መሳሪያዎችዎ ለሚያመርቷቸው ግኝቶች አንድ የአደጋ ሞዴል እና የምርት ኮድን የሚያሟላ ማንኛውንም ነገር የሚያጸድቅ ሰው።
ሁለት ዘርፎች፣ አንድ ክምችት። እነዚህ ፕሮግራሞች ከተለያየ ባለቤቶች ጋር በቶሎ መሆናቸው ሲያቆሙ፣ ሁለቱም በቶሎ መስራት ይጀምራሉ።
በየጥ
የ AI ስጋት አስተዳደር ከ AI አስተዳደር ጋር ተመሳሳይ ነው?
አስተዳደር ደንቦችን ያወጣል፡- ማን ምን፣ በምን ሁኔታዎች፣ በየትኛው ማፅደቂያ ሊጠቀም ይችላል። የ AI ስጋት አስተዳደር በትክክል ምን እየሰራ እንደሆነ ለማወቅ፣ የሚፈጥረውን ተጋላጭነት ለመለካት እና ለመቀነስ የሚያስችል የአሠራር ሥራ ነው። የአደጋ አስተዳደር የሌለው አስተዳደር ማንም ሊያረጋግጥ የማይችል ፖሊሲ ያወጣል። ያለ አስተዳደር የአደጋ አስተዳደር ማንም ሰው እርምጃ ለመውሰድ ሥልጣን የሌለውን ግኝት ያስገኛል። አብዛኛዎቹ ድርጅቶች ከሁለተኛው የበለጠ የመጀመሪያውን አላቸው።
የGenAI የአደጋ አስተዳደርን ከመፍታትዎ በፊት AI ለአደጋ አስተዳደር መጠቀም እንችላለን?
አዎ፣ እና አብዛኛዎቹ ቡድኖች ያደርጋሉ፣ ምክንያቱም የአሠራር ጫናው ፈጣን ስለሆነ እና የአስተዳደር ጫናው በየሩብ ዓመቱ ነው። ቅድመ ሁኔታው የደህንነት AI እራሱን ከመጀመሪያ ቀን ጀምሮ መዝግበው ማስቀመጥ ነው፣ በኋላ ላይ ከማስቀመጥ ይልቅ። አንድ ንብረት ወደ ክምችት መጨመር ቀላል ነው። ለኦዲተር የአስራ ስምንት ወራት ያልተፈቀደ መዳረሻ እንደገና መገንባት አይደለም።
የ AI የአደጋ አስተዳደር ፕሮግራም ከየትኛው ማዕቀፍ ጋር መጣጣም አለበት?
የ የNIST AI የአደጋ አስተዳደር ማዕቀፍ በስፋት ተቀባይነት ያለው የቃላት ዝርዝር ሲሆን አራት ተግባራትን ማስተዳደር፣ ካርታ ማውጣት፣ መለካት እና ማስተዳደር ቦርዱ የሚያውቀውን መዋቅር ይሰጥዎታል። NIST ምን ውጤቶችን ማነጣጠር እንዳለቦት ስለሚነግርዎት እና OWASP ጥቃቶቹ ምን እንደሚመስሉ ስለሚነግርዎት ከ OWASP GenAI ስራ ጋር ያጣምሩት። አንዳቸውም ምን መቁጠር እንዳለቦት አይነግሩዎትም፣ ይህም የእርስዎ ውሳኔ ነው።cision.
በአደጋ አስተዳደር ውስጥ ያለው የአዕምሮ ህክምና (AI) የጭንቅላት ብዛትን ይቀንሳል?
በጥሩ ሁኔታ በሚጠቀሙባቸው ቡድኖች ውስጥ አይደለም። ቡድኑ ቀኑን የሚያሳልፈውን ጊዜ ይለውጣል። ትስስር፣ ትሪጅ እና የመጀመሪያ-ረቂቅ ማብራሪያ ወደ ሞዴሉ ይሸጋገራሉ፣ የሰው ልጅ ጊዜ ደግሞ ወደ ዴ ይሄዳል።cisውጤት የሚያስከትላቸው አዮኖች፡ ምን እንደሚጣል፣ ምን አደጋ እንደሚቀበል እና በማን እንደሚቀበል፣ እና የትኞቹ ግኝቶች በእርግጥ ምርትን አደጋ ላይ እንደሚጥሉ ያሳያሉ። የንግድ ጉዳይዎ የሰራተኞችን ቁጥር በመቀነስ ላይ የተመሰረተ ከሆነ፣ ፕሮግራሙ በሁለት ሩብ ጊዜ ውስጥ በተሳሳተ መለኪያ ላይ ይገመገማል።
