Lo Studio Identifica un Allarmante Divario di Sicurezza nel Deployment dell'IA Generativa

L'82% dei dirigenti di vertice crede che un'IA sicura e affidabile sia fondamentale. Tuttavia, solo il 24% di loro integra la sicurezza nelle loro iniziative relative all'IA generativa. Questo secondo una nuova ricerca di IBM e Amazon Web Services, ricerca congiunta annunciata alla RSA Conference 2024 e che ha dettagliato i risultati di un sondaggio focalizzato sulle opinioni dei dirigenti di vertice su come guidare casi d'uso sicuri per l'IA, con un'enfasi particolare sull'IA generativa. IBM riporta che solo il 24% dei rispondenti ha considerato una dimensione di sicurezza nelle loro iniziative di IA generativa, mentre quasi il 70% dice che l'innovazione ha la precedenza sulla sicurezza.

Compromesso tra innovazione e sicurezza

Mentre la maggior parte dei dirigenti teme che rischi imprevedibili impatteranno sulle iniziative di GenAI, non stanno dando priorità alla sicurezza. Anche se un panorama delle minacce AI completamente realizzato non si è ancora verificato, alcuni casi d'uso hanno coinvolto l'uso di ChatGPT o simili per generare script di email di phishing e audio deepfake. I ricercatori della sicurezza IBM X-Force hanno avvertito che, come con tecnologie più mature, ci si può aspettare sempre più che i sistemi AI siano presi di mira su larga scala.

Mentre una superficie di minaccia AI consolidata sta solo iniziando a formarsi, i ricercatori di IBM X-Force anticipano che una volta che il panorama del settore si maturerà attorno a tecnologie comuni e modelli di abilitazione, gli attori delle minacce inizieranno a prendere di mira questi sistemi AI più ampiamente, ha letto il rapporto. Infatti, questa convergenza è in corso mentre il mercato matura rapidamente, e i principali fornitori stanno già emergendo in hardware, software e servizi.

Più immediatamente preoccupante, secondo l'rapporto di IBM, sono quelle aziende che non proteggono adeguatamente i modelli di IA che costruiscono e utilizzano come parte delle loro attività. Un'applicazione scarsa degli strumenti di GenAI può portare a una gestione impropria o alla fuga di dati sensibili. Secondo il rapporto, l'“IA ombra” sta aumentando nel suo utilizzo all'interno delle organizzazioni poiché i dipendenti utilizzano strumenti GenAI che non sono stati approvati e protetti dai team di sicurezza aziendale.

A tal fine, IBM ha annunciato un framework per la sicurezza di GenAI a gennaio. I suoi principi di base sono la centralizzazione dei dati, utilizzati per addestrare i modelli AI, la sicurezza dei modelli utilizzando una combinazione di scansione dei pipeline di sviluppo per vulnerabilità, l'imposizione di policy e controllo degli accessi per l'uso dell'IA e la sicurezza del suo utilizzo contro attacchi basati su modelli AI in diretta.

Sicurezza del pipeline AI

Lunedì, il team di sicurezza offensiva X-Force Red di IBM ha lanciato un servizio di test di intelligenza artificiale che mira a valutare le applicazioni AI, i modelli AI e i pipeline MLSecOps attraverso il red teaming. Mercoledì alla RSA Conference 2024, IBM presenterà “Innovate Now, Secure Later? Decisions, Decision…” sulla sicurezza e sull'istituzione della governance per il pipeline AI.

Il secondo relatore era Ryan Dougherty, il direttore del programma per la tecnologia della sicurezza presso IBM Security. Parlando con TechTarget Editorial, ha detto che proteggere l'IA fin dall'inizio è una delle principali preoccupazioni per IBM Security nello spazio tecnologico. Ha detto: “È questo che rende questa area così critica, in particolare per il caso dell'IA generativa: si sta integrando profondamente nelle applicazioni e nei processi aziendali. L'integrazione nel tessuto aziendale la eleva al di sopra e oltre i potenziali rischi e minacce.”

Secondo lui, da una prospettiva aziendale, l'IA deve avere una base nella sua natura reale.

«L'IA generativa viene addestrata e implementata su vasti archivi di dati aziendali sensibili, e dobbiamo proteggere questi nuovi gioielli di valore, poiché è lì che risiede il vantaggio competitivo. Si tratta dei dati posseduti da queste organizzazioni e delle informazioni che ottengono utilizzando l'IA generativa, mettendole a disposizione nelle loro applicazioni per migliorare le proprie attività»

Dougherty ha aggiunto che stanno spendendo molto denaro per i modelli, che sono estremamente costosi. Un grande investimento di proprietà intellettuale e capitale viene impiegato per implementare queste applicazioni di IA generativa, e le aziende non possono semplicemente permettersi di non proteggerle adeguatamente.