NCSC Anh cảnh báo rủi ro bảo mật từ 'shadow AI' khi nhân viên dùng công cụ AI chưa được phê duyệt
Trung tâm An ninh mạng Quốc gia Anh (NCSC) vừa đăng một bài blog cảnh báo về 'shadow AI', tức việc nhân viên dùng các công cụ AI mà công ty chưa phê duyệt. Bài viết dẫn một nghiên cứu cho thấy 71% nhân viên cho biết đã dùng công cụ AI chưa được nơi làm việc chấp thuận, thường vì chính sách của tổ chức chưa theo kịp công nghệ và chưa đáp ứng nhu cầu công việc. NCSC nêu ba rủi ro chính: dữ liệu nhạy cảm của công ty hoặc khách hàng bị lộ; tổ chức mất khả năng kiểm soát và theo dõi dữ liệu đưa vào các dịch vụ AI dành cho người dùng cá nhân (có thể lưu trữ hoặc dùng để cải thiện dịch vụ); và kẻ tấn công khai thác lỗ hổng của các AI agent để có cùng quyền truy cập dữ liệu và dịch vụ như agent đó. NCSC không khuyên mọi người ngừng dùng AI, nhưng đề nghị nhân viên cân nhắc kỹ dịch vụ nào đang dùng trước khi chia sẻ dữ liệu công việc. Với tổ chức, NCSC cho rằng shadow AI khó biến mất hoàn toàn nên mục tiêu là giảm rủi ro: xây dựng văn hoá an ninh mạng tích cực để nhân viên cởi mở trao đổi, tìm hiểu lý do họ dùng công cụ chưa duyệt, cung cấp phương án thay thế an toàn và làm theo hướng dẫn về việc triển khai AI agent (AI có thể tự thực hiện hành động) một cách thận trọng. Trên thực tế, doanh nghiệp muốn tránh rò rỉ dữ liệu cần trang bị cho nhân viên công cụ AI được phê duyệt thay vì chỉ cấm.
Nếu bạn dùng ChatGPT hay các công cụ AI cá nhân cho công việc, hãy kiểm tra xem công ty có cho phép không trước khi đưa dữ liệu nội bộ hoặc của khách hàng vào. Doanh nghiệp nên cung cấp công cụ AI được phê duyệt và lắng nghe nhu cầu nhân viên thay vì chỉ cấm.
Đọc bài gốc