Kritinė praraja rinkoje: DI inovacijos dramatiškai lenkia kibernetinio saugumo pamatą

Sparčiai besivystanti dirbtinio intelekto (DI) ekosistema šiuo metu išgyvena intensyvų transformacijos etapą, tačiau technologinė pažanga kuria pavojingą atotrūkį saugumo srityje. Naujausias rizikos valdymo bendrovės Kroll atliktas tyrimas atskleidžia, kad organizacijų skubėjimas diegti pažangius sprendimus visiškai nustumia į šalį pamatines kibernetinės apsaugos priemones. Rinkos analizė rodo, kad net 76 % įmonių per pastaruosius 12 mėnesių jau susidūrė su saugumo incidentais, tiesiogiai susijusiais su DI programų naudojimu. Ši statistika indikuoja sisteminę krizę, kuomet verslo lūkesčiai ir inovacijų tempas pralenkia realius gebėjimus suvaldyti kylančias grėsmes.

Ekspertų vertinimu, didžiausias dabartinis iššūkis rinkoje yra vadinamojo autonominio DI (angl. agentic AI) plėtra, kuri staigiai išplėtė įmonių puolimo paviršių. Organizacijos, siekdamos konkurencinio pranašumo, integruoja šiuos įrankius neturėdamos tam pritaikytos saugios architektūros, tapatybės valdymo ar incidentų valdymo protokolų. Paradoksalu, tačiau net 48 % tyrime dalyvavusių įmonių pripažino, kad jų vidinėse struktūrose DI įrankių ir paslaugų priėmimas praktiškai nėra reglamentuojamas jokiais vidinės valdysenos principais. Toks masinis „aklasis diegimas“ sukuria milžiniškas spragas, kurias piktavaliai aktyviai išnaudoja automatizuotoms atakoms ir duomenų nutekinimui.

Šis disbalansas reikalauja esminio strateginio posūkio korporaciniame lygmenyje, kur saugumas privalo būti suvokiamas ne kaip inovacijas stabdantis faktorius, o kaip tvarios plėtros pagrindas. Kroll Research duomenys patvirtina tiesioginę priklausomybę tarp kibernetinės brandos ir saugumo stabilumo: net 46 % itin aukšto kibernetinio pasirengimo organizacijų sugebėjo visiškai išvengti su DI susijusių incidentų per pastaruosius dvejus metus. Tai įrodo, kad brandi saugumo kultūra ir griežtas prieigos teisių ribojimas yra vienintelė efektyvi atsvara augančioms grėsmėms.

Autonominių agentų keliama rizika prieigos valdymui

Didėjanti autonominių DI agentų integracija į vidines įmonių duomenų saugyklas kuria naujus, sunkiai kontroliuojamus prieigos kanalus. Tyrimai rodo, kad tokie agentai dažnai gauna kur kas platesnes teises manipuliuoti konfidencialia informacija nei jiems realiai reikalinga atlikti užduotis. Nesant vieningo centralizuoto politikos valdymo sluoksnio, tradicinės tapatybės ir prieigos valdymo (IAM) sistemos nesugeba efektyviai monitoruoti DI priimamų sprendimų ir inicijuojamų užklausų, todėl verslas rizikuoja prarasti kritinių intelektinių išteklių kontrolę.

Strateginis reikalavimas: Valdysenos ir inovacijų balansas

Norėdamos išbristi iš gilėjančios „saugumo skolos“, įmonės privalo skubiai integruoti rizikos vertinimu grįstus patvirtinimo procesus, kurie leistų diferencijuoti užklausas pagal jų pavojingumo lygį. Ateities rinkos lyderiais taps ne tie, kurie greičiausiai įdiegs naujausius modelius, o tie, kurie sugebės užtikrinti veiklos atsparumą pagal griežtėjančius globalius reguliavimo standartus. Investicijos į DI sprendimus privalo būti tiesiogiai sinchronizuojamos su proporcingu kibernetinio saugumo biudžeto didinimu, orientuojantis į nuolatinį darbuotojų švietimą ir automatizuotą grėsmių aptikimą.

Užkulisių realybė: prarasta šešėlinio IT kontrolė ir valdysenos fikcija

Nors technologijų vadovai viešai deklaruoja kontroliuojantys skaitmeninę transformaciją, tikroji padėtis įmonių viduje primena masinį chaosą. Didžiausias iššūkis kyla ne dėl oficialiai patvirtintų projektų, o dėl vadinamojo „šešėlinio DI“ (angl. Shadow AI), kai darbuotojai savo iniciatyva naudoja išorinius, nesaugius įrankius kasdienėms užduotims spartinti. Toks nekontroliuojamas informacijos srautas reiškia, kad į viešuosius didžiuosius kalbos modelius kasdien nuteka konfidencialūs klientų duomenys, finansinės ataskaitos ir intelektinė nuosavybė, o saugumo komandos apie tai sužino tik įvykus incidentui.

Istorinis kontekstas rodo, kad rinka kartoja tas pačias klaidas, kurios buvo padarytos prieš dešimtmetį, prasidėjus masiniam perėjimui prie debesų kompiuterijos. Tuo metu saugumo architektūra taip pat beviltiškai nespėjo paskui verslo poreikius, tačiau DI bumas šią problemą multiplikavo dešimteriopai dėl technologijos autonomiškumo ir gebėjimo pačiai generuoti kodą bei priimti sprendimus. Saugumo vadovai (CISO) dabar susiduria su milžinišku valdybų spaudimu nestabdyti inovacijų, todėl yra priversti eiti į kompromisus, kurie tiesiogiai pažeidžia bazines rizikos valdymo taisykles.

Žvelgiant iš rizikos kapitalo ir investuotojų perspektyvos, iki šiol pagrindinis finansavimo variklis buvo produkto pateikimo rinkai greitis (angl. time-to-market) ir vartotojų skaičiaus augimas, o saugumo auditai buvo vertinami kaip antraeilis formalumas. Šis požiūris pradeda keistis tik dabar, kai draudimo bendrovės drastiškai griežtina kibernetinių rizikų polisų sąlygas ir reikalauja išsamių DI sistemų atsparumo įrodymų. Įmonės greitai supras, kad nesaugus dirbtinis intelektas tampa ne turtu, o finansine našta, galinčia lemti milijonines baudas ir negrįžtamą reputacijos praradimą.

Galiausiai, sprendžiant šią prarają, technologijų pramonė privalo atsisakyti iliuzijos, kad tradiciniai perimetro saugumo įrankiai gali apsaugoti dinamišką DI aplinką. Reikalingas visiškas požiūrio pakeitimas, orientuotas į duomenų kilmės sekimą, nuolatinį modelių elgsenos auditą ir griežtą nulinio pasitikėjimo (angl. Zero Trust) modelio taikymą kiekvienam autonominiam agentui. Tik suderinus teisinį reguliavimą su praktiniu technologiniu pasirengimu bus įmanoma sukurti aplinką, kurioje inovacijos nekelia grėsmės pačiam verslo išlikimui.

Skeptiko žvilgsnis: inovacijos be pamato ir audito iliuzija

Žvelgiant giliau į skaičius: dabartinis rinkos entuziazmas dėl dirbtinio intelekto primena bandymą statyti dangoraižį ant smėlio pamatų. Technologijų milžinės ir startuoliai lenktyniauja pristatydami vis autonomiškesnius modelius, tačiau saugumo užtikrinimas paliekamas pačių vartotojų atsakomybei. Didžiausias paradoksas yra tai, kad įmonės, deklaruojančios nulinę toleranciją duomenų nutekėjimui, tuo pat metu skatina darbuotojus naudoti trečiųjų šalių DI asistentus, tikėdamiesi mistinio produktyvumo šuolio. Tai sukuria visišką struktūrinį prieštaravimą tarp deklaruojamos rizikos valdymo politikos ir realių kasdienių verslo praktikų.

Daugelis organizacijų naiviai tikisi, kad tradiciniai atitikties auditai ar ISO sertifikatai automatiškai apsaugo jas nuo naujos kartos grėsmių. Vis dėlto dabartiniai reguliavimo rėmai ir statiniai saugumo vertinimai yra tiesiog nepritaikyti dinamiškiems, nuolat besimokantiems algoritmams. Modelio elgsena gali pasikeisti po minimalaus duomenų atnaujinimo, o tai reiškia, kad vakar atliktas auditas šiandien jau neturi jokios praktinės vertės. Šis reguliacinis vėlavimas sukuria klaidingą saugumo jausmą, už kurio slepiasi visiškas nepasiruošimas tikslinėms manipuliavimo duomenimis (angl. data poisoning) atakoms.

Ilgalaikės šio disbalanso pasekmės rinkai bus skausmingos, bet dėsningos. Tikėtina, kad artimiausiais metais pamatysime pirmąsias stambias įmonių griūtis, kurias sukels ne klasikiniai programišių įsilaužimai, o nekontroliuojamų DI agentų priimti klaidingi ar kompromituojantys strateginiai sprendimai. Kol rinka nepradės vertinti DI saugumo architektūros kaip pirminės investicijos, o ne kaip vėliau pridedamo priedo, tol kiekviena nauja inovacijų banga tik didins globalią kibernetinę skolą, kurios palūkanas anksčiau ar vėliau teks sumokėti visiems.

„Šiuolaikinis verslas elgiasi lyg vairuotojas, kuris džiaugsmingai spaudžia akceleratorių iki dugno vien todėl, kad automobilis turi gražų ekraną, visiškai pamiršęs patikrinti, ar gamintojas išvis įdėjo stabdžius.“

Vyr. redaktorius Artūras Malašauskas, DI sistemų integratorius, sukaupęs daugiau nei 20 metų patirties kuriant gamybinio lygio žiniatinklio inžinerijos sprendimus. Jis projektavo, diegė ir plėtė verslo klasės „Python“/„PHP“ sistemas logistikos, SaaS bei viešojo sektoriaus klientams. Pastaruosius metus jis specializuojasi išskirtinai DI integracijų srityje: diegia atvirojo kodo didžiuosius kalbos modelius (LLM), kuria generatyvinių medijų (vaizdo, garso, video) srautus bei projektuoja daugiagentines darbo eigas realioms gamybinėms aplinkoms. Jo standartas: atkuriamumas, saugumas ir ekonomiškai efektyvi išvestis – jokio „vaporware“. Artūras dokumentuoja bei vertina naujus DI įrankius, atskirdamas patvirtintas galimybes nuo rinkodarinio triukšmo. Techninis redaktorius svetainėse: ai-naujienos.lt, ai-verslas.lt, muza-ai.eu. Susisiekite per „LinkedIn“.