卡巴斯基專家與外部專家合作，制定了一些安全合法使用 AI 的關鍵指南。
人工智慧的安全實施與風險管理指南
如今，每兩家公司中就有一家已經使用人工智慧（AI）技術，預計在未來兩年內，另有 33% 的商業組織將加入這一行列。AI 將以各種形式成為無所不在的技術。採用 AI 的經濟效益包括提高客戶滿意度與直接推動收入增長。隨著企業加深對 AI 系統優勢與劣勢的理解，其效能將不斷提升。然而，AI 帶來的風險已顯而易見，且需要積極地解決。
早期的 AI 應用案例表明，錯誤可能帶來高昂的代價，影響不僅限於財務損失，還包括聲譽受損、客戶關係破裂、甚至危及患者健康等。在自動駕駛車輛等網絡物理系統中，安全問題尤為關鍵。
與前幾代技術相似，如果事後才補救安全措施，將會成本高昂，甚至無法實現。例如，僅 2023 年全球因網絡犯罪造成的經濟損失就高達 8 兆美元。在此背景下，聲稱掌握 21 世紀技術領導權的國家正爭相建立 AI 規範，例如中國的《AI 安全治理框架》、歐盟的《AI 法案》以及美國的《AI 行政命令》。然而，法律通常不會明確說明技術細節或實際操作建議——這並非其目的。因此，為了落實如可靠性、倫理性與 AI 決策問責制等法規要求，需提供具體且可執行的指導方針。
——————————————————————-
為協助從業者在今日實現 AI 的安全應用並確保未來的安全性，Kaspersky 聯合多位專家開發了一套建議，包括聯合國網絡治理論壇 AI 政策網絡成員 Allison Wylde、阿聯酋穆罕默德·本·拉希德政府學院的創新與技術治理教授 Melodena Stephens 及西班牙阿拉貢技術研究所創新項目經理 Sergio Mayo Macías。該文件於第 19 屆聯合國網絡治理論壇 (IGF) 的「AI 網絡安全：平衡創新與風險」座談會中發表，並與全球 AI 政策制定者討論。
採用文件中的實踐將幫助 DevOps 和 MLOps 專家實現在 AI 系統生命周期各階段的高安全性。這些建議需根據不同 AI 應用與部署模式進行調整。
需要關注的風險
AI 的多樣化應用要求組織應對各種風險：
不使用 AI 的風險
這或許聽起來有趣，但只有比較採用 AI 的潛在收益與損失，公司才能全面評估其他風險。
不符合法規的風險
AI 法規快速發展，這是一項需要經常重新評估的動態風險。除 AI 專屬法規外，還需考慮如個人數據處理法規違規等相關風險。
ESG 風險
包括 AI 應用的社會與倫理風險、敏感資訊洩露風險，以及對環境的影響。
AI 服務被用戶誤用的風險
從惡作劇情境到惡意活動，均需考量。
AI 模型與訓練數據的威脅
包括 AI 實施導致的公司服務風險，以及服務處理數據的相關威脅。
後三類風險涵蓋了典型的網絡安全威脅，例如存取控制、分段管理、漏洞與修補管理、監控與應對系統的建立，以及供應鏈安全等。
AI 安全實施的主要方面
為安全實施 AI，企業需採取組織性與技術性措施，包括員工培訓、定期合規性審計、以樣本數據測試 AI 及系統性處理軟體漏洞等。這些措施可歸納為八大類：
每項 AI 服務的威脅建模
員工培訓
不僅需要教授 AI 使用的一般規則，還需使業務相關者了解使用 AI 的特定風險及其管理工具。
基礎設施安全
涉及身份安全、事件記錄、網絡分段與 XDR。
供應鏈安全
僅從受信任與驗證的來源以安全格式下載模型與工具。
測試與驗證
評估 AI 模型是否符合行業最佳實踐，並能有效處理企業特定的業務數據。
漏洞處理
建立處理外部檢測漏洞的流程，並提供用戶反饋機制，處理如非代表性數據訓練導致的系統偏差。
針對 AI 模型的特定威脅防護
包括對抗惡意查詢、訓練數據污染等攻擊。
更新與維護
構建流程，優先修復漏洞，並應對庫與模型快速演進帶來的兼容性問題。
資料來源 : https://www.kaspersky.com/blog/ai-safe-deployment-guidelines/52789/