隨著企業加快人工智慧專案投入生產，安全團隊越來越被迫進入被動應對模式。你是否曾在社交、學術或商務場合中被突如其來的提問、評論或言論弄得措手不及？很可能你經歷過，而且你或許也希望自己能有更多時間準備更恰當、更得體或更機智的回應。你沒有時間進行策略性思考，只能倉促應對。不出所料，結果往往差強人意。

如果我們退後一步，仔細思考這個概念，就能從中汲取一個重要的安全教訓。安全組織只有有機會採取策略性行動，而不是被動應對，才能更好地保護其所守護的企業。就應用安全性而言，這意味著需要在軟體開發生命週期的早期階段就讓安全團隊參與進來，並將安全機制融入其中。

近年來，大多數安全從業人員都在密切關注人工智慧的熱潮。的確，人工智慧的爆發式發展帶來了許多關於治理、風險和合規性的懸而未決的問題。儘管安全從業人員從戰略層面和審慎地考慮了這些問題，但他們仍然感到困惑：既然人工智慧如此熱門，為什麼在實際操作中卻沒有對他們的工作產生太大影響？

最近，造成這種情況的一個原因逐漸明朗。不幸的是，正如我們在安全領域早已熟知的那樣，在許多情況下，安全似乎都被忽視了。雖然也有例外，但在許多企業中，安全團隊並未與應用程式擁有者、開發團隊以及其他參與人工智慧應用案例試驗的人員進行溝通。不出所料，當其中一些人工智慧應用案例展現出價值時，企業便開始將這些案例部署到生產環境中。近幾個月來，這種情況比以往任何時候都更加普遍，而安全團隊往往對此毫不知情。

如上所述，措手不及絕非理想狀態。然而不幸的是，這似乎已成為我們安全領域的常態。有鑑於此，安全團隊該如何做好準備，應對那些投入生產環境且需要緊急加固的人工智慧應用可能帶來的措手不及的情況呢？雖然方法可能有很多，但我發現以下幾種方法對企業很有幫助：

✔  數據驅動的討論：大多數安全團隊與應用程式擁有者和開發團隊的關係並不像他們希望的那樣良好。他們也知道，改善這種關係是讓安全團隊更早參與軟體開發生命週期中的重要部分。然而，要改善這種關係並非易事。

雖然有很多方法可以應對這項挑戰，但利用真實數據來驅動數據驅動的討論會有所幫助。如果只是用一些關於風險和泛泛威脅資料的深奧概念來與應用程式擁有者和開發團隊溝通，並不能激發他們的積極性。相反，應該嘗試用具體的數字來說明潛在的經濟損失、品牌聲譽損害或其他風險，以及具體的漏洞資料、敏感資料外洩或其他威脅。

這樣做更有可能促成富有成效的討論，從而為改善這些重要的關係鋪平道路。這有助於安全團隊更早參與人工智慧應用程式的軟體開發生命週期中，這顯然有助於保護這些應用程式的安全。

✔  敏捷性：現代企業環境遠比以往複雜許多，這已是個公開的秘密。與現今的混合雲和多雲環境相比，本地部署環境相對簡單。雖然這種演變帶來了許多優勢，最顯著的是能夠更快地將功能和改進推向市場，但也帶來了許多安全挑戰。

這些挑戰包括：執行安全策略、實施預防性和偵測性控制措施、調查已發生的事件以及回應和緩解這些事件等等。所有這些因素都使得保護那些出乎我們意料的人工智慧應用變得更加困難。安全敏捷性是關鍵所在——不幸的是，安全團隊需要做好準備，並調整自身以適應這種環境。在保護人工智慧應用方面，簡化複雜性是不可或缺的工具。

✔  營運工作流程：如果安全營運工作流程夠穩健且成熟，就能更輕鬆地整合來自人工智慧應用的新資料、事件、警報和其他資訊。正如您所想，這將極大地幫助安全團隊快速將人工智慧應用及其相關數據整合到營運工作流程中。確保安全營運工作流程為人工智慧時代做好準備可能需要一些努力和資源，但這絕對值得投入。這也是安全組織為因應人工智慧應用突然湧現做好準備的另一種方式。

✔  面向未來：儘管人工智慧領域充斥著各種炒作、熱議和擔憂，但我們仍需謹記，雖然人工智慧應用包含一些人工智慧特有的元件，但這些應用的大部分都是建構在現有應用和API技術堆疊之上的。正因如此，我們保護人工智慧應用所需的大部分安全措施實際上已經存在於現有的應用程式和API安全堆疊中。

我們需要做的是確保這些技術堆疊盡可能地面向未來。如果我們能正確做到這一點，那麼我們就可以輕鬆地「啟用」或整合現有安全層尚未提供的、針對人工智慧層的新安全措施。這一點至關重要——從零開始建立人工智慧安全機制耗時過長，尤其是當我們處於被動應對狀態時。

✔  主動性：對於我們的牙齒、健康和身體而言，主動維護良好的衛生習慣遠比遇到問題後被動應對要容易得多，也更有效。保護應用程式也是如此。良好的安全習慣必不可少，而持續掃描應用程式安全性、API 安全性和 AI 安全層是其中的重要組成部分。這使我們能夠在風險、漏洞、敏感資料外洩和其他問題演變成更嚴重的問題之前，識別並緩解它們。

當擁有強大且成熟的主動安全習慣時，將新興的、快速發展的 AI 應用程式整合到該習慣中會容易得多。這是幫助安全團隊應對突如其來的 AI 應用程式部署的另一個重要技巧。

✔  脈絡感知：上文我提到，人工智慧層需要獨特的安全能力，遠超過應用層和API層現有的安全能力。除了持續主動地識別安全問題外，我們還必須做好準備，識別並應對運行時安全問題，這需要極強的上下文感知能力。

這需要專門的技術能力，能夠解析、分析和理解上下文中的人工智慧層，並利用這種理解近乎即時地識別攻擊、濫用、詐欺、DDoS攻擊和其他問題。這種情境感知能力對於安全團隊至關重要，因為他們常常需要在短時間內應對人工智慧應用。否則，他們將缺乏防禦人工智慧層攻擊所需的關鍵資源。

人工智慧應用從實驗階段過渡到生產階段，必然會讓安全團隊措手不及。安全機構可以採取多種措施來提升應對此類情況的準備程度。雖然現狀遠非理想，但透過一些重要的策略步驟，安全團隊可以顯著提高快速、敏捷和適當的回應能力。

資料來源：https://www.securityweek.com/caught-off-guard-securing-ai-after-it-hits-production/