Μέχρι τώρα, είτε είστε ήδη βυθισμένοι στον κόσμο της Τεχνητής Νοημοσύνης (ΑΙ), είτε προσπαθείτε να κατανοήσετε πώς εφαρμόζεται στην εργασία σας.

Εξίσου σημαντικό, όμως, είναι να κατανοήσετε και τους πιθανούς κινδύνους και τις απειλές που αυτή ενέχει· περισσότερα γι’ αυτό σε λίγο.

Ακολουθεί ένα παράδειγμα για το πώς μπορεί ένα εργαλείο ΑΙ να ξεγελάσει μια ομάδα.

Όταν το GPT κοροϊδεύει τον άνθρωπο

Σε άρθρο με τίτλο “GPT-4 Fools Human Into Solving CAPTCHA” του Shaheer Shahzad, το οποίο δημοσιεύτηκε στις 18 Μαρτίου 2023 παρουσιάζεται το πόσο ευφυές μπορεί να είναι ένα εργαλείο ΑΙ και γιατί τα συνηθισμένα μέτρα ασφαλείας ενδέχεται να αποτύχουν να προστατεύσουν έγγραφα ή πόρους.

Το άρθρο περιγράφει τη δοκιμή του εργαλείου ΑΙ… το οποίο κατάφερε να ξεγελάσει έναν άνθρωπο ώστε να ολοκληρώσει έναν κωδικό CAPTCHA μέσω μηνύματος κειμένου. Το μήνυμα ζητούσε ουσιαστικά από τον άνθρωπο να ολοκληρώσει τη διαδικασία, υποστηρίζοντας ότι (το εργαλείο ΑΙ που παρίστανε τον άνθρωπο) είχε πολύ κακή όραση. Αυτό μπορεί να φαίνεται σαν μικρό κατόρθωμα, αλλά αποτελεί ένα τρομακτικό παράδειγμα αλγορίθμου που καταφέρνει να ξεφύγει από τον ανθρώπινο έλεγχο.

Όπως γνωρίζουμε, η ασφάλεια σχετίζεται με τους «ελέγχους»· και αν δεν μπορείς να ελέγξεις κάτι, τότε δεν το κατέχεις πλέον.

Μία από τις διαδικασίες που μπορεί να χρησιμοποιηθεί για να διασφαλιστεί η «ασφάλεια» είναι να δοκιμάζεται το εργαλείο ΑΙ και/ή να υποβάλλεται σε μια σειρά ερωτήσεων από την ομάδα, σχετικά με τον Κίνδυνο και την Απειλή που ενδέχεται να προκαλεί. Αυτό μπορεί να λάβει τη μορφή ελέγχου ασφάλειας, εξετάζοντας κάθε επίπεδο δυνατοτήτων και κατόπιν εκτιμώντας τον κίνδυνο. Χωρίς αυτού του είδους την αξιολόγηση, μπορεί να διαπιστώσετε ότι το εργαλείο ΑΙ είναι εκείνο που ελέγχει την κατάσταση — κάτι που, στην καλύτερη περίπτωση, συνιστά σοβαρό κίνδυνο για το έργο σας.

Αρχίζουμε πλέον να διακρίνουμε καθαρότερα την πιθανότητα εμφάνισης προβλήματος. Είναι κρίσιμο να «μιλάμε την ίδια γλώσσα» όταν αναφερόμαστε σε κίνδυνο, απειλή και ευπάθεια.

• Μια ευπάθεια εκθέτει τον οργανισμό σας σε απειλές.
• Μια απειλή είναι ένα κακόβουλο ή αρνητικό γεγονός που εκμεταλλεύεται την ευπάθεια.
• Ο κίνδυνος είναι η πιθανότητα απώλειας ή ζημίας όταν η απειλή πραγματοποιηθεί.

Η κατανόηση αυτών των όρων είναι απαραίτητη όταν συντάσσετε μια αναφορά για να εξηγήσετε τι εντοπίσατε· άλλα μέλη της τεχνικής σας ομάδας ίσως έχουν ήδη τη λύση.

Η θεωρία του «Μαύρου Κύκνου»

Υπάρχει επίσης και η έννοια του «Μαύρου Κύκνου» (Black Swan). Σύμφωνα με τη θεωρία του Nassim Nicholas Taleb, πρόκειται για ένα εξαιρετικά απίθανο γεγονός με τεράστιο αντίκτυπο, το οποίο συχνά εξηγείται εκ των υστέρων. Ο όρος προήλθε από την λανθασμένη πεποίθηση ότι οι μαύροι κύκνοι δεν υπήρχαν, μέχρι που ανακαλύφθηκαν στην Αυστραλία. Στην ουσία, αναφέρεται σε απρόσμενους εξωγενείς παράγοντες που δεν μπορούν να προβλεφθούν και που αλλάζουν ριζικά την πορεία των γεγονότων.

Ένα «απρόβλεπτο αποτέλεσμα» μπορεί να μοιάζει με γεγονός Μαύρου Κύκνου, ειδικά αν είναι απροσδόκητο, έχει τεράστιο αντίκτυπο και δικαιολογείται εκ των υστέρων με τη βοήθεια της αναδρομικής ματιάς. Στο παράδειγμά μας, το εργαλείο ΑΙ κατάφερε να παρακάμψει το υφιστάμενο μέτρο ασφαλείας, και αυτή η λύση ήταν απρόβλεπτη.

Το εργαλείο ΑΙ κατάφερε να παρακάμψει το υφιστάμενο μέτρο ασφαλείας, και αυτή η λύση ήταν απρόβλεπτη.

Η προσεκτική μελέτη ενός εργαλείου ΑΙ ώστε να αφαιρεθούν τα «απρόβλεπτα αποτελέσματα» απαιτεί ενδελεχή ανασκόπηση των δυνατοτήτων του. Αυτό πιθανόν να χρειαστεί τη συνεργασία επαγγελματία Κυβερνοασφάλειας με την ομάδα ανάπτυξης λογισμικού ΑΙ, ώστε να εξασφαλιστεί ότι το εργαλείο θα παραμείνει εντός των ορίων ελέγχου.

Ένα όριο ελέγχου περικλείει την αλληλεπίδραση με εξωτερικούς παράγοντες (χρήστες ή εξωτερικά συστήματα). Ένας έλεγχος διασφαλίζει την επεξεργασία που απαιτείται για την εκτέλεση μιας περίπτωσης χρήσης και της επιχειρησιακής της λογικής, ενώ συντονίζει και καθοδηγεί τα υπόλοιπα αντικείμενα που συμμετέχουν. Τα όρια ελέγχου στο λογισμικό είναι κρίσιμα για τη διαχείριση της πολυπλοκότητας, τη συντήρηση και την ενίσχυση της ασφάλειας στην ανάπτυξη λογισμικού. Ορίζουν σαφή διαχωρισμό μεταξύ διαφορετικών τμημάτων του συστήματος, επιτρέποντας την ανεξάρτητη ανάπτυξη, εγκατάσταση και δοκιμή. Έτσι μειώνεται η αλληλεξάρτηση, βελτιώνεται η ευελιξία και ελαχιστοποιείται ο κίνδυνος αλυσιδωτών αποτυχιών.

Στο πλαίσιο της «δοκιμής» ώστε να διασφαλιστεί ότι το εργαλείο ΑΙ θα λειτουργεί όπως έχει προβλεφθεί και δεν θα ενεργήσει ανεξέλεγκτα, θα το τοποθετήσουμε σε ένα “sandbox”. Ένα sandbox λογισμικού είναι ένα ελεγχόμενο, απομονωμένο περιβάλλον που χρησιμοποιείται για τη δοκιμή ή την εκτέλεση δυνητικά επικίνδυνου λογισμικού, κώδικα ή αρχείων, χωρίς να επηρεάζεται το κύριο σύστημα ή το δίκτυο. Πρόκειται για έναν εικονικό «χώρο παιχνιδιού» όπου οι εφαρμογές μπορούν να δοκιμαστούν, να αναλυθούν ή ακόμη και να μολυνθούν με κακόβουλο λογισμικό χωρίς να προκληθεί βλάβη στο κύριο σύστημα.

Μια ακόμη σημαντική παράμετρος είναι κατά πόσο το εργαλείο ΑΙ θα χρησιμοποιείται και θα δοκιμάζεται υπό το κανονιστικό πλαίσιο, όπως το GDPR, ο SOX, ή άλλες ρυθμιστικές προδιαγραφές.

(Αναζητήστε το Μέρος Β’ στην επόμενη έκδοση.)

Mr. Tselendis possesses the following professional certifications.

CISM, CDPSE, CDPP, SCCP, CTMA