DeepSeek се утвърди като мощно и популярно приложение за генеративен изкуствен интелект, което стимулира иновациите, като същевременно повдига опасения за сигурността и поверителността. Тази статия разглежда свързаните с него рискове за сигурността, въздействието върху предприятията и... стратегии организациите могат да предприемат, за да смекчат заплахите и да осигурят безопасно, продуктивно и отговорно използване.
Какво е DeepSeek и защо поражда опасения за сигурността?
DeepSeek е популярно приложение за GenAI и LLM, стартирано през януари 2025 г. от китайска компания, която също е известна с името DeepSeek. (За разлика от приложението ChatGPT, пуснато от компанията OpenAI). Подобно на ChatGPT, приложението DeepSeek GenAI работи като чатбот и предлага съдържание на потребителите, които го задават на естествен език.
DeepSeek привлече значително обществено внимание, тъй като постигна напреднали технологични възможности, подобни на предлаганите от ChatGPT, Gemini, Claude и други популярни приложения на GenAI. Въпреки това, той постигна това със значително по-ниски разходи за обучение и използвайки приблизително една десета от компютърната мощност. Това значително нарушава конкурентния пейзаж на GenAI и има и макрополитически последици.
Подобно на други приложения на GenAI, DeepSeek създава рискове за сигурността в организациите. Това включва необходимостта да се гарантира, че служителите не излагат чувствителни данни, да се гарантира, че резултатите от DeepSeek (като фрагменти от код) не съдържат уязвимости или зловреден софтуер, и да се осигури сигурно внедряване, ако моделът се разгръща локално.
Освен това, политиката на DeepSeek за „отворено тегло“ (за разлика от „отворен код“, за който DeepSeek често се бърка), означава, че организациите трябва да гарантират, че всяко внедрено използване на параметри в техните среди също е сигурно.
В тази статия ще се съсредоточим върху ключовите рискове, пред които са изправени предприятията, свързани със сигурността на данните и неволното излагане на чувствителни данни в приложението DeepSeel.
Основните рискове за поверителността и сигурността на DeepSeek
DeepSeek, подобно на много други модели на GenAI, представлява значителни предизвикателства за сигурността и поверителността за предприятията. Въпреки че технологичният му характер насърчава иновациите и достъпността, той също така носи значителни рискове, когато е свързан с чувствителна информация. По-долу разглеждаме основните уязвимости и рисковете за поверителността на DeepSeek и тяхното въздействие върху предприятията.
1. Извличане на данни
Когато служителите поставят или въвеждат корпоративни данни в DeepSeek, те могат неволно да доведат до разкриване на чувствителни корпоративни данни. Ако DeepSeek е обучен или прецизиран въз основа на потребителски подкани, тогава тези данни могат да бъдат вградени в модела и неволно разкрити в бъдещи резултати.
Това означава, че чувствителни данни, споделени с DeepSeek (напр. поверителни бизнес стратегии, записи на клиенти, изходен код или информация за клиенти), могат да станат достъпни за непредвидени страни, независимо дали са конкуренти или противници.
2. Липса на съответствие и управление
DeepSeek, подобно на други приложения за генеративен изкуствен интелект, не разполага с вградени контроли за съответствие. Това затруднява предприятията да съобразят използването му с регулаторни рамки като GDPR, CCPA, HIPAA и SOC 2. Потребителите не знаят кои данни се съхраняват, за колко време, при какви обстоятелства и за какви цели.
Това означава, че споделянето на регулирани данни с DeepSeek означава, че те могат да бъдат съхранявани на нерегулирани международни сървъри, използвани за неодобрена употреба и споделяни със забранени страни.
3. Злонамерени разширения на браузъра
Някои реализации на DeepSeek, като например злонамерен DeepSeek разширение на браузъра, може несъзнателно да събира, съхранява или предава информация за браузъра без адекватни предпазни мерки. Известно е, че злонамерените разширения на браузъра използват прекомерни разрешения за събиране на идентификационни данни, отвличане на сесии и събиране на данни. Те могат да бъдат използвани за проникване в браузъра (и следователно в корпоративните мрежи), фишинг атаки или извличане на чувствителна информация.
4. Сянка на изкуствения интелект
Ако служителите използват DeepSeek без ИТ надзор, ИТ отделът не може да управлява и наблюдава употребата. Това фрагментира ИТ управлението, което означава, че ИТ отделът не може да се справи с рисковете за сигурността, проблемите със съответствието и опасенията за излагане на данни, обсъдени по-горе. Те не могат да внедрят политики, да обучават служители или да въведат контроли за сигурност, просто защото не са наясно с риска. Това допълнително увеличава опасността, правейки организацията изключително уязвима.
Въздействието на рисковете за сигурността на DeepSeek върху предприятията
Как гореспоменатите рискове влияят на сигурността на корпоративния изкуствен интелект?
Разкриване на поверителна информация
Изтичането на данни от поверителни документи, кодови бази или стратегически планове, които се въвеждат в модела или са неволно разкрити чрез генерирани от изкуствен интелект резултати, означава, че конкуренти или злонамерени лица могат да получат достъп до критична бизнес информация. Това може да има значителни правни и бизнес последици.
Потенциално въздействие върху предприятията
- Загуба на конкурентно предимство чрез разкриване на уникални бизнес стратегии, алгоритми или продуктови чертежи.
- Рансъмуер от хакери, заплашващи да споделят чувствителни данни
- Съдебни дела от клиенти, чиято лична информация е била разкрита
Регулаторни глоби и правни последици
Липсата на контрол върху това кои данни се споделят с DeepSeek и как тези данни се съхраняват и обработват, затруднява предприятията да гарантират спазването на законите за защита на данните, като GDPR, CCPA, HIPAA и специфични за индустрията разпоредби (напр. SOX, PCI DSS, NIST 800-53).
Потенциално въздействие на рисковете от съответствие върху предприятията
- Нарушения на поверителността
- Неуспехи в одита
- Глоби
- Правни последици
Заплахи за оперативната сигурност
Ако нападателите използват злонамерени разширения на браузъра, те могат да получат достъп до вътрешни системи и да напредват странично в мрежата, което е киберсигурност на DeepSeek.
Потенциално въздействие върху предприятията
- Поглъщане на акаунти
- Фишинг атаки
- Ransomware
- Ексфилтрация на данни
- Оперативно спиране
Как предприятията могат да осигурят защитени AI внедрявания като DeepSeek
Тъй като служителите интегрират модели от поколение AI като DeepSeek в своите работни процеси, осигуряването на тяхното използване става висок приоритет. По-долу са изброени ключови най-добри практики за проактивна защита на внедряванията на AI в предприятията.
- Картографирайте данните, които можете да споделяте с Gen AI – Класифицирайте организационните данни въз основа на нивата на поверителност. Определете кои данни са лични, защитени с поверителност или регулирани и никога не трябва да бъдат разкривани. Внедряването на инструменти за защита от загуба на данни на GenAI може да помогне за смекчаване на рисковете от случайно изтичане на данни.
- Обучете служителите си за рисковете от поколението ИИ – Служителите трябва да разбират, че генеративните инструменти с изкуствен интелект, макар и мощни, могат да доведат до рискове като изтичане на данни, пристрастни резултати и нарушения на съответствието. Редовните обучения могат да обхващат теми, свързани с използването на изкуствен интелект, често срещани вектори на атака и реални примери за злоупотреба с изкуствен интелект. Вашият инструмент за сигурност на данните може да помогне с това, като предупреждава и уведомява служителите за рискова употреба.
- Следете използването на Gen AI в браузъра – Тъй като достъпът до DeepSeek се осъществява чрез уеб приложения, организациите трябва да внедрят решения за сигурност на браузъра, за да проследяват тези взаимодействия. Това помага за идентифициране и предотвратяване на потенциално излагане на данни, злонамерени разширения на браузъра и необичайни модели на поведение.
- Монитор за разширения на браузъра Gen AI – Организациите трябва да поддържат списък с разрешени разширения, да провеждат периодични прегледи на сигурността и да използват инструменти за сигурност на браузъра, за да откриват подозрителна активност. Деактивирането на неодобрени разширения на корпоративно ниво може да предотврати неоторизиран достъп до данни.
- Приложете използването на корпоративни акаунти за достъп до Gen AI – Изискването на служителите да използват корпоративните си акаунти за услуги на GenAI помага за предотвратяване на използването на скрит изкуствен интелект (скрит изкуствен интелект), осигурявайки по-добър надзор върху сигурността, одитируемост и прилагане на политики. Това също така помага за предотвратяване на кражба на идентификационни данни, която може да се използва за проникване в мрежата. Инструмент за сигурност на браузъра може да проследява действията на DeepSeek, независимо от акаунта, използван за влизане, личен или частен.
Как да защитите използването на DeepSeek
LayerX Security предлага цялостна платформа за сигурност на браузъра без агенти, която защитава предприятията от най-критичните рискове и заплахи на съвременния интернет, включително изтичане на данни от GenAI, SaaS риск, заплахи за идентичността, уеб уязвимости, DLP и други.
LayerX се внедрява като разширение за браузър за предприятия, което се интегрира с всеки браузър и предоставя на организациите пълна видимост и прилагане на мерките, без да нарушава потребителското изживяване.
Предприятията използват LayerX, за да картографират употребата на GenAI в организацията, да откриват „сянкови“ AI приложения и да ограничават споделянето на чувствителни данни с LLM специалисти.
