Изтичането на данни по PCI DSS ChatGPT се отнася до категорията риск за сигурността, който възниква, когато служители на предприятието, AI агенти или автоматизирани работни процеси взаимодействат с AI инструменти, SaaS приложения и уеб услуги чрез браузъра. Повечето от тези взаимодействия са невидими за традиционните контроли за сигурност, работещи на мрежовия и крайния слой. Сесията на браузъра е мястото, където се изпълнява рискът и където трябва да се извърши прилагането на мерките.

Всичко останало е по-напред от проблема.

Какво е изтичане на данни по PCI DSS ChatGPT и защо е важно за корпоративната сигурност?

Изтичането на данни по PCI DSS ChatGPT се намира на пресечната точка между внедряването на изкуствен интелект и корпоративната сигурност. Тъй като организациите внедряват ChatGPT, Microsoft Copilot, Claude и стотици SaaS инструменти, вградени в изкуствен интелект, се появява нов клас риск в точката, в която служителите взаимодействат с тези инструменти.

Традиционните рамки за сигурност са проектирани за различен свят. Мрежовите контроли виждат връзката. Крайните агенти виждат процеса. Нито един от тях не вижда какво се случва в сесията на браузъра, когато разработчик постави вътрешен API ключ в GitHub Copilot или търговски представител качи списък с потенциални клиенти в ChatGPT, за да изготви план за работа с клиенти. Това сляпо петно ​​е основният проблем. И това не е нишов граничен случай – там всъщност се крие по-голямата част от корпоративния риск, свързан с изкуствения интелект.

Според проучване на LayerX, 45% от служителите в предприятията активно използват инструменти с изкуствен интелект. Екипите по сигурност, които не са се справили с този слой, управляват риска, свързан с изкуствен интелект, с инструменти, които не могат да видят взаимодействията, които се опитват да управляват.

Как изтичането на данни по PCI DSS ChatGPT засяга организации, използващи инструменти с изкуствен интелект като ChatGPT и Microsoft Copilot?

ChatGPT, Microsoft Copilot и Gemini вече са стандартни инструменти за работещите със знания в областта на правото, финансите, инженерството и операциите. Всяко взаимодействие създава потенциална експозиция.

77% от служителите поставят данни в подканите на GenAI. Данните, преминаващи през тези взаимодействия, включват изходен код, записи на клиенти, финансови прогнози и лична информация. Те се движат като нормален HTTPS трафик към санкционирани домейни. Мрежовият DLP вижда одобрена връзка. Крайният DLP вижда браузъра като един процес. Нито един от двамата не вижда данните в движение в рамките на сесията.

Това е празнината.

Последиците за съответствието са директни. Екип по сигурността, който не може да види какво служителите предоставят на Copilot, не може да демонстрира контрол върху този канал за данни пред одитор. Политиката без техническо прилагане не е контрол. Тя е задължение, което чака да бъде документирано в доклад за нарушение.

Кои са най-често срещаните заплахи за изтичане на данни по PCI DSS ChatGPT, пред които са изправени екипите по сигурност днес?

Три модела на заплахи се появяват многократно в корпоративните среди.

Ексфилтриране на данни чрез подкани на AI. Служителите поставят чувствителни данни в инструменти с изкуствен интелект без намерение да ги изтеглят. Ефектът е същият: собствените данни напускат организацията през канал, който стекът за сигурност не може да наблюдава. 89% от влизанията с изкуствен интелект заобикалят корпоративния надзор.

Бърза инжекция. Злонамерени злонамерени инструкции вграждат документи, уеб страници или имейли, които се четат от инструменти с изкуствен интелект. Моделът следва инжектираните инструкции, а не намерението на потребителя. В корпоративни среди, използващи инструменти за изследвания или имейл, подпомогнати от изкуствен интелект, това не изисква специален достъп.

Сянка на изкуствения интелект и неоторизирани акаунти. 50% от активността по поставяне в GenAI включва корпоративни данни. Политиките за управление, написани за корпоративни акаунти, не покриват случаите, когато служителите използват лични ChatGPT, лични Grammarly или лични Copilot акаунти на корпоративни устройства.

Къде се проявяват рисковете от изтичане на данни по PCI DSS ChatGPT в корпоративната среда?

Отговорът, на който повечето екипи по сигурност се съпротивляват, е най-простият: в рамките на сесията на браузъра.

Мрежовите инструменти са извън сесията. Те виждат метаданните за трафика, а не съдържанието. Инструментите за крайни точки третират браузъра като един процес. Те виждат активността на файловата система, а не това, което потребителят въвежда в текстово поле. Инструментите за идентификация потвърждават удостоверяването. Те не виждат какво се случва в удостоверената сесия.

Всеки основен сценарий на риск от изтичане на данни в PCI DSS ChatGPT се разиграва в тази празнина. Търговският представител, който е копирал CRM експорт в ChatGPT, за да напише последващ имейл? Това се е случило в браузъра. Инженерът, който е поставил производствени идентификационни данни в Copilot, за да отстрани грешки в скрипт? Браузър. Финансовият анализатор, който е качил прогнози за третото тримесечие, за да ги обобщи преди заседание на борда? Също така браузърът.

Сесията на браузъра не е само една от многото повърхности за атака. За повечето служители, работещи със знания, тя е основната работна среда. За корпоративния риск, свързан с изкуствения интелект, тя е основната. Сигурността на разширенията на браузъра допълнително утежнява това: разширенията носят свои собствени рискове за разрешения и излагане на данни, които се намират изцяло в слоя на браузъра.

Как екипите по сигурност изграждат програма за защита от изтичане на данни по PCI DSS ChatGPT, която действително работи?

Истинската програма за изтичане на данни чрез pci dss chatgpt започва с видимост. Екипите по сигурност не могат да управляват това, което не могат да видят. Това означава наблюдение на взаимодействията на инструменти с изкуствен интелект на ниво сесия, а не само регистриране на връзки към домейни с изкуствен интелект на ниво мрежа.

От гледна точка на видимостта, следващата стъпка е класификацията. Не всички данни, подадени към инструменти с изкуствен интелект, носят еднакъв риск. Изходният код е различен от публична публикация в блог. Личната информация на клиента е различна от обща заявка за проучване. Класификацията позволява на екипите по сигурност да прилагат поетапно прилагане, а не двоични решения за разрешаване/блокиране, които потребителите заобикалят.

Опциите за прилагане трябва да отразяват начина, по който организацията действително използва ИИ. Само наблюдение за взаимодействия с нисък риск. Предупреждения за потребителите с обосновани подкани за подавания със среден риск. Автоматично редактиране или блокиране за модели на данни с висок риск. Целта е безпроблемно прилагане за 95% от взаимодействията, които са доброкачествени, и прецизна намеса за 5%, които не са.

Контроли за използване на изкуствен интелект предоставят слой на политиките, който прави прилагането им последователно между инструменти, потребители и устройства, включително неуправлявани устройства, до които традиционните агенти не могат да достигнат.

Как прилагането на ниво браузър се справя с предизвикателствата, свързани с изтичане на данни по PCI DSS ChatGPT?

Повечето заплахи за изтичане на данни в PCI DSS ChatGPT се изпълняват в рамките на сесията на браузъра. Справянето с тях изисква прилагане на мерки на този слой, а не над или под него.

LayerX работи като разширение за корпоративен браузър, осигурявайки видимост и контрол в реално време върху взаимодействията с инструменти с изкуствен интелект на ниво сесия. Той следи какво служителите поставят в ChatGPT, Copilot и Gemini. Когато съдържанието съвпада с класификатори на чувствителни данни или поведенчески модели, LayerX може да предупреди потребителя, да редактира чувствителния елемент или да предотврати изпращането му изцяло, без да блокира достъпа до инструмента с изкуствен интелект.

За скрит ИИ, LayerX осигурява непрекъснато откриване на всяко ИИ приложение, използвано в организацията, включително инструменти, които никога не са били одобрени от ИТ отдела, и лични акаунти, използвани за достъп до санкционирани инструменти. Екипите по сигурността могат да видят точно кои инструменти работят, кой ги използва и какви данни преминават през всяка сесия.

За агентен ИИ, LayerX е единствената платформа за сигурност с видимост и прилагане върху агентни ИИ браузъри, включително ChatGPT Atlas, Perplexity Comet и Dia.

Поискайте демонстрация

Какво означава изтичането на данни от PCI DSS ChatGPT за управлението и съответствието с ИИ?

Регулирането се развива. Бавно, но се развива. Законът на ЕС за изкуствения интелект, NIST AI RMF и ISO 42001 разглеждат управлението на риска, свързан с изкуствения интелект, на политическо ниво. MITRE ATLAS предоставя техническата таксономия, която съпоставя специфични техники за атака с изкуствен интелект с конкретни контроли.

Бордовете започват да задават конкретни въпроси. Можете ли да покажете какви данни преминават през вашите инструменти с изкуствен интелект, какви контроли управляват този поток и какво се случва, когато дадена политика бъде нарушена? Екипите без видимост на ниво сесия относно взаимодействията с изкуствен интелект не могат да отговорят на тези въпроси с доказателства.

Посоката е последователна във всички рамки. Управлението на ИИ се измества от политика към техническо прилагане. Екипи по сигурността, които изграждат Сигурност на GenAI Програмите сега, основани на видимост на ниво сесия, ще бъдат позиционирани пред изискванията, които все още се финализират.

За повече информация как LayerX се справя с това, вижте Предотвратяване на злоупотреби с изкуствен интелектЗа повече информация как LayerX се справя с това, вижте сигурност на разширенията на браузъра.

Често задавани въпроси

Съответства ли ChatGPT на PCI DSS?

За екипите по корпоративна сигурност този въпрос се свежда до видимост на ниво сесия. Традиционните мрежови и крайни контроли не могат да виждат взаимодействията в рамките на инструменти с изкуствен интелект, базирани на браузър. Прилагането на ниво браузър, като например разширението Enterprise Browser Extension на LayerX, запълва тази празнина, като наблюдава и прилага политики точно в точката, където се осъществява взаимодействието.

Как OpenAI използва ChatGPT, за да хваща изтичащи информация?

За екипите по корпоративна сигурност този въпрос се свежда до видимост на ниво сесия. Традиционните мрежови и крайни контроли не могат да виждат взаимодействията в рамките на инструменти с изкуствен интелект, базирани на браузър. Прилагането на ниво браузър, като например разширението Enterprise Browser Extension на LayerX, запълва тази празнина, като наблюдава и прилага политики точно в точката, където се осъществява взаимодействието.

Прилага ли се изтичането на данни по PCI DSS ChatGPT за инструменти с изкуствен интелект, базирани на браузър?

За екипите по корпоративна сигурност този въпрос се свежда до видимост на ниво сесия. Традиционните мрежови и крайни контроли не могат да виждат взаимодействията в рамките на инструменти с изкуствен интелект, базирани на браузър. Прилагането на ниво браузър, като например разширението Enterprise Browser Extension на LayerX, запълва тази празнина, като наблюдава и прилага политики точно в точката, където се осъществява взаимодействието.

Какви инструменти помагат при изтичане на данни по PCI DSS ChatGPT в корпоративни среди?

За екипите по корпоративна сигурност този въпрос се свежда до видимост на ниво сесия. Традиционните мрежови и крайни контроли не могат да виждат взаимодействията в рамките на инструменти с изкуствен интелект, базирани на браузър. Прилагането на ниво браузър, като например разширението Enterprise Browser Extension на LayerX, запълва тази празнина, като наблюдава и прилага политики точно в точката, където се осъществява взаимодействието.

Как се свързва изтичането на данни по PCI DSS ChatGPT с AI DLP (Защита от загуба на данни)?

За екипите по корпоративна сигурност този въпрос се свежда до видимост на ниво сесия. Традиционните мрежови и крайни контроли не могат да виждат взаимодействията в рамките на инструменти с изкуствен интелект, базирани на браузър. Прилагането на ниво браузър, като например разширението Enterprise Browser Extension на LayerX, запълва тази празнина, като наблюдава и прилага политики точно в точката, където се осъществява взаимодействието.