Wyciek danych z ChatGPT (standard PCI DSS) odnosi się do kategorii zagrożeń bezpieczeństwa, które pojawiają się, gdy pracownicy przedsiębiorstwa, agenci AI lub zautomatyzowane przepływy pracy wchodzą w interakcję z narzędziami AI, aplikacjami SaaS i usługami internetowymi za pośrednictwem przeglądarki. Większość tych interakcji jest niewidoczna dla tradycyjnych mechanizmów bezpieczeństwa działających na poziomie sieci i punktów końcowych. Sesja przeglądarki to miejsce, w którym ryzyko jest generowane i gdzie musi nastąpić egzekwowanie.
Wszystko inne jest przyczyną problemu.
Czym jest wyciek danych ChatGPT PCI DSS i dlaczego ma to znaczenie dla bezpieczeństwa przedsiębiorstwa?
Wyciek danych z ChatGPT zgodny z PCI DSS leży na styku wdrażania sztucznej inteligencji (AI) i bezpieczeństwa przedsiębiorstw. Wraz z wdrażaniem przez organizacje ChatGPT, Microsoft Copilot, Claude i setek narzędzi SaaS z wbudowaną sztuczną inteligencją, pojawia się nowy rodzaj ryzyka w momencie interakcji pracowników z tymi narzędziami.
Tradycyjne ramy bezpieczeństwa zostały zaprojektowane z myślą o innym świecie. Kontrola sieci widzi połączenie. Agenci punktów końcowych widzą proces. Żadne z nich nie widzi tego, co dzieje się w sesji przeglądarki, gdy programista wkleja wewnętrzny klucz API do GitHub Copilot lub gdy przedstawiciel handlowy przesyła listę potencjalnych klientów do ChatGPT, aby rozpocząć działania informacyjne. Ten martwy punkt stanowi sedno problemu. I nie jest to niszowy przypadek skrajny – to właśnie tam tkwi większość zagrożeń dla sztucznej inteligencji w przedsiębiorstwach.
Według badań LayerX, 45% pracowników przedsiębiorstw aktywnie korzysta z narzędzi AI. Zespoły bezpieczeństwa, które nie zajęły się tą warstwą, zarządzają ryzykiem związanym z AI za pomocą narzędzi, które nie widzą interakcji, którymi próbują zarządzać.
Jak wyciek danych PCI DSS ChatGPT wpływa na organizacje korzystające z narzędzi AI, takich jak ChatGPT i Microsoft Copilot?
ChatGPT, Microsoft Copilot i Gemini to obecnie standardowe narzędzia dla pracowników wiedzy z działów prawa, finansów, inżynierii i operacji. Każda interakcja stwarza potencjalne zagrożenie.
77% pracowników wkleja dane do komunikatów GenAI. Dane przesyłane w ramach tych interakcji obejmują kod źródłowy, dane klientów, prognozy finansowe i dane osobowe. Są one przesyłane jako normalny ruch HTTPS do zatwierdzonych domen. Sieciowy DLP rozpoznaje zatwierdzone połączenie. Endpoint DLP rozpoznaje przeglądarkę jako pojedynczy proces. Żaden z nich nie widzi danych w ruchu w ramach sesji.
To jest ta luka.
Konsekwencja zgodności jest bezpośrednia. Zespół ds. bezpieczeństwa, który nie widzi, co pracownicy przesyłają do Copilot, nie może wykazać audytorowi kontroli nad tym kanałem danych. Polityka bez technicznego egzekwowania nie jest kontrolą. Jest to zobowiązanie, które czeka na udokumentowanie w raporcie o naruszeniu.
Jakie są najczęstsze zagrożenia wycieku danych PCI DSS ChatGPT, z którymi obecnie muszą się mierzyć zespoły ds. bezpieczeństwa?
W środowiskach korporacyjnych powtarzają się trzy wzorce zagrożeń.
Eksfiltracja danych za pomocą podpowiedzi AI. Pracownicy wklejają poufne dane do narzędzi AI bez zamiaru ich wykradzenia. Skutek jest ten sam: zastrzeżone dane opuszczają organizację kanałem, którego stos zabezpieczeń nie jest w stanie monitorować. 89% logowań do AI omija nadzór przedsiębiorstwa.
Natychmiastowy zastrzyk. Przeciwnicy umieszczają złośliwe instrukcje w dokumentach, stronach internetowych lub wiadomościach e-mail odczytywanych przez narzędzia sztucznej inteligencji. Model podąża za wstrzykniętymi instrukcjami, a nie za intencjami użytkownika. W środowiskach korporacyjnych korzystających z narzędzi badawczych lub e-mailowych wspomaganych sztuczną inteligencją nie wymaga to specjalnego dostępu.
Shadow AI i nieautoryzowane konta. 50% aktywności wklejania do GenAI obejmuje dane firmowe. Zasady zarządzania opracowane dla kont firmowych nie obejmują sytuacji, gdy pracownicy korzystają z osobistych kont ChatGPT, Grammarly lub Copilot na urządzeniach firmowych.
Gdzie w środowisku przedsiębiorstwa występują zagrożenia wycieku danych PCI DSS ChatGPT?
Rozwiązanie, któremu sprzeciwia się większość zespołów ds. bezpieczeństwa, jest najprostsze: odbywa się w ramach sesji przeglądarki.
Narzędzia sieciowe działają poza sesją. Widzą metadane ruchu, a nie treść. Narzędzia punktów końcowych traktują przeglądarkę jako pojedynczy proces. Widzą aktywność systemu plików, a nie to, co użytkownik wpisuje w polu tekstowym. Narzędzia tożsamości potwierdzają uwierzytelnienie. Nie widzą, co dzieje się w uwierzytelnionej sesji.
W tej luce rozgrywa się każdy poważny scenariusz ryzyka wycieku danych PCI DSS ChatGPT. Przedstawiciel handlowy, który skopiował eksport CRM do ChatGPT, aby napisać e-mail z odpowiedzią? To wydarzyło się w przeglądarce. Inżynier, który wkleił dane uwierzytelniające do Copilota, aby debugować skrypt? Przeglądarka. Analityk finansowy, który przesłał prognozy na III kwartał, aby podsumować je przed posiedzeniem zarządu? Również przeglądarka.
Sesja przeglądarki to nie tylko jedna z wielu powierzchni ataku. Dla większości pracowników umysłowych jest to podstawowe środowisko pracy. W przypadku ryzyka korporacyjnego związanego ze sztuczną inteligencją jest to również główne środowisko. Bezpieczeństwo rozszerzeń przeglądarki dodatkowo to komplikuje: rozszerzenia niosą ze sobą własne ryzyko związane z uprawnieniami i ujawnieniem danych, które leży całkowicie w warstwie przeglądarki.
W jaki sposób zespoły ds. bezpieczeństwa tworzą program ochrony przed wyciekiem danych PCI DSS ChatGPT, który faktycznie działa?
Prawdziwy program ochrony przed wyciekiem danych PCI DSS ChatGPT zaczyna się od widoczności. Zespoły ds. bezpieczeństwa nie mogą kontrolować tego, czego nie widzą. Oznacza to monitorowanie interakcji narzędzi AI na poziomie sesji, a nie tylko rejestrowanie połączeń z domenami AI na poziomie sieci.
Kolejnym krokiem po widoczności jest klasyfikacja. Nie wszystkie dane przesyłane do narzędzi AI niosą ze sobą takie samo ryzyko. Kod źródłowy różni się od publicznego wpisu na blogu. Dane osobowe klienta różnią się od ogólnego zapytania badawczego. Klasyfikacja pozwala zespołom ds. bezpieczeństwa na stopniowe egzekwowanie przepisów, zamiast binarnych decyzji zezwalających/blokujących, które użytkownicy omijają.
Opcje egzekwowania powinny odzwierciedlać sposób, w jaki organizacja faktycznie korzysta ze sztucznej inteligencji. Monitorowanie tylko interakcji o niskim ryzyku. Ostrzeżenia dla użytkowników z monitem o uzasadnienie dla zgłoszeń o średnim ryzyku. Automatyczne redagowanie lub blokowanie wzorców danych o wysokim ryzyku. Celem jest bezproblemowe egzekwowanie w przypadku 95% interakcji o łagodnym charakterze i precyzyjna interwencja w przypadku 5% interakcji o łagodnym charakterze.
Kontrola wykorzystania sztucznej inteligencji zapewnić warstwę zasad, która zapewni spójność egzekwowania zasad w przypadku wszystkich narzędzi, użytkowników i urządzeń, w tym urządzeń niezarządzanych, do których tradycyjni agenci nie mają dostępu.
W jaki sposób egzekwowanie przepisów na poziomie przeglądarki rozwiązuje problemy związane z wyciekiem danych ChatGPT PCI DSS?
Większość zagrożeń wycieku danych PCI DSS ChatGPT jest realizowana w ramach sesji przeglądarki. Aby im zaradzić, konieczne jest egzekwowanie zasad na tym poziomie, a nie powyżej lub poniżej.
LayerX działa jako rozszerzenie przeglądarki korporacyjnej, zapewniając wgląd w czasie rzeczywistym i kontrolę nad interakcjami z narzędziami AI na poziomie sesji. Monitoruje, co pracownicy wklejają do ChatGPT, Copilot i Gemini. Gdy treść pasuje do wrażliwych klasyfikatorów danych lub wzorców zachowań, LayerX może ostrzec użytkownika, usunąć wrażliwy element lub całkowicie zablokować przesłanie, nie blokując dostępu do narzędzia AI.
W przypadku sztucznej inteligencji typu shadow AI, LayerX zapewnia ciągłe wykrywanie każdej aplikacji AI używanej w organizacji, w tym narzędzi, które nigdy nie zostały zatwierdzone przez dział IT, oraz kont osobistych używanych do uzyskiwania dostępu do zatwierdzonych narzędzi. Zespoły ds. bezpieczeństwa mogą dokładnie zobaczyć, które narzędzia są uruchomione, kto z nich korzysta i jakie dane przepływają w ramach każdej sesji.
W przypadku agentowej sztucznej inteligencji LayerX jest jedyną platformą zabezpieczeń zapewniającą widoczność i egzekwowanie zasad w przeglądarkach agentowej sztucznej inteligencji, w tym ChatGPT Atlas, Perplexity Comet i Dia.
Jakie znaczenie dla zarządzania sztuczną inteligencją i zgodności z przepisami ma wyciek danych PCI DSS ChatGPT?
Przepisy się rozwijają. Powoli, ale dynamicznie. Ustawa UE o sztucznej inteligencji (AI Act), NIST AI RMF oraz norma ISO 42001 regulują zarządzanie ryzykiem związanym ze sztuczną inteligencją na poziomie polityki. MITRE ATLAS zapewnia techniczną taksonomię, która mapuje konkretne techniki ataków na sztuczną inteligencję na konkretne mechanizmy kontroli.
Zarządy zaczynają zadawać konkretne pytania. Czy możesz pokazać, jakie dane przepływają przez Twoje narzędzia AI, jakie mechanizmy regulują ten przepływ i co się dzieje w przypadku naruszenia zasad? Zespoły bez wglądu w interakcje AI na poziomie sesji nie są w stanie odpowiedzieć na te pytania dowodami.
Kierunek jest spójny we wszystkich ramach. Zarządzanie sztuczną inteligencją przechodzi od polityki do egzekwowania technicznego. Zespoły ds. bezpieczeństwa, które budują Bezpieczeństwo GenAI programy oparte obecnie na widoczności na poziomie sesji będą miały pierwszeństwo przed wymaganiami, które są wciąż finalizowane.
Więcej informacji na temat sposobu, w jaki LayerX radzi sobie z tym problemem, można znaleźć w artykule Zapobieganie niewłaściwemu wykorzystaniu sztucznej inteligencjiWięcej informacji na temat tego, jak LayerX radzi sobie z tym problemem, znajdziesz w artykule bezpieczeństwo rozszerzenia przeglądarki.
Najczęściej zadawane pytania
Czy ChatGPT jest zgodny ze standardem PCI DSS?
Dla zespołów ds. bezpieczeństwa przedsiębiorstw to pytanie sprowadza się do widoczności na poziomie sesji. Tradycyjne mechanizmy kontroli sieci i punktów końcowych nie są w stanie wykryć interakcji w narzędziach AI opartych na przeglądarce. Egzekwowanie zasad na poziomie przeglądarki, takie jak rozszerzenie Enterprise Browser Extension firmy LayerX, eliminuje tę lukę, monitorując i egzekwując zasady dokładnie w momencie wystąpienia interakcji.
W jaki sposób OpenAI wykorzystuje ChatGPT do wykrywania wycieków?
Dla zespołów ds. bezpieczeństwa przedsiębiorstw to pytanie sprowadza się do widoczności na poziomie sesji. Tradycyjne mechanizmy kontroli sieci i punktów końcowych nie są w stanie wykryć interakcji w narzędziach AI opartych na przeglądarce. Egzekwowanie zasad na poziomie przeglądarki, takie jak rozszerzenie Enterprise Browser Extension firmy LayerX, eliminuje tę lukę, monitorując i egzekwując zasady dokładnie w momencie wystąpienia interakcji.
Czy wyciek danych ChatGPT PCI DSS dotyczy narzędzi AI opartych na przeglądarce?
Dla zespołów ds. bezpieczeństwa przedsiębiorstw to pytanie sprowadza się do widoczności na poziomie sesji. Tradycyjne mechanizmy kontroli sieci i punktów końcowych nie są w stanie wykryć interakcji w narzędziach AI opartych na przeglądarce. Egzekwowanie zasad na poziomie przeglądarki, takie jak rozszerzenie Enterprise Browser Extension firmy LayerX, eliminuje tę lukę, monitorując i egzekwując zasady dokładnie w momencie wystąpienia interakcji.
Jakie narzędzia pomagają w przypadku wycieku danych PCI DSS ChatGPT w środowiskach korporacyjnych?
Dla zespołów ds. bezpieczeństwa przedsiębiorstw to pytanie sprowadza się do widoczności na poziomie sesji. Tradycyjne mechanizmy kontroli sieci i punktów końcowych nie są w stanie wykryć interakcji w narzędziach AI opartych na przeglądarce. Egzekwowanie zasad na poziomie przeglądarki, takie jak rozszerzenie Enterprise Browser Extension firmy LayerX, eliminuje tę lukę, monitorując i egzekwując zasady dokładnie w momencie wystąpienia interakcji.
Jaki jest związek wycieku danych PCI DSS ChatGPT z DLP ze sztuczną inteligencją?
Dla zespołów ds. bezpieczeństwa przedsiębiorstw to pytanie sprowadza się do widoczności na poziomie sesji. Tradycyjne mechanizmy kontroli sieci i punktów końcowych nie są w stanie wykryć interakcji w narzędziach AI opartych na przeglądarce. Egzekwowanie zasad na poziomie przeglądarki, takie jak rozszerzenie Enterprise Browser Extension firmy LayerX, eliminuje tę lukę, monitorując i egzekwując zasady dokładnie w momencie wystąpienia interakcji.
