Ang Chatbots ay isang napakasikat na uri ng software application na ginagamit sa mga website at app upang gayahin ang mga pag-uusap sa mga user at magbigay ng impormasyon. Kamakailan, ang GenAI chatbots (ChatGPT, Bard) ay sumikat din, na may milyun-milyong user na nakikipag-ugnayan sa kanila araw-araw. Ang malawakang paggamit na ito at ang pagiging malapit ng mga chatbot sa sensitibong impormasyon at mga sistema ng organisasyon ay ginagawa silang isang panganib sa cyber security. Paano matitiyak ng mga organisasyon na makikinabang sila sa pagiging produktibo ng chatbot habang pinoprotektahan ang kanilang sarili at ang kanilang mga user? Kunin ang mga sagot sa ibaba.
Ano ang AI Chatbots?
Ang chatbot ay isang software application na idinisenyo upang gayahin ang isang pakikipag-usap sa mga tao na gumagamit. Sa pamamagitan ng paggamit ng mga paunang na-program na panuntunan, at kung minsan ang AI, ang mga chatbot ay maaaring magbigay-kahulugan at tumugon sa mga mensahe ng user. Ginagamit ang mga chatbot para sa iba't ibang uri ng mga kaso ng paggamit, mula sa serbisyo sa customer at marketing hanggang sa pagkolekta ng data mula sa mga user hanggang sa pagkilos bilang mga personal na katulong.
Sa kanilang pangunahing anyo, ang mga chatbot ay madalas na umaasa sa isang hanay ng mga paunang natukoy na input at tugon. Halimbawa, ang isang chatbot sa isang retail na website ay maaaring makakilala ng mga parirala tulad ng "subaybayan ang aking order" o "patakaran sa pagbabalik" at magbigay ng kaukulang impormasyon. Ang mga mas advanced na chatbot ay gumagamit ng AI, ML, at NLP upang maunawaan at tumugon sa isang malawak na hanay ng mga input ng user na may higit na kakayahang umangkop at konteksto sa pakikipag-usap. Maaari din silang matuto mula sa mga pakikipag-ugnayan upang mapabuti ang kanilang mga tugon sa paglipas ng panahon.
Bagama't ang mga chatbot ay maaaring magbigay ng impormasyon at gayahin ang mga pag-uusap, hindi sila nagtataglay ng mala-tao na pag-unawa o kamalayan. Ang kanilang mga tugon ay nabuo batay sa mga algorithm at data, hindi personal na karanasan o emosyon. Dahil dito, napapailalim sila sa ilang uri ng mga banta sa seguridad at mga kahinaan sa chatbot na maaaring ilagay sa panganib ang mga user at ang organisasyong nagpapatakbo ng chatbot. Tingnan natin kung aling mga uri at kung paano protektahan laban sa kanila.
Ligtas ba ang Chatbots?
Nakikipag-ugnayan ang mga Chatbot sa personal at kumpidensyal na impormasyon at magkakaugnay sa parehong mga sistema ng organisasyon at sa Internet. Ginagawa silang isang punto ng kahinaan ng organisasyon, na madaling kapitan ng mga paglabag sa seguridad. Ang iba't ibang mga eksperimento na tumatakbo sa AI chatbots ay nagpapakita kung paano sila magagamit para sa mga pag-atake tulad ng prompt injection attacks, at tinatalakay ng mga umaatake ang kanilang mga potensyal na nakakahamak na aplikasyon sa mga underground na forum. Samakatuwid, ang pagtiyak sa kanilang seguridad ay mahalaga para sa pagprotekta sa parehong mga user at sa organisasyon.
Ang seguridad ng chatbot ay tumutukoy sa mga hakbang at kasanayan upang maprotektahan ang mga chatbot at user mula sa iba't ibang banta at kahinaan sa seguridad. Ang mga hakbang na ito ay idinisenyo upang protektahan sila mula sa hindi awtorisadong pag-access, mga paglabag sa data, na ginagamit para sa chatbot Phishing, at iba pang anyo ng cyber-attack na nagpapataas ng mga isyu sa seguridad ng chatbot.
Mga Kahinaan sa Seguridad ng Chatbot
Ang lumalagong paggamit ng AI chatbots sa loob ng mga sistema ng organisasyon ay sumusuporta sa mga makabagong application, tulad ng pag-automate ng serbisyo sa customer, pagpapahusay sa pakikipag-ugnayan ng user at pag-streamline ng pagkuha ng impormasyon. Gayunpaman, ang hindi secure at hindi sinusubaybayang paggamit ay maaaring malagay sa panganib ang mga operasyon ng isang organisasyon at ang kanilang seguridad sa data.
Ang sensitibong data ng negosyo na na-leak ay maaaring gamitin ng mga kakumpitensya ng enterprise o ng mga umaatake para sa mga aktibidad tulad ng ransomware. Malaki ang epekto nito sa mga plano sa negosyo ng isang organisasyon, ang paraan ng pag-unawa sa kanila ng kanilang mga customer at ang tiwala na ibinigay sa kanila ng mga legal na awtoridad.
Halimbawa, kung ang paparating na anunsyo sa marketing ay na-leak at nagpasya ang mga kakumpitensya na magpatakbo ng adversarial campaign, maaaring mawalan ng malaking bahagi sa merkado ang negosyo. Kung nilalayon ng mga umaatake na ipakita sa publiko ang data ng customer, maaaring mapailalim ang negosyo sa isang mabigat na ransom. Kung ma-leak ang data, maaaring pagmultahin ng mga awtoridad ang negosyo at masuri para sa iba pang mga pagkabigo sa maling pamamahala. Samakatuwid, mahalagang gamitin ang tamang mga hakbang sa seguridad, upang maprotektahan mula sa mga panganib na ito.
Mga Panganib sa Seguridad ng Chatbot para sa Mga Negosyo
1. Pagiging Kumpidensyal at Integridad ng Data
Mga Paglabag sa Data/Pagnanakaw ng Data/Pag-leak ng Data
Kapag ang sensitibong impormasyon ay inilagay sa modelo at pagkatapos ay na-leak o na-exfiltrate, sa pamamagitan ng mga paglabag sa database o sa pamamagitan ng mga tugon ng mga modelo.
Pagkalap ng Impormasyon
Kapag ang mga umaatake ay kumukuha ng sensitibong impormasyon sa pamamagitan ng pag-prompt sa chatbot tungkol sa mga system, mga bahagi ng network, coding, mga kasanayan sa seguridad, mga kagustuhan ng user at higit pa.
Pagpapalaganap ng Maling Impormasyon
Kapag ang ChatGPT ay nagpakalat ng maling impormasyon, gawa-gawang data o hindi tumpak na mga katotohanan, dahil sa mga guni-guni o kapag ang maling impormasyon ay sadyang inilagay sa ChatGPT.
Mga Gawa at Hindi Tumpak na Sagot
Kapag ang mga mali at mapanlinlang na sagot ay ipinakita bilang mga makatotohanang tugon sa mga senyas.
Automated Propaganda
Kapag ginamit ang maling impormasyon upang manipulahin ang opinyon ng publiko sa pamamagitan ng propaganda.
2. Malisyosong Pag-atake
Mga Nakakahamak na Email sa Phishing
Kapag ang mga umaatake ay nag-prompt sa ChatGPT na magsulat ng mga phishing na email na parang lehitimo at mapagkakatiwalaang mga persona sa iba't ibang uri ng mga wika.
Mga Pag-atake sa Social Engineering
Kapag ang mga umaatake ay nag-prompt sa ChatGPT na lumikha ng mga nakakumbinsi na mensahe na ginagamit upang linlangin ang mga biktima.
Pagpapanggap
Kapag nag-prompt ang mga attacker sa ChatGPT na magpanggap bilang mga lehitimong user para sa panloloko, social engineering at iba pang malisyosong layunin.
Pag-bypass sa Content Moderation System
Kapag ang mga umaatake ay nag-prompt sa ChatGPT na gumawa ng mga mensahe na lumalampas sa mga system ng pagmo-moderate ng nilalaman at nakakakuha ng hindi awtorisadong pag-access sa mga system.
Malware Development at Ransomware
Kapag sinenyasan ng mga umaatake ang ChatGPT na magsulat ng mga script ng malware at ransomware o tumulong sa pag-debug ng mga naturang script.
Pagbuo ng Malicious Code
Kapag nag-prompt ang mga attacker sa ChatGPT na tumulong sa pagsasamantala ng mga kahinaan sa pamamagitan ng code.
3. Pagkagambala sa Negosyo at Operasyon
Jailbreak Attacks (Mga Pag-atake sa ChatGPT)
Kapag sinasamantala ng mga umaatake ang mga kahinaan ng OpenAI para ma-access ang sensitibong data o gumawa ng gawa-gawang content.
Mga Bug sa Privacy ng ChatGPT (Pag-atake sa ChatGPT)
Kapag nakompromiso ng mga kahinaan ng ChatGPT ang privacy ng user sa pamamagitan ng paglalantad ng sensitibong impormasyon.
Mga Panganib sa Intellectual Property (IP) at Copyright
Kapag ang ChatGPT ay lumikha ng nilalaman na masyadong malapit na kahawig ng mga asset ng copyright, na posibleng lumalabag sa mga karapatan sa IP.
Pagnanakaw ng Intelektwal na Ari-arian
Kapag nagbibigay ang ChatGPT ng mga tugon sa ibang mga user na lumalabag sa iyong IP.
Mga Pagbabago sa Patakaran ng Kumpanya ng OpenAI
Kung babaguhin ng OpenAI ang mga alituntunin sa privacy ng user, mga patakaran sa paggamit ng data, o mga etikal na balangkas, makakaapekto sa kakayahan ng mga negosyo na tiyakin ang tuluy-tuloy na com para sa mga user, operasyon at pagkakahanay sa pagsunod.
4. Etikal na AI, Bias at Toxicity
Modelo at Output Bias
Kapag ang mga tugon ng ChatGPT ay may kinikilingan, dahil sa mga bias sa data ng pagsasanay, hindi tumpak na pagsasanay o kakulangan ng mga guardrail.
Pagbawas ng Bias
Kapag ang mga pagkiling ay hindi natugunan, na nagreresulta sa mga kaugalian o mga resulta ng diskriminasyon.
Mga Panganib sa Proteksyon ng Consumer
Kapag ang mga negosyo ay hindi sinasadyang nagbabahagi ng sensitibong data ng customer o nagbibigay ng hindi etikal na mga output sa mga customer.
Seguridad ng ChatGPT
Isa sa pinakasikat na AI chatbots na ginagamit ay ang ChatGPT, isang online na GenAI application na binuo ng OpenAI. Idinisenyo ang ChatGPT upang makabuo ng text na tulad ng tao batay sa input na natatanggap nito, na nagbibigay-daan sa malawak na hanay ng mga paggamit sa kabuuan ng pag-uusap, paglikha ng nilalaman, at mga kaso ng paggamit ng synthesis ng impormasyon.
Ang seguridad sa konteksto ng ChatGPT ay nagsasangkot ng maraming layer upang madaig ang panganib sa seguridad ng chatbot:
- Pag-iingat sa data ng user laban sa hindi awtorisadong pag-access.
- Pagprotekta sa modelo laban sa mga adversarial na pag-atake na idinisenyo upang manipulahin o kunin ang sensitibong impormasyon.
- Tinitiyak ang seguridad ng imprastraktura na nagho-host ng modelo ng AI, kabilang ang mga depensa laban sa mga banta sa cyber tulad ng pag-hack at pag-atake ng DDoS.
- Pagsunod sa mga legal na framework tulad ng GDPR upang matiyak ang paggalang sa pahintulot ng user at mga karapatan sa data, na iniayon ang AI system sa mga etikal na alituntunin.
- Pagsubaybay at pag-filter ng mga input upang maiwasan ang AI model na malantad o matuto mula sa nakakapinsala, ilegal, o hindi etikal na nilalaman.
- Kontrol sa output at pagmo-moderate upang pigilan ang modelo ng AI na makabuo ng mapaminsalang o bias na nilalaman.
- Pagtugon sa mga potensyal na bias sa pagsasanay ng modelo.
- Pagtuturo sa mga user tungkol sa ligtas at naaangkop na paggamit ng AI, kasama ang mga limitasyon nito at pinakamahuhusay na kagawian sa pakikipag-ugnayan.
- Sa karagdagan, ChatGPT DLP maaaring maprotektahan ng mga solusyon ang sensitibong data mula sa pagkakalantad nang hindi nakakaabala sa karanasan ng user. Ginagawa ito sa pamamagitan ng pagpigil sa data ng organisasyon na mai-paste sa ChatGPT o paglilimita sa mga uri ng data na maaaring ipasok ng mga empleyado.
Bard Security
Ang Bard ay isa pang sikat na GenAI chatbot, na binuo ng Google. Ang pagpapabuti ng Bard AI chatbot security ay kapareho ng ChatGPT security. Kabilang dito ang mga diskarte para sa pagpapatupad ng mga matitinding hakbang sa seguridad tulad ng pag-encrypt, mga kontrol sa pag-access, at mga firewall upang pangalagaan ang data, pagsubaybay sa AI chatbots para sa mga hindi pangkaraniwang aktibidad gamit ang mga ML algorithm, pagtuturo sa mga user tungkol sa mga likas na panganib na nauugnay sa AI chatbots, pagbuo at pagsunod sa mga etikal na alituntunin para sa paglikha at paggamit ng AI chatbots, at higit pa.
Checklist ng Seguridad ng Chatbot para sa Mga Negosyo
Ang pag-secure ng AI chatbots ay makakatulong na mabawasan ang mga panganib ng mga banta at kahinaan na sumasalot sa paggamit ng mga chatbot. Ang pinakamahuhusay na kagawian na dapat ipatupad ay kinabibilangan ng:
Data Encryption
Tiyakin na ang data na ipinadala sa at mula sa chatbot ay naka-encrypt. Kabilang dito hindi lamang ang mga mensahe kundi pati na rin ang anumang data ng user na nakaimbak ng chatbot. Gumamit ng mga protocol tulad ng HTTPS at SSL/TLS para sa paghahatid ng data.
Access Control at Authentication
Malakas ang pagpapatupad authentication mga pamamaraan upang maiwasan ang hindi awtorisadong pag-access sa mga administratibong function ng chatbot. Maaaring kabilang dito ang multi-factor authentication o ang paggamit ng mga secure na token.
Mga Regular na Pag-audit sa Seguridad at Pagsubok sa Pagpasok
Regular na magsagawa ng mga pag-audit sa seguridad at mga pagsubok sa pagtagos upang matukoy at ayusin ang mga kahinaan.
Pag-minimize ng Data at Privacy
Sundin ang prinsipyo ng pagliit ng data. Mangolekta lamang ng data na talagang kinakailangan para sa pagpapagana ng chatbot. Binabawasan nito ang panganib sa kaso ng paglabag sa data.
Pagsunod sa Mga Regulasyon sa Proteksyon ng Data
Tiyakin ang pagsunod sa mga nauugnay na batas sa proteksyon ng data tulad ng GDPR, HIPAA, atbp. Kabilang dito ang pagkuha ng pahintulot ng user para sa pangongolekta ng data at pagbibigay ng mga opsyon para sa mga user na i-access o i-delete ang kanilang data.
Pagpapatunay ng Input ng User
I-sanitize ang mga input ng user para maiwasan ang pag-atake ng injection. Nangangahulugan ito na suriin ang data na ipinasok ng mga user at tiyaking hindi ito naglalaman ng malisyosong code o mga script.
Pag-secure ng Backend Infrastructure
I-secure ang mga server at database kung saan gumagana ang chatbot. Kabilang dito ang mga regular na update, pamamahala ng patch, at paggamit ng mga firewall at intrusion detection system.
Pagsubaybay at Pagtugon sa Insidente
Patuloy na subaybayan ang chatbot para sa mga kahina-hinalang aktibidad. Magkaroon ng plano sa pagtugon sa insidente kung sakaling magkaroon ng paglabag sa seguridad.
Mga Banta na Partikular sa AI
Tugunan ang mga banta na partikular sa AI gaya ng pagkalason sa modelo o pag-atake ng adversarial, kung saan ang mga nakakahamak na input ay idinisenyo upang lituhin ang modelo ng AI.
Kamalayan at Pagsasanay ng Gumagamit
Turuan ang mga user tungkol sa mga secure na pakikipag-ugnayan sa chatbot. Maaaring kabilang dito ang mga alituntunin sa hindi pagbabahagi ng sensitibong impormasyon maliban kung talagang kinakailangan.
Gumamit ng Secure Browser Extension
Gamitin secure na extension ng browser upang protektahan ang sensitibong data ng organisasyon mula sa pagkakalantad sa mga website na may mga chatbot. I-map at tukuyin ang data na nangangailangan ng proteksyon, tulad ng source code, mga plano sa negosyo, at intelektwal na ari-arian. Nag-aalok ang isang extension ng iba't ibang opsyon sa kontrol, tulad ng mga pop-up na babala o kumpletong pagharang, na maaaring i-activate kapag ginagamit ang chatbot o kapag sinusubukang i-paste o i-type sa interface nito. Nagbibigay-daan ito sa paggamit ng potensyal na produktibidad ng mga chatbot habang pinangangalagaan laban sa hindi sinasadyang pagkakalantad ng sensitibong data.
Mga Susunod na Hakbang para sa Seguridad at Mga IT Team: Ang Iyong 5 Hakbang na Plano
Habang dumarami ang paggamit ng mga pag-aari na chatbot at GenAI chatbots, kailangang tugunan ng mga organisasyon ang seguridad ng chatbot sa kanilang pangkalahatang seguridad at mga plano sa IT. Upang gawin ito, sundin ang mga hakbang na ito:
- Tayahin ang panganib – Aling mga uri ng sensitibong data ang nakikipag-ugnayan sa mga chatbot? Para sa mga pag-aari na chatbots – suriin kung paano maaaring i-target ng mga umaatake ang iyong chatbot.
- I-minimize ang pagkakalantad ng data – I-mapa ang mga uri ng data na maaaring kolektahin ng mga chatbot. Tiyaking mahalagang data lamang ito. Para sa mga pag-aari na chatbot, i-verify ang mga secure na channel ng komunikasyon, imbakan ng data, at mga mekanismo sa pagproseso.
- Magpatupad ng mga kontrol sa seguridad – pagpapatunay at awtorisasyon, pagpapatunay ng input ng pag-encrypt, at ChatGPT DLP.
- Pagsubok at Pagsubaybay – Subaybayan kung aling data ang sinubukang ilantad ng mga user at kung paano kumilos ang iyong mga solusyon sa mga kasong ito, hinaharangan o inaalerto ang tungkol sa panganib. Para sa mga pag-aari na chatbots, magsagawa ng penetration testing upang matukoy at matugunan ang mga kahinaan.
- Pagsasanay at kamalayan – Regular na sanayin ang mga empleyado at ang iyong mga user sa chatbot sa pinakamahuhusay na kagawian sa seguridad at ang pangangailangang limitahan ang data na nakalantad sa chatbot.
Upang makita ang ChatGPT DLP ng LayerX sa pagkilos, pindutin dito.
