[01/08/2023] Netskope ha hecho pública una nueva investigación que muestra cómo por cada 10 mil usuarios empresariales, una organización experimenta aproximadamente 183 incidentes de datos sensibles que se publican en la aplicación por mes. El código fuente representa la mayor parte de los datos sensibles expuestos.
Los resultados forman parte del informe Cloud & Threat Report: AI Apps in the Enterprise, un análisis de Netskope Threat Labs sobre el uso de IA en la empresa y los riesgos de seguridad que entraña. De acuerdo al comunicado de prensa, y basándose en datos de millones de usuarios empresariales de todo el mundo, Netskope descubrió que el uso de aplicaciones de IA generativa está creciendo rápidamente, un 22,5% más en los últimos dos meses, lo que incrementa las posibilidades de que los usuarios expongan datos confidenciales.
[Reciba lo último de CIO Perú suscribiéndose a nuestro newsletter semanal]
Creciente uso de aplicaciones de IA
En su investigación, Netskope observó que las organizaciones con 10 mil usuarios o más utilizan una media diaria de cinco aplicaciones de IA, y ChatGPT tiene más de ocho veces más usuarios activos al día que cualquier otra aplicación de IA generativa. "Al ritmo de avance actual, se espera que el número de usuarios que acceden a aplicaciones de IA se duplique en los próximos siete meses”, comentó Ray Canzanese, director de Investigación de Amenazas de Netskope Threat Labs.
En los últimos dos meses, la aplicación de IA que más rápido ha crecido ha sido Google Bard, que actualmente suma usuarios a razón de un 7,1% semanal, frente al 1,6% de ChatGPT, anotó el ejecutivo. "Al ritmo actual, Google Bard no alcanzará a ChatGPT hasta dentro de un año, aunque se espera que el espacio de aplicaciones de IA generativa evolucione significativamente antes de esa fecha, con muchas más aplicaciones en desarrollo”.
Usuarios que introducen datos confidenciales en ChatGPT
Otro hallazgo relevante tiene que ver con el código fuente, el cual se publica en ChatGPT más que cualquier otro tipo de dato confidencial, según el informe de Netskope, con un ritmo de 158 incidentes por cada 10 mil usuarios al mes. Otros datos sensibles que se comparten en ChatGPT son: datos regulados -incluidos datos financieros y sanitarios, información de identificación personal- junto con propiedad intelectual excluyendo el código fuente y, lo que es más preocupante, contraseñas y claves, normalmente incrustadas en el código fuente.
"Es inevitable que algunos usuarios suban código fuente propietario o texto que contenga datos sensibles a herramientas de IA que prometen ayudar a programar o escribir", anotó Canzanese. "Por tanto, es imperativo que las organizaciones establezcan controles en torno a la IA para evitar fugas de datos confidenciales. Los controles que permiten a los usuarios aprovechar los beneficios de la IA, agilizando las operaciones y mejorando la eficiencia, al tiempo que mitigan los riesgos son el objetivo final. Los controles más eficaces que vemos son una combinación de DLP y coaching interactivo del usuario".
Bloqueo o concesión de acceso a ChatGPT
El ejecutivo indicó que Netskope Threat Labs está actualmente rastreando proxies ChatGPT y más de mil URLs y dominios maliciosos de atacantes oportunistas que buscan capitalizar el bombo de la IA, incluyendo múltiples campañas de phishing, campañas de distribución de malware y sitios web de spam y fraude.
"Bloquear el acceso a contenidos relacionados con la IA y a aplicaciones de IA es una solución a corto plazo para mitigar el riesgo, pero va en detrimento de los beneficios potenciales que estas aplicaciones ofrecen para complementar la innovación corporativa y la productividad de los empleados. Los datos de Netskope muestran que en los servicios financieros y la atención sanitaria -ambos sectores altamente regulados- casi una de cada cinco organizaciones ha implementado una prohibición general del uso de ChatGPT por parte de los empleados, mientras que, en el sector tecnológico, solo una de cada 20 organizaciones ha hecho lo mismo”, señaló Canzanese.
El ejecutivo añadió que para que las organizaciones permitan la adopción segura de aplicaciones de IA, deben centrar su enfoque en la identificación de aplicaciones permitidas y la implementación de controles que faciliten a los usuarios utilizarlas en todo su potencial, al tiempo que protegen a la organización de los riesgos.
"Este planteamiento debe incluir el filtrado de dominios, el filtrado de URL y la inspección de contenidos para proteger contra los ataques”, anotó Canzanese, agregando que otros pasos para salvaguardar los datos y utilizar de forma segura las herramientas de IA incluyen:
- Bloquear el acceso a apps que no sirvan a ningún propósito empresarial legítimo o que supongan un riesgo desproporcionado para la organización.
- Emplear la formación de usuarios para recordarles la política de la empresa en torno al uso de apps de IA.
- Utilizar tecnologías modernas de prevención de pérdida de datos (DLP) para detectar mensajes que contengan información potencialmente sensible.
CIO, Perú