گسترش برقآسای ابزارهای هوش مصنوعی مولد در سازمانها، پارادوکسی جدی میان افزایش بهرهوری و مخاطرات امنیتی ایجاد کرده است. گزارشهای اخیر تحلیلگران امنیت سایبری نشان میدهد که برخلاف تصور عموم، تهدید اصلی از سوی کاربران ناآگاه نیست، بلکه اقلیت کوچکی شامل حدود ۵ درصد از کاربران پیشرفته و «پاور یوزرها»، بیشترین حجم ریسک نشت داده و نقض امنیتی را به شرکتها تحمیل میکنند.
پدیده هوش مصنوعی در سایه (Shadow AI) چیست؟
با معرفی مدلهای زبانی بزرگ نظیر ChatGPT، Claude و ابزارهای تولید کد مانند GitHub Copilot، جریان کار در تیمهای فنی، بازاریابی و مالی دگرگون شده است. با این حال، استفاده از این ابزارها خارج از نظارت رسمی تیمهای امنیتی و فناوری اطلاعات، پدیدهای به نام هوش مصنوعی در سایه (Shadow AI) را رقم زده است.
کارمندان برای تسریع وظایف روزمره، برطرف کردن باگهای نرمافزاری یا تحلیل اسناد پیچیده، دادههای حساس شرکتی را وارد پرامپتهای عمومی میکنند. بررسیها نشان میدهد که عمده ریسک نشت اطلاعات نه از سوی کل سازمان، بلکه از جانب گروه محدودی از کاربران فوقفعال (Power Users) نشأت میگیرد که حدود ۵ درصد از پرسنل را تشکیل میدهند اما بیش از ۸۰ درصد دادههای ورودی به این پلتفرمها را مدیریت میکنند.
چرا ۵ درصد کاربران منبع اصلی ریسک امنیتی هستند؟
کاربران حرفهای معمولاً به دلیل اعتمادبهنفس بالا در استفاده از فناوری، تمایل دارند کنترلهای امنیتی و محدودیتهای سنتی شبکه را دور بزنند. این گروه شامل توسعهدهندگان نرمافزار، دانشمندان داده، مدیران محصول و تحلیلگران ارشد است که دسترسی بالایی به دادههای حیاتی سازمان دارند.
- حجم و حساسیت دادههای ورودی: این کاربران کل سورسکد پروژهها، لاگهای سیستمی و دیتابیسهای مشتریان را برای بهینهسازی به مدلها ارائه میدهند.
- استفاده از افزونهها و ابزارهای واسط غیرمجاز: پاور یوزرها برای اتوماسیون بیشتر، افزونههای متفرقه کروم و APIهای تاییدنشده را به سیستمهای شرکتی متصل میکنند.
- عدم درک شرایط استفاده (Terms of Service): پلتفرمهای رایگان هوش مصنوعی معمولاً از دادههای ورودی کاربران برای آموزش مجدد (Model Retraining) استفاده میکنند؛ موضوعی که به معنای افشای ناخواسته مالکیت فکری است.
طبقهبندی دادههای در معرض خطر
ورود دادههای تجاری به سرورهای شرکتهای ارائهدهنده هوش مصنوعی، زنجیرهای از نقضهای قانونی و افشای اطلاعات محرمانه را به دنبال دارد. جدول زیر متداولترین دستههای اطلاعاتی افشاشده توسط کاربران پیشرفته را نشان میدهد:
| نوع داده | گروه کاربری متداول | پیامد امنیتی و تجاری |
|---|---|---|
| سورسکد و کلیدهای API | توسعهدهندگان و مهندسان نرمافزار | کشف آسیبپذیریهای روز صفر و دسترسی غیرمجاز به زیرساخت ابری |
| اطلاعات هویتی و مالی (PII) | تیمهای فروش، منابع انسانی و مالی | نقض قوانین حریم خصوصی (مانند GDPR) و جریمههای سنگین رگولاتوری |
| طرحهای توسعه و استراتژی تجاری | مدیران محصول و مارکتینگ | از دست رفتن مزیت رقابتی و افشای پیش از موعد محصولات |
تاثیرات بلندمدت بر بازار و امنیت زنجیره تأمین
سابقه حوادث امنیتی نشان میدهد ممنوعیت مطلق هوش مصنوعی در شرکتهایی مثل سامسونگ و اپل در سالهای گذشته، نه تنها مشکل را حل نکرد بلکه کارمندان را به سمت استفاده از دستگاههای شخصی و شبکههای پنهان سوق داد. نقض امنیت از طریق هوش مصنوعی تنها به افشای متن محدود نمیشود؛ حملات جدیدی مانند تزریق غیرمستقیم پرامپت (Indirect Prompt Injection) و مسمومسازی دادهها از همین درگاههای تاییدنشده وارد شبکه سازمانها میشوند.
«مسدودسازی کورکورانه ابزارهای هوش مصنوعی مانند خاموش کردن اینترنت برای جلوگیری از ویروس است. سازمانها باید به جای فیلتر کردن، دیدهبانی (Visibility) و کنترل دادهها را در اولویت بگذارند.»
راهکارهای عملی برای مهار تهدیدهای Shadow AI
برای مدیریت ریسک ناشی از این ۵ درصد پرخطر بدون کاهش بازدهی سازمانی، پیادهسازی گامهای زیر ضروری است:
- پیادهسازی راهکارهای DLP سازگار با هوش مصنوعی: استفاده از سیستمهای جلوگیری از نشت داده (Data Loss Prevention) که بهطور ویژه متنهای ارسالی به دامنههای ارائهدهندگان هوش مصنوعی را تحلیل و دادههای حساس مانند شماره کارتها و توکنها را فیلتر میکنند.
- تهیه اشتراکهای سازمانی امن (Enterprise Tiers): پلتفرمهای سازمانی مانند ChatGPT Enterprise تضمین میدهند که دادههای ورودی برای بازآموزی مدلها ذخیره و استفاده نمیشوند.
- آموزش متمرکز بر سناریوهای واقعی: به جای دورههای عمومی امنیت، باید آموزشهای هدفمند مهندسی پرامپت امن برای توسعهدهندگان و کارشناسان داده برگزار شود.
جمعبندی
هوش مصنوعی ابزاری بنیادین برای رشد کسبوکارهاست، اما عدم کنترل دسترسیها میتواند آن را به پاشنه آشیل امنیت سایبری تبدیل کند. شناسایی کاربران پیشرفته، تدوین چارچوبهای شفاف حاکمیت داده و بهرهگیری از زیرساختهای سازمانی امن، تنها راهکار ایجاد توازن میان نوآوری و امنیت در سال ۲۰۲۵ خواهد بود.
سؤالات متداول
هوش مصنوعی در سایه (Shadow AI) چیست؟
استفاده کارکنان یک سازمان از ابزارها و سرویسهای هوش مصنوعی بدون تایید، نظارت و آگاهی تیم فناوری اطلاعات و امنیت، Shadow AI نام دارد.
چرا کاربران پیشرفته هوش مصنوعی خطرناکتر از سایرین هستند؟
زیرا این گروه دسترسی مستقیمی به دادههای حیاتی مانند سورسکد، کلیدهای دسترسی API و اطلاعات تجاری دارند و برای افزایش سرعت کار، این دادهها را وارد پلتفرمهای عمومی تاییدنشده میکنند.
آیا ممنوع کردن کامل استفاده از هوش مصنوعی در شرکتها راهکار مناسبی است؟
خیر؛ تجربه شرکتهای بزرگ نشان داده ممنوعیت مطلق باعث روی آوردن کارکنان به دستگاههای شخصی و مخفیکاری بیشتر میشود. رویکرد صحیح، ارائه ابزارهای نسخه سازمانی (Enterprise) با سیاستهای امنیتی شفاف است.
نسخههای سازمانی هوش مصنوعی چه مزیتی در مقایسه با نسخههای رایگان دارند؟
در نسخههای Enterprise، ارائهدهنده سرویس متعهد میشود که پرامپتها و دادههای ورودی کاربران را برای آموزش مدل استفاده نکند و اطلاعات رمزنگاریشده باقی بماند.
