Ötən müsahibədə suni intellektin özünün hakerlərin hədəfinə çevrilmə tendensiyası və yeni kiberhücum vektorlarından danışdım. Bugün isə isə ötən video da söz verdiyim kimi Suni İntellektin informasiya sızdırma vasitəsi kimi müəssisə və təşkilatlara, o cümlədən informasiya təhlükəsizliyinə necə təsir etməsi barədə danışmaq istəyirəm.

Qeyd etdiyim bu təhdidin yeni adı Insider Threats və ya daha anlaşıqlı dildə desək Daxili Təhdidlərin Aİ ilə maskalanmasıdır. Müəssisələrdə işçilərin Aİ alətlərindən istifadə edərək şirkət daxili məlumatları gizli şəkildə çıxarması 2026-cı ilin ən böyük korporativ risklərindən biri kimi qeydə alınıb.

Belə Data Exfiltration hallarının artması hazırda böyük PAM və təhlükəsizlik alətləri şirkətlərini də mühafizə vasitələrinin inkişaf etdirilməsi və yeni təhdidlərin qarşılanması taskı qarşısında aktiv fəaliyyətə keçirmişdir.

Süni intellektlə bağlı təhlükəsizlikdən danışanda adətən diqqəti Aİ modelinin özünə yönəldirik. Amma məncə, yaxın dövrdə müəssisələr üçün əsas problemlərdən biri Aİ-nin özü yox, insanların Aİ-dən necə istifadə etməsi olacaq. Çünki bu gün əməkdaşın gündəlik işini sürətləndirmək üçün etdiyi çox sadə bir hərəkət informasiya təhlükəsizliyi insidentinə çevrilə bilər.

Məsələn: müqaviləni ChatGPT-yə yükləyib xülasə etdirmək; şirkətə məxsus proqram kodunu Aİ-yə verib səhvi tapmasını istəmək; daxili yazışmanı və ya hesabatı ora yerləşdirib cavab hazırlatmaq; müştəri məlumatlarını analiz etdirmək; və yaxud hətta ekran görüntüsünü Aİ-yə göndərib ondan kömək almaq.

İstifadəçi burada məlumat oğurladığını düşünmür. O, sadəcə işini daha sürətli görmək istəyir. Amma informasiya təhlükəsizliyi baxımından həmin məlumat artıq təşkilatın nəzarət etdiyi informasiya mühitindən kənara çıxmış ola bilər.
Və məncə burada klassik Insider Threat anlayışına da yenidən baxmaq lazım gələcək.

Əvvəllər daxili təhdid dedikdə məlumatı USB-yə köçürən, şəxsi e-mailə göndərən və ya bilərəkdən təşkilatdan çıxaran əməkdaşı düşünürdük.

İndi isə eyni proses bir prompt vasitəsilə baş verə bilər. Hətta istifadəçi bunu bilmədən də edə bilər. Bəzi hallarda isə Aİ məlumatı təşkilatdan çıxarmağın daha rahat vasitəsinə də çevrilə bilər. Mən bunu müəyyən mənada “daxili təhdidin Aİ ilə maskalanması” kimi qiymətləndirərdim.
Və maraqlı olan odur ki, daha öncə qeyd etdiyim kimi PAM və sair kimi təhlükəsizlik həlləri öz yeni strategiyalarını artıq bu təhlükəsizlik problemi ətrafında formalaşdırmağa başlayıb.

Təhlükəsizlik bazarında artıq ayrıca AI Data Loss Prevention, Data Security Posture Management for AI, AI usage monitoring, Shadow AI detection, Insider Risk və Secure AI Gateway kimi yanaşmalar yaranır. Məsələn, Microsoft-un hazırkı Purview imkanları artıq istifadəçilərin Aİ saytlarına girişini, Aİ-yə göndərilən promptlarda həssas məlumatların olub-olmadığını aşkarlamağa, müəyyən hallarda isə həssas məlumatın Aİ sisteminə göndərilməsini bloklamağa imkan verir.

Bu, məncə, bazarın hara getdiyini kifayət qədər yaxşı göstərir. Proqnozum isə təşkilatlar yaxın zamanlarda belə həllər təklif edən çoxsaylı şirkətləri qonaq etməli və təklifləri ilə tanış olmalı olacaqlar. DLP, PAM, Insider Risk, CASB və digər klassik təhlükəsizlik məhsullarının da Aİ-yə uyğunlaşdırılmış yeni versiyalarını daha çox görəcəyik.

Ona görə də yaxın zamanda marketoloqlar qapınızı döyüb sizə:

“İşçiləriniz ChatGPT-yə nə göndərir?”
“Şirkət daxilində hansı Aİ alətlərindən istifadə olunur?”
“Həssas məlumatın Aİ-yə ötürülməsini necə bloklayırsınız?”
kimi suallar verməyə başlasalar, buna təəccüblənməyin.
Çünki yeni təhlükəsizlik bazarı artıq formalaşır.

Amma məsələnin başqa bir maraqlı tərəfi də var.

Dövlətlər də artıq sadəcə Aİ-ni ümumi şəkildə tənzimləmir. Aİ-dən istifadə zamanı yaranan konkret davranışları tənzimləməyə başlayırlar. Məsələn, Avropa İttifaqında AI Act-ın 50-ci maddəsi üzrə şəffaflıq tələbləri 2 avqust 2026-cı ildən tətbiq olunur. Burada maraqlı tələblərdən biri deepfake məzmunla bağlıdır. Aİ vasitəsilə yaradılmış və ya manipulyasiya edilmiş deepfake görüntü, video və audio məzmunla qarşılaşan insan bunun süni şəkildə yaradıldığını və ya dəyişdirildiyini bilməlidir.

Yəni qanunvericilik artıq sadəcə:
“Süni intellekt təhlükəsiz olmalıdır”
demir. Artıq konkret olaraq:

“Aİ ilə nə etmisən və nəticəsini insanlara necə təqdim edirsən?”
sualını verir. Hətta bunun daha spesifik nümunələri də yaranır.

ABŞ-ın Minnesota ştatında “nudification” texnologiyası ilə bağlı ayrıca qanun 1 avqust 2026-cı ildən qüvvəyə minib. Söhbət real insanın şəklini və ya videosunu Aİ və digər texnologiyalar vasitəsilə real görünən çılpaq görüntüyə çevirməyə imkan verən xidmətlərdən gedir.

Yeni qanun müəyyən nudification xidmətlərinin istifadəçilərə bu imkanı təqdim etməsini, həmçinin belə xidmətlərin reklamını və təşviqini qadağan edir. Pozuntuya görə hər qanunsuz giriş, yükləmə və ya istifadə halı üçün 500 min dollara qədər mülki cərimə nəzərdə tutulur. Bu çox maraqlı tendensiyadır. Çünki artıq tənzimləmənin predmeti sadəcə Aİ modeli deyil. Tənzimlənən obyekt getdikcə daha çox insanın Aİ-dən necə istifadə etməsi və həmin istifadənin hansı nəticəni yaratmasıdır.

Eyni tendensiyanı informasiya təhlükəsizliyində də görəcəyik. Məncə növbəti mərhələdə müəssisələrin qarşısında duran əsas suallardan biri belə olacaq:
“Biz Aİ-ni necə təhlükəsiz edək?” yox,

“İnsanlarımızın Aİ-dən təhlükəsiz istifadə etməsini necə idarə edək?”

Çünki gələcəkdə informasiya təhlükəsizliyinin qoruduğu obyektlərdən biri də məhz istifadəçi ilə süni intellekt arasındakı qarşılıqlı əlaqə olacaq.

Mənbə: unikal.az