ОтветыОпубликовано19 источники
Теневой ИИ в Сингапуре: почему правила не успевают за сотрудниками
Проблема теневого ИИ — не только в отсутствии правил: 18% организаций, запрещающих несанкционированные ИИ инструменты, не могут выявить нарушения. 60% опрошенных специалистов DevSecOps называют управление и контроль соблюдения правил своей главной временной нагрузкой, а 41% считают проверку кода, созданного ИИ, затр...
ОпубликовалОтредактировано с помощью GPT-6 LunaИзображения созданы с помощью GPT Image 2
Ответ на исследование
Ключевые выводы
- Проблема теневого ИИ — не только в отсутствии правил: 18% организаций, запрещающих несанкционированные ИИ инструменты, не могут выявить нарушения.
- 60% опрошенных специалистов DevSecOps называют управление и контроль соблюдения правил своей главной временной нагрузкой, а 41% считают проверку кода, созданного ИИ, затратной по ресурсам.
- Чтобы управлять рисками, компаниям нужно учитывать не только исходный код, но и модели ИИ, сторонние пакеты, облачные сервисы и другие компоненты приложений.
Промпт ИИ
openai.comCreate a landscape editorial hero image for this Studio Global article: How is employee adoption of shadow AI outpacing governance controls in Singapore companies, and what do JFrog’s Sunny Rao and Splunk’s Chris. Article summary: Employee use of unapproved AI is moving faster than Singapore companies can discover it, review its outputs and enforce internal rules, creating a gap between written governance and operational control. The reported cons. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Сотрудники осваивают ИИ-инструменты быстрее, чем компании успевают выяснить, где именно те используются, проверить результаты и обеспечить соблюдение внутренних правил. В Сингапуре это создаёт разрыв между наличием политики и её исполнением на практике. 3
5
6
Правила есть, контроля может не быть
«Теневым ИИ» называют инструменты искусственного интеллекта, которыми пользуются для работы без одобрения или надзора компании. Сотрудник может обратиться к такому сервису, чтобы быстрее решить задачу, тогда как ИТ- и службы безопасности не видят, какой инструмент используется и какие данные ему передают. 14
Наличие письменного запрета ещё не означает, что компания может обнаружить его нарушение. По данным исследования JFrog, 18% организаций в Сингапуре запрещали несанкционированные ИИ-инструменты, но не имели механизма для выявления случаев их использования. 3
Разработка ускоряется, а проверка требует времени
Современное приложение — это не только код, написанный внутри компании. В него могут входить пакеты с открытым исходным кодом, облачные сервисы, сгенерированный ИИ код, модели и инструменты сторонних поставщиков. Каждый такой компонент нужно учитывать и оценивать. 5
Исследование JFrog показывает, насколько трудоёмким становится этот контроль: 60% опрошенных специалистов DevSecOps в Сингапуре назвали управление и обеспечение соблюдения правил своей главной временной нагрузкой, а 41% сообщили, что проверка кода, созданного ИИ, требует значительных ресурсов. 5 Это оценки участников опроса, а не доказательство того, что все компании сталкиваются с одинаковым уровнем риска.
Есть и проблема готовности к аудиту. По данным отдельного материала о сингапурском исследовании JFrog, 54% респондентов требовалась как минимум неделя, чтобы собрать подтверждающие соответствие требованиям материалы по одному приложению. 7 Знать, кто отвечает за приложение, — не то же самое, что быстро показать, из каких компонентов оно состоит и как они контролируются.
Риски не ограничиваются проверкой кода
Если несанкционированные ИИ-сервисы остаются вне поля зрения службы безопасности, сотрудники могут передать им конфиденциальные сведения — например, исходный код или данные клиентов. Руководства по безопасности относят передачу чувствительной информации за пределы контроля организации к рискам теневого ИИ. 23
24
Результаты работы ИИ также нуждаются в проверке до того, как их начнут использовать. Данные по Сингапуру показывают, что такая проверка может отнимать заметные ресурсы, но имеющиеся здесь сведения не позволяют оценить, как часто ошибки доходят до клиентов или критически важных систем. 5
Сам по себе запрет не устраняет пробел в контроле, если сотрудники продолжают пользоваться инструментами, применение которых компания не умеет обнаруживать. Результат JFrog подчёркивает практическую задачу: важно не только описать, что запрещено, но и уметь замечать использование ИИ и применять правила. 3
Контролировать нужно всю цепочку компонентов
По словам Санни Рао из JFrog, современные приложения объединяют внутренний код, пакеты с открытым исходным кодом, облачные сервисы, код, созданный ИИ, модели и инструменты сторонних поставщиков. Поэтому безопасность уже не сводится к проверке исходного кода: необходимо видеть и оценивать всю совокупность компонентов приложения. 5
Кристин Лоу из Splunk обращает внимание на смежную задачу: компаниям, которые стремятся масштабировать использование ИИ, приходится учитывать требования комплаенса, управление данными и операционную нагрузку, связанную с постоянными изменениями. 4 В совокупности эти наблюдения показывают, что надзор за ИИ касается не только разработчиков: он также требует управлять данными и зависимостями по мере изменения систем.
Что могут сделать компании
Практический подход связывает видимость с контролем, который можно применять на деле:
- Учитывать компоненты приложений. Вести учёт не только собственного кода, но и моделей ИИ, пакетов и других программных компонентов.
5
8
- Делать правила исполнимыми. Данные о 18% показывают, почему запреты нужно подкреплять средствами обнаружения несанкционированного использования.
3
- Упрощать подготовку доказательств соответствия. Сообщения о задержках при аудите указывают, что одной записи о владельце приложения может быть недостаточно: нужна доступная информация о его компонентах и мерах контроля.
7
- Включить проверку результатов ИИ в обычный процесс защиты ПО. Код, созданный ИИ, следует оценивать как часть приложения, а не считать, что более быстрая генерация автоматически означает более быструю и безопасную поставку.
JFrog предлагает управлять моделями, пакетами, плагинами и результатами работы ИИ через единую систему учёта. 8 Независимо от выбранных инструментов, основная задача одна: связать то, что компания способна видеть, с мерами контроля, которые она может применять ко всей цепочке поставки ПО и ИИ.
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Люди также спрашивают
Каков краткий ответ на вопрос «Теневой ИИ в Сингапуре: почему правила не успевают за сотрудниками»?
Проблема теневого ИИ — не только в отсутствии правил: 18% организаций, запрещающих несанкционированные ИИ инструменты, не могут выявить нарушения.
Какие ключевые моменты необходимо проверить в первую очередь?
Проблема теневого ИИ — не только в отсутствии правил: 18% организаций, запрещающих несанкционированные ИИ инструменты, не могут выявить нарушения. 60% опрошенных специалистов DevSecOps называют управление и контроль соблюдения правил своей главной временной нагрузкой, а 41% считают проверку кода, созданного ИИ, затратной по ресурсам.
Что мне делать дальше на практике?
Чтобы управлять рисками, компаниям нужно учитывать не только исходный код, но и модели ИИ, сторонние пакеты, облачные сервисы и другие компоненты приложений.
Источники
frontier-enterprise.comSingapore's innovation faces a new risk: Shadow AI