التحذير من Shadow AI: كيف تتجاوز أدوات الذكاء الاصطناعي غير المصرح بها مخاطر الأمان

في تقرير حديث صادر عن شركة UpGuard يُتوقع أن تصل نسبة مستخدمي أدوات الذكاء الاصطناعي غير المعتمدة في مكان العمل إلى نحو 90% بحلول نهاية عام 2025. الأمر المقلق أن المسؤولين عن تطبيق سياسات الأمان، يعترفون بأنهم يتجاهلونها، حيث يستخدم أكثر من 80% من الموظفين عبر جميع المستويات أدوات AI غير مرخصة، ويقود التنفيذيون تلك النسبة بشكل كبير. هذا الواقع يعيدنا إلى ذكريات معركة Shadow IT قبل عقد من الزمن، حيث كانت الشركات تحارب الحسابات الشخصية على Dropbox والتطبيقات غير المعتمدة، التي تنقل البيانات عبر أدوات لم تخضع لمراجعات أمنية. لكن هذه الممارسات كانت تعتمد على أدوات بسيطة تنقل وتخزن البيانات، أما Shadow AI فغير ذلك تمامًا.

التحدي الجديد: أدوات الذكاء الاصطناعي لا تخزن البيانات فقط

الفرق الجوهري أن أدوات AI لا تقتصر على تخزين البيانات، بل تقوم بمعالجتها وربما الاحتفاظ بها، مما يخلق مخاطر أمنية وامتثال أكبر. عندما يلصق الموظفون قوائم العملاء في روبوت دردشة مجاني أو يزودون أنظمة تعلم الآلة بأكواد سرية من أجل تصحيحها بشكل أسرع، تدخل البيانات إلى أنظمة تخرج عن سيطرة المؤسسة. لا يوجد سجل تدقيق يُوضح متى وأين حدث ذلك، وغالبًا لا أحد يدرك أن الأمر حدث.

المخاطر القانونية والامتثال

تسبب Shadow AI مخاطر قانونية تتفاقم مع مرور الوقت، إذ لا توجد اتفاقيات واضحة لمعالجة البيانات أو سياسات موثقة للاحتفاظ بها، مما يعقد من قدرة المؤسسات على الامتثال لمعايير مثل GDPR. وأظهرت أبحاث Netwrix أن المؤسسات التي تستخدم أدوات AI غير مصرح بها بشكل كبير تتكبد تكاليف اختراق البيانات أعلى بمقدار 670,000 دولار في المتوسط.

استمرار الاستخدام رغم الحظر

رغم فرض قيود على أدوات AI، تظهر الدراسات أن 46% من الموظفين سيواصلون استخدام الأدوات غير المصرح بها حتى بعد حظرها الصريح. فالحظر يُدفع إلى الأفعال السرية، حيث يظل الموظفون يتعمدون تجاوز القيود.

تداعيات الاستخدام غير المدقق

عندما يعتمد الموظفون على نماذج AI غير معتمدة للتحليل أو كتابة النصوص أو توليد الكود، فإن النتائج غالبًا تكون غير دقيقة. قد ينتهي الأمر بتسليم تقارير خاطئة، أو برمجيات غير موثوقة إلى الإنتاج، أو صياغة مستندات قانونية بدون مراجعة من قبل فريق الالتزام. مع مرور الوقت، تتدهور دقة مخرجات المؤسسة، خاصة وأن الأدوات غير المصرح بها تُستخدم في سير عمل غير مرئي يمكن تغييره أو إيقافه دون إشعار مسبق.

التهديدات المتقدمة: AI الوكيل والاختراقات

الموجة الجديدة من الذكاء الاصطناعي تتجاوز الاستخدام البسيط، حيث تظهر أنظمة AI الوكيلة التي تتخذ إجراءات مستقلة، مثل قراءة البريد الإلكتروني، تنفيذ الأوامر، أو الوصول إلى الملفات، بدون تدخل بشري. مثال على ذلك، منصة OpenClaw المفتوحة المصدر، التي حصدت 145,000 نجمة على GitHub في أسابيع، أظهرت كيف يمكن أن تتحول أدوات AI إلى تهديدات أمنية خطيرة. حيث وجد فريق أبحاث Cisco أن بعض الإضافات الخبيثة التي تم تحميلها على المنصة تعمل بشكل خفي، ترسل بيانات إلى خادم خارجي، وتستخدم هجمات injection لتجاوز قواعد السلامة، وتحتوي على ثغرات أمنية خطيرة. وأدى ذلك إلى حظرها من قبل الحكومة الصينية، وتوقعات بأن تصل نسبة تطبيقات AI الوكيل إلى 40% من تطبيقات المؤسسات بحلول نهاية العام، ارتفاعًا من أقل من 5% في 2025.

التحدي الأمني: أدوات AI الوكيل تهدد البنية الأمنية

هذه الأنظمة تُمثل تحديًا كبيرًا للأمان، فهي تبدو كأنها مستخدمون شرعيون، ولا تظهر عليها علامات تهديد واضحة. فهي تتفاعل مع البريد الإلكتروني، صفحات الويب، المستندات، الصور، وتحتوي على إمكانيات لإخفاء التعليمات، مما يسمح للمهاجمين بزرع أوامر خبيثة وإصابة الأنظمة بسهوله. تم إثبات أن بريدًا إلكترونيًا سامًا واحدًا يمكن أن يؤدي إلى تسريب مفاتيح سرية، مما يعرض المؤسسات لخطر كبير.

الحلول الفعالة: إدارة الاستخدام بدلاً من الحظر المطلق

تكشف البيانات أن الحظر الشامل غير فعال، وأن الحل هو توفير أدوات محسنة وموثوقة للمستخدمين. على سبيل المثال، نظام رعاية صحية استبدل الحظر بأدوات معتمدة، مما أدى إلى انخفاض كبير في الاستخدام غير المصرح به بنسبة 89%. إذ إن الموظفين يلجؤون إلى Shadow AI لأنها تحل مشاكلهم بسرعة أكبر من أدوات تكنولوجيا المعلومات المعتمدة. بتضييق الفجوة، يمكن تقليل السلوكيات الخطرة بشكل كبير.

إدارة مخاطر AI بشكل استباقي

يجب اعتبار تفاعلات AI كحركات بيانات، وتطبيق سياسات حماية البيانات مثل DLP على المدخلات، وتصنيف المعلومات التي لا يجب أن تدخل في نماذج خارجية. كما ينبغي مراقبة أدوات الموظفين بشكل فعال، حيث تشير أبحاث BlackFog إلى أن 99% من المؤسسات لا تملك وسيلة لقياس نشاط Shadow AI في بيئاتها.

التحدي الأمني في أدوات AI الوكيل

الأدوات التي تعمل بشكل مستقل تتطلب حماية خاصة، مثل sandboxing، وتحديد أدنى مستوى من الامتيازات، وفحص دقيق لكل إضافة قبل النشر. على فرق الأمان مراقبة تهديدات الذكاء الاصطناعي، مثل injection، وسرقة بيانات الاعتماد، أو اختراق سلاسل التوريد عبر المهارات الخبيثة. فالأدوات الأمنية التقليدية لم تصمم لمواجهة هذه التحديات، ويجب تطوير حلول مخصصة لمواجهة التهديدات التي تظهر مع تطور أدوات AI الوكيلة.

الخلاصة: تبني إدارة مرنة وشفافة

لا يمكن أن يكون الحظر هو الحل الوحيد. فالأكثر فاعلية هو تقديم بدائل موثوقة ومفهومة للموظفين، مع تقديم إدارة مرنة تركز على خدمات ودعم الموظفين بدلاً من فرض قيود قسرية. المؤسسات التي تتبنى هذا النهج ستكون في وضع قوي لمواجهة تحديات Shadow AI، فيما تتخلف من لا يعترف بوجود المشكلة، حيث أن البيانات تتسرب بشكل مستمر من خلال الأوامر والنصوص، دون أن يلاحظ أحد ذلك لعدة أشهر.

هذه المقالة جزء من سلسلة Perspectives التي تقدمها TechRadar Pro، حيث نعرض أفضل العقول في مجال التكنولوجيا اليوم. الآراء الواردة هنا تعبر عن رأي الكاتب وليس بالضرورة عن TechRadarPro أو Future plc.