企业内部员工滥用生成式AI工具导致敏感信息泄露问题日益严重，这一现象正在给企业带来巨大的安全风险和合规挑战。对此，昆明亭长朗然科技有限公司网络安全研究员董志军表示：生成式AI可以帮助工作人员提升工作效率，通过电脑浏览器和手机APP等方式，人们可以方便地与AI进行交互，同时，还有企业级的部门应用甚至Agent，在这种背景下，数据安全成为一种不容忽视的风险。因此，迅速采取措施遏制这些数据泄露至关重要。
根据调和科技最近发布的一份报告，在使用流行的大语言模型（LLM）时，8.5%的员工输入包含了敏感数据的提示词。这种情况引发了严重的安全、合规性、隐私和法律问题。调和科技在2024年第四季度分析了针对ChatGPT、GitHub Copilot、Google Gemini、Anthropic Claude和Perplexity等模型的数万个请求，
发现其中存在大量敏感信息泄露。
从数据类型来看，客户数据占最大比重（46%），其中包括计费信息和身份验证数据。保险索赔报告因其包含大量个人信息而成为重灾区，员工为提高处理效率而频繁将这类数据输入生成式AI工具。其次是员工数据（27%），包括工资单信息和 Personally Identifiable Information（PII）。法律和财务相关数据
则占15%，安全相关信息占比6.88%，这其中包括渗透测试结果、网络配置和事件报告等高风险内容。
这一问题不仅限于员工个人行为，还呈现出”半影AI”的新趋势。这种现象是由业务部门领导发起的，他们使用未经IT部门批准但已付费购买的生成式AI工具进行试验或提高工作效率。相比完全未经授权的”影子AI”，这类工具更隐蔽且难以管理。
令人担忧的是，免费版本的生成式AI工具成为最大的安全隐患。调和科技的研究显示，在敏感数据泄露案例中，有54%是通过ChatGPT的免费层实现的。主要原因在于这些免费工具的许可协议通常允许将输入数据用于模型训练，存在较高的数据泄露风险。
专家普遍认为，仅仅依靠传统的监控和控制应用程序来解决这个问题是远远不够的。真正需要的是从企业文化和战略层面入手，建立全面的AI安全意识体系。具体来说：
- 建立明确的政策框架：制定详细的数据使用规范，明确规定哪些数据可以用于AI工具，哪些不能。
- 提升员工安全意识：定期开展AI安全培训，帮助员工理解不当使用生成式AI的风险和后果。
- 推动合规创新：开发符合企业安全策略的内部AI工具和服务，为员工提供更安全、更高效的选项。
- 建立举报机制：鼓励员工在发现潜在数据泄露风险时及时报告，并给予适当奖励。
- 强化技术手段：部署专门的AI风险管理平台，实时监控敏感数据的使用情况。
- 加强跨部门协作：建立由IT、法务、合规和安全部门共同参与的AI治理小组，统筹管理相关事务。
企业必须认识到，当前的AI技术发展速度已经超出了传统安全措施的应对能力。如果不能主动拥抱这一变革，在提升员工安全意识的同时推动合规创新，最终将面临难以承受的安全代价。正如调和科技市场经理哈桑所言：”在AI时代，要么引领转型，要么眼睁睁看着安全防线崩溃。”
好的消息是：通过建立健全的安全管理体系、实施有效的风险评估与控制措施，以及加强员工在使用AI工具时的自我约束能力，企业可以更好地应对生成式AI带来的风险和挑战。安全意识是防止数据泄露不可或缺的一环，需要企业在整个组织结构中贯彻落实。
昆明亭长朗然科技有限公司专注于助力各类型的组织机构建立和实施网络安全意识教育计划，我们创作和推出了大量的安全意识宣教内容资源，包括动画视频、电子图片和网络课程。欢迎有兴趣的朋友联系我们，预览我们的产品作品，体验我们的在线系统。
- 电话：0871-67122372
- 手机、微信：18206751343
- 邮件：info＠securemymind.com
