AI đang âm thầm 'len lỏi' vào hệ thống doanh nghiệp mà thiếu kiểm soát

[MinhSec]

Một nghiên cứu mới từ Cybersecurity Insiders, phối hợp với Saviynt, vừa hé lộ một thực tế đáng lo ngại: các hệ thống trí tuệ nhân tạo (AI) đang ngày càng được tích hợp sâu vào hạ tầng cốt lõi của doanh nghiệp nhưng lại thiếu sự quản lý và giám sát cần thiết.

Theo khảo sát, có tới 71% giám đốc an ninh thông tin (CISO) và lãnh đạo bảo mật xác nhận rằng các công cụ AI đã được cấp quyền truy cập vào những nền tảng quan trọng như Salesforce hay SAP. Tuy nhiên, chỉ 16% trong số đó cho biết các quyền truy cập này đang được kiểm soát hiệu quả.

Điều này cho thấy một khoảng trống lớn trong quản trị: AI không chỉ là công cụ hỗ trợ, mà đang hoạt động như những “thực thể số” có quyền truy cập sâu, nhưng lại thiếu cơ chế giám sát tương xứng.

Danh tính AI: “vùng mù” mới trong an ninh mạng​

Một trong những phát hiện đáng chú ý nhất của nghiên cứu là sự thiếu hụt nghiêm trọng trong việc nhận diện các danh tính phi con người cụ thể là các hệ thống AI.

Có tới 92% người tham gia khảo sát thừa nhận họ không có khả năng nhận diện đầy đủ các danh tính AI trong hệ thống của mình. Thậm chí, 95% bày tỏ nghi ngờ rằng họ không thể phát hiện hoặc ngăn chặn việc lạm dụng nếu các hệ thống này bị xâm nhập. Đáng chú ý hơn, 75% tổ chức cho biết họ đã phát hiện các công cụ AI “không được phép” đang hoạt động trong môi trường nội bộ.

Khác với các tài khoản dịch vụ truyền thống, các hệ thống AI có thể tự động gọi API, lưu trữ thông tin xác thực trong thời gian dài và hoạt động xuyên suốt nhiều ứng dụng. Điều này tạo ra một khoảng cách lớn giữa quyền truy cập và trách nhiệm giải trình một rủi ro mà nhiều doanh nghiệp vẫn chưa kịp nhận ra.

Theo ông Holger Schulze, nhà sáng lập Cybersecurity Insiders, vấn đề này không còn là câu chuyện của tương lai: AI hiện đã có quyền truy cập vào các hệ thống quan trọng với mức độ tự chủ cao, nhưng lại thiếu sự giám sát tương ứng từ con người.

Hiện tại, có tới 86% tổ chức chưa thực thi các chính sách kiểm soát truy cập dành riêng cho danh tính AI. Và chỉ vỏn vẹn 5% lãnh đạo an ninh cảm thấy tự tin rằng họ có thể ngăn chặn một tác nhân AI bị xâm phạm.

Báo cáo kết luận rằng khi AI tiếp tục được tích hợp sâu vào các nền tảng SaaS và điện toán đám mây, các doanh nghiệp cần nhanh chóng chuyển hướng: từ quản lý người dùng sang quản lý danh tính máy móc bao gồm việc phát hiện, phân loại và giám sát liên tục nếu không muốn mất kiểm soát toàn bộ hệ thống.

Nguồn: hackread​

 

Được phối hợp thực hiện bởi các chuyên gia của Bkav, cộng đồng An ninh mạng Việt Nam WhiteHat và cộng đồng Khoa học công nghệ VnReview