企業準備好了嗎？生成式AI對於資安的挑戰
生成式AI（GPT: Generative Pre-trained Transformer）是近來很火紅的議題，尤其AI熱潮讓GPT的討論更加熱烈，OpenAI幾乎成為GPT的代名詞，各行各業若使用GPT猶如是企業轉型萬靈丹，可以解決公司成長問題並提升公司競爭力，甚至許多國家也號稱要有國家GPT提高國家競爭力，連同在人工智慧運算領域中，佔有領導算力代表的輝達NVIDIA不僅成為AI GPU被追逐下單的熱門首選股，推出的AI晶片更帶動台股相關半導體概念族群後市看漲。
生成式AI是否已成為各行業的救命仙丹？
現在GPT被廣泛應用於文字創作、學術論文寫作、簡報製作、程式設計等影音創作，當使用Prompt提供指引和指令，讓GPT回答給出「答案」，當你面對這樣的內容，內心沒有疑問嗎？
實際上GPT不可能無中生有，是經過Data（資料）的收集、分析，以LLM運算自然生成產出回答的內容，這些前置訓練資料完整性以及適法性是否被考慮過？不是透過學習大量的文字資料，號稱大數據就可以，資料斷鏈極可能造成資料模型的建立產生錯誤。GPT選擇性的思考應該包含：Domain專業性 x Data Integrity資料完整性 x Computing算力。
網路上非結構性的資料被訓練成為搜尋的基礎，但美國GPT模型建造者就受益於56%的英文網站，僅1.5%是中文，因此就算各國投入或是Prompt使用的語言，都會讓結果差異跟正確性結果有所不同，因為語法、語意會讓Prompt的描述更加容易臆測，後續仍有高速運算、量子運算等高速運算力的投入。
就拿生技上的疫苗篩檢及配對為例，可以大幅縮短傳統科學家的模型建立跟運算時間，因此科技產業跟投資法人都看好生成式AI的未來發展。
GPT背後隱藏的四大資安風險
AI對生活帶來重大的改變，讓未來看似是美好的，但從GPT跟資訊安全的威脅影響，需要提醒企業以及使用者。數位發展部長在今年8月12日的 DevDays Asia 2024大會提出，結合「AI與資安」將會成為巨大商機的同時，駭客腦裡想的也是同一件事情，尤其是在進行資安攻擊上，AI能給予更大的方便性。
關於GPT的崛起背後隱藏的資安風險，可以從四個面向來剖析：
1. 進階式持續性威脅
凡走過必留痕跡，駭客從情報蒐集和社群媒體軌跡的學習，驅動網路詐騙和勒索軟體的攻擊目標更加明確，針對個人定製的電子郵件、簡訊釣魚郵件持續增多，駭客透過GPT的提示，可以在網路上爬梳個人的歷程，進而發出個人化的郵件攻擊。
2. 深偽詐欺、語音詐騙
人臉識別、車牌辨識等技術移轉式影響、聲音的詐騙技術已經駕輕就熟，FinTech（金融科技）早在2014年由美國賓州大學成立Wharton FinTech，在網路上FinTech的多元應用，都要透過多因子、動態密碼等多次憑證的再確認，但因為深偽技術太過成熟，導致信任（Trust）變成一道難題，因為牽扯到風險跟損失負擔，GPT加速風險的擴延。
3. 未經過授權或是不熟悉、使用不當造成資料外洩
2024年4月30日美國8家媒體業，正式向紐約聯邦法院對OpenAI和微軟提出訴訟，訴狀指出，OpenAI的產品ChatGPT和微軟的Copilot，都未經同意非法盜用了各家媒體總計數百萬篇新聞稿，藉以訓練AI模型，原告媒體要求5年$2.5億美元的授權金。
LLM是經過類神經網路的大量資料學習，其資料模型的建立必須是在應用基礎的前提來討論的，因此在使用GPT訓練模型建立時，必須考慮是否將自身的企業資料輾轉變成他人的養分，甚至造成內部資料外洩。
三星電子裝置解決方案及半導體業務部門發生的三起事件，出自員工將公司機密資訊輸入ChatGPT而外流，因此三星電子從6月起針對全體南韓12萬名員工推動名為”GPT-AI Power User”的教育訓練課程。
4. 程式開發引用開放原始碼
開放原始碼不是專人維護，是一種共享、共同創作的社群，但也因此開放程式所隱藏的漏洞，就更加需要被檢測出來，由於GPT將程式開發時程加速，但Debug以及檢測的項目增多，程式語言本身就是一種邏輯，程式設計師有自己一套語言開發慣性，當測試工程師要去Debug就需要先了解程式本身，花費時間不比程式開發者少，再加上要檢測資安漏洞，這些成本及時間都要計入使用GPT的TCO（Total Cost of Ownership）之中。
導入生成式AI之前 企業更應做好資安防護準備
上述論述是從資安防禦的角度提醒GPT的使用是科技進化的潮流，導入生成式AI就應該從風險、成本、速率以及自動化之間的平衡點做好考量，在企業內部資安考量資料洩漏、系統在設計上的漏洞，並思考權限控管的重要性。
同時，公司也必須明定使用生成式AI的政策跟範圍，限制Prompt字結的使用長度，強化內部稽核的督導機制，持續強化災損應變的SOP，對企業內部員工的教育訓練萬不可少，因為員工資安意識不足，會成為企業頭痛的風險弱點。
企業在導入GPT時要確實注意資安風險的衝擊，道高一尺、魔高一丈，任何重大資安事件都是「前所未有」，因此在反制資安事件上，需要同樣以其人之道還治其人之身，運用AI模型取代規則觸發，並且大量維運日誌加以分析、應變，在自動化上運用AI小助手，降低工作的重複性和複雜性，並增加Prompt對日誌的判別與蒐集，加速對資安事件的反應速度，以降低資安事件衝擊所造成的損失。