생성형 AI에 대한 안전한 액세스

생성형 AI의 기회와 위험

ChatGPT는 2022년 11월 출시 이후 단 두 달 만에 1억 명 이상의 사용자를 확보하며 역사상 가장 빠르게 성장하는 플랫폼 중 하나가 되었습니다. 이에 비해 틱톡은 9개월, 인스타그램은 2.5년이 걸려 같은 사용자 수를 달성했습니다. 전 세계 사람들의 관심을 사로잡은 ChatGPT는 매일 활용되고 있는 수많은 생성형 AI 플랫폼 중 하나에 불과합니다. 이러한 플랫폼은 콘텐츠 개선, 영감 및 브레인스토밍 지원, 일상적인 업무 아웃소싱 등 사람들의 업무 방식을 변화시키고 있습니다. 이는 조직이 생산성과 업무의 질을 높일 수 있는 많은 기회를 창출합니다.

그러나 ChatGPT와 같은 생성형 인공 지능(AI) 플랫폼과 챗봇의 사용은 사이버 보안에도 큰 영향을 미치며, 데이터의 개인 정보 보호 및 보안과 피싱 공격의 위협에 대한 의문을 제기합니다.

피싱 공격의 위협

많은 사람들이 이러한 도구를 통해 위협 행위자들이 놀라운 규모의 회피형 위협을 개발할 수 있게 될까봐 불안해하고 있습니다. 또한 ChatGPT와 같은 플랫폼은 해커가 더욱 정교하고 효과적인 피싱 공격을 실행할 수 있는 장벽을 낮췄습니다. 그러나 사이버 보안 전문가들은 ChatGPT가 전 세계 조직과 개인에게 미치는 위험에 대해 경고하는 것은 옳지만, 이러한 생성형 AI 플랫폼과 챗봇의 더 즉각적인 부정적인 측면, 즉 독점 데이터 또는 기타 지적 재산(IP)의 잠재적 손실에 대해서는 놓치고 있을 수 있습니다.

데이터 손실의 위험

직원들이 ChatGPT나 Bard와 같은 생성형 AI 도구를 사용할 때 민감한 회사 데이터를 공유하거나 노출할 수 있습니다. 여기에는 고객 데이터, 영업 비밀, 기밀 정보, 심지어 지적 재산까지 포함될 수 있습니다. 생성형 AI를 사용하면 개인 데이터가 다른 일반적인 데이터 손실 경로보다 훨씬 더 많은 사람에게 도달할 수 있습니다. ChatGPT 및 기타 생성형 AI 플랫폼은 채팅 기록과 같은 데이터를 저장하여 모델을 훈련하고 개선합니다. 즉, 입력된 모든 데이터가 모델 학습에 사용되어 나중에 다른 사용자에게 노출될 수 있습니다.

실제 사례:

최근 삼성 반도체 그룹의 엔지니어 그룹이 회사가 개발 중인 새로운 기능의 코드를 더 효율적으로 만들 수 있는지 확인하기 위해 ChatGPT에 소스 코드를 입력했다는 보도가 있었습니다. ChatGPT 및 기타 생성형 AI 도구는 입력 데이터를 유지하여 스스로 학습하는 방식으로 작동하며, 입력된 삼성 소스 코드는 이제 다른 사용자의 요청에 대한 응답을 공식화하는 데 사용될 수 있습니다. 여기에는 취약점을 찾는 위협 행위자나 독점 정보를 찾는 경쟁업체가 포함됩니다.

조직을 보호하기 위해 일부 기업은 생성형 AI 사이트를 전면적으로 금지했습니다. 이탈리아에서는 데이터 프라이버시에 대한 우려로 전국적으로 ChatGPT를 잠시 금지했다가 약 한 달 만에 서비스를 복구했습니다. 인공 지능 서비스에 대한 접근을 막는 것이 잠재적인 보안 위험에 대한 해결책처럼 보일 수 있지만, 이는 장기적인 해결책이 아닌 임시방편일 뿐입니다. ChatGPT를 비롯한 수많은 인공 지능 플랫폼은 사람들이 비즈니스 프로세스를 간소화하고 지루한 작업을 자동화하거나 글쓰기, 디자인 또는 코딩 프로젝트를 시작하는 데 사용할 수 있는 강력한 비즈니스 도구입니다. 이러한 사이트를 차단하면 생산성과 비즈니스 민첩성 또한 차단됩니다.

안전한 생성형 AI 사용 지원

안타깝게도 기존의 데이터 손실 방지(DLP), 클라우드 액세스 보안 브로커(CASB) 및 기타 내부자 위협 솔루션만으로는 이 새로운 기술의 미묘한 차이를 처리하기에 충분하지 않습니다. 조직은 모든 솔루션에 적합한 단일 솔루션에 집중하는 대신 계층화된 접근 방식이 필요합니다.

조직은 DLP와 함께 입력 필드에 붙여넣을 수 있는 항목을 제한할 수 있습니다. 예를 들어 글자 수를 제한하거나 알려진 코드를 차단할 수 있습니다. 수천 줄의 소스 코드를 수동으로 입력하는 사람은 아무도 없으므로 붙여넣기 기능을 제한하면 이러한 유형의 데이터 손실을 효과적으로 방지할 수 있습니다. 또한 사용자가 입력하려는 정보에 대해 다시 한 번 생각하게 만들 수 있습니다.

또한 조직은 이벤트 로깅 또는 브라우저 기록 시작과 같은 추가 보안 제어를 트리거하는 보안 정책을 적용하여 문제 해결 및 사후 이벤트 분석을 지원해야 합니다. 내부자에 의한 침해에 대한 조사는 고의성을 입증할 수 있는 증거가 있어야 한다는 점을 기억해야 합니다. 이벤트와 브라우저 세션을 기록하면 사용자가 악의적인지 아니면 단순한 과실인지에 대한 가시성과 인사이트를 얻을 수 있습니다.

왜 Menlo인가?

Menlo Security는 격리 및 비격리 브라우징 세션 모두에서 웹 파일 업로드 및 사용자 입력에 대한 신뢰할 수 있는 검사를 제공하여 직원이 민감한 파일을 업로드하거나 영업 비밀 등을 생성형 AI 솔루션에 입력하지 못하도록 차단합니다. 복사 및 붙여넣기 제어와 결합된 Menlo Security는 민감한 데이터가 오용될 수 있는 외부 사이트에 노출되지 않도록 보호하지만 사용자가 사이트에서 결과를 복사할 수 있도록 허용합니다. 브라우저 포렌식을 통해 보안 팀은 마우스 클릭 및 데이터 입력과 같은 작업을 웹 세션 내에서 발생한 대로 ‘재생’하여 최종 사용자 작업의 의도와 영향을 파악할 수 있습니다.