- 长臂猿-企业应用及系统软件平台
这句话出自《侏罗纪公园》中备受欢迎的角色马尔科姆博士。尽管他在电影中指的是科研人员匆忙复活极度危险的恐龙,但在如今的人工智能热潮中,同样的观点似乎仍然适用。
实际上,目前的人工智能局势可能比《侏罗纪公园》中更为危险。在电影中,科学家们复活的恐龙至少被控制在几个岛屿上,并由一家公司管理。然而,现实中的 AI "怪兽"却无处不在,无论是在可见还是触及的范围内,人人都能感受到它的存在。
距离 ChatGPT 发布已经过去了半年多,AI 驱动的浏览器扩展程序迅猛发展。在 Chrome Web Store 中搜索“AI”,屏幕上会显示出密密麻麻的数百个选项,让人眼花缭乱。
这些浏览器扩展的功能各不相同:有些可以帮助用户总结网页和电子邮件,有些可以快速生成文章或产品描述,甚至还有一些可以将纯文本转化为代码。
然而,这些 AI 浏览器扩展也带来了各种安全风险。有些扩展本身就是恶意软件,借 AI 之名窃取用户数据;还有一些通过复制粘贴隐私策略来进行隐秘操作;当然,也有一些来自备受尊重和认可的品牌厂商。
本文将重点关注员工如何使用 AI 技术,企业又该怎样管理这种技术渗透。我们将讨论三种常规安全风险类别,并探讨价值评估和应用限制方面的最佳实践。
确实,大语言模型(LLM)并不是真正的人工智能,因为它们本身并不具备真正的智能。但这里我们故且沿用这个不准确的表述。
我们并不是真的将 LLM 比作恐龙,实际上,将人们关注点转移到无意义的 AI 末世论上,只会分散人们对现实数据安全和就业风险的关注。这纯粹是个比喻。
AI 浏览器扩展带来的头号风险,在于其中不少程序本身就是恶意软件。
3 月 8 日,Guardio 报告称名为“快速访问 ChatGPT”的 Chrome 扩展程序会劫持用户的 Facebook 账户,并窃取“存储在浏览器中的所有 cookies——包括安全和会话令牌……”。更糟糕的是,尽管该扩展仅在 Chrome 商店上架一周,但每天仍有超 2000 用户下载。
作为对报告的回应,谷歌删除了这款扩展,但更多扩展仍在不断涌现。而且各大主要平台似乎也没有监管这部分新技术的意愿或者能力。Guardio 在报告中称,此次恶意扩展本应为谷歌和 Facebook 敲响警钟,但他们却毫无反应。
这种对犯罪分子放任自流的态度可能会让这些巨头的用户感到震惊,因为人们天然认为能在 Chrome 商店上架的产品至少是通过了某种质量控制渡。引用 Guardio 报告中的说法,此次事件“给我们以往盲目信任大公司和知名品牌,把大部分线上活动无脑交给他们的行为狠狠打了一记耳光”。
更令人不安的是,基于 AI 的恶意扩展往往把自己伪装成合法产品,毕竟接入 ChatGPT API 没啥门槛。传统意义上的恶意软件相对更容易发现,因为一旦发现下载的软件无法工作,用户马上就会意识到自己上了当。但 AI 时代下恶意软件可以舒舒服服躺在浏览器中,一边窃取数据一边正常提供 AI 功能。
即使是最铁杆的 AI 支持者,也不能否认恶意浏览器扩展带来的风险。我们应当尽一切努力劝阻人们盲目下载。
但说到合法 AI 浏览器扩展中的安全风险时,情况往往变得更复杂且充满争议。
以下是一些潜在的安全问题:
1.共享给生成式 AI 工具的敏感数据,可能被纳入训练数据、甚至被其他用户看到。
我们讲个简单的小故事:假设你是一位企业高管,想给战略报告中加点料,所以使用 AI 驱动的浏览器扩展对文本做了润色。第二天,最大竞争对手的另一位高管要求 AI 猜测你们公司的战略是什么,接触过报告内容的 AI 很快给出了极为详尽且逻辑完整的答案!
对此类泄密的担忧,已经促使 Verizon、亚马逊和苹果明令禁止或严格限制员工使用生成式 AI。The Verge 在讨论苹果禁令的文章中指出,“考虑到 ChatGPT 在改进代码和启发思路等场景下拥有良好效果,苹果确有理由担心员工将机密项目的信息输入该系统。”
2.浏览器扩展或 AI 企业本身面临数据泄露风险。
公平地讲,任何一家合作供应商都无法彻底回避安全风险。但需要注意的是,行业中的龙头之一已经掉过坑。今年 3 月,OpenAI 宣布发现一个 bug,“导致某些用户会看到其他活跃用户聊天记录中的标题”,“某些用户会看到其他活跃用户的姓名、电子邮件地址、寄送地址”等付款信息。
浏览器扩展的脆弱水平,取决于它们到底掌握着多少用户数据。即使是那些最“受人尊重”的扩展,在这个问题上也往往表现得含糊不清。
3.版权、抄袭和法律问题仍是一团乱麻。
从 GitHub Copilot 首次亮相的那一刻起,版权、抄袭和法律问题就始终悬在其头顶。LLM 经常会生成与人类原作者高度相似的图片、文本和代码。目前还没有法律条款明确规定这是否构成侵权,但其中的危险相信大家都感受得到。另外还有输出代码本身的质量问题——LLM 经常胡写一通,甚至照搬众所周知的安全漏洞。
这些问题已经非常严重,因此 6 月 5 日 Stack Overflow 的志愿者版主们甚至举行了罢工,抗议该平台接收 AI 生成内容的决定。版主们在一封公开信中写道,AI 将导致“不正确信息(即「幻觉」)和肆意剽窃的全面扩散。”
AI 开发者当然在努力缓解这些风险,但这是一条全新的赛道,对是非对错的区分在这里已经构成艰难的挑战。
即使是像 fireflies 这类得到广泛使用的会议与视频转录扩展程序,也列出了“责任自负”的服务条款。他们要求用户自己负责保证其内容不违反任何规则,并承诺自行采取“合理的方式来保护此类数据的隐私和安全”。但这种冷冰冰的条文只会引起人们对于缺乏问责制的更多担忧。总之情况就是这么个情况,用不用在你自己。
最后,咱们聊聊最为可怕的一种新兴威胁:网站通过接入的 AI 工具窃取数据。
5 月 19 日,Twitter 上出现了关于此类滥用的首个案例。
这似乎是多款插件(WebPilot 与 Zapier)的首个概念证明,可通过相互组合的方式借由提示词注入攻击泄露私人数据。关于此次攻击的更多细节请参阅: https://t.co/R7L0w4Vh4l、https://t.co/2XWHA5JiQx — Simon Willison (@simonw) 2023 年 5 月 19 日
如果这种纯原理表述不够清楚,Willison 又做出进一步解释。
类似于我要求 ChatGPT 总结某个网页的内容,结果发现该网页中存在隐藏文本,会通过 Zapier 插件窃取我的最新邮件内容。— Simon Willison (@simonw) 2023 年 5 月 22 日
从 LLM 的固有特性来看,这类提示词注入攻击似乎永远无法消除。简而言之:LLM 的基本用法就是根据输入的内容自动做出下一步决策。但如果这些输入本身就存在恶意,那 LLM 可能在诱导之下做出任何举动,甚至包括开发团队明确禁止的行为。
目前还很难评估这种威胁会给数据治理和安全带来怎样的深远影响。但着眼于当下,无论从 LLM、扩展还是插件的安全性还是负责任态度来看,威胁都已经客观存在。
面对风险,唯一真正安全的选择就是:永远不要将联网 AI 接入关键服务或数据源。在诱导之下,AI 可能输出任何它访问过的东西,而且这个问题根本就没有已知有效的解决方案。在答案出现之前,企业和员工都应当保持谨慎。
定义哪些是“关键”数据和应用,并在制定政策时与员工充分沟通。这些应当成为任何 AI 项目的基本前提。
AI 革命爆发于一夜之间,我们还在适应这个美丽新世界。每一天,我们都了解到这项技术的更多应用——有好的、有坏的,也有种种令人畏惧的应用。不同行业的企业也因此面临着巨大压力,思考如何将 AI 科技融入自身业务。在这样的巨变背景之下,一时找不到方向也很正常。
但作为负责制定 AI 政策的管理者,大家必须抓紧时间、尽快为员工的 AI 工具使用方式提供明确指导。
首先,可以采取多种途径管理员工的 AI 工具使用行为。比如像苹果那样一刀切全面禁止,但这种办法对于想要鼓励员工探索 AI 潜力的公司来说太过极端。确实,在践行良好安全性的同时拥抱创新,无疑是项颇为棘手的工作。浏览器扩展就是最典型的例子——它们本质是对外的,通常默认处于启用状态。如果想要对这些扩展张开怀抱,我们至少需要遵循下列最佳实践。
员工教育:AI 扩展就像是刚从蛋里孵出的小恐龙,看似可爱但却需要审慎对待。而这一切,都要以员工教育为起点。大多数员工并没有意识到这些工具背后的安全风险,也不知道如何甄别扩展选项、可以共享哪些数据。管理者必须就这些风险开展员工教育,指导他们学会区分恶意产品与合法产品。
白名单:即使完成了前期培训,我们也不能指望员工像专家那样熟悉各类扩展程序的隐私政策。因此,最安全的选择是根据具体情况将部分扩展列入白名单。哪怕无法彻底禁绝风险,我们也至少该从中挑选出相对更安全的选项,这也能避免员工因行动受限而选择影子 IT 这种更难管理的路线。在挑选扩展时,务必选择那些明确承诺不会将用户数据输入其模型的产品。
可观测性和零信任访问:如果不清楚员工正在使用哪些扩展,那就没办法采取措施保护公司免受 AI 扩展的影响。为此,IT 团队必须有能力查验公司内各团队,检测他们在使用哪些扩展。以此为基础,下一步就是自动阻止安装了恶意扩展的设备访问公司资源。
我们在 Kolide 也采取了这样的方法。我们为 GitHub Copilot 编写了一个 Check,用于检测设备上是否安装有 Copilot 并阻止其通过身份验证。管理员还可以编写自定义检查,根据实际需求阻止个别扩展。同样的,简单的阻断显然不会是管理政策的最终形态,管理者应该就选择工具的原因、有没有更安全的替代选项等问题与员工主动对话。
但如果之前就检测并阻断了用户安装的扩展程序,那双方的对话过程难免会有些尴尬。Kolide 公司 CEO Jason Meller 曾专门撰文讨论过这个问题:“对大多数团队来说,帮助最终用户带来的一点点好处,不足以驱使他们冒险跟对方撕破脸。”但这种拒绝与最终用户深度交流的习惯也给恶意软件创造了温床:“正因为很少有安全团队与最终用户建立起稳固的信任关系,恶意软件作者才得以利用这种沉默、获得突破口,最终造成严重破坏。”
原文链接:
https://www.kolide.com/blog/ai-browser-extensions-are-a-security-nightmare
声明:本文为 InfoQ 翻译,未经许可禁止转载。
你也「在看」吗? ????
本文来自AI前线