يبدأ هذا الدرس بموقف تواجهه بانتظام معظم فرق الأمن وتكنولوجيا المعلومات: تبدأ عملية مراجعة للمخاطر، فيشير أحدهم إلى وجود مساعد ذكاء اصطناعي يستخدمه فريق دعم العملاء منذ أسابيع، وقد تم سداد تكلفته باستخدام بطاقة ائتمان تابعة للشركة، دون وجود تذكرة دعم فني، أو مراجعة للمورد، أو سجل واضح للبيانات التي تم إدخالها فيه. تكمن المشكلة التي يتعين حلها في جانب عملي: الحفاظ على استمرارية العمليات مع استعادة السيطرة على الهوية، وصلاحيات الوصول، والرؤية الشاملة لاستخدام الذكاء الاصطناعي في جميع أنحاء المؤسسة.
في هذه الدورة، سنتعامل مع أنظمة الذكاء الاصطناعي تماماً كما نتعامل مع بقية بيئة الإنتاج لدينا؛ فكل ميزة أو أداة للذكاء الاصطناعي تنشئ هويات وصلاحيات ومسارات للبيانات تتطلب تصميماً واعياً ومراجعة مستمرة. إن النتيجة المرجوة ليست مجرد قائمة حظر، بل هي تحديد دقيق لنطاق الوصول (سطح الوصول) بحيث يمكننا حمايته، وإيجاد طريقة لتحويل الاستخدامات “الخفية” (غير المصرح بها رسمياً) إلى خيارات أكثر أماناً ومدعومة من المؤسسة.
نادراً ما يكمن الخطر في “الأمر” (prompt) الأول الذي يتم إدخاله؛ بل يكمن الخطر في سلسلة القرارات الصغيرة التي تتحول بهدوء إلى مسار وصول فعلي، مثل نسخ ولصق نصوص داخلية في محادثة خارجية، أو إضافة إضافة للمتصفح (extension) بصلاحيات واسعة، أو ربط أداة ذكاء اصطناعي بالبريد الإلكتروني وأنظمة التذاكر. وبمجرد اتخاذ هذه الخطوات، قد تنتقل البيانات الحساسة خارج الحدود المتوقعة، وقد تعجز المؤسسة عن الإجابة على أسئلة جوهرية أثناء وقوع حادث أمني أو إجراء تدقيق، مثل: من وصل إلى ماذا ولماذا؟
سنعتمد نموذجاً ذهنياً بسيطاً طوال فترة الدورة: تصبح قدرة الذكاء الاصطناعي خطراً على الوصول عندما تنشئ هوية جديدة، أو قراراً جديداً بشأن الصلاحيات، أو مساراً جديداً للوصول إلى مخزن بيانات حساس، وذلك دون تطبيق نفس الضوابط الأمنية التي نفرضها في جوانب أخرى. وفي الخطوة التالية، سنقوم بتتبع كل نقطة انتقال تكتسب فيها جهة ما (سواء كانت شخصاً أو تطبيقاً أو وكيلاً برمجياً أو أداة ربط) وسيلة جديدة للتعامل مع البيانات أو الأنظمة. دعونا نستعرض هذه السلسلة بالكامل، بدءاً من مرحلة الاكتشاف ووصولاً إلى مرحلة التعرض للمخاطر.
للتحكم في الوصول إلى الذكاء الاصطناعي، نحتاج أولاً إلى خريطة مشتركة للموارد والأنظمة القائمة. يُقصد بـ سجل نقاط الوصول إلى الذكاء الاصطناعي قائمة وخريطة نظام للمكونات القادرة على إرسال الطلبات، أو تلقي البيانات، أو تنفيذ إجراءات داخل بيئة العمل باستخدام ميزات الذكاء الاصطناعي. ويشمل هذا السجل الأنظمة المعتمدة التي قمنا ببنائها، ومساعدي الذكاء الاصطناعي (Copilots) التابعين لجهات خارجية والذين قمنا بتفعيلهم، بالإضافة إلى الأدوات غير الرسمية (“الظل”) التي اعتمدها الموظفون للوفاء بالمواعيد النهائية للعمل. فإذا لم تكن هذه الأدوات مدرجة في السجل، يصبح من السهل منح صلاحيات مفرطة، ويستحيل مراجعتها، كما يصعب التحقيق فيها لاحقاً.
عند رسم خريطة لسير عمل يعتمد على الذكاء الاصطناعي، فإننا نبحث عن أنواع محددة ومتكررة من المكونات. وسنواصل استخدام هذه الفئات ذاتها في الدروس اللاحقة عند تحديد نطاق مبدأ “الحد الأدنى من الصلاحيات” (least privilege) وإعداد آليات المراقبة. هذه هي خريطة النظام التي سنتدرب عليها في الخطوة التالية؛ لذا يُرجى استعراضها وملاحظة المواقع التي يتم فيها التحقق من الهوية وتطبيق الصلاحيات.