《以零信任應(yīng)對(duì)AI部署中的影子訪問(wèn)風(fēng)險(xiǎn)》

目錄序言 8摘要 9什么是影子訪問(wèn)？ 9零信任概述 9為什么存在影子訪問(wèn)？ 10零信任原則可以如何減少影子訪問(wèn) GenAI、LLMs等技術(shù)概述 AI、GenAI、LLMs和影子訪問(wèn) 全面的清單、變更管理和運(yùn)營(yíng)控制 數(shù)據(jù)訪問(wèn)的可見性、可控性和合規(guī)性 12授權(quán)和治理框架 12多模態(tài)數(shù)據(jù)的細(xì)粒度訪問(wèn)控制 12向量嵌入的訪問(wèn)控制 12非結(jié)構(gòu)化內(nèi)容的數(shù)據(jù)分類 13身份驗(yàn)證和負(fù)責(zé)任使用 13內(nèi)容適宜性和授權(quán) 13防止個(gè)人信息和機(jī)密數(shù)據(jù)泄露 13結(jié)論 14其他資料 14?2024云安全聯(lián)盟大中華區(qū)版權(quán)所有 7序言AI（Gen（LL）AI部署中的影子訪問(wèn)風(fēng)險(xiǎn)》深入探討了影子訪問(wèn)這一新興寶貴的建議和指導(dǎo)。AI時(shí)代下，持續(xù)關(guān)注和深入探討影子訪問(wèn)問(wèn)題的重要性。通過(guò)不斷探索和制定統(tǒng)的安全性和穩(wěn)定性。李雨航Y(jié)aleLiCSA大中華區(qū)主席兼研究院院長(zhǎng)摘要訪問(wèn)，往往因現(xiàn)代技術(shù)環(huán)境的復(fù)雜性和訪問(wèn)權(quán)限管理不足而加劇。中，零信任的實(shí)際落地面臨著挑戰(zhàn)。（GeA（Ls和檢索增強(qiáng)生成（RAG）的集成，引入了影子訪問(wèn)風(fēng)險(xiǎn)的額外維度，如未經(jīng)授權(quán)的訪問(wèn)、敏感數(shù)信任方法必須適應(yīng)生成式人工智能技術(shù)帶來(lái)的細(xì)微差別。本文檔著重于討論影子訪問(wèn)與當(dāng)今最重要的兩種技術(shù)的交叉點(diǎn)：零信任和人工智能。什么是影子訪問(wèn)？影子訪問(wèn)是對(duì)資源（如應(yīng)用程序、網(wǎng)絡(luò)和數(shù)據(jù)）的意外和/或非預(yù)期的訪問(wèn)。隨著云計(jì)算、DevOps、云原生架構(gòu)和數(shù)據(jù)共享的發(fā)展，這個(gè)新問(wèn)題更加嚴(yán)重。（程中，為用戶提供了非必要的訪問(wèn)，進(jìn)而增加了影子訪問(wèn)問(wèn)題。零信任概述它可以大大減輕影子訪問(wèn)的可能性和影響。（（最小特權(quán)、基于角色的訪問(wèn)控制（BA、基于屬性的訪問(wèn)控制（ABC、基于上下文的訪問(wèn)控制（BAC。它還需要使用網(wǎng)絡(luò)分割和微隔離、持續(xù)認(rèn)證和監(jiān)控（用（EB子訪問(wèn)。為什么存在影子訪問(wèn)？徑。那么，為什么會(huì)存在影子訪問(wèn)呢？IAM流程和應(yīng)用程序開發(fā)實(shí)踐中的差距，是影子訪問(wèn)產(chǎn)險(xiǎn)的必要性。個(gè)組成部分，如果不能首先杜絕任何影子訪問(wèn)，就無(wú)法實(shí)現(xiàn)零信任的最終狀態(tài)。健壯和更安全的環(huán)境。零信任原則可以如何減少影子訪問(wèn)權(quán)限意味著只為用戶、設(shè)備、應(yīng)用程序和工作負(fù)載提供他們絕對(duì)需要的訪問(wèn)權(quán)限。顯式操作或模板是由于應(yīng)用程序更改導(dǎo)致的意外后果。理解使得能夠優(yōu)先解決最重要的影子訪問(wèn)問(wèn)題。GenAI、LLMs等技術(shù)概述生成式人工智能TransformerGenAIAI他方面，請(qǐng)參考以下文件：《AI組織責(zé)任-核心安全責(zé)任》《AI彈性:AI安全革命性基準(zhǔn)型》《從原則到實(shí)踐:AI》AI、GenAI、LLMs和影子訪問(wèn)以下是人工智能和大模型語(yǔ)言模型（LLMs）的新時(shí)代下創(chuàng)新者、安全、隱私和數(shù)據(jù)治理的領(lǐng)導(dǎo)者最關(guān)心的問(wèn)題：全面的清單、變更管理和運(yùn)營(yíng)控制GenAI引入了一類全新的技術(shù)資產(chǎn)：LLMRAGGenAI資產(chǎn)及其相AI資產(chǎn)管理（CMDB）AI數(shù)據(jù)訪問(wèn)的可見性、可控性和合規(guī)性GenAIRAG對(duì)企業(yè)數(shù)據(jù)的透明、受控和合規(guī)的訪問(wèn)，RAG將預(yù)訓(xùn)LLMGenAI監(jiān)督數(shù)據(jù)共享實(shí)踐，確保符合數(shù)據(jù)隱私、存儲(chǔ)地、主權(quán)和法規(guī)標(biāo)準(zhǔn)。授權(quán)和治理框架LLMAI驅(qū)動(dòng)的應(yīng)多模態(tài)數(shù)據(jù)的細(xì)粒度訪問(wèn)控制感信息得到適當(dāng)?shù)谋Ｗo(hù)。向量嵌入的訪問(wèn)控制企業(yè)必須認(rèn)識(shí)到，LLMsRAG系統(tǒng)完全繞過(guò)了企業(yè)訪問(wèn)控制機(jī)制。風(fēng)險(xiǎn)在于關(guān)LLM堆棧的需求。非結(jié)構(gòu)化內(nèi)容的數(shù)據(jù)分類LLM應(yīng)用程序的多樣化需求至,應(yīng)用程序能夠適當(dāng)?shù)卦L問(wèn)和處理非結(jié)構(gòu)化內(nèi)容。身份驗(yàn)證和負(fù)責(zé)任使用（API的身能使用的信任和透明度，同時(shí)防止?jié)撛诘臑E用或倫理違規(guī)。內(nèi)容適宜性和授權(quán)實(shí)施內(nèi)容適宜性和授權(quán)措施對(duì)于驗(yàn)證和保證生成的內(nèi)容符合用戶期望并被授權(quán)分估內(nèi)容的適宜性。防止個(gè)人信息和機(jī)密數(shù)據(jù)泄露（PII）LLM堆棧中的泄漏對(duì)于維