Chuyên gia AWS: AI tạo sinh cũng cần được bảo mật

Tại sự kiện thường niên về bảo mật thông tin re:Inforce, chuyên gia AWS (Amazon Web Services) đã cảnh báo về lỗ hổng bảo mật của Gen AI (AI tạo sinh) đồng thời cung cấp các giải pháp bảo vệ cho khách hàng.

Hơn 75% doanh nghiệp chưa chú trọng bảo mật trong các ứng dụng AI tạo sinh của mình

Các ứng dụng AI tạo sinh có thể nâng cao đáng kể năng suất trong doanh nghiệp. Tuy nhiên, quá trình phát triển các ứng dụng này, bao gồm việc tải tệp lên đám mây và cấp quyền truy cập cho người dùng, có thể dẫn đến những lo ngại về bảo mật.

"Vấn đề là sẽ như thế nào nếu các tập tin được tải lên chứa mã độc hay người có quyền truy cập vào các ứng dụng AI tạo sinh là một tài khoản giả mạo?"_ bà Kimberly Dickson, chuyên gia bảo mật toàn cầu cấp cao của AWS đặt câu hỏi.

Chia sẻ tiếp theo của bà Kimberly còn thú vị hơn, các cuộc thảo luận của bà với các Giám đốc An ninh Thông tin (CISOs), Giám đốc Công nghệ (CTOs) và Giám đốc Thông tin (CIOs) trên khắp khu vực Châu Á Thái Bình Dương, khách hàng rất hứng thú với việc khám phá AI tạo sinh và muốn biết cách sử dụng nó một cách an toàn. Họ cũng muốn tận dụng nó để bảo vệ chống lại các rủi ro khác.

“Tuy nhiên, phần lớn các công ty vẫn chưa tập trung vào việc bảo vệ các dự án AI tạo sinh của họ, với chỉ 24% báo cáo rằng có biện pháp bảo vệ. Điều này cho thấy khách hàng cần truy cập vào các công cụ giúp họ tự tin chạy và bảo vệ các khối lượng công việc AI tạo sinh.”, bà Kimberly nói.

Gần đây nhất là báo cáo về cuộc hội thoại bị rò rỉ thông tin qua Chat GPT của OpenAI. Nhiều dữ liệu nhạy cảm như tên người dùng, các tài liệu bán hàng, bài thuyết minh đã bị rò rỉ dù rằng người sử dụng công cụ trên cho biết họ có sử dụng các biện pháp bảo mật và mật khẩu đăng nhập phức tạp.

Bà Kimberly Dickson, chuyên gia bảo mật toàn cầu cấp cao của AWS.

Đây không phải là lần đầu tiên OpenAI phải giải quyết vấn đề bảo mật mối quan tâm của người dùng. Vào tháng 3 năm 2023, một lỗi Chat GPT được phát hiện đã làm rò rỉ dữ liệu thanh toán của người dùng.Trong một trường hợp khác, Chat GPT đã vô tình làm rò rỉ bí mật của công ty thuộc về Samsung, dẫn đến lệnh cấm nội bộ đối với việc sử dụng công cụ này.

Biện pháp của AWS

“Bảo mật dữ liệu luôn là ưu tiên hàng đầu của AWS. Chúng tôi có hơn hai thập kỷ kinh nghiệm trong việc này và là cơ sở hạ tầng đám mây an toàn nhất trên toàn cầu. Chúng tôi thậm chí phân ra việc bảo mật thông tin thành nhiều lớp và có chiến lược bảo vệ.”, bà Kimberly nói.

Tại sao AWS cho bảo mật AI tạo sinh? Vì chúng tôi có cơ sở hạ tầng đám mây an toàn nhất toàn cầu và thực hiện một phương pháp tiếp cận an ninh toàn diện được triển khai trong mọi thứ chúng tôi làm. Chúng tôi cũng có hơn hai thập kỷ kinh nghiệm phong phú trong việc đổi mới với AI và ML.

Về quy tắc để bảo mật dữ liệu của khách hàng diễn ra ở “mặt đất” (nơi đặt máy chủ) và trên môi trường điện toán đám mây. Ở phần vật lý, AWS chịu trách nhiệm bảo vệ cơ sở hạ tầng chạy tất cả các dịch vụ cung cấp cho khách hàng bằng 143 chương trình chứng nhận như SOC 2, ISO 27001, HIPAA và PCI DSS.

Trên môi trường đám mây, các công ty có thể sử dụng dịch vụ và sản phẩm AWS để giúp phát hiện các rủi ro bảo mật tiềm ẩn từ các tệp được tải lên và các tài khoản người dùng bị chiếm quyền. Những công cụ này có khả năng liên tục theo dõi các hành vi xâm nhập bất thường. Ba công cụ chính bao gồm Amazon GuardDuty, AWS IAM và AWS CloudTrail Lake.

Cụ thể, Amazon GuardDuty giờ thêm hỗ trợ bảo vệ chống phần mềm độc hại cho Amazon S3. Nó đóng vai trò là lá chắn đầu tiên phát hiện và ngăn chặn các phần mềm độc hại tải lên từ phía người dùng. Công cụ này hoạt động dựa trên quy tắc máy học để nhận diện các bất thường ngay cả khi chúng không khớp với các dữ liệu tấn công đã biết trước.

“Ví dụ, nếu tôi đăng nhập hôm nay từ Pháp vào lúc 3 giờ sáng, trong khi thường tôi đăng nhập vào lúc 9 giờ sáng ở Singapore, Amazon GuardDuty có thể nhận ra rằng đó là một hành vi bất thường.”, bà Kimberly nói.

Thứ đến là AWS IAM, là công cụ giúp quản lý và cấp quyền truy cập cho các tài khoản sử dụng ứng dụng Gen AI, hiện đã hỗ trợ passkey để xác thực đa yếu tố (MFA), cho phép người sử dụng đăng nhập bằng nhiều hình thức an toàn hơn ngoài tên người dùng và mật khẩu như xác thực trắc sinh học, mã pin…Ở góc độ quản lý, AWS IAM cung cấp các chính sách quản lý nhằm đảm bảo người dùng tuân thủ các tiêu chuẩn an ninh. Cách làm này giúp ngăn chặn việc triển khai, cấp quyền truy cập không cần thiết cho người sử dụng, từ đó nâng cao an ninh trên toàn môi trường AWS của doanh nghiệp.

Cuối cùng là AWS CloudTrail Lake, hỗ trợ truy vấn ngôn ngữ tự nhiên cho các nhà quản trị trong tổ chức doanh nghiệp. Ví dụ, khách hàng có thể hỏi CloudTrail Lake những câu hỏi như "Cho tôi biết có bao nhiêu phiên bản cơ sở dữ liệu được tạo mà không bật mã hóa?" hoặc "Có bao nhiêu người dùng đã đăng nhập vào AWS hôm qua?", CloudTrail Lake sẽ diễn giải những câu hỏi này, tạo các truy vấn và trả lại kết quả phù hợp.

Một ví dụ về cách khách hàng sử dụng AWS để xây dựng chiến lược phòng thủ nhiều lớp là Synapxe, cơ quan công nghệ y tế quốc gia của Singapore. Đơn vị này có một HealthX Innovation Sandbox (tạm dịch là Khu vực thử nghiệm các sáng kiến cho sức khỏe) cho phép các đơn vị y tế công cộng thử nghiệm và trình diễn các sáng kiến y tế trong một môi trường mô phỏng. Đây là trường hợp điển hình về bảo mật và phòng chống dữ liệu độc hại vì các thay đổi hoặc rò rỉ dữ liệu có thể tác động lớn đến sức khỏe cộng đồng.

AI tạo sinh đã giúp các doanh nghiệp nâng cao năng suất làm việc, vậy nó có giúp việc bảo mật dễ dàng hơn và tiết kiệm hơn không, vì chi phí bảo mật luôn là một khoản đầu tư lớn với các doanh nghiệp? Câu trả lời là có.

“Với CloudTrail Lake, việc quản lý dễ dàng hơn và rõ ràng là doanh nghiệp không nhất thiết phải có thêm một chuyên gia SQL để giúp các nhà quản trị hệ thống truy vấn dữ liệu. Xét về tổng các dịch vụ, chi phí bảo mật của AWS như Amazon Macie, đã rẻ hơn 80% so với lúc ra mắt.”, bà Kimberly nói.