如同其他新兴技术一样，生成式AI也没能逃过双刃剑的命运。
一方面，生成式AI具有巨大的潜力和价值，可以改变生活、工作和教育等多方面，诸多企业都在积极利用生成式AI为业务赋能，加速数智转型的进程。但另一方面，生成式AI也可能引发数据隐私和安全问题，或是被用于网络攻击。
当然，技术本身是中立的，它的使用和影响取决于使用它的人。对于更多企业来说，既要应对生成式AI带来的安全威胁，也要正确合理地确保生成式AI安全落地，保障生成式AI系统的安全。
近日，亚马逊首席安全官Steve Schmidt接受了《华尔街日报》的访谈，对生成式AI时代下的企业安全热点议题发表了观点，并提出了可行建议。Steve还从亚马逊安全团队的自身实践切入，展示了当下企业安全面临的挑战变化以及应对措施，包括从代码初始阶段提升安全效率、数据安全策略制定和推进的做法及建议，以及安全团队利用AI对抗黑客和人才短缺等领域所做的努力。
利用开箱即用的生成式AI应用，从代码阶段推动安全行业升级
作为云计算领域的引领者，亚马逊和亚马逊云科技很早就开始拥抱生成式AI技术，并且在去年上半年推出了全托管式生成式AI服务Amazon Bedrock、用于代码生成的智能服务Amazon CodeWhisperer以及专为企业业务量身定制的生成式人工智能工作助手AmazonQ。
Steve Schmidt表示，利用生成式AI提升安全代码的编写工作能够有效推动整个行业进入更高级别的安全领域。
具体到安全层面，在最初的阶段编写更加安全的代码是生成式AI带来的重大影响，对任何企业都是如此，从安全和成本的角度考虑，一开始就编写安全的代码比在编写完成后、已经进行了集成测试甚至交付给客户后再去修改咬好得多。事实上，代码的编写方式是信息安全中最大的杠杆因素之一，开始阶段的微小问题可能导致严重的安全后果，而生成式AI在这方面可以发挥很多作用。
拿Amazon CodeWhisperer来说，作为具备内置安全功能的AI编码助手，它可以帮助开发者基于注释生成代码，追踪开源参考，扫描查找漏洞，同时其定制功能允许客户安全地将Amazon CodeWhisperer连接到内部代码存储，以创建多种定制，这为Amazon CodeWhisperer提供了生成符合企业使用内部库或API、最佳实践和架构模式的代码所需的上下文。客户可以细致控制哪些开发者可以访问这些定制，并且每个定制都与Amazon CodeWhisperer基础模型隔离。
使用生成式AI时的挑战及建议
在谈到企业在使用生成式AI要注意的安全问题时，Steve Schmidt认为以下三个问题要优先考虑。
首先是数据来源，企业需要知道用数据训练模型的整个工作流程中，数据的来源是哪里，以及数据是如何被处理和保护的。
其次是对查询数据的保护。因为训练数据并不是企业需要关注的唯一敏感数据集，当企业和用户开始使用生成式AI和大模型后，会很快掌握如何让查询更有效，并在查询中添加更多细节和具体要求以获得更好的结果。但查询这个过程也可能涉及到敏感信息，企业需要清楚这些数据如何被生成式AI服务处理以及查询结果是如何产生的。
最后则是AI模型输出的准确性。从安全角度来看，生成式AI的使用场景定义了风险，由于不同的场景对输出的准确性各有不同，企业需要保证输出的结果是准确且符合最佳实践的。
结合亚马逊内部的实践经验，Steve Schmidt也给出了企业利用生成式AI进行创新时的三条建议。
第一，指导员工安全地使用AI。安全团队说“不”很容易，但绝非正确的做法，企业在使用生成式AI时最好的做法是教育、告知、指导、设置防护栏，并使用能够满足预设目标的云服务，同时还需要精确了解这些服务如何使用和保留数据。
第二，提高数据的可见性。企业需要通过可见性工具了解员工如何使用数据，同时需要限制在工作需求之外的数据访问。一旦监控到员工在非工作需求之外对敏感数据进行访问，可以及时加以制止。在其他情况下，如果员工使用的数据不太敏感，但违反了政策，企业也可以主动联系员工了解其目的并寻求解决之道。
第三，通过机制解决问题。机制作为可重复使用的工具，是允许企业随着时间流逝准确驱动特定行为的，例如在员工出现违规操作时，系统可以通过弹窗等方式来提示员工，并建议使用特定的内部工具，同时可以根据相关问题进行报告。
利用生成式AI对抗网络威胁
在网络安全领域，生成式AI会被黑客用滥用在网络攻击领域，也会被安全工作人员当做绝佳的防御工具。例如在2023年3月，微软推出了Security Copilot工具，这是一个可以强化安全防护能力的工具，该工具可以通过自动化任务，汇集来自多个来源的安全数据和警报，从而快速检测和响应威胁，以帮助安全团队提升工作效率。
事实上，通过生成式AI模型构建自动响应流程可以对预定的时间进行快速响应和输出，尤其是在人工交互领域，大模型可以让不懂技术的管理人员在安全事件发生时快速理解事件原貌。拿亚马逊来说，Amazon Detective有一个基于生成式AI的流程来构建安全事件的文字描述，这意味着安全工程师可以拿到准备好的内容，对其进行调整，确保准确，用于解释正在发生的事件，从而节省数小时的时间。
借助生成式AI环节网络安全人才短缺
生成式AI技术的一大用途就是把繁重的工作从工程人才身上移走，以让他们专注于那些真正需要专业知识或者人类判断力的事情。Steve Schmidt认为，借助生成式AI提升安全工程师的效率可以有效缓解安全人才短缺。例如使用人工智能和机器学习技术更快更有效地识别和解决问题。近期生成式AI在检测客户账户异常行为方面发挥了很大作用，可以更加准确地隔离和提醒个别用户的高度可疑行为。通过引入生成式AI，企业的安全团队可以将精力集中在战略业务计划和更高价值的任务上，而不仅仅是发现和响应事件。
随着生成式AI时代的到来，人工智能将和企业安全相互影响。考虑到生成式AI的强大能力，企业需要通过强有力的安全措施来持续监视、定期更新和修补来应对风险，让生成式AI为企业产出更多价值。Steve Schmidt的建议，无疑很好反映了亚马逊云科技在构建生成式AI创新安全体系方面的丰富经验和积极探索。
本文属于原创文章，如若转载，请注明来源：生成式AI创新安全体系如何构建？亚马逊首席安全官现身说法https://cloud.zol.com.cn/866/8666838.html
