Tα τελευταία χρόνια, όλο και περισσότεροι χρησιμοποιούν τα μεγάλα γλωσσικά μοντέλα (LLM – Large Language Model) όπως το ChatGPT. Επιπλέον, η ανοδική τάση που εμφανίζει η αναζήτηση του όρου “ChatGPT” στο Google Trends επιβεβαιώνει την καθημερινή χρήση του ChatGPT, πιθανότατα για εργασιακούς σκοπούς.
Ωστόσο, η αυξανόμενη χρήση των chatbots στον εργασιακό χώρο δημιουργεί ένα κρίσιμο ερώτημα: Είναι ασφαλές για μια επιχείρηση να μοιράζεται ευαίσθητα εταιρικά δεδομένα; Οι ειδικοί της Kaspersky εντόπισαν τέσσερις βασικούς κινδύνους που σχετίζονται με τη χρήση του ChatGPT σε εργασιακό περιβάλλον.
Έρευνα της Kaspersky στη Ρωσία αποκάλυψε ότι το 11% των ερωτηθέντων έχει χρησιμοποιήσει chatbots, ενώ σχεδόν το 30% θεωρεί ότι είναι πιθανό διάφορες δουλειές να αντικατασταθούν από τη χρήση αυτής της τεχνολογίας. Άλλες έρευνες δείχνουν ότι το 50% των Βέλγων που κάνουν κάποια δουλειά γραφείου και το 65% στο Ηνωμένο Βασίλειο χρησιμοποιούν καθημερινά το ChatGPT.
Υποκλοπή δεδομένων ή παραβίαση από την πλευρά του παρόχου
Παρότι τα chatbots αποτελούν προϊόν των μεγάλων εταιρειών τεχνολογίας, ακόμη και αυτές δεν είναι απόλυτα ασφαλείς απέναντι σε κινδύνους όπως το χακάρισμα ή η υποκλοπή δεδομένων. Για παράδειγμα, υπήρξε ένα περιστατικό κατά το οποίο οι χρήστες του ChatGPT ήταν σε θέση να δουν μηνύματα από το ιστορικό άλλων συνομιλιών.
Διαρροή δεδομένων μέσω chatbots
Θεωρητικά, οι συνομιλίες με chatbots μπορεί να χρησιμοποιηθούν για την εκπαίδευση μελλοντικών μοντέλων. Τα LLMs έχουν τη δυνατότητα να απομνημονεύουν αυτόματα αριθμητικές ακολουθίες, μεταξύ των οποίων και οι αριθμοί τηλεφώνου που όμως δεν βοηθούν κάπου στη βελτίωση των μοντέλων. Αντιθέτως, τέτοιου είδους λειτουργίες κρύβουν κινδύνους για την ιδιωτικότητα. Συνεπώς, κατά τη δοκιμή των μοντέλων είναι πιθανό τέτοιου είδους δεδομένα, με η χωρίς την πρόθεσή του εκάστοτε χρήστη, να διαρρεύσουν.
Κακόβουλος client
Αυτό αποτελεί μεγάλη ανησυχία σε περιοχές όπου οι επίσημες ιστοσελίδες όπως το ChatGPT είναι αποκλεισμένες. Οι χρήστες ενδέχεται να καταφύγουν σε ανεπίσημες εναλλακτικές λύσεις, όπως εφαρμογές, ιστότοπους ή bot messenger και να κατεβάσουν malware χωρίς να το αντιληφθούν.
Χακάρισμα λογαριασμού
Οι επιτιθέμενοι μπορούν να εισέλθουν στους λογαριασμούς των εργαζομένων, αποκτώντας πρόσβαση στα δεδομένα τους, μέσω επιθέσεων phishing ή credential stuffing. Επιπλέον, το Kaspersky Digital Footprint Intelligence εντοπίζει τακτικά δημοσιεύσεις σε φόρουμ του dark web που πωλούν πρόσβαση σε λογαριασμούς chatbot.
Συνοψίζοντας τα παραπάνω, η απώλεια δεδομένων αποτελεί μεγάλη ανησυχία για την προστασία του προσωπικού απορρήτου τόσο για τους χρήστες όσο και για τις επιχειρήσεις όταν χρησιμοποιούν chatbots. Οι προγραμματιστές οφείλουν να εξηγούν τον τρόπο με τον οποίο χρησιμοποιούνται τα δεδομένα για model training στις πολιτικές απορρήτου τους. Η ανάλυση της Kaspersky σε δημοφιλή chatbots, συμπεριλαμβανομένων των ChatGPT, ChatGPT API, Anthropic Claude, Bing Chat, Bing Chat Enterprise, You.com, Google Bard και Genius App by Alloy Studios, δείχνει ότι στον τομέα B2B υπάρχουν υψηλότερα πρωτοκολλά ασφάλειας και προστασίας του απορρήτου, ως αποτέλεσμα του μεγαλύτερου ρίσκου που υπάρχει για την υποκλοπή εταιρικών δεδομένων. Κατά συνέπεια, οι όροι και οι προϋποθέσεις για τη χρήση, τη συλλογή, την αποθήκευση και την επεξεργασία δεδομένων επικεντρώνονται περισσότερο στην προστασία σε σύγκριση με τον τομέα B2C. Οι λύσεις B2B της παρούσας μελέτης συνήθως δεν αποθηκεύουν αυτόματα το ιστορικό συνομιλιών και σε ορισμένες περιπτώσεις δεν αποστέλλονται δεδομένα στους διακομιστές της εταιρείας, καθώς το chatbot λειτουργεί τοπικά στο δίκτυο του πελάτη.
«Αφού εξετάσαμε τους πιθανούς κινδύνους που συνδέονται με τη χρήση chatbots που βασίζονται σε LLM για εργασιακούς σκοπούς, διαπιστώσαμε ότι ο κίνδυνος της παραβίασης ευαίσθητων δεδομένων είναι υψηλότερος όταν οι εργαζόμενοι χρησιμοποιούν τους προσωπικούς λογαριασμούς τους. Το γεγονός αυτό καθιστά την ενημέρωση του προσωπικού σχετικά με τους κινδύνους από τη χρήση των chatbots κορυφαία προτεραιότητα για τις εταιρείες. Από τη μία πλευρά, οι εργαζόμενοι πρέπει να κατανοήσουν ποια δεδομένα είναι απόρρητα ή προσωπικά και γιατί δεν πρέπει να παρέχονται σε ένα chatbot. Από την άλλη, η επιχείρηση πρέπει να θεσμοθετήσει αυστηρούς κανόνες κατά τη χρήση τέτοιων υπηρεσιών σε ειδικές περιπτώσεις», σχολιάζει η Anna Larkina, ειδική σε θέματα ασφάλειας και προστασίας προσωπικών δεδομένων στην Kaspersky.
Συμβουλές ασφαλείας
Για να εξακολουθήσετε να απολαμβάνετε τα οφέλη από τη χρήση των chatbots και να παραμείνετε ασφαλείς, οι ειδικοί της Kaspersky συνιστούν επίσης:
- Χρησιμοποιήστε ισχυρούς, μοναδικούς κωδικούς πρόσβασης: Δημιουργήστε σύνθετους κωδικούς πρόσβασης για κάθε λογαριασμό σας και αποφύγετε τη χρήση προσωπικών δεδομένων όπως γενέθλια ή ονόματα.
- Προσοχή στο phishing: Να είστε προσεκτικοί με αυτόκλητα email, μηνύματα ή κλήσεις που ζητούν προσωπικές πληροφορίες. Επαληθεύστε την ταυτότητα του αποστολέα πριν μοιραστείτε ευαίσθητα δεδομένα.
- Εκπαιδεύστε τους εργαζομένους σας: Οι εργαζόμενοι θα πρέπει να ενημερώνονται για τις πιο πρόσφατες διαδικτυακές απειλές και τις βέλτιστες πρακτικές για να παραμένουν ασφαλείς στο διαδίκτυο.
- Διατηρείτε το λογισμικό σας ενημερωμένο: Ενημερώστε τακτικά το λειτουργικό σας σύστημα, τις εφαρμογές και τα προγράμματα προστασίας από ιούς. Αυτές οι ενημερώσεις συχνά περιέχουν διορθώσεις ασφαλείας.
- Περιορίστε την κοινή χρήση εταιρικών πληροφοριών: Να είστε προσεκτικοί όσον αφορά την κοινοποίηση προσωπικών πληροφοριών στα μέσα κοινωνικής δικτύωσης ή σε δημόσια φόρουμ. Παρέχετε τις πληροφορίες αυτές μόνο όταν είναι απολύτως απαραίτητο.
- Επαληθεύστε τις διευθύνσεις URL και τους ιστότοπους: Ελέγξτε δύο φορές τη διεύθυνση URL των ιστότοπων που επισκέπτεστε, ειδικά πριν εισαγάγετε στοιχεία σύνδεσης ή πραγματοποιήσετε αγορές.
- Χρησιμοποιήστε εταιρική λύση ασφαλείας: Για να αποτρέψετε τους εργαζόμενους από το να συμβουλεύονται ανεξάρτητα μη αξιόπιστα chatbots για εργασιακούς σκοπούς, μπορείτε να χρησιμοποιήσετε μια λύση ασφαλείας με ανάλυση υπηρεσιών cloud. Μεταξύ των δυνατοτήτων του, το Kaspersky Endpoint Security Cloud περιλαμβάνει το Cloud Discovery για τη διαχείριση των υπηρεσιών cloud και την αξιολόγηση των εκάστοτε απειλών.
