以零信任應(yīng)對AI部署中的影子訪問風(fēng)險

身份和訪問管理工作組的永久和官方地址是/research/working-groups/identity-and-access-management@2024云安全聯(lián)盟大中華區(qū)－保留所有權(quán)利。你可以在你的電腦上下載.儲存.展示.查（a）本文只可作個人.信息獲取.非商業(yè)用途b）本款情況下合理使用本文內(nèi)容，使用時請注明引?2024云安全聯(lián)盟大中華區(qū)版權(quán)所有《以零信任應(yīng)對AI部署中的影子訪問風(fēng)險》由CSA工作組專家編寫，CSA大中深圳竹云科技股份有限公司北京天融VenkatRaghavanStevenSchoenfeldHeinrichSmitIvanDjordjevicMichaelRozaAakashAlurkarSuramyaBakshiAlanCurranMScChrisKirschkeArvinReddyJakkamreddyRangelRodriguesLarsRuddigkeitAkshayShettyDr.ChantalSpleissSrinivasTatipamulaRyanGiffordClaireLehnertStephenLumpe?2024云安全聯(lián)盟大中華區(qū)版權(quán)所有 9 11 12 12 13 ?2024云安全聯(lián)盟大中華區(qū)版權(quán)所有本報告《以零信任應(yīng)對AI部署中的影子訪問風(fēng)險》深入探討了影子訪問這一新興在AI時代下，持續(xù)關(guān)注和深入探討影子訪問問題的重要性。通過不斷探索和制定?2024云安全聯(lián)盟大中華區(qū)版權(quán)所有訪問，往往因現(xiàn)代技術(shù)環(huán)境的復(fù)雜性和訪問權(quán)生成（RAG）的集成，引入了影子訪問風(fēng)險的額外維度，如未經(jīng)授權(quán)的訪問、敏感數(shù)什么是影子訪問？影子訪問是對資源（如應(yīng)用程序、網(wǎng)絡(luò)和數(shù)據(jù)）的意外和/或非預(yù)期的訪問。隨著零信任概述?2024云安全聯(lián)盟大中華區(qū)版權(quán)所有下文的訪問控制（CBAC。它還需要使用網(wǎng)絡(luò)分割和微隔離、持續(xù)認(rèn)證和監(jiān)控（用為什么存在影子訪問？們會犯錯誤，應(yīng)用程序不斷變化，有不同和不完整的流程和技術(shù)，數(shù)據(jù)的共享程度前控制邏輯中。這些問題，加上IAM流程和應(yīng)用程序開發(fā)實踐中的差距，是影子訪問產(chǎn)個組成部分，如果不能首先杜絕任何影子訪問，就無法零信任原則可以如何減少影子訪問權(quán)限意味著只為用戶、設(shè)備、應(yīng)用程序和工作負(fù)載提供他們以下是人工智能和大模型語言模型（LLMs）的新時代下創(chuàng)新者、安全、隱私和數(shù)全面的清單、變更管理和運營控制據(jù)庫、數(shù)據(jù)集、數(shù)據(jù)平臺和知識庫。首要任務(wù)是維護所有已批準(zhǔn)的GenAI資產(chǎn)及其相數(shù)據(jù)訪問的可見性、可控性和合規(guī)性確保GenAI，特別是RAG對企業(yè)數(shù)據(jù)的透明、受控和合規(guī)的訪問，RAG將預(yù)訓(xùn)授權(quán)和治理框架生態(tài)系統(tǒng)中進行負(fù)責(zé)任且安全地處理、訪問和多模態(tài)數(shù)據(jù)的細(xì)粒度訪問控制向量嵌入的訪問控制行，向大型語言模型（LLMs）和可重用應(yīng)用程序生成器（R企業(yè)必須認(rèn)識到，LLMs和RAG系統(tǒng)完全繞過了企業(yè)訪問控制機制。風(fēng)險在于關(guān)非結(jié)構(gòu)化內(nèi)容的數(shù)據(jù)分類為非結(jié)構(gòu)化內(nèi)容建立數(shù)據(jù)分類模式對于有效地管理LLM應(yīng)用程序的多樣化需求至身份驗證和負(fù)責(zé)任使用實施身份驗證和負(fù)責(zé)任使用協(xié)議對于確保只有其指定的責(zé)任和問責(zé)范圍內(nèi)使用生成式人工智能至關(guān)重要。通過驗證用戶和API的身內(nèi)容適宜性和授權(quán)實施內(nèi)容適宜性和授權(quán)措施對于驗證和保證生成的內(nèi)容符合用戶期望并被授權(quán)分防止個人信息和機密數(shù)據(jù)泄露未經(jīng)授權(quán)的訪問和敏感信息泄露的風(fēng)險。此外，實施輸入-輸出保護工具（如Llama革性AI應(yīng)用程序、助手和代理。這一時代標(biāo)志著企業(yè)、私人和敏API之間的前所未有的共享。隨著這種AI驅(qū)動的互動激增，影子訪問也在同時激增：附加在支持動態(tài)AI生態(tài)系統(tǒng)的人類和非人類身上的身份、憑證和權(quán)限，以前所未有的方式開啟了影子訪問。生成式人工智能的集成，特別是由檢索增強生成（RAG）驅(qū)動的集成，通過引入其他資料?/artifacts/defining-shadow-access-the-emergin?/pubs/sp/800/207/final?/artifacts/zero-trust-principles-and-guidance?/cloud-security-glossary?/artifacts/confronting-shadow-access-risks-considerations-for-zero-trust-and-artificial-intelligence-deplo?/artifacts/ai-resilience-a-revolutionary