ปิดช่องว่างความปลอดภัย ด้วย 'Interaction-Aware Layer'

การนำ Generative AI และ AI Tools มาใช้งานกำลังกลายเป็นส่วนหนึ่งของการทำงานในองค์กร ตั้งแต่การสร้าง สรุปเนื้อหา การวิเคราะห์ข้อมูล การเขียนโปรแกรม ไปจนถึงการทำงานที่ซับซ้อนผ่าน AI Agents ที่สามารถเชื่อมต่อกับระบบและดำเนินการบางอย่างแทนผู้ใช้งานได้ แม้องค์กรจำนวนมากจะมีการควบคุม AI Tools แต่ในทางปฏิบัติ พนักงานจำนวนไม่น้อยยังเลือกใช้บัญชีส่วนตัว Browser Extensions หรือ AI Applications ที่ฝ่าย IT อาจไม่เคยตรวจสอบมาก่อน ปัญหานี้ทำให้เกิดสิ่งที่เรียกว่า Shadow AI และเพิ่มความเสี่ยงในการรั่วไหลของข้อมูล โดยแนวทางที่องค์กรคุ้นเคยในการควบคุมความเสี่ยงคือการค้นหา AI Applications ที่มีการใช้งาน จากนั้นใช้ Cloud Access Security Broker (CASB) เพื่อควบคุมการเข้าถึง และเสริมด้วย Data Loss Prevention (DLP) สำหรับตรวจจับและป้องกันการส่งข้อมูลสำคัญออกไป แนวทางดังกล่าวยังคงมีความสำคัญและสามารถควบคุมความเสี่ยงของ SaaS ได้อย่างมีประสิทธิภาพ แต่เมื่อเปลี่ยนบริบทมาเป็น AI กลับมีข้อจำกัดสำคัญ เพราะความเสี่ยงไม่ได้เกิดขึ้นเฉพาะตอนที่ผู้ใช้เข้าถึงแอปพลิเคชัน หรือส่งข้อมูลที่ตรงกับ Pattern ของ DLP เท่านั้น แต่สามารถเกิดขึ้นภายในบทสนทนาระหว่างผู้ใช้กับ AI ได้ตลอดเวลา AI Risk สามารถซ่อนอยู่ในความหมายและบริบทของ Interaction มากกว่าตัวข้อมูลเพียงอย่างเดียว Prompt หนึ่งอาจดูไม่มีอันตรายหากพิจารณาเฉพาะข้อความ แต่เมื่อวิเคราะห์รวมกับบริบทก่อนหน้า วัตถุประสงค์ของผู้ใช้ และข้อมูลที่ถูกส่งเข้ามาหลายครั้ง อาจพบว่าข้อมูลดังกล่าวมีความละเอียดอ่อนอย่างมาก เช่น พนักงานอาจไม่ได้วางเลขบัญชีหรือ API Key ลงใน Prompt โดยตรง แต่ค่อยๆ เปิดเผยข้อมูลเกี่ยวกับสัญญากับคู่ค้าที่กำลังจะปิดดีล ข้อมูลเหตุการณ์ระบบล่ม หรือรายละเอียดของโครงการที่ยังไม่ได้เปิดเผย เมื่อ AI นำข้อมูลทั้งหมดมาประมวลผลรวมกัน ก็อาจสามารถสร้างภาพรวมของข้อมูลที่เป็นความลับขึ้นมาได้ ขณะที่ DLP แบบเดิมอาจไม่สามารถตรวจจับความเสี่ยงดังกล่าวได้ เพราะข้อมูลแต่ละส่วนไม่ได้ตรงกับรูปแบบข้อมูลอ่อนไหวที่กำหนดไว้ นอกจากนี้ CASB อาจสามารถตอบได้ว่าผู้ใช้งานได้รับอนุญาตให้เข้าถึง AI Application หรือไม่ แต่ไม่ได้หมายความว่า Prompt ทุกประเภทที่ผู้ใช้ส่งเข้าไปจะปลอดภัย