Cum pot serviciile AI adoptate fără reguli să genereze costuri necontrolate
Trei luni în urmă, cineva din echipa ta de vânzări a activat un abonament la un serviciu de inteligență artificială. Poate ChatGPT, poate Copilot, poate altceva. A generat o cheie API pentru a conecta serviciul la un fișier Excel sau la un instrument intern. Și-a făcut treaba. Apoi a plecat din firmă.
Cheia API a rămas activă.
Nimeni nu a dezactivat-o, pentru că nimeni nu știa că există.
O cheie API compromisă. O factură de peste 82.000 de dolari.
The Register a documentat recent un incident în care o cheie API pentru serviciul Google Gemini a fost compromisă. Atacatorii au folosit-o câteva ore. Factura a depășit 82.000 de dolari.
Organizația respectivă era o echipă de dezvoltare software, nu o fabrică sau o firmă de logistică. Dar mecanismul este același oriunde: un serviciu de inteligență artificială este asociat unui cont de plată. Dacă cineva obține cheia API, fie printr-un incident de securitate, fie pentru că aceasta a fost stocată neglijent, consumul cade în sarcina ta.
Nu a fost nevoie să fie spart un server. A fost suficientă compromiterea unei chei API.
Ce este o cheie API?
Fără a intra în detalii tehnice, o cheie API poate fi privită ca un permis de acces.
Ea permite aplicațiilor sau platformelor software să utilizeze servicii externe bazate pe inteligență artificială.
Problema este că aceste servicii sunt, de cele mai multe ori, asociate unui cont de plată.
Dacă această cheie ajunge în mâinile greșite, altcineva poate utiliza resursele pe banii companiei tale.
De aceea, o cheie API este mai mult decât o setare tehnică.
Este o resursă financiară și un risc care trebuie guvernat.
Problema nu este tehnică
Departamentul tău IT sau furnizorul extern de servicii IT menține sistemele în funcțiune.
Dar întrebările care generează riscul financiar descris mai sus nu sunt întrebări tehnice. Sunt întrebări de conducere și guvernanță.
- Cine aprobă activarea unui serviciu nou de inteligență artificială în firmă?
- Ai un inventar centralizat al tuturor cheilor API asociate serviciilor plătite de companie?
- Există limite de consum aprobate și monitorizate pentru aceste servicii?
- Cine auditează și revocă accesul atunci când un angajat pleacă sau un contract încetează?
Dacă nu știi răspunsul la cel puțin una dintre aceste întrebări, firma ta își asumă un risc financiar și operațional.
Pe măsură ce companiile adoptă tot mai multe servicii bazate pe inteligență artificială, aceste întrebări vor deveni la fel de importante ca administrarea serverelor, backup-ul sau securitatea rețelei.
IT-ul execută.
Guvernanța stabilește regulile.
De ce este acest risc atât de greu de gestionat?
Pentru că nu este vizibil și nu generează niciun semnal de alarmă până când apare factura.
În securitate cibernetică, succesul se vede prin incidentele care nu au avut loc.
La fel cum investești în backup, UPS-uri sau continuitatea activității fără să aștepți o defecțiune, investițiile în securitate cibernetică trebuie privite ca investiții în prevenție.
Costul lipsei acestor investiții devine evident abia după un incident.
Concluzie
Inteligența artificială aduce avantaje, dar o implementare necontrolată poate transforma rapid un instrument util într-o sursă de costuri și probleme de securitate.
Nu trata cheile API ca pe o simplă setare tehnică.
Privește-le ca pe un activ al companiei care necesită control, monitorizare și reguli clare de utilizare.
Pentru că, în final, securitatea cibernetică nu înseamnă doar protejarea sistemelor.
Înseamnă protejarea veniturilor, a reputației și a continuității afacerii.
Dacă mâine ai cere departamentului tău financiar o listă cu toate abonamentele active la servicii de inteligență artificială din firmă, câte crezi că ar fi?