作者：Bree Fowler，撰稿人

人工智慧正在劇烈改變數位威脅環境，以及安全專業人員如何對抗利用這些新且更強大的工具的網路犯罪分子。

這是上週在佛羅里達州奧蘭多舉辦的KnowBe4年度KB4-CON會議中與會者討論的主要話題之一。

在活動的最後一天，KnowBe4總裁暨執行長Bryan Palma坐下來談談AI如何影響他的公司保護客戶，以及KnowBe4在過去幾年來的成長和變化。

以下回應經過編輯以提高清晰度和簡潔性。

問：KnowBe4最初是一家安全意識培訓公司，但顯然已經成長並演變成更多的東西。AI在這其中扮演了什麼角色？

Palma： 首先，我們的創辦人Stu Sjouwerman和他的團隊做得非常出色。我的意思是，就像你所說的，我們是全球安全意識培訓的領導者，這一點不容置疑。我們進行了一些收購，擁有超過1億用戶，我們的平台經得起考驗，現在我們開始思考AI。我們在2016年就擁有AI專利，2016年推出了我們的AI防禦代理（AIDA）測試版，2024年推出了我們的第一個代理，最近還推出了內容生成代理。這讓我們的AIDA套件總共有12個代理。所以我們在這方面已經快十年了，這正是給了我們優勢。這是一段美好的旅程。

問：AI如何融入公司的業務中？

Palma： 我們的業務可以用三大支柱來思考。我們有攻擊模擬和培訓，這是我們的一個重要部分。我們有協作安全，涵蓋電子郵件、進出流量以及訊息安全，諸如Teams、Slack等，還有我們在60天前推出的代理風險管理。目前我們在試用中有近1000位客戶。所以這是公司的未來。

我們是幫助你保護工作團隊的公司，而不僅止於此。你的工作團隊是個潛在的漏洞，他們會做一些你不希望他們做的事情。他們會點擊某些東西，下載某些內容，並且常常不知情。而現在我們的整個重點就是創造一個能夠成為資產的工作團隊，意味著它會在防範攻擊上幫助你。這包括人類、代理和機器ID。這意味著整個工作團隊。

問：AI正在改變所有人的網路安全遊戲。你如何開始確保安全？目前有最佳實踐嗎？

Palma： 我認為，目前我們仍處於早期階段。可以將其分成三個部分來思考。A部分是外部環境，比如你所經營的公司中有哪些代理。例如在KnowBe4，我們現在有400個代理在公司運作。第一步是給我們的客戶提供可見性。因此，像影子AI這樣的情況就是，了解你環境中的代理有哪些，以及其中哪些是公司批准的，哪些是不被批准的。第二步是確定這些代理有什麼樣的訪問權限。我們會為客戶做這個映射。而最後一步是思考你希望他們做什麼。例如，我正在使用一個代理來管理我的電子郵件收件箱。好吧，目前我們不允許它為我發送電子郵件，這意味著它不能竊取我的電子郵件。但將來我可能會希望該AI能夠發送我的電子郵件。但問題是：將會有什麼樣的保護措施來避免駭客獲取並說「發送給我所有Bryan的電子郵件」？所以最後一部分就是關於代理的護欄和政策。

問：你怎麼設定護欄？我們想到類似提示注入的威脅。當你甚至不知道漏洞是否存在時，你如何編寫規則並填補所有的漏洞？

Palma： 所以這取決於，什麼是服務？你真心想保護的數據集是什麼？然後你只能這樣說：「我要如何鎖定這些？」你可以使代理無法發送電子郵件，你可以規定必須通過VPN訪問某些數據，無論是你本人還是與代理一起工作的任何人。因此，你可以根據政策施加不同的條件，並將其強加。

問：影子AI的威脅有多大？

Palma： 哦，威脅非常巨大。你必須能夠看到它。如果你能看到它，你就能更好地管理它。還有一部分是，我們顯然非常關注的，你必須讓人們感到警覺。我是說，大部分人都希望自己為組織做正確的事情，但許多人不知道如果他們打開ChatGPT並輸入公司信息，這可能會是一個問題，對吧？一旦你教育了他們，他們就不再是一種漏洞，而是變成了資產。

問：深偽技術的噱頭十足且容易引人注目。但實際上，它對組織的威脅是什麼？

Palma： 我認為它們會變得越來越好。我們有深偽訓練。這一點的數量不會達到釣魚或SMS釣魚的程度，但它確實是一個真實的攻擊向量，我們希望確保我們的客戶有能力進行訓練，並能夠阻止和預防。

問：這使我們回到安全意識培訓。我想大多數人知道不要與尼日利亞王子交談或點擊鏈接。你如何將AI安全納入這些長久以來的安全實踐中？

Palma： 目前，我們的平台上有100個不同的培訓集、測試、測驗及有關AI的影片以及該如何處理。所以這是整合在一起的。顯然，我們有深偽模擬器。如果你是KnowBe4的用戶，你一年多前就已經接受了這方面的教育，通常每個月我們會推出30到40份新內容。因此，我們針對最新的攻擊和正在發生的事情進行針對性更新。