El código fuente es el dato sensible más común compartido en ChatGPT

Los usuarios introducen datos confidenciales en ChatGPT

El informe de Netskope encontró que el código fuente se publica en ChatGPT más que cualquier otro tipo de dato confidencial, con un ritmo de 158 incidentes por cada 10.000 usuarios al mes. Otros datos sensibles que se comparten en ChatGPT son: datos regulados (incluidos datos financieros, sanitarios y de identificación personal) y propiedad intelectual y, lo que es más preocupante, contraseñas y claves, normalmente incrustadas en el código fuente.

"Es inevitable que algunos usuarios suban código fuente propietario o texto que contenga datos sensibles a herramientas de IA que prometen ayudar a programar o escribir", afirma Ray Canzanese, director de Investigación de Amenazas de Netskope Threat Labs. "Por tanto, es imperativo que las organizaciones establezcan controles en torno a la IA para evitar fugas de datos confidenciales. Controles que permiten a los usuarios aprovechar los beneficios de la IA, agilizando las operaciones y mejorando la eficiencia, al tiempo que mitigan los riesgos son el objetivo final. Los controles más eficaces que vemos son una combinación de DLP y coaching interactivo del usuario", indica.

Bloqueo o concesión de acceso a ChatGPT

Netskope Threat Labs informó que actualmente está rastreando proxies ChatGPT y más de 1.000 URLs y dominios maliciosos de atacantes oportunistas que buscan capitalizar el bombo de la IA, incluyendo múltiples campañas de phishing, campañas de distribución de malware y sitios web de spam y fraude.

Sin embargo, la empresa de ciberseguridad señala que bloquear el acceso a contenidos relacionados con la IA y las aplicaciones de IA es una solución a corto plazo para mitigar el riesgo que va en detrimento de los beneficios potenciales que estas aplicaciones ofrecen para complementar la innovación corporativa y la productividad de los empleados. Los datos de Netskope muestran que, en los servicios financieros y la atención sanitaria –ambos sectores altamente regulados–, casi una de cada cinco organizaciones ha implementado una prohibición general del uso de ChatGPT por parte de los empleados, mientras que, en el sector tecnológico, solo una de cada 20 organizaciones ha hecho lo mismo.

"Como líderes de seguridad, no podemos simplemente decidir prohibir aplicaciones sin que ello repercuta en la experiencia y productividad de los usuarios", afirma James Robinson, director adjunto de Seguridad de la Información de Netskope. "Las organizaciones deben centrarse en la evolución de la conciencia de su fuerza de trabajo y las políticas de datos para satisfacer las necesidades de los empleados que utilizan productos de IA de forma productiva. Hay un buen camino hacia la habilitación segura de la IA generativa con las herramientas adecuadas y la mentalidad correcta", dice.

Para que las organizaciones permitan la adopción segura de aplicaciones de IA, deben centrar su enfoque en la identificación de aplicaciones permitidas y la implementación de controles que faciliten a los usuarios utilizarlas en todo su potencial, al tiempo que protegen a la organización de los riesgos. Este planteamiento debe incluir el filtrado de dominios, el filtrado de URL y la inspección de contenidos para proteger contra los ataques.

Otros pasos para salvaguardar los datos y utilizar de forma segura las herramientas de IA incluyen:

• Bloquear el acceso a apps que no sirvan a ningún propósito empresarial legítimo o que supongan un riesgo desproporcionado para la organización;
• Emplear la formación de usuarios para recordarles la política de la empresa en torno al uso de apps de IA;
• Utilizar tecnologías modernas de prevención de pérdida de datos (DLP) para detectar mensajes que contengan información potencialmente sensible.

Junto con el informe, Netskope anunció nuevas ofertas de soluciones de SkopeAI, su conjunto de innovaciones de inteligencia artificial y aprendizaje automático (AI/ML) que permite conquistar las limitaciones de las complejas herramientas heredadas y proporcionar protección utilizando técnicas de velocidad IA que no se encuentran en otros productos SASE.