Podniky čoraz viac využívajú kopilotov a platformy s nízkym kódom, aby umožnili zamestnancom – dokonca aj tým, ktorí majú malé alebo žiadne technické znalosti – vytvárať výkonných kopilotov a podnikové aplikácie, ako aj spracovávať obrovské množstvo údajov. Nová správa od spoločnosti Zenity, Stav podnikových kopilotov a vývoj s nízkym kódom v roku 2024zistili, že podniky majú v priemere asi 80 000 aplikácií a kopilotov, ktoré boli vytvorené mimo štandardný životný cyklus vývoja softvéru (SDLC).
Tento vývoj ponúka nové príležitosti, ale aj nové riziká. Medzi týmito 80 000 aplikáciami a kopilotmi je približne 50 000 zraniteľností. V správe sa uvádza, že tieto aplikácie a kopiloti sa vyvíjajú závratnou rýchlosťou. V dôsledku toho vytvárajú obrovské množstvo zraniteľností.
Riziká podnikových kopilotov a aplikácií
Vývojári softvéru zvyčajne vytvárajú aplikácie starostlivo podľa definovaného SDLC (bezpečný životný cyklus vývoja), kde je každá aplikácia neustále navrhnutá, nasadzovaná, meraná a analyzovaná. Ale dnes už tieto mantinely neexistujú. Ľudia bez skúseností s vývojom môžu teraz vytvárať a používať výkonných kopilotov a podnikové aplikácie v rámci Power Platform, Microsoft Copilot, OpenAI, ServiceNow, Salesforce, UiPath, Zapier a ďalších. Tieto aplikácie pomáhajú s obchodnými operáciami pri prenose a ukladaní citlivých údajov. Rast v tejto oblasti bol významný; správa zistila 39% medziročný nárast v adopcii vývoja s nízkym kódom a kopilotov.
V dôsledku tohto obchádzania SDLC sú zraniteľné miesta všadeprítomné. Mnohé podniky s nadšením prijímajú tieto možnosti bez toho, aby plne ocenili skutočnosť, že potrebujú pochopiť, koľko kopilotov a aplikácií sa vytvára – a tiež ich obchodný kontext. Napríklad musia pochopiť, pre koho sú aplikácie a kopiloti určené, s akými údajmi aplikácia interaguje a aké sú ich obchodné účely. Musia tiež vedieť, kto ich vyvíja. Keďže to často nerobia a keďže sa štandardné vývojové postupy obchádzajú, vytvára to novú formu tieňového IT.
To stavia bezpečnostné tímy do ťažkej pozície s množstvom kopilotov, aplikácií, automatizácií a zostáv, ktoré sú vytvárané mimo ich znalostí podnikovými používateľmi v rôznych LoB. Správa zistila, že všetky OWASP (Open Web Application Security Project) 10 hlavných rizikových kategórií sú všadeprítomné v podnikoch. V priemere má podnik 49 438 zraniteľností. To sa premieta do 62 % kopilotov a aplikácií vytvorených pomocou nízkeho kódu, ktoré obsahujú nejakú bezpečnostnú chybu.
Pochopenie rôznych typov rizík
Kopiloti predstavujú takú významnú potenciálnu hrozbu, pretože používajú poverenia, majú prístup k citlivým údajom a majú vnútornú zvedavosť, ktorá sťažuje ich zadržiavanie. V skutočnosti bolo 63 % kopilotov vytvorených na platformách s nízkym kódom zdieľaných s ostatnými – a mnohí z nich akceptujú neoverený chat. To umožňuje značné riziko možných rýchlych injekčných útokov.
Vzhľadom na to, ako fungujú kopiloti a ako funguje AI vo všeobecnosti, musia byť presadzované prísne bezpečnostné opatrenia, aby sa zabránilo zdieľaniu interakcií koncových používateľov s kopilotmi, zdieľaniu aplikácií s príliš veľkým počtom alebo nesprávnymi ľuďmi, zbytočnému udeľovaniu prístupu k citlivým údajom prostredníctvom AI, a tak ďalej. Ak tieto opatrenia nie sú zavedené, podniky riskujú zvýšené riziko úniku údajov a zlomyseľného rýchleho vloženia.
Dve ďalšie významné riziká sú:
Remote Copilot Execution (RCE) – tieto zraniteľnosti predstavujú cestu útoku špecifickú pre aplikácie AI. Táto verzia RCE umožňuje externému útočníkovi prevziať úplnú kontrolu nad Copilotom pre M365 a prinútiť ho poslúchať ich príkazy jednoducho odoslaním jedného e-mailu, pozvánky do kalendára alebo správy Teams.
Účty hosťa: Pomocou jedného účtu hosťa a skúšobnej licencie na platforme s nízkym kódom – zvyčajne bezplatne dostupnej v rámci viacerých nástrojov – sa útočníkovi stačí prihlásiť do podnikovej platformy s nízkym kódom alebo druhého pilota. Po vstupe sa útočník prepne do cieľového adresára a potom má na platforme oprávnenia na úrovni správcu domény. Následne útočníci vyhľadávajú tieto účty hostí, čo viedlo k narušeniu bezpečnosti. Toto je dátový bod, ktorý by mal vzbudiť strach u vedúcich predstaviteľov podnikov a ich bezpečnostných tímov: Typický podnik má viac ako 8 641 prípadov nedôveryhodných hosťujúcich používateľov, ktorí majú prístup k aplikáciám, ktoré sú vyvinuté prostredníctvom nízkeho kódu a kopilotov.
Je potrebný nový bezpečnostný prístup
Čo môžu bezpečnostné tímy robiť proti tomuto všadeprítomnému, amorfnému a kritickému riziku? Musia sa uistiť, že zaviedli ovládacie prvky, ktoré ich upozornia na každú aplikáciu, ktorá má v procese získavania poverení neistý krok alebo pevne zakódované tajomstvo. Musia tiež pridať kontext do každej vytváranej aplikácie, aby sa ubezpečili, že existujú vhodné kontroly overenia pre všetky dôležité obchodné aplikácie, ktoré majú tiež prístup k citlivým interným údajom.
Po nasadení týchto taktík je ďalšou prioritou uistiť sa, že pre aplikácie, ktoré potrebujú prístup k citlivým údajom, je nastavené vhodné overenie. Potom je najlepšou praxou nastaviť prihlasovacie údaje tak, aby ich bolo možné bezpečne získať z trezoru poverení alebo tajných informácií, čo zaručí, že heslá nebudú v čistom alebo obyčajnom texte.
Zabezpečenie vašej budúcnosti
Džin vývoja s nízkym kódom a druhým pilotom je mimo fľašu, takže nie je realistické pokúšať sa ho vrátiť späť. Podniky si skôr musia uvedomiť riziká a zaviesť kontroly, ktoré udržia ich údaje v bezpečí a správne spravované. . Bezpečnostné tímy čelili mnohým výzvam v tejto novej ére vývoja riadeného podnikaním, ale ak sa budú riadiť odporúčaniami uvedenými vyššie, budú v najlepšej možnej pozícii, aby bezpečne priviedli inovácie a produktivitu podnikových kopilotov a platforiem na vývoj s nízkym kódom smerom k odvážna nová budúcnosť.
