Apple prohíbe a los empleados usar ChatGPT. ¿Deberías?

Como reflejo de las advertencias dadas anteriormente, Apple ahora se encuentra entre el número creciente de empresas que prohíben a los empleados usar ChatGPT de OpenAI y otros servicios similares de inteligencia artificial generativa basados ​​en la nube en un intento por proteger la confidencialidad de los datos. El Wall Street Journal informa que Apple también ha prohibido al personal usar Copiloto de GitHub herramienta, que algunos desarrolladores utilizan para ayudar a escribir software.

A encuesta reciente descubrió que el 39% de los desarrolladores de Mac están usando la tecnología.

Por qué tiene sentido una prohibición general

Si bien una prohibición puede parecer extrema, muestra que la empresa está prestando atención a la avalancha de advertencias que emanan de los profesionales de seguridad con respecto al uso de estos servicios. La preocupación es que su uso podría dar lugar a la divulgación de datos sensibles o confidenciales. Samsung prohibió las herramientas a principios de este año cuando descubrió que el personal había subido un código fuente confidencial a ChatGPT.

Los profesionales de la seguridad son muy conscientes del problema. Wicus Ross, investigador sénior de seguridad en Orange Cyberdefense advierte:

“Si bien los chatbots impulsados ​​por IA son entrenados y refinados por sus desarrolladores, no está descartado que el personal acceda a los datos que se ingresan en ellos. Y, considerando que los humanos suelen ser el elemento más débil de la postura de seguridad de una empresa, esto abre la información a una variedad de amenazas, incluso si el riesgo es accidental”.

Si bien OpenAI vende una versión autohospedada más confidencial (y costosa de ejecutar) del servicio a clientes empresariales, el riesgo es que, según el acuerdo de uso público, hay muy poco que respetar la confidencialidad de los datos.

Eso es malo en términos de código confidencial y documentación interna, pero profundamente peligroso cuando se maneja información de industrias fuertemente reguladas, banca, salud y otros. Ya hemos visto al menos un incidente en el que las consultas de ChatGPT fueron expuesto a usuarios no relacionados.

Su pregunta se convierte en datos: ¿quién es el propietario y puede confiar en ellos?

Si bien la decisión de Apple puede parecer una reacción exagerada, es esencial que las empresas convenzan al personal para que tenga cuidado con los datos que están compartiendo. El problema es que cuando se usa un servicio basado en la nube para procesar los datos, es muy probable que el servicio conserve la información para calificarla, evaluarla o incluso usarla en el futuro.

En esencia, las preguntas que haces a un servicio de este tipo se convierten en puntos de datos para futuras respuestas. Los seres humanos pueden acceder a la información suministrada a un servicio basado en la nube, ya sea desde dentro de la empresa o mediante un ataque externo. Ya lo hemos visto suceder. OpenAI tuvo que desconectar ChatGPT siguiendo una violación de datos a principios de este año.

Consejos del Centro Nacional de Investigación de Seguridad Cibernética del Reino Unido (NCSC) explica la naturaleza del riesgo. Señala que las consultas serán visibles para el proveedor del servicio, almacenadas y “casi con certeza” se utilizarán para desarrollar el servicio en algún momento.

En este contexto, los términos de uso y la política de privacidad de un servicio deben analizarse profundamente antes de que alguien realice una consulta delicada. El otro desafío es que una vez que se hace una pregunta, también se convierte en datos.

Como explica el NCSC: “Otro riesgo, que aumenta a medida que más organizaciones producen LLM, es que las consultas almacenadas en línea pueden ser pirateadas, filtradas o, más probablemente, accidentalmente puestas a disposición del público. Esto podría incluir información potencialmente identificable por el usuario”.

¿Y quién será el dueño de tus preguntas mañana?

También existe otra capa de riesgo a medida que se acelera la consolidación en la industria de la IA. Un usuario puede hacer una pregunta delicada sobre un servicio LLM seguro verificado que cumple con todos los requisitos de los protocolos de seguridad empresarial el martes, pero ese servicio puede ser comprado por un tercero con políticas más débiles la semana siguiente.

Ese comprador también tomaría posesión de los datos confidenciales de la empresa previamente proporcionados al servicio, pero los protegería de manera menos efectiva.

Estas preocupaciones no surgen porque los profesionales de la seguridad las hayan visto en algún tipo de sueños febriles; reflejan eventos que ya hemos visto. Por ejemplo, un informe reciente reveló más de 10 millones de elementos confidenciales, como claves API y credenciales. expuesto en repositorios públicos como GitHub el año pasado.

Gran parte del tiempo, este tipo de datos confidenciales se comparten a través de cuentas personales utilizando servicios de este tipo, que es lo que ya ha sucedido con la información de ToyotaSamsung y, presumiblemente dada la prohibición de uso de ChatGPT, Apple.

Con esto en mente, la mayoría de los profesionales de seguridad a los que sigo están de acuerdo en advertir a los usuarios que no incluyan información sensible/confidencial en consultas realizadas a servicios públicos como ChatGPT.

Los usuarios nunca deben hacer preguntas que puedan generar problemas si se hacen públicas, y en el contexto de cualquier empresa importante que intente proteger sus datos, una prohibición general de uso es, con mucho, la solución más fácil, al menos por ahora.

Generativo irá al borde

No siempre será así.

El camino más lógico a seguir es hacia pequeños sistemas LLM capaces de alojarse en el dispositivo perimetral. Sabemos que es posible, ya que la Universidad de Stanford ya ha sido capaz de hacer uno ejecutar en un teléfono Google Pixel. Esto hace plausible anticipar que, en algún momento, nadie usará la aplicación ChatGPT recientemente presentada en un iPhone, porque usarán una tecnología similar provista con el propio teléfono.

Pero la conclusión para cualquiera que use servicios LLM basados ​​en la nube es que la seguridad no está garantizada y nunca debe compartir datos confidenciales o sensibles con ellos. Es un testimonio del valor del procesamiento perimetral y la protección de la privacidad en una era conectada.

Por favor sígueme en Mastodonteo únete a mí en el Bar y parrilla de AppleHolic y Manzana Discusiones grupos en MeWe.