OWASP უსაფრთხო ხელოვნური ინტელექტისთვის ახალ Crosswalk-ს აქვეყნებს

OWASP GenAI Security Project-ის Top-10-სიები LLM-აპლიკაციებისა და აგენტური აპლიკაციებისთვის ბევრმა იცის, ვინც გენერაციულ ხელოვნურ ინტელექტსა და უსაფრთხოებას ეხება. მათ ემატება უფრო ვრცელი სია „Data Security Risks & Mitigations“ და ჯერ კიდევ პროექტის სახით არსებული Agentic Skills Top 10.

კომპლაიანსის თვალსაზრისით ასეთ სიებს ხარვეზი აქვს: ისინი რისკებს ასახელებენ და ხშირად საწინააღმდეგო ღონისძიებებსაც აღწერენ. კავშირი კონკრეტულ მოთხოვნებთან სტანდარტებიდან, ჩარჩოებიდან და რეგულაციებიდან კი ჩვეულებრივ მომხმარებლებს რჩებათ.

1 სექტემბერს OWASP GenAI Security Project-მა ამიტომ Crosswalk გამოაქვეყნა. ის ტექნიკური უსაფრთხოების ღონისძიებებსა და კომპლაიანსის მოთხოვნებს შორის დამაკავშირებელ რგოლად უნდა იმოქმედოს: მინიჭება 51 GenAI-რისკს ოთხი OWASP-წყაროსი სიიდან 25 რეგულაციის კონტროლებთან აკავშირებს. მათ შორისაა NIST- და ISO-სტანდარტები, MITRE ATLAS, SOC 2, DORA და ევროკავშირის ხელოვნური ინტელექტის რეგულაცია.

Crosswalk ღია წყაროს პროექტად საჯაროდ ხელმისაწვდომია. მისი ძალა ნაკლებად იმაშია, რომ ახალ უსაფრთხოების ღონისძიებებს განსაზღვრავს, არამედ იმაში, რომ რისკს, საწინააღმდეგო ღონისძიებასა და კონტროლის მოთხოვნას შორის აქამდე ხშირად ხელით შესრულებულ თარგმნის სამუშაოს ამარტივებს.

ეს ხშირად მხოლოდ აუდიტის დროს ჩანს. გუნდი კითხულობს, მაგალითად, OWASP Top 10-ს LLM-აპლიკაციებისთვის, აღმოაჩენს რამდენიმე შესაბამის რისკს და ახორციელებს ფილტრებს, Rate Limits-სა და Human-in-the-Loop-დამტკიცებებს, სანამ აგენტი კრიტიკულ ამოცანებს შეასრულებს. სისტემა ამით უფრო უსაფრთხო ხდება. რევიზიისას კი ჩნდება კითხვა, რომელი კონკრეტული მოთხოვნები საკუთარი კონტროლის კატალოგიდან ფარავს ამ ღონისძიებებს და როგორ უნდა დადასტურდეს ეს.

სწორედ აქ იწყებს მოქმედებას Crosswalk. ის თითოეული რისკისთვის აჩვენებს, რომელი კონტროლები შეესაბამება შენახულ რეგულაციებს. ეს არ ცვლის პროფესიულ შეფასებას, მაგრამ შეუძლია მნიშვნელოვნად შეამციროს ძალისხმევა, რომელიც საჭიროა მინიჭებების ხელით ცხრილებში შეკრებისთვის.

საინტერესოა ასევე საპირისპირო მიმართულება: რომელ GenAI-რისკებს ფარავს უკვე არსებული კონტროლის სისტემა და სად არსებობს რეალურად ხარვეზები. ვებინტერფეისში შესაძლებელია გამოყენებული რეგულაციების არჩევა. ის შემდეგ აჩვენებს დაფარვასა და ხარვეზებს; გარდა ამისა, შესაძლებელია ვალიდაციის ინსტრუმენტების შედეგების ატვირთვა.

ამით უსაფრთხოებისა და კომპლაიანსის გუნდებს არ უწევთ ყოველი GenAI-აპლიკაციისთვის ნულიდან დაწყება. მათ შეუძლიათ კონცენტრირება იმ რისკებსა და კონტროლებზე, რომლებისთვისაც არსებული კონტროლის სისტემა ჯერ კიდევ არ იძლევა საკმარის დაფარვას.