Bezpieczeństwo AI

• Dane

  Co trafia do AI i gdzie potem ląduje. Kto może to zobaczyć, gdzie przechowywane są zapytania i odpowiedzi.

• Dostępy i działania

  Do jakich systemów AI ma dostęp i co może zrobić samodzielnie: wysyłać e-maile, zmieniać dane, tworzyć zamówienia, realizować płatności.

• Odporność na manipulację

  Czy tekst w czacie, e-mailu, na stronie lub w dokumencie może skłonić AI do działania inaczej, niż planujesz. To tzw. Prompt Injection.

• Zasady i odpowiedzialność

  Kto odpowiada za odpowiedzi AI, z jakich usług mogą korzystać pracownicy i jakich danych nie wolno tam wprowadzać.

1. 01

   Inwentaryzacja systemów i agentów AI

   Co to jest

   Inwentaryzacja i przegląd wszystkich systemów sztucznej inteligencji, botów i asystentów używanych w firmie, także tych, o których zarząd nie wie.

   Co robimy

   Ustalamy, jakie systemy AI i boty masz, jakie dane otrzymują, z czym są połączone i co mogą zrobić.

   Rezultat

   Dowiedz się dokładnie, gdzie w Twojej firmie działa AI.

   Otrzymaj pełną mapę systemów AI i listę ukrytych ryzyk bezpieczeństwa uporządkowaną według priorytetu.

2. 02

   Konteksty i poziomy uprawnień

   Co to jest

   Ustalenie granic dostępu i uprawnień dla systemów AI, tak aby nie miały nadmiarowych praw.

   Co robimy

   Określamy, co AI widzi (kontekst), co może zrobić samodzielnie, a co dopiero po potwierdzeniu przez człowieka. Ustalamy granice dostępu dla systemów AI, agentów i aplikacji.

   Rezultat

   Zachowaj kontrolę nad AI.

   Zmniejsz ryzyko, że bot podejmie działania lub decyzje bez Twojej wiedzy.

3. 03

   Ochrona danych przy korzystaniu z AI

   Co to jest

   Kontrola nad tym, jakie dane firmowe i dane klientów trafiają do zewnętrznych modeli językowych i gdzie przechowywane są rozmowy.

   Co robimy

   Ustalamy, jakie dane można wysyłać do jakich usług, jak ukrywać to, co zbędne, i gdzie przechowywane są zapytania (prompty) i odpowiedzi.

   Rezultat

   Chroń dane klientów i tajemnicę przedsiębiorstwa.

   Zmniejsz ryzyko wycieków przez publiczne usługi AI.

4. 04

   Zasady korzystania z AI dla zespołu

   Co to jest

   Wewnętrzna polityka bezpiecznego korzystania ze sztucznej inteligencji w codziennej pracy zespołu.

   Co robimy

   Przygotowujemy jasne zasady: które usługi są dozwolone, jakich danych nie wolno wprowadzać, kto odpowiada za wynik. W razie potrzeby przeszkolimy zespół.

   Rezultat

   Daj zespołowi jasne wytyczne.

   Pracownicy będą wiedzieć, z których narzędzi mogą bezpiecznie korzystać, a co grozi wyciekiem danych.

5. 05

   Ochrona przed Prompt Injection i jailbreakiem

   Co to jest

   Testowanie, na ile boty i agenty AI są odporne na manipulację za pomocą instrukcji tekstowych (tzw. Prompt Injection).

   Co robimy

   Sprawdzamy, czy tekst w czacie, e-mailu lub dokumencie może skłonić Twojego bota lub agenta do ujawnienia zbyt wielu informacji albo wykonania cudzego polecenia.

   Rezultat

   Chroń swoje boty przed atakującymi.

   Sprawdź, czy Twój system AI da się oszukać i skłonić do przyznania rabatu, ujawnienia poufnych danych lub obejścia logiki biznesowej, i zamknij te słabe punkty.

Oceniamy ustawienia, dostępy i procesy wokół AI. Nie tworzymy ani nie trenujemy modeli AI i nie badamy ich wewnętrznego działania.

• Boty konwersacyjne na stronach www i w komunikatorachOdpowiadają Twoim klientom.Ryzyko: Ujawnienie zbyt wielu informacji lub obietnice, których firma nigdy nie złożyła.
• Wewnętrzne boty z dostępem do bazy wiedzy (RAG)Odpowiadają na pytania pracowników na podstawie firmowej bazy dokumentów.Ryzyko: Pokazanie dokumentu komuś, kto nie powinien go widzieć.
• Autonomiczne agenty AI wykonujące akcje przez APISamodzielnie wysyłają e-maile, realizują zwroty i zmieniają rekordy w bazach danych.Ryzyko: Wykonanie niepożądanej akcji bez Twojej wiedzy lub na cudze polecenie.
• Boty głosowe i obsługa połączeńOdbierają i transkrybują rozmowy z klientami.Ryzyko: Nagrania rozmów i dane klientów są przechowywane i przesyłane bez ochrony.
• AI w Twoim produkcieFunkcje oparte na modelach językowych w Twojej aplikacji lub usłudze.Ryzyko: Wycieki danych użytkowników i manipulacja przez to, co wpisują użytkownicy.
• Automatyzacje i scenariusze z AIPołączone usługi, które wywołują AI według harmonogramu lub po wystąpieniu zdarzenia.Ryzyko: Klucze dostępu zapisane w scenariuszach i zbyt szerokie uprawnienia.
• Asystenci AI do programowaniaPodpowiadają i piszą kod.Ryzyko: Kod i hasła trafiają do zewnętrznej usługi, a do kodu przenikają niebezpieczne rozwiązania.
• Pracownicy korzystający z publicznych modeli LLMKorzystają z AI na własną rękę, bez wiedzy firmy.Ryzyko: Umowy i dane klientów trafiają do zewnętrznych usług.

1. Krok 1Krótka konsultacja

   Dowiadujemy się, gdzie i jak korzystasz z AI, i ustalamy zakres prac.

2. Krok 2Mapa AI w firmie

   Spisujemy systemy AI, boty i agenty wraz z ich danymi i dostępami.

3. Krok 3Ocena ryzyka

   Sprawdzamy ustawienia i dostępy oraz analizujemy, co może pójść nie tak.

4. Krok 4Wyznaczenie granic

   Określamy konteksty, poziomy kontroli i zasady: co AI robi samodzielnie, a co dopiero po potwierdzeniu.

5. Krok 5Raport i zasady

   Przekazujemy raport, zalecenia i zasady dla pracowników.

• Wewnętrzny asystent ma dostęp do wszystkich dokumentów firmy

  Ograniczyć dostęp AI do potrzebnych danych i podzielić uprawnienia według ról.

• Pracownik wgrał umowę klienta do publicznego czatu AI

  Wprowadzić zasady, określić, jakie dane można wysyłać do jakich usług, i zaproponować bezpieczną alternatywę.

• Bot na stronie obiecał klientowi rabat, którego nie ma w ofercie

  Ograniczyć, co bot może obiecywać, i dodać przekazywanie trudnych pytań do człowieka.

• Agent AI może wysyłać e-maile w imieniu firmy

  Zachować potwierdzenie przez człowieka dla działań, których nie da się cofnąć.

Uogólnione przykłady typowych sytuacji, a nie historie konkretnych klientów.

Inne usługi

• Audyt bezpieczeństwa technicznegoDowiedz się, gdzie masz podatności, zanim wykorzystają je cyberprzestępcy.
• Bezpieczeństwo dla deweloperówIntegracja skanerów w CI/CD, ochrona sekretów i izolacja środowisk.
• Redukcja ryzyka podczas kontroliZgodność z NIS2 (KSC), ISO 27001, RODO, PCI DSS oraz obsługa ankiet bezpieczeństwa od klientów.