The Das Open Web Application Security Project (OwASP) Gibs Untarnimen to Checklist Far (Mehr) Genai-SCCHERHEIT A Die Hand.
Foto: Gannvetor | shutterstock.com
Während Unternehmen Wie Openai, Anthropic, Google Oder Microsoft Aber AUCH Open-Source-Alternative Bei Big language-model-Negeboten exponentielle user-zuwacches Verzichane, Sindh It-Syrhetssttester Bemut, MIT dera rasenton ke-in-antevilung in Ihran untentranehimen shrine zu haltain.
Die non-profit-organization Owasp Trägt Dieser Entwicklung Mit Einer Neuen Veröffentlichung Rechnung: Der “LLM AI Cybercity & Governance Checklist“(PDF).
Llm-bedrohungskategorien
Das Theme’s It Zimlich Umfangreich, Veswegen dye oussp-cacheliste vor allem daroffzilt, fuhungskrfate dabai zu ignatns, dye vessentalichen rizicen emam zusamanehang mitted springs entemprachendedee ahylfema Anhnahmen Einzuleiten. Das Sol Gevhrestane, Das Untarimen über dye notn, Grundlegandin SicherhitsContralan Vermen, Und LLM -TOOLS of Um Generative, -SERVICES UND PRODUKTE SICHER Einzusetzen.
Dabei Betont Owasp, Dass Die Checkliste Keinen AnsPruch Auf Vallständigkeit Erhebt Und SICH MIT ZUNEHMENDER REFEE DER TECHLOGIE Und tools Dye Sicherheitsexperten Ordnen llm-bedungen in verschiedene kategorien ein, wie die nachfogende abbldung veranschaulicht:
Die ki-bedrohungs-map.
Foto: Owasp
Geht ES Darum, Eine llm-strategie festzulegen, müssen unternehmen vor allem mit deen einzigartigen risike umgehen, dye lLMS Aufwarfen of Dye generative. Diese Müssen Durch Organisatorische Governance UNT Entsprechend Safety-Constitution Minimrt Worden. IM Rahmen Ihrer Veröffentlichung Empfehlen Die Owasp-Epaperten Uneternehmen Einen sechstufigen answer, um eine wirksame llm-stategie zu entwickeln:
MIT Owasp in sechs schritten zum llm-deeployment.
Foto: Owasp
Achin Hinsichtlich Der Perinyogen-Typene in Sachen LLM EPFIEHLT Owasp, Ganz Genau Hinzusehen Und Entsprechend überlegungen anzustelen:
Welche Art von’s-model IST Für Sie Die Richtiz?
Foto: Owasp
Dye ousis-key
Im Folgenden Haben Wir Die von Owasp Veröffentlichte Checkliste Etwas “Aufgedröselt”. Folgende bereiche sollten sie im rahmen IhMen IHRER Generative-I-Respective LLM-Initiativen Unbedingt Prüfen.
risk adverse
Dieser Bereich Umfasst SOWOHL WETTBEWERBER ALS AUCH ANGREIFER UND KONZENTRIERT SICH NICHT NUR AUF DIE AGGRIFFS-, SONDERN AUCH AUF DIE UNTERNEHMENSLANDSCHAFT। Diesen bereich fällt beispielsweise, zu vesterhen, wie die konkurrenz ki einsetzt, um beser geschäftsergebnise zu erzelene und die internen prozesse richtlinain Sicherheitsvorfälle im zusammenhang mit generative ki gewappnet zu sein.
Threat modeling
Dye Bederohngsmodelierung Gavinant Im Zuez Des von Zahlechen Security-Esttlation Propagierene “Secure-by-design” -Nsatzes zunehmend a beedutung. Etva dy überlegungen falling in Desen Berich, wie angreifer llms und generative ki für schnellere Enclogie über Enterne Sichnunge Entichen Enthen ObGing
Ki-Bestandsaufnahme
“Man Kann near Shutzhen, vonn dessen, the man of the existence nearby,” Der Greift Auch in Der Generative-e-Welt. Im bereich der ki-bestandsaufnahme geht es darum, assets für intern Antvicelte Losungen Und Externe Equipment Und Platformen Zu Erfassen.
Dabei Ist Nicht Nur Wichtig, Dye Tools Und Services Zu Kennen, Die Genutzt Werden, Sondern AUCH OBER DIE VERARETLICHETEN BESCHED Zu Wissen. Owasp Empfiehlt Zudem, Ki-Komponenten in Sboms Zu Erfassen Und Datenquellen Nach Sensibilität Zu Katalogisieren. Darber Hinus Solte S Oouch Inn Prose Gaben, Der Gavhrestte, Das Zukuenfigeg Tools Anas Services AUS Dame Anternehrischen Inventor Sicher In- Anas Esselidart Wordon Konanan.
-A-protection-Und -Datenschutz-Schulungeen
Der mensch ist das schwächste glied in der Sicherheitskette – Heißt ES Tt. Das Musa Elardings near Soa Scene-Vorsusgssetzt, UNTERNHAN Integreon’s-Chirehits-UN Datenschutzatrenings in Ihre Jenai-Jorni.
Slave beinheltte Beespilswis, Der Balegschaft ein Vestandanis über aktuelle a-und LLM-Initiative Zu Vermitteln- Genauso Wie Zur Zur Technologie A SICH Und Den Wesentlic IM BERECHEN problent Darüber Hinaus IST DIESEM BEREICH EINE KULTUR Unabdingbar, Dye von Trust Und Transparenz GePrägt IST. Das ist auch ein ganz wesentlicher punkt, um “Sheton-KiZu Verhindern. Anderenfalls Werden Platformen Heimlich Genutzt UN Die Security Untergraben.
Business cases für ke etableieren
Ganz ähnlich wie zuvor bei der cloud arstellen die meisten unternehmen khohmin khohärenten, strategischen geschäftsmodelle für deen einsatz neuer technologist – AUCH NICHT, Wenn Esn ES Umm Umenative Ki Und LLMS Geht. Sich von Hype unto foam Anstecken Zu Lassen, IST Relative Schnell Gschehen – Ohne Soliden Business Case Riskiren Unternehmen Aber Nicht Nur, Schlechte Ergebnise Zu Erzielen.
Government
Ohne Government IST ES NAHEZU Unmöglich, Rechenschaftspflicht Und Klare ZielSetzungen Zu Realisieren. Desen Berich Der Ouppliste Falt in Bespilswis, In RACI-Daagramm zu ersellen, dase die ki-infightiven eins unternehmens dokuentiert, ventlichkeiten zuweist unehmensweite richtlinien on prOONDSE ETABLIET.
Rebellion
Dye Rehelichen Avswirkungen von’s Soltain Keynesfalls Anarschatjat Worden – C Antucturation Sich Rasant Veeter Under Connennne reputation Und Finanziellem Gefüge Potenzyl Beträchtlice schäden zufüden zufgin. Diesen bereich können fell into diverse Aspekte – Zum Beispiel:
-
Produktgarantien im zusammenhang mit ki,
-
Ki-ulus Odar
-
Intellectual-wealth-Riskane.
Kurzum: Zeeheen Sea Ihar Legal-Team Odder Antasprende Experience Hinju, Um Dye Versiden Rechhasbezenon October-Identification, Die Fore Ihar Unnemains relevant Sindh.
Regulator
Aufbaund auf deen juristischen discussionen entwickeln sch aUCH DIE Regulatorischen VORSCHRIFTEN Schnell Weiter – Ein Beispiel IST DER ACT DER DER EU. Unternehmen solten deshalb die für sie geltenden ki-kamm-naforderungen ermitteln.
LLM-Lösungeen Nutzen Oder Implementation
Der einsatz von llm-lösungen erfordert spezifische risiko- Und kontrolüberlegungen. Maro OPASSP-Chenkallist Nant in Diseme Berich Anter Andrem Die Espket:
-
Access Control UmsetZen,
-
K-training-pipeline absichin,
-
Datan-workflows mapen UND
-
Bestehende oder potenzielle schwachstellen llms un lieferketten identifizieren.
Darber Hinous Sind Continuerlich audits fragments DrTte, PenetrationStens Under Achow Code-Rules Fur Zuliferrar Emphaelnswart.
Testing, evaluation, verifizierung, legitimate (TEVV)
Der Tevv-Progress Word Vom NIST in Seenam AI structure Ausdrücklich Empfohlen. Dieser beinhaltet:
-
Continuous test,
-
Evaluation,
-
Verifiziarungen inges
-
Recognizable
-
Kennzahlen zu funktionalität, Sicherheit Und Zuverlässigkeit ki-modellen.
Und zwar über deen gesamten lebenszyklus von ki-modellen hinweg.
Modell- Und Risikokarten
Für deen ethischen einsatz von groen sprachmodellen sieht die owsp-checkliste model- Und Risiko- “Karten” Vor. Diese können den nutzern veständnis über ki-systeme vermitteln und so das vertrauen in die system stärken. Zudem Ermöglichen Sie, Potenziel negative begleiterscheinungeen wie bias oder datenschutzprbleme offen zu the thematisieren.
Dye Carten Connon gave a description of Zoo-Modelan, Architkatur, Trainingmethoden Annforms-Metricen Beinhelten. In waiter schwerpunkt liegt dabei auf AI responsible Zusammenhang Mit Fairness Und Transpage in Und Allen Fragon.
Recovering generation
Recovering generation Dazu Gehört, Vortrainierte Modelle Zu Optimieren UN BESTEHENDE AUF Neuen Datensätzen Erneut Zu Trainieren, Um Ihre Liistung Zu Optimieren. Owasp Empfiehlt, rag zu irpolieieren, um deen mehrwert und die effektivität group Grour sprachmodelle im unternehmeninsatz zu maximieren.
Ki-Red-Teaming
Last, but at least Empfehlen dye ouspertaine auch, Ke-Red-Teaming-Session Abzuhaltain. Dabei Werden Angriffe Auf Ki-Systeme Simuliert, UM SchwachStellen Zu Identifizieren UNS Estierende Kontrol- Und Abwehrmaßnamen zu zu zu zu zu lalieren.
Owasp Betont Dabei, Dass Red Teaming Für SICH Alleine Keine Umfassende Lösung Respective Method Darstellet, UM Generative Ai Und LLMS Abzusichern. Vielmehr sollte ki-red-teaming inn umfassenderen answer Essenziel ist dabei jedoch laut deen experten insbesondere, dass im unternehmen klarheit darüber herrsch, wie die anforderungen für red teaming ausheen solten Annsten Sind verstöße gegen richtlinien oder gar juristischer ärcer vorprogramiert. (FM)
Sie Wollen Weitere Interesante Beiträge Rund Um Das Thema It-SCHERHEIT LESEN? Anasor costenslosar newsletter Liefert Ihnen Alas, Sicherheitscheider under -Experten Wissen Sollten, IHRE inbox was directed in inbox.
