چرا نظارت و شفافیت تنها سپر واقعی شرکت‌ها در برابر ریسک‌های حاکمیت هوش مصنوعی است؟

همین ماه ژوئن گذشته بود که شرکت آنتروپیک (Anthropic) از دو مدل از قدرتمندترین مدل‌های هوش مصنوعی خودش تا به امروز رونمایی کرد. اما ماجرا به همین قشنگی پیش نرفت؛ تنها چند روز بعد، دولت ایالات متحده به بهانه نگرانی‌های مربوط به امنیت ملی، به این شرکت دستور داد دسترسی تمام کاربران خارج از خاک آمریکا رو قطع کنه.

آنتروپیک سازوکار مطمئنی نداشت تا متوجه بشه چه کسی دقیقاً از کجا لاگین می‌کنه. در نتیجه مجبور شد دسترسی به این مدل‌ها رو برای همه، حتی مشتری‌های داخل آمریکا، به طور کامل متوقف کنه! دو هفته و نیم طول کشید تا این محدودیت‌ها برداشته بشن و دسترسی دوباره برقرار بشه؛ تازه یکی از این دو مدل هنوز هم فقط برای تعداد محدودی از سازمان‌های تاییدشده در آمریکا در دسترسه.

به باور مدیرعامل و هم‌بنیان‌گذار مجموعه ThreatAware، این ماجرا درس‌های بسیار مهمی برای مدیران فناوری دارد.

این زنجیره تعلیق، بازگشت دسترسی و اعمال محدودیت‌های مقطعی، ارزش بررسی دقیق رو داره. این اتفاق به وضوح نشون می‌ده ابزار‌های هوش مصنوعی که کسب‌وکارها وارد فرآیندهای روزمره‌شون کردن، چقدر راحت و بدون اطلاع قبلی می‌تونن طبق تصمیم و جدول زمانی دولت‌ها دستخوش تغییر یا قطعی بشن، نه بر اساس نیاز خود شرکت‌ها.

برای مدیران امنیت سایبری، این ماجرا واقعیتی تازه است که باید برای رویارویی با اون برنامه‌ریزی کنن. ریسک اصلی اینجاست که قدرت هوش مصنوعی در انحصار تعداد انگشت‌شماری از ارائه‌دهندگان بزرگه، قوانین و مقررات هنوز به پای سرعت فناوری نرسیدن و تنها چیزی که واقعاً در کنترل خود شرکت‌هاست، رعایت اصول پایه‌ای امنیت و ارزیابی ریسکه.

ایجاد تاب‌آوری و آمادگی در برابر بحران

این اتفاق از همون موقع تبدیل به یک نقطه عطف و مرجع اصلی در بحث‌های مربوط به «حاکمیت هوش مصنوعی» (AI Sovereignty) شد؛ اتفاقی که حساسیت و درستی این دغدغه‌ها رو کاملاً اثبات می‌کنه.

اما بزرگ‌ترین اشتباه اینه که فکر کنیم این ماجرا فقط به یک شرکت خاص و دو هفته قطعی در ماه ژوئن محدود بود. الگوی پشت این بحران حتی قبل از این ماجرا هم کاملاً مشخص بود و حالا هم ادامه داره. واقعیت اینه که توانمندی‌های کلیدی و حیاتی هوش مصنوعی تنها در دست چند ارائه‌دهنده محدود متمرکزه؛ شرکت‌هایی که سیاست‌ها، مدل‌های تجاری یا مقررات حاکم بر اون‌ها ممکنه در یک چشم‌به‌هم‌زدن و با کم‌ترین هشدار قبلی زیر و رو بشه.

قوانین کنترل صادرات در حوزه هوش مصنوعی پیشرو هنوز در مراحل ابتداییه و سر و شکل نهایی نگرفته. در این میان، چند کشور هم طی ماه‌های گذشته به جای اینکه دست روی دست بذارن و منتظر تکرار این شوک‌ها باشن، سرمایه‌گذاری روی «هوش مصنوعی مستقل و بومی» رو با سرعت بالا استارت زدن.

کسب‌وکارها باید به این درک برسن که درس اصلی این ماجرا، پیش‌بینی بحران بعدی نیست؛ بلکه باید این فرض رو بپذیرن که دسترسی به هوش مصنوعی، قابلیت‌های اون‌ها و الزامات قانونی مدام و گاهی به شکلی کاملاً ناگهانی تغییر خواهد کرد؛ در نتیجه باید تاب‌آوری و زیرساخت‌های خودشون رو بر اساس این واقعیت بسازن.

تاب‌آوری در دنیای هوش مصنوعی معنای کاملاً مشخصی داره: یعنی دقیقاً بدونید هوش مصنوعی در کجای کسب‌وکار شما جا خوش کرده، کدوم تیم‌ها و فرآیندها به چه ابزار‌هایی وابسته‌ان و البته قبل از اینکه مشکلی پیش بیاد، پلن جایگزین (Contingency Plan) آماده‌ای دم دست داشته باشید.

سازمان‌هایی که در ماه ژوئن پاسخ این سوال‌ها رو می‌دونستن، وضعیت بسیار بهتری نسبت به شرکت‌هایی داشتن که تازه با شنیدن اخبار شوکه شدن و به تکاپو افتادن.

ضرورت حیاتی ارزیابی و اعتبارسنجی مستقل

وقتی محدودیت‌های صادراتی برداشته شد، این رفع تحریم نتیجه توافقی محرمانه بین آنتروپیک و دولت آمریکا در مورد نحوه گزارش و بررسی خطرات آینده بود. هرچند این توافق قدم اول به حساب میاد، اما در نهایت ماجرا بین یک شرکت خصوصی و یک دولت پشت درهای بسته حل‌وفصل شد و بندهای اون برای عموم شفاف نیست.

واکنش شرکت OpenAI به حادثه امنیتی خودش هم دقیقاً بر اساس همین الگو بود. پس از اینکه یکی از مدل‌های این شرکت در حین آزمایش به سیستم‌های پلتفرم هاگینگ فیس (Hugging Face) نفوذ کرد، OpenAI بزرگ‌ترین پروژه آموزشی مدل پیشرو خودش رو متوقف کرد و بر اساس تشخیص و برنامه زمانی خودش، تدابیر امنیتی داخلی جدیدی در نظر گرفت.

به بیان ساده، دو غول پیشتاز این صنعت خودشون تعیین می‌کنن خطرات هوش مصنوعی چطور ارزیابی و مهار بشن و از بقیه کسب‌وکارها هم انتظار دارن کورکورانه اعتماد کنن که این تدابیر کافی و امن هستن!

ابتکاراتی مثل «شبکه بین‌المللی موسسات ایمنی هوش مصنوعی» بی‌دلیل به وجود نیومدن؛ هیچ شرکتی نباید خودش به دستپخت و امنیت مدل‌های خودش نمره بده. با این حال، چون مدیریت این نهادها هنوز عمدتاً دست دولت‌هاست، تقویت استقلال و بی‌طرفی اون‌ها باید اولویت اصلی باشه.

اما این به اون معنا نیست که باید دست روی دست بذارید تا قوانین و نهادهای بین‌المللی به بلوغ برسن. شرکت‌ها باید رویکردی فعال داشته باشن و توانایی داخلی خودشون رو بالا ببرن تا به جای پذیرش ساده‌لوحانه ادعای شرکت‌ها و نهادهای قانون‌گذار، خودشون امنیت و ریسک‌ها رو زیر ذره‌بین ببرن.

همه‌چیز از شفافیت و دید کامل شروع می‌شود

مهم‌تر از هر چیز اینه که شما هرگز نمی‌تونید روی چیزی که نمی‌بینید، نظارت کنید یا برای اون امنیت و تاب‌آوری بسازید. این دقیقاً نقطه شروع عملیه و جاییه که پاشنه آشیل بیش‌تر سازمان‌ها در مدیریت ریسک هوش مصنوعی به حساب میاد.

اگر از بیش‌تر شرکت‌ها بخواید فهرست کاملی از تمام ابزار‌های هوش مصنوعی فعال در سازمان رو به شما بدن، احتمالاً به جای یک پاسخ دقیق، حدس و گمان تحویلتون می‌دن! هر بخش و دپارتمانی رفته سراغ یک مدل هوش مصنوعی؛ بعضی‌ها به شکل رسمی و خیلی‌ها هم یواشکی و غیررسمی. در نتیجه حجم عظیمی از داده‌ها بدون هیچ ثبت مرکزی یا نظارتی وارد این مدل‌ها شده و از اون‌ها خارج می‌شن، بی‌آنکه معلوم باشه چه کسانی به این ابزار‌ها دسترسی دارن.

این وضعیت اصلاً چیز عجیبی نیست؛ وقتی سرعت استفاده از فناوری از نظارت و قانون‌گذاری پیشی می‌گیره، دقیقاً همین اتفاق می‌افته و این وضعیتیه که امروز بخش بزرگی از سازمان‌ها گرفتارش هستن.

راه‌حل این چالش خیلی پیچیده نیست، هرچند به نظم و پیگیری مستمر نیاز داره. یک سیاهه و فهرست کارآمد از هوش مصنوعی سازمانی باید به چهار سوال کلیدی درباره هر ابزار پاسخ بده: این مدل کجا میزبانی می‌شه؟ به چه داده‌هایی دسترسی داره؟ چه کسانی از اون استفاده می‌کنن؟ و اینکه تغییر در سیاست شرکت ارائه‌دهنده، قوانین یا مقررات صادراتی چطور می‌تونه فرآیندهای کسب‌وکار شما رو تحت تأثیر قرار بده؟

اتفاقات ماه ژوئن دقیقاً همین نکته آخر رو عریان کرد. در حال حاضر، درس حیاتی برای سازمان‌ها اینه که محیط تحت حفاظت خودشون رو به خوبی بشناسن، حفره‌های دفاعی رو پیدا کنن و یک برنامه تداوم کسب‌وکار (BCP) کاملاً تست‌شده داشته باشن. در ماه‌های آینده با توجه به غیرقابل‌پیش‌بینی بودن فضای هوش مصنوعی، این اصول پایه‌ای از هر چیز دیگه‌ای تعیین‌کننده‌تر خواهند بود.

داشتن چنین شفافیت و دید کاملی، سردرگمی و بحران‌های پیش‌بینی‌نشده رو به یک مسئله مشخص و قابل مدیریت تبدیل می‌کنه؛ طوری که دقیقاً می‌دونید کدوم بخش‌های شرکت در خطرن، راهکار جایگزین چیه و اجرای اون چقدر زمان می‌بره. تفاوت میان دستپاچگی در برابر بحران با آمادگی کامل دقیقاً در همین نقطه رقم می‌خوره.

دولت‌ها و غول‌های فناوری به تعیین شرایط دسترسی به هوش مصنوعی ادامه خواهند داد. در این میان، تنها شرکت‌هایی می‌توانند در تلاطم‌های بعدی سرپا بایستند که وابستگی‌های خود را دقیق بشناسند و برای هر تغییری آماده باشند.