3 dicas de especialistas em segurança de IA da Snyk e da Dynatrace

A McKinsey considera 2023 “o ano de estreia da IA generativa”. Em uma de suas pesquisas recentes, um terço dos entrevistados afirmou que suas organizações usam IA generativa regularmente em pelo menos uma função de negócios. Mas, à medida que os avanços em IA continuam transformando o cenário tecnológico, muitos CISOs se veem diante da seguinte questão: como a IA afeta os ciclos de desenvolvimento de software e a segurança geral das aplicações de negócios? 

Em um bate-papo recente, nossos convidados conversaram a fundo sobre IA e suas implicações para as empresas de hoje. Participaram: 

• Simon Maple, diretor de defesa da IA na Snyk

• Craig Charlton, diretor de segurança da informação e vice-presidente de capacitação digital de colaboradores da Dynatrace, com cerca de 10 anos de experiência em tecnologia da informação e segurança 

• Don Ferguson, presidente do Escritório de Privacidade da Dynatrace, que trabalha com o produto de IA da empresa, Davis AI, há uma década

Ao longo da conversa, eles abordaram diversos temas, incluindo o cenário atual da IA, os fatores a considerar ao usar IA no desenvolvimento de software e dicas práticas para equilibrar as oportunidades e os riscos da IA. Segundo esses especialistas, usar IA com segurança depende, em última análise, da governança entre equipes, da elaboração de estratégias abrangentes para testar e implementar novas tecnologias e da atenção constante à segurança durante todo o desenvolvimento.

3 principais aprendizados da conversa sobre segurança em IA generativa entre Snyk e Dynatrace

Embora as empresas já usem IA há vários anos — como o Davis AI, da Dynatrace, lançado há 10 anos, e o DeepCode AI, da Snyk, lançado há 4 anos —, a conversa mudou radicalmente no último ano. 

Nas palavras de Maple: “Se tivéssemos falado sobre isso há dois ou três anos, não haveria essa confiança inerente no que a IA é capaz de fazer e se ela está pronta para ser usada em produtos... É muito interessante que, agora, se você não fala sobre IA, as pessoas questionam se você está mesmo pensando no futuro.”

Durante a conversa, Maple, Charlton e Ferguson discutiram como equilibrar inovação em IA e segurança. Entre os principais aprendizados, eles compartilharam os seguintes conselhos.

Priorize a governança de IA

A governança de IA é essencial neste momento da jornada das empresas com IA generativa. Charlton disse: “Uma das coisas mais importantes para nós foi não esperar para criar uma estrutura de governança de IA. Ela precisa incluir segurança, privacidade, aplicações de negócios, jurídico, desenvolvimento de software etc. Não se trata apenas de governança. Envolve ética, recebimento de solicitações, análise, tudo isso, além de uma estratégia abrangente de comunicação.”

Avance com paciência e cuidado

Maple, Charlton e Ferguson também enfatizaram a importância de adotar novas tecnologias com calma e cautela. Ferguson disse: “Existe muita pressão para fazer as coisas rápido e agir rapidamente... É muito importante dedicar tempo para entender [a IA generativa], compreender de verdade como você pode tirar o máximo proveito dela e como quer lidar com os riscos... Você precisa reservar um tempo para refletir.”

Charlton destacou duas prioridades importantes para você ter em mente ao avançar com cautela:

• Avalie o nível de explicabilidade e transparência das ferramentas escolhidas. Você consegue mapear o fluxo de dados e entender quais sistemas podem visualizar os dados inseridos nas ferramentas de IA? Nas palavras dele: “De onde vêm os dados? Como eles podem ser usados no treinamento? Para onde esses dados fluem... e como são exfiltrados para outros tipos de sistemas? Eles alimentam outros sistemas no futuro que, em última análise, podem apresentar exposições que você não tinha previsto? É preciso acompanhar os dados: quem é responsável por eles, como são usados no treinamento e se há algum viés inerente.” 

• Implemente segurança de código ao usar IA no desenvolvimento. Ele recomenda fazer as seguintes perguntas: “Estamos submetendo o código gerado por IA ao processo padrão de análise de ameaças que normalmente usamos? Estamos garantindo que o código desenvolvido com IA generativa esteja bem documentado na nossa base de código, para sabermos o que foi feito por pessoas e o que foi feito por IA generativa?”

Equilibre as oportunidades e os riscos da IA, especialmente no desenvolvimento

A IA oferece oportunidades e riscos para equipes de todos os tipos. No entanto, ao usar ferramentas de IA, quem desenvolve precisa priorizar a segurança e a privacidade. A IA tem grande potencial para as equipes de desenvolvimento: desde as soluções de AppSec da Snyk, que usam IA para corrigir código, até LLMs que escrevem centenas de linhas de código em milissegundos. Mas o uso indevido de ferramentas de IA no desenvolvimento pode trazer muitos riscos, como código mal escrito e inseguro, exposição excessiva de dados e inclusão não intencional de terceiros inseguros. 

Para equilibrar os riscos, é preciso começar com conversas transparentes e abertas sobre as ferramentas de IA e seus usos adequados. Segundo Charlton, as empresas precisam estabelecer “um ciclo contínuo de feedback, com um grupo dedicado a definir como fazer isso corretamente no desenvolvimento e quais produtos vamos usar, como vamos treinar nossos modelos de linguagem etc. Como em qualquer mudança cultural, é preciso manter uma comunicação clara, consistente e regular para que isso aconteça.”

Desenvolva com segurança usando IA

Como vimos neste bate-papo, ao usar IA, as equipes precisam considerar diversos fatores, como o fluxo de dados de cada ferramenta e suas implicações éticas. Felizmente, há muitos recursos para ajudar equipes de desenvolvimento a aproveitar o melhor da IA sem abrir mão da segurança. Ouvir a conversa completa com Maple, Charlton e Ferguson é um ótimo ponto de partida.