以零信任应对AI部署中的影子访问风险-14正式版-WN8.doc

身份和访问管理工作组的永久和官方地址是

/research/working-groups/identity-

留所有权利。你可以在你的电脑上下载.储存.展示.查

联盟大中华区官网（）。须遵守以下：

信息获取.非商业用途；（b）本文内容不得篡改；（c）本文不得

.版权或其他声明不得删除。在遵循中华人民共和国著作权法相关条

使用本文内容，使用时请注明引用于云安全联盟大中华区。

?2024云安全联盟大中华区版权所有2

致谢

《以零信任应对AI部署中的影子访问风险》由CSA工

华区零信任工作和IAM工作组共同组织翻译并审校。

中文版翻译组成员

翻译组组长：

陈本峰

审校组成员：

戴立伟于继万

研究协调

郑元

络安全技术有限公司

?2024云安全联盟大中华区版权所有4

英文版本编写专家

主要作者：

VenkatRaghavan

StevenSchoenfeld

HeinrichSmit

贡献者：

IvanDjordjevic

MichaelRoza

审校者：

Aak

?2024云安全联盟大中华区版权所有5

CSA全球员工：

RyanGifford

ClaireLehnert

StephenLumpe

在此感谢以上专家。如译文有不妥当之

联系邮箱research@；云

?2024云安全联盟大中华区版权所有6

目录

序言.......................................................................................

摘要.................................................................................

什么是影子访问？......................................................

零信任概述...........................................................

为什么存在影子访问？...................................

零信任原则可以如何减少影子访问...........

GenAI、LLMs等技术概述.................

AI、GenAI、LLMs和影子访问....

全面的清单、变更管理和运

数据访问的可见性、可控

授权和治理框架.......

多模态数据的细粒

向量嵌入的访..12

非结构化........13

身份验.............13

内...................13

.........................13

..........................................14

................................................14

?2024云安全联盟大中华区版权所有7

序言

随着云计算、人工智能（AI）、生成式人工智能（GenAI）

等技术的快速发展，企业在数字化转型过程中面临的安

种对系统和数据的意外或未经授权的访问现象，因现

理不足而加剧，已经成为一个亟需解决的安全

对新兴安全挑战的重要策略，逐渐受到各

本报告《以零信任应对AI部署中

安全问题与零信任安全框架之间

应用的背景下。报告还探讨

应对这些新兴挑战的多

用等。这些内容为了

宝贵的建议和

在A探索和制定

最佳系，确保信息系

李雨航YaleLi

CSA大中华区主席兼研究院院长

?2024云安全联盟大中华区版权所有8

摘要

影子访问是云计算中日益关注的问题，它指的是对系统和

访问，往往因现代技术环境的复杂性和访问权限管理不

零信任安全以“永不信任，持续验证”的理念为

策，提倡健壮的身份验证和严格的访问控制。

中，零信任的实际落地面临着挑战。

人工智能，特别是生成式人工智

生成（RAG）的集成，引入了影

据暴露，以及人工智能和其

影子访问脆弱性增加，

信任方法必须适应

本文档着工智能。

什

或非预期的访问。随着

问题更加严重。

服务的聚合使用导致访问控制和

开发，导致错误或意外地允许的帐户

地发现，曾经一个安全的起点已经默默地

着克隆帐户和权限（通常在入职或帐户创建过

，进而增加了影子访问问题。

代的网络风险战略，是一种基于“永不信任、持续验证”理念的方法，

轻影子访问的可能性和影响。

任需要实现强身份验证（多因素身份验证（MFA）、密码学等），以及访问控制

?2024云安全联盟大中华区版权所有9

（最小特权、基于角色的访问控制（RBAC）、基于属性的访问控制