Неодобрените ИИ приложения, прекомерните разрешения за достъп и криптираният трафик създават слепи петна в корпоративната защита. WatchGuard призовава организациите да съчетаят обучението на служителите с по-добра видимост върху използваните услуги и реален контрол върху мрежовите връзки.

Сигурността зависи не само от технологиите, но и от малките решения, които служителите вземат всеки ден. Това е един от основните акценти на Месеца на осведомеността за киберсигурността през 2026 г. Сред основните препоръки са използването на силни пароли, многофакторно удостоверяване (MFA), разпознаването и докладването на измами и своевременното инсталиране на актуализации.

Днес обаче обучението трябва да обхваща и един бързо разрастващ се риск – използването на приложения с изкуствен интелект (ИИ), които не са одобрени от организацията. Според анализ на WatchGuard проблемът не се изчерпва с това какви данни служителите въвеждат в даден чатбот. Все по-важно е да се разбира и какви разрешения получава приложението, до кои корпоративни ресурси има достъп и какви действия може да извършва от името на потребителя.

Shadow AI: когато служителите заобикалят установените правила

ИИ вече се използва за създаване на текстове, обобщаване на документи, анализ на информация и автоматизиране на ежедневни задачи. Корпоративните политики обаче невинаги се развиват със същото темпо. Когато липсват одобрени инструменти, които отговарят на реалните потребности, или използването на ИИ е напълно забранено, служителите могат да прибягнат до външни услуги, без екипът по сигурността да знае за тях.

Тази практика е известна като Shadow AI – използване на ИИ чатботове, разширения, добавки и интеграции извън установените процеси за одобрение и контрол.

Рискът възниква, когато тези приложения получат достъп до корпоративни акаунти, документи или облачни услуги, без организацията да е оценила как обработват информацията и какви разрешения използват. Така могат да останат неоткрити връзки към външни услуги, които не са включени в обичайните проверки за сигурност.

Пълната забрана невинаги решава проблема. По-устойчивият подход включва установяване на реалните потребности на служителите, осигуряване на подходящи одобрени алтернативи и наблюдение на услугите, които действително се използват.

ИИ агентите разширяват границите на достъпа

Разликата между обикновен ИИ асистент и ИИ агент е особено важна за корпоративната сигурност. Заявката към чатбот да подготви проект на имейл не е равнозначна на предоставянето на достъп до цялата електронна поща с разрешение да изпраща съобщения от името на потребителя.

Когато ИИ инструмент получи достъп до поща, файлове и календари, той може да придобие възможности, които надхвърлят първоначалната задача. Ако акаунтът бъде компрометиран или идентификационните данни бъдат откраднати, нападателят потенциално може да използва предоставените разрешения за достъп до чувствителна информация или за извършване на неоторизирани действия.

Прекомерните разрешения превръщат компрометирането на един акаунт в потенциален вход към по-широк кръг корпоративни ресурси. Например приложение, което трябва да провери графика на един служител, не би трябвало автоматично да получава достъп до календарите на цялата организация.

Затова акаунтите, използвани от ИИ приложения, трябва да бъдат защитени със същото внимание като всеки друг акаунт с достъп до чувствителни данни. Това включва MFA, когато е налично, периодичен преглед на предоставените разрешения и отмяна на ненужните достъпи.

Обучението трябва да научи служителите да спират и да проверяват всяка неочаквана заявка за достъп. Важният въпрос е дали исканите разрешения съответстват на конкретната задача и дали приложението действително се нуждае от тях.

Как организациите могат да откриват скритите интеграции

Ефективното управление на Shadow AI изисква повече от публикуването на вътрешни правила. Компаниите трябва да установят кои приложения са свързани с облачната им инфраструктура, какви разрешения са предоставени чрез корпоративни акаунти и кои интеграции остават извън централизираните процеси за управление.

Свързването на тази информация с активността на акаунтите позволява да се откриват необичайни действия, които изискват допълнителна проверка. Следващата стъпка е конкретна реакция – преглед на рискова интеграция, отмяна на ненужно разрешение или разследване на възможна злоупотреба с акаунт.

Контролът трябва да продължава и след първоначалното одобрение на дадено приложение. Неговите разрешения, конфигурация и връзки с други услуги могат да се променят, което налага периодична преоценка.

Тази видимост има и пряка полза за обучението. Когато екипът по сигурността знае кои услуги използват служителите, може да предоставя конкретни указания за допустимото споделяне на данни, да открива липсващи одобрени алтернативи и да разяснява към кого да се обръщат потребителите при съмнение.

Криптираният трафик също може да прикрива заплахи

Откриването на приложенията и техните разрешения обаче не е достатъчно, за да осигури пълна видимост върху всички заплахи. Според WatchGuard Global Threat Report H1 2026 95% от наблюдавания в мрежата зловреден софтуер е пристигнал през криптирани TLS връзки, докато само 20% от устройствата Firebox са инспектирали този трафик.

Тези показатели подчертават важен проблем: криптирането защитава данните при пренос, но същевременно може да затрудни откриването на зловредно съдържание от защитните механизми, когато те не разполагат с подходяща възможност за проверка.

Решението включва оценка на това къде се прилага HTTPS инспекция и кои категории трафик са изключени. При този процес трафикът се декриптира за проверка, анализира се за заплахи и след това отново се криптира. Прилагането му трябва да отчита изискванията за съвместимост, поверителност и спецификите на конкретната инфраструктура.

Важно е да се направи и едно уточнение: посочените данни не доказват, че зловредният софтуер произхожда от Shadow AI. Те показват отделен, но свързан проблем – разпознаването на дадена услуга не означава, че организацията има видимост върху съдържанието и рисковете на целия трафик, който преминава през нея.

От осведоменост към измерим контрол

Месецът на осведомеността за киберсигурността е подходящ момент организациите да проверят дали програмите им за обучение отговарят на новите модели на работа. Служителите трябва да разбират какви данни споделят с ИИ, какви права предоставят на приложенията и защо неочакваните искания за достъп изискват допълнителна проверка.

За бизнеса обаче са необходими и технически мерки: инвентаризация на използваните приложения, контрол върху разрешенията, наблюдение на активността на акаунтите и проверка на криптирания трафик.

Целта не е само да се предотврати използването на неодобрени инструменти, а да се премахнат слепите петна, които възникват, когато технологиите се развиват по-бързо от политиките и контролните механизми. Комбинацията от информирани служители, подходящи одобрени алтернативи и постоянен технически надзор дава на организациите по-добра възможност да управляват рисковете от ИИ, без да губят контрол върху корпоративната информация.