Microsoft Copilot은 현존하는 가장 강력한 생산성 도구 중 하나로 평가받고 있습니다. Copilot은 Microsoft 365 앱 내부에 있는 AI 도우미입니다. Copilot이 ChatGPT 및 기타 AI 도구와 다른 점은 Microsoft 365에서 작업한 모든 것에 액세스할 수 있다는 것입니다. 이로 인해 Copilot은 사용자의 민감한 데이터에 접근할 수 있습니다. 이에 따른 우려를 해소하고 데이터 보안과 안전을 확보하는 방법에 대해 소개합니다.
※ 이 글은 아래 기사 내용을 토대로 작성되었습니다만, 필자의 개인 의견이나 추가 자료들이 다수 포함되어 있습니다.
- 원문: Generative AI Security: Preventing Microsoft Copilot Data Exposure
- URL: https://thehackernews.com/2023/12/generative-ai-security-preventing.html
Microsoft 365 Copilot 사용 사례
M365와 같은 협업 제품군을 갖춘 생성 AI의 사용 사례는 무한합니다. 많은 IT 및 보안 팀이 조기 액세스를 얻고 롤아웃 계획을 준비하기 위해 애쓰는 이유를 쉽게 알 수 있습니다. 생산성 향상 효과는 엄청날 것입니다. 예를 들어, 빈 Word 문서를 열고 Copilot에게 OneNote 페이지, PowerPoint 데크 및 기타 사무실 문서를 포함할 수 있는 대상 데이터 세트를 기반으로 클라이언트를 위한 제안 초안을 작성하도록 요청할 수 있습니다. 몇 초 안에 본격적인 제안이 완성됩니다.
다음은 Microsoft 출시 이벤트에서 Microsoft가 제공한 몇 가지 추가 예입니다 .
- Copilot은 Teams 회의에 참여하여 논의 중인 내용을 실시간으로 요약하고, 작업 항목을 캡처하고, 회의에서 해결되지 않은 질문을 알려줄 수 있습니다.
- Outlook의 Copilot을 사용하면 받은 편지함을 분류하고, 전자 메일의 우선 순위를 지정하고, 스레드를 요약하고, 답장을 생성할 수 있습니다.
- Excel의 Copilot은 원시 데이터를 분석하고 통찰력, 추세 및 제안을 제공할 수 있습니다.
Microsoft 365 Copilot 작동 방식
Copilot 프롬프트가 처리되는 방법에 대한 간단한 개요는 다음과 같습니다.
- 사용자는 Word, Outlook 또는 PowerPoint와 같은 앱에 프롬프트를 입력합니다.
- Microsoft는 M365 권한을 기반으로 사용자의 비즈니스 컨텍스트를 수집합니다.
- 응답을 생성하기 위해 프롬프트가 LLM(예: GPT4)으로 전송됩니다.
- Microsoft는 사후 처리 책임 AI 검사를 수행합니다.
- Microsoft는 M365 앱에 대한 응답과 명령을 다시 생성합니다.
Microsoft 365 Copilot 보안 모델
Microsoft에서는 생산성과 보안 사이에 극심한 긴장이 존재합니다. 이는 IT 팀이 기본 보안 모델의 작동 방식이나 조직의 M365 권한, 그룹 및 링크 정책의 상태를 완전히 이해하지 못한 채 Microsoft Teams를 신속하게 배포했던 코로나바이러스 기간 동안 나타났습니다.
좋은 소식
- 테넌트 격리: Copilot은 현재 사용자의 M365 테넌트의 데이터만 사용합니다. AI 도구는 사용자가 게스트일 수 있는 다른 테넌트나 테넌트 간 동기화로 설정된 테넌트의 데이터를 표시하지 않습니다.
- 훈련 경계: Copilot은 모든 테넌트에 대해 Copilot이 사용하는 기본 LLM을 교육하는 데 비즈니스 데이터를 사용하지 않습니다 . 다른 테넌트의 다른 사용자에 대한 응답으로 독점 데이터가 표시되는 것에 대해 걱정할 필요가 없습니다 .
나쁜 소식
- 권한: Copilot은 개별 사용자에게 최소한 보기 권한이 있는 모든 조직 데이터를 표시합니다.
- 라벨: Copilot에서 생성된 콘텐츠는 Copilot이 응답을 가져온 파일의 MPIP 레이블을 상속하지 않습니다.
- 인간: Copilot의 답변은 100% 사실이거나 안전하다고 보장되지 않습니다. 인간은 AI 생성 콘텐츠를 검토할 책임을 져야 합니다.
나쁜 소식을 하나씩 살펴보겠습니다.
권한
사용자가 액세스할 수 있는 항목에만 Copilot 액세스 권한을 부여하는 것은 회사가 Microsoft 365에서 최소 권한을 쉽게 적용할 수 있다면 훌륭한 아이디어가 될 것입니다. Microsoft는 Copilot 데이터 보안 문서에서는 다음과 같이 명시합니다.
"적절한 사용자나 그룹이 조직 내의 적절한 콘텐츠에 대한 적절한 액세스 권한을 갖도록 하려면 SharePoint와 같은 Microsoft 365 서비스에서 사용할 수 있는 권한 모델을 사용하는 것이 중요합니다."
그러나 우리는 경험적으로 대부분의 조직이 최소한의 권한과는 거리가 멀다는 것을 알고 있습니다. Microsoft의 자체 클라우드 권한 위험 상태 보고서에서 일부 통계를 살펴보세요.
이 그림은 Varonis가 매년 Microsoft 365를 사용하는 회사에 대해 수천 건의 데이터 위험 평가를 수행할 때 확인하는 것과 일치합니다. The Great SaaS Data Exposure 보고서에서 평균 M365 테넌트는 다음과 같은 특징을 가지고 있는 것으로 나타났습니다.
- 4천만 개 이상의 고유 권한
- 113,000개 이상의 민감한 기록이 공개적으로 공유됨
- 27,000개 이상의 공유 링크
왜 이런 일이 발생할까요? Microsoft 365 권한은 매우 복잡합니다. 사용자가 데이터에 액세스할 수 있는 모든 방법을 생각해 보세요.
- 직접 사용자 권한
- Microsoft 365 그룹 권한
- SharePoint 로컬 권한(사용자 지정 수준 포함)
- 게스트 액세스
- 외부 접근
- 공개 액세스
- 링크 액세스(누구나, 조직 전체, 직접, 게스트)
설상가상으로 권한은 대부분 IT나 보안 팀이 아닌 최종 사용자의 손에 있습니다.
라벨
Microsoft는 DLP 정책을 시행하고, 암호화를 적용하고, 데이터 유출을 광범위하게 방지하기 위해 민감도 레이블에 크게 의존합니다. 그러나 실제로는 레이블을 작동 시키는 것이 어렵습니다. 특히 민감도 레이블을 적용하기 위해 사람에게 의존하는 경우에는 더욱 그렇습니다.
Microsoft는 데이터에 대한 궁극적인 안전망으로 레이블 지정 및 차단에 대한 장밋빛 그림을 그립니다. 현실은 더 암울한 시나리오를 드러냅니다. 인간이 데이터를 생성함에 따라 라벨링은 종종 뒤처지거나 시대에 뒤떨어지게 됩니다.
데이터를 차단하거나 암호화하면 작업 흐름에 방해가 될 수 있으며 레이블 지정 기술은 특정 파일 형식으로 제한됩니다. 조직에 레이블이 많을수록 사용자가 더 혼란스러워질 수 있습니다. 이는 특히 대규모 조직의 경우 더욱 심합니다.
AI가 정확하고 자동 업데이트되는 레이블이 필요한 훨씬 더 많은 데이터를 생성하게 되면 레이블 기반 데이터 보호의 효율성이 확실히 저하됩니다.
내 라벨은 괜찮나요?
Varonis는 다음을 검색, 발견 및 수정하여 조직의 Microsoft 민감도 라벨링을 검증하고 개선할 수 있습니다.
- 라벨이 없는 민감한 파일
- 라벨이 잘못된 민감한 파일
- 민감한 라벨이 있는 민감하지 않은 파일
인간
AI는 인간을 게으르게 만들 수 있습니다. GPT4와 같은 LLM에서 생성된 콘텐츠는 단지 좋은 것이 아니라 훌륭합니다. 많은 경우 속도와 품질이 인간이 할 수 있는 수준을 훨씬 뛰어넘습니다. 결과적으로 사람들은 안전하고 정확한 대응을 위해 AI를 맹목적으로 신뢰하기 시작합니다.
우리는 Copilot이 클라이언트를 위한 제안 초안을 작성하고 완전히 다른 클라이언트에 속한 민감한 데이터를 포함하는 실제 시나리오를 이미 보았습니다. 사용자가 잠깐 살펴본 후(또는 전혀 보지 않은 후) "보내기"를 누르면 이제 개인 정보 보호 또는 데이터 침해 시나리오가 준비됩니다.
Copilot을 위한 테넌트 보안 준비
Copilot을 출시하기 전에 데이터 보안 상태를 파악하는 것이 중요합니다. 이제 Copilot이 정식 출시되었으므로 보안 제어를 마련할 수 있는 좋은 기회입니다. Varonis는 위험에 대한 실시간 보기와 최소 권한을 자동으로 적용하는 기능을 제공하는 데이터 보안 플랫폼을 통해 수천 명의 Microsoft 365 고객을 보호합니다.
Copilot을 통해 사실상 수동 작업 없이 가장 큰 보안 위험을 해결할 수 있도록 도움을 받을 수 있습니다. Microsoft 365용 Varonis를 사용하면 다음을 수행할 수 있습니다.
- 모든 민감한 AI 생성 콘텐츠를 자동으로 검색하고 분류합니다.
- MPIP 레이블이 올바르게 적용되었는지 자동으로 확인합니다.
- 최소 권한 권한을 자동으로 적용합니다.
- M365의 민감한 데이터를 지속적으로 모니터링하고 비정상적인 동작에 대해 경고하고 대응합니다.
'IT Info' 카테고리의 다른 글
| 크롬 브라우저의 탭을 편리하게 사용하는 방법 (0) | 2023.12.07 |
|---|---|
| 소셜 미디어에 절대 공유하면 안 되는 10가지 (0) | 2023.12.07 |
| ChatGPT로 나만의 챗봇을 만드는 방법 (4) | 2023.12.06 |
| 개발자의 노션(Notion) 앱 활용법 (0) | 2023.12.06 |
| 이메일 템플릿을 만드는 6가지 창의적인 방법 (4) | 2023.12.06 |
