الأمن السيبراني
تُظهر أبحاث Eclypsium كيف يمكن للأجهزة المخترَقة تغيير نماذج الذكاء الاصطناعي أثناء التشغيل
أضف Unite.AI إلى مصادرك المفضلة على Google
أثبتت Eclypsium كيف يمكن للبنية التحتية الحاسوبية المخترَقة تغيير سلوك نموذج للذكاء الاصطناعي أثناء الاستدلال، مع بقاء ملفاته الأصلية سليمة. ويُظهر البحث، المنشور في 29 أكتوبر ضمن الذكاء الاصطناعي الموثوق يتطلب بنية تحتية موثوقة، لماذا لا يكفي التحقق من توقيع النموذج أو تجزئة ملفه لإثبات سلامة النموذج الذي يجري تنفيذه في الذاكرة.
في عرض توضيحي خاضع للرقابة ومدعوم من NVIDIA، استخدم الباحثون وحدة معالجة بيانات (DPU) مخترَقة، إلى جانب إعدادات متساهلة لعزل الذاكرة، لتعديل أوزان النموذج أثناء التشغيل. وتغيّرت إجابات النموذج من دون تعديل النموذج المخزّن أو خدمة الاستدلال. وتُدرج هذه النتيجة الأجهزة والبرامج الثابتة وإعدادات الأجهزة ضمن حدود أمن الذكاء الاصطناعي.
مسار مختلف لتغيير نموذج للذكاء الاصطناعي
غالبًا ما تركز النقاشات حول أمن الذكاء الاصطناعي على المطالبات الخبيثة وبيانات التدريب المسمومة والاستخدام غير الآمن للأدوات. ويتناول هذا البحث طبقة أدنى: البنية التحتية التي تحتفظ بمعلمات النموذج وتنقلها أثناء تشغيله.
الأوزان هي المعلمات الرقمية التي تشكّل استجابات النموذج. ويمكن تحميل ملف سليم من القرص إلى الذاكرة، ثم تغييره بواسطة مكوّن يتمتع بامتيازات كافية. وسيُظهر فحص لاحق للملف الأصلي البايتات المتوقعة، رغم أن الإجابة تكون قد أُنشئت باستخدام حالة معدّلة أثناء التشغيل.
غيّر عرض Eclypsium التوضيحي بوضوح مخرجات التحليل المتعلقة بسؤال جيوسياسي. ويتمثل القلق الأوسع في أن التلاعب أثناء التشغيل قد يؤثر في استخدامات حساسة أخرى، من بينها إنشاء التعليمات البرمجية واتخاذ القرارات آليًا. وينبغي التمييز بين هذه الاحتمالات والسلوك المحدد الذي ظهر في المختبر.
ولادعاء بقاء التلاعب من دون اكتشاف نطاق محدد أيضًا: إذ لم تكشف فحوص سلامة النموذج المخزّن المستخدمة في العرض التوضيحي تغييرات الذاكرة. لكن ذلك لا يثبت استحالة اكتشافها بكل أشكال المراقبة أو الفحص الجنائي الرقمي.
ظروف الهجوم مهمة
استخدم الاختبار بيئة NVIDIA Grace Hopper. واعتمد مسار الوصول المباشر إلى الذاكرة على مكوّن ذي امتيازات مخترَق وإعدادات تسمح بالوصول إلى الذاكرة الحساسة. ويحدد الباحثون تمرير IOMMU وإعدادات العزل المتساهلة عبر PCIe بوصفهما شرطين مهمين، مشيرين صراحةً إلى أنهما ليسا من إعدادات Linux الافتراضية.
تساعد وحدة إدارة الذاكرة للإدخال والإخراج (IOMMU) على ضبط نطاق الذاكرة التي يمكن للأجهزة الطرفية الوصول إليها. وفي إعداد العزل الأقوى الذي اختبره الباحثون، لم يكن المسار المباشر نفسه متاحًا. لذا، تؤكد النتيجة أهمية التحقق من إعدادات النشر الفعلية، بدلًا من افتراض أن قدرة أمنية مثبتة تفرض حدود العزل فعليًا.
وحدة معالجة البيانات (DPU) هي معالج بنية تحتية قابل للبرمجة، يُستخدم لخدمات الشبكات والتخزين والأمن. وتُعد قدرته على نقل البيانات بكفاءة ميزة قيّمة، لكن الامتيازات التي تتيح وظائف البنية التحتية المشروعة قد تصبح خطرة إذا تمكّن مهاجم من السيطرة على المكوّن.
رد NVIDIA: التحقق من حدود الثقة
في عرضها لتفاصيل التعاون، تصف NVIDIA آليات الإقلاع الموثق في BlueField، والثقة القائمة على العتاد، والعزل، ووسائل الحماية من مخاطر تحديث البرامج الثابتة، والتصديق. كما تؤكد أن مشغّلي السحابة يختارون إعدادات أمنية مختلفة وفقًا لنماذج الثقة لديهم.
تتمثل رسالة الشركتين في أن المشغّلين يحتاجون إلى أدلة توضح هذه الخيارات. وينبغي تقييم ضوابط الوصول إلى الذاكرة وعزل الأجهزة وواجهات الإدارة في سياق نموذج التهديد الخاص بكل عملية نشر. فمجرد توافر ميزة ما لا يثبت أنها مضبوطة على النحو الصحيح.
وتوضح NVIDIA وEclypsium أيضًا أن المشكلة تتجاوز مورّدًا واحدًا. فأنظمة الذكاء الاصطناعي تعتمد على برمجيات المضيف ذات الامتيازات، والبرامج الثابتة للمسرّعات، ووحدات التحكم بالإدارة، وآليات نقل البيانات. وتختلف المسارات المحددة باختلاف البنية، لكن ضرورة مراعاة هذه المكونات لا تختلف.
لماذا يعتمد أمن الوكلاء أيضًا على أمن البنية التحتية
تزداد المخاطر عندما يستطيع النموذج استدعاء الأدوات أو الوصول إلى بيانات المؤسسة أو بدء تنفيذ إجراءات. فقد يقوّض العبث بالبنية التحتية الافتراضات التي تستند إليها وسائل الحماية على مستوى التطبيقات بشأن النموذج الذي يجري تشغيله فعليًا.
تُبرز منصة NVIDIA المفتوحة لسلامة الوكلاء الاستجابة متعددة الطبقات. إذ توفر OpenShell حوكمة أثناء التشغيل، بينما تعمل NVIDIA Sentry على BlueField انطلاقًا من نطاق أمني معزول عتاديًا، خارج المضيف والوكيل. وتهدف هذه البنية إلى مراقبة السلوك وإنفاذ السياسات من نقطة تحكم منفصلة.
ويفرض هذا الموقع المستقل مسؤولية أمنية أخرى: إذ يجب أن تظل أجهزة إنفاذ السياسات ومجموعة برامجها جديرة بالثقة هي نفسها. فنقل إحدى وسائل التحكم إلى خارج التطبيق يقلل الاعتماد على مكوّن واحد، لكنه يزيد أهمية التحقق من موثوقية المكوّن المكلّف بتلك المهمة.
من جرد الأجهزة إلى التحقق المستمر من الضمانات
تُطلق Eclypsium على الفجوة بين ضمان النماذج وسلامة البنية التحتية اسم «فجوة ضمان البنية التحتية للذكاء الاصطناعي». وتُجري منصة ضمان البنية التحتية التابعة لها جردًا للمكونات، وتقيّم البرامج الثابتة والإعدادات، وتقارن حالة الأجهزة بخطوط الأساس المعتمدة، وترصد التغييرات. وتطرح الشركة هذه الإمكانات بوصفها مكمّلة لتدابير الحماية القائمة للتطبيقات والنماذج.
تبدأ الخطوات العملية للمشغّلين بالتعامل مع وحدات معالجة البيانات (DPUs) ووحدات معالجة الرسومات (GPUs) ووحدات التحكم الإدارية وبرامجها الثابتة بوصفها أصولًا تُدار كلٌّ على حدة. ويتطلب كلٌّ منها تحديد جهة مسؤولة عنه، وتتبع إصداراته، وتقييم الثغرات فيه، واتباع آلية تحديث واضحة. وينبغي أن تشمل هذه المراجعة أيضًا الوصول إلى مستوى الإدارة وبرامج الجهات الخارجية على معالجات البنية التحتية.
ينبغي أيضًا مواصلة الفحوص طوال دورة حياة الأجهزة، من النشر والتحديثات إلى التعافي من الحوادث وإعادة التخصيص. فوجود صورة نظيفة لنظام التشغيل لا يثبت وحده أن كل مكوّن أدنى مستوى يعمل بحالة معتمدة. وتزداد أهمية هذه الدورة في البنية التحتية المشتركة، إذ قد تُستخدم الأجهزة لخدمة عملاء متعاقبين.
فحص النظام قيد التشغيل، لا العنصر البرمجي وحده
تظل التوقيعات الرقمية للنماذج مفيدة، إذ تجيب عن سؤال مهم بشأن العنصر البرمجي الجاري تحميله. أما الإقلاع الآمن والتصديق والعزل أثناء التشغيل والمراقبة المستمرة، فتجيب عن أسئلة مختلفة تتعلق بالنظام الذي يشغّله. ولا ينبغي اعتبار أيٍّ منها بديلًا عن سائرها.
تكمن أهمية أبحاث Eclypsium في أن النموذج قد يجتاز أحد فحوص السلامة، بينما يكون جزء آخر من سلسلة تنفيذه قد تغيّر. وبالنسبة إلى المؤسسات التي توظف الذكاء الاصطناعي في سير عمل ذي تبعات مهمة، ينبغي أن يرافق التحقق من البنية التحتية تقييمَ النماذج طوال فترة التشغيل.
