Η έρευνα της Eclypsium δείχνει πώς το παραβιασμένο υλικό μπορεί να αλλοιώσει μοντέλα ΤΝ κατά την εκτέλεσή τους

Η Eclypsium έδειξε πώς μπορεί να αλλάξει η συμπεριφορά ενός μοντέλου ΤΝ κατά τη διαδικασία εξαγωγής συμπερασμάτων, όταν παραβιαστεί η υπολογιστική υποδομή, παρότι τα αρχικά αρχεία του παραμένουν ανέπαφα. Η έρευνα, που δημοσιεύτηκε στις 29 Οκτωβρίου με τίτλο Η αξιόπιστη ΤΝ απαιτεί αξιόπιστη υποδομή, δείχνει γιατί ο έλεγχος της υπογραφής ή του κατακερματισμού αρχείου ενός μοντέλου δεν διασφαλίζει την ακεραιότητα του μοντέλου που εκτελείται στη μνήμη.

Σε ελεγχόμενη επίδειξη με την υποστήριξη της NVIDIA, οι ερευνητές χρησιμοποίησαν μια παραβιασμένη μονάδα επεξεργασίας δεδομένων (DPU) σε συνδυασμό με ανεπαρκώς περιορισμένη απομόνωση μνήμης, για να τροποποιήσουν τα βάρη του μοντέλου κατά την εκτέλεσή του. Οι απαντήσεις του μοντέλου άλλαξαν χωρίς να τροποποιηθεί το αποθηκευμένο μοντέλο ή η υπηρεσία εξαγωγής συμπερασμάτων. Το εύρημα εντάσσει το υλικό, το υλικολογισμικό και τις ρυθμίσεις των συσκευών στα όρια ασφαλείας της ΤΝ.

Ένας διαφορετικός τρόπος αλλαγής ενός μοντέλου ΤΝ

Οι συζητήσεις για την ασφάλεια της ΤΝ επικεντρώνονται συχνά σε κακόβουλες προτροπές, αλλοιωμένα δεδομένα εκπαίδευσης και μη ασφαλή χρήση εργαλείων. Η έρευνα εξετάζει ένα χαμηλότερο επίπεδο: την υποδομή που αποθηκεύει και μεταφέρει τις παραμέτρους ενός μοντέλου όσο αυτό εκτελείται.

Τα βάρη είναι οι αριθμητικές παράμετροι που διαμορφώνουν τις απαντήσεις ενός μοντέλου. Ένα έγκυρο αρχείο στον δίσκο μπορεί να φορτωθεί στη μνήμη και στη συνέχεια να τροποποιηθεί από ένα στοιχείο με επαρκή προνόμια. Ένας μεταγενέστερος έλεγχος του αρχικού αρχείου εξακολουθεί να βρίσκει τα αναμενόμενα byte, παρότι μια απάντηση έχει παραχθεί με βάση την αλλοιωμένη κατάσταση κατά την εκτέλεση.

Η επίδειξη της Eclypsium άλλαξε εμφανώς το αναλυτικό αποτέλεσμα μιας απάντησης σε γεωπολιτικό ερώτημα. Η ευρύτερη ανησυχία είναι ότι η χειραγώγηση κατά την εκτέλεση θα μπορούσε να επηρεάσει και άλλες ευαίσθητες χρήσεις, όπως την παραγωγή κώδικα και τις αυτοματοποιημένες αποφάσεις. Αυτά τα ενδεχόμενα πρέπει να διακρίνονται από τη συγκεκριμένη συμπεριφορά που καταδείχθηκε στο εργαστήριο.

Ο ισχυρισμός ότι η αλλοίωση παραμένει αθέατη έχει επίσης σαφώς ορισμένο πεδίο εφαρμογής: οι έλεγχοι ακεραιότητας του αποθηκευμένου μοντέλου που χρησιμοποιήθηκαν στην επίδειξη δεν εντόπισαν τις αλλαγές στη μνήμη. Αυτό δεν αποδεικνύει ότι η αλλοίωση είναι αόρατη σε κάθε μορφή παρακολούθησης ή εγκληματολογικής εξέτασης.

Οι συνθήκες της επίθεσης έχουν σημασία

Η δοκιμή πραγματοποιήθηκε σε περιβάλλον NVIDIA Grace Hopper. Η διαδρομή άμεσης πρόσβασης στη μνήμη εξαρτιόταν από ένα παραβιασμένο στοιχείο με αυξημένα προνόμια και από ρυθμίσεις που επέτρεπαν την πρόσβαση σε ευαίσθητη μνήμη. Οι ερευνητές επισημαίνουν ως σημαντικές προϋποθέσεις τη λειτουργία passthrough του IOMMU και την ανεπαρκή απομόνωση PCIe, σημειώνοντας ρητά ότι αυτές δεν ήταν οι προεπιλεγμένες ρυθμίσεις του Linux.

Ένα IOMMU βοηθά στον έλεγχο της μνήμης στην οποία μπορεί να έχει πρόσβαση ένα περιφερειακό. Με την ισχυρότερη διαμόρφωση απομόνωσης που δοκίμασαν οι ερευνητές, η ίδια διαδρομή άμεσης πρόσβασης δεν ήταν διαθέσιμη. Το αποτέλεσμα υπογραμμίζει, επομένως, τη σημασία της επαλήθευσης των πραγματικών ρυθμίσεων εγκατάστασης και όχι της υπόθεσης ότι μια εγκατεστημένη δυνατότητα ασφαλείας επιβάλλει ενεργά ένα όριο προστασίας.

Μια DPU είναι ένας προγραμματιζόμενος επεξεργαστής υποδομής, ο οποίος χρησιμοποιείται για υπηρεσίες δικτύωσης, αποθήκευσης και ασφάλειας. Η δυνατότητά του να μεταφέρει δεδομένα αποτελεσματικά είναι πολύτιμη, αλλά τα προνόμια που εξυπηρετούν νόμιμες λειτουργίες της υποδομής μπορούν να γίνουν επικίνδυνα αν ένας εισβολέας αποκτήσει τον έλεγχο του στοιχείου.

Η απάντηση της NVIDIA: επαληθεύστε τα όρια εμπιστοσύνης

Στην περιγραφή της συνεργασίας, η NVIDIA αναφέρεται στην επαληθευμένη εκκίνηση του BlueField, στην εμπιστοσύνη που θεμελιώνεται στο υλικό, στην απομόνωση, στις δικλίδες προστασίας των ενημερώσεων υλικολογισμικού και στην πιστοποίηση. Τονίζει επίσης ότι οι πάροχοι υπηρεσιών νέφους επιλέγουν διαφορετικές διαμορφώσεις ασφαλείας ανάλογα με τα μοντέλα εμπιστοσύνης τους.

Το μήνυμα των εταιρειών είναι ότι οι διαχειριστές χρειάζονται τεκμηρίωση για αυτές τις επιλογές. Οι έλεγχοι πρόσβασης στη μνήμη, η απομόνωση συσκευών και οι διεπαφές διαχείρισης πρέπει να αξιολογούνται στο πλαίσιο του μοντέλου απειλών κάθε εγκατάστασης. Η διαθεσιμότητα μιας δυνατότητας από μόνη της δεν αποδεικνύει ότι έχει ρυθμιστεί σωστά.

Η NVIDIA και η Eclypsium επισημαίνουν επίσης ότι το ζήτημα δεν περιορίζεται σε έναν μόνο προμηθευτή. Τα συστήματα ΤΝ βασίζονται σε λογισμικό με αυξημένα προνόμια στον κεντρικό υπολογιστή, υλικολογισμικό επιταχυντών, ελεγκτές διαχείρισης και μηχανισμούς μεταφοράς δεδομένων. Οι ακριβείς διαδρομές διαφέρουν ανάλογα με την αρχιτεκτονική· η ανάγκη να λαμβάνονται υπόψη αυτά τα στοιχεία, όμως, παραμένει.

Γιατί η ασφάλεια των πρακτόρων εξαρτάται και από την ασφάλεια της υποδομής

Οι κίνδυνοι αυξάνονται όταν ένα μοντέλο μπορεί να καλεί εργαλεία, να αποκτά πρόσβαση σε εταιρικά δεδομένα ή να εκκινεί ενέργειες. Η παραβίαση της υποδομής μπορεί να υπονομεύσει τις παραδοχές στις οποίες βασίζονται οι δικλίδες ασφαλείας σε επίπεδο εφαρμογής σχετικά με το ποιο μοντέλο εκτελείται στην πραγματικότητα.

Το Open Agent Safety Platform της NVIDIA αποτελεί παράδειγμα πολυεπίπεδης αντιμετώπισης. Το OpenShell παρέχει διακυβέρνηση κατά την εκτέλεση, ενώ το NVIDIA Sentry στο BlueField λειτουργεί σε έναν τομέα ασφαλείας απομονωμένο σε επίπεδο υλικού, έξω από τον κεντρικό υπολογιστή και τον πράκτορα. Η αρχιτεκτονική αποσκοπεί στην παρακολούθηση της συμπεριφοράς και στην επιβολή πολιτικής από ένα ξεχωριστό σημείο ελέγχου.

Αυτή η ανεξάρτητη θέση συνεπάγεται μια πρόσθετη ευθύνη για την ασφάλεια: το υλικό επιβολής των κανόνων και η στοίβα λογισμικού του πρέπει και τα ίδια να παραμένουν αξιόπιστα. Η μεταφορά ενός μηχανισμού ελέγχου έξω από την εφαρμογή μειώνει μία εξάρτηση, ενώ ταυτόχρονα καθιστά ακόμη σημαντικότερη την επαλήθευση του στοιχείου στο οποίο έχει ανατεθεί αυτός ο έλεγχος.

Από την καταγραφή υλικού στη συνεχή διασφάλιση

Η Eclypsium αποκαλεί «Κενό στη διασφάλιση των υποδομών AI» την απόσταση ανάμεσα στη διασφάλιση που εστιάζει στα μοντέλα και την ακεραιότητα των υποδομών. Η πλατφόρμα διασφάλισης υποδομών της καταγράφει τα στοιχεία, αξιολογεί το υλικολογισμικό και τις ρυθμίσεις, συγκρίνει την κατάσταση των συσκευών με εγκεκριμένες βάσεις αναφοράς και παρακολουθεί τις αλλαγές. Η εταιρεία παρουσιάζει αυτές τις δυνατότητες ως συμπληρωματικές προς τις υφιστάμενες δικλίδες ασφαλείας για εφαρμογές και μοντέλα.

Για τους διαχειριστές, το πρακτικό έργο αρχίζει με την αντιμετώπιση των DPU, GPU, ελεγκτών διαχείρισης και του υλικολογισμικού τους ως ξεχωριστών περιουσιακών στοιχείων που απαιτούν ατομική διαχείριση. Για καθένα χρειάζονται σαφής ευθύνη, παρακολούθηση εκδόσεων, αξιολόγηση ευπαθειών και καθορισμένη διαδικασία ενημέρωσης. Στην ίδια αξιολόγηση πρέπει να περιλαμβάνονται η πρόσβαση στο επίπεδο διαχείρισης και το λογισμικό τρίτων που εκτελείται σε επεξεργαστές υποδομής.

Οι έλεγχοι θα πρέπει επίσης να ακολουθούν το υλικό κατά την ανάπτυξη, τις ενημερώσεις, την αποκατάσταση μετά από περιστατικά και την εκ νέου ανάθεσή του. Μια καθαρή εικόνα του λειτουργικού συστήματος δεν αποδεικνύει από μόνη της ότι κάθε στοιχείο χαμηλότερου επιπέδου βρίσκεται σε εγκεκριμένη κατάσταση. Οι κοινόχρηστες υποδομές καθιστούν αυτόν τον κύκλο ζωής ιδιαίτερα σημαντικό, καθώς το υλικό μπορεί να εξυπηρετεί διαδοχικούς πελάτες.

Έλεγχος του συστήματος σε λειτουργία, όχι μόνο του τεχνουργήματος

Οι υπογραφές των μοντέλων παραμένουν χρήσιμες: απαντούν σε ένα σημαντικό ερώτημα σχετικά με το τεχνούργημα που φορτώνεται. Η ασφαλής εκκίνηση, η πιστοποίηση, η απομόνωση κατά την εκτέλεση και η συνεχής παρακολούθηση απαντούν σε διαφορετικά ερωτήματα σχετικά με το σύστημα που το εκτελεί. Κανένα από αυτά δεν θα πρέπει να θεωρείται υποκατάστατο όλων των υπολοίπων.

Η σημασία της έρευνας της Eclypsium έγκειται στο ότι ένα μοντέλο μπορεί να περάσει έναν έλεγχο ακεραιότητας, ενώ ένα άλλο μέρος της αλυσίδας εκτέλεσής του έχει αλλάξει. Για τους οργανισμούς που εντάσσουν την AI σε κρίσιμες ροές εργασίας, η επαλήθευση της υποδομής πρέπει να συνοδεύει την αξιολόγηση του μοντέλου καθ’ όλη τη διάρκεια της λειτουργίας.