साइबर सुरक्षा
Eclypsium के शोध से पता चलता है कि हैक किया गया हार्डवेयर रनटाइम के दौरान एआई मॉडल को कैसे बदल सकता है
Unite.AI को Google पर अपने पसंदीदा स्रोतों में जोड़ें
Eclypsium ने दिखाया है कि हैक किया गया कंप्यूटिंग ढाँचा अनुमान-प्रक्रिया के दौरान एआई मॉडल के व्यवहार को बदल सकता है, जबकि उसकी मूल फ़ाइलें जस की तस बनी रहती हैं। 29 अक्टूबर को भरोसेमंद एआई के लिए भरोसेमंद अवसंरचना आवश्यक शीर्षक से प्रकाशित यह शोध बताता है कि किसी मॉडल के हस्ताक्षर या फ़ाइल हैश की जाँच से यह साबित नहीं होता कि स्मृति में चल रहा मॉडल भी अक्षुण्ण है।
NVIDIA के सहयोग से किए गए एक नियंत्रित प्रदर्शन में, शोधकर्ताओं ने रनटाइम में मॉडल के भार बदलने के लिए एक हैक की गई डेटा प्रोसेसिंग इकाई (DPU) का इस्तेमाल किया और साथ ही स्मृति-पृथक्करण की ढीली व्यवस्था का लाभ उठाया। संग्रहित मॉडल या अनुमान-सेवा में कोई बदलाव किए बिना मॉडल के जवाब बदल गए। इस निष्कर्ष से स्पष्ट होता है कि हार्डवेयर, फ़र्मवेयर और डिवाइस का विन्यास भी एआई सुरक्षा-सीमा के दायरे में आते हैं।
एआई मॉडल को बदलने का एक अलग तरीका
एआई सुरक्षा पर चर्चा अक्सर दुर्भावनापूर्ण प्रॉम्प्ट, दूषित प्रशिक्षण डेटा और असुरक्षित टूल इस्तेमाल पर केंद्रित रहती है। यह शोध इससे निचली परत की पड़ताल करता है: वह अवसंरचना जो मॉडल के चलते समय उसके मापदंडों को अपने पास रखती है और एक जगह से दूसरी जगह पहुँचाती है।
भार वे संख्यात्मक मापदंड हैं जो मॉडल के जवाबों को आकार देते हैं। डिस्क पर मौजूद एक वैध फ़ाइल को स्मृति में लोड करने के बाद पर्याप्त विशेषाधिकार वाले किसी घटक द्वारा बदला जा सकता है। बाद में मूल फ़ाइल की जाँच करने पर अपेक्षित बाइट अब भी दिखाई देते हैं, भले ही जवाब रनटाइम की बदली हुई स्थिति का इस्तेमाल करके तैयार किया गया हो।
Eclypsium के प्रदर्शन में भू-राजनीति से जुड़े एक सवाल पर विश्लेषणात्मक जवाब स्पष्ट रूप से बदल गया। व्यापक चिंता यह है कि रनटाइम में हेरफेर से अन्य संवेदनशील इस्तेमाल भी प्रभावित हो सकते हैं, जिनमें तैयार किया गया कोड और स्वचालित निर्णय शामिल हैं। इन संभावनाओं को प्रयोगशाला में दिखाए गए विशिष्ट व्यवहार से अलग करके देखा जाना चाहिए।
बिना पता चले रह जाने के दावे का दायरा भी तय है: प्रदर्शन में इस्तेमाल की गई संग्रहित-मॉडल अखंडता जाँचों से स्मृति में हुए बदलावों का पता नहीं चला। इससे यह साबित नहीं होता कि हर तरह की निगरानी या फॉरेंसिक जाँच से ये बदलाव अदृश्य रहेंगे।
हमले की परिस्थितियाँ मायने रखती हैं
इस परीक्षण में NVIDIA Grace Hopper परिवेश का इस्तेमाल किया गया। इसकी प्रत्यक्ष स्मृति-पहुँच की प्रक्रिया एक हैक किए गए विशेषाधिकार-प्राप्त घटक और ऐसी विन्यास सेटिंग पर निर्भर थी जो संवेदनशील स्मृति तक पहुँच की अनुमति देती थीं। शोधकर्ताओं ने IOMMU पासथ्रू और ढीले PCIe पृथक्करण को महत्त्वपूर्ण परिस्थितियाँ बताया और स्पष्ट किया कि ये Linux की डिफ़ॉल्ट सेटिंग नहीं थीं।
IOMMU यह नियंत्रित करने में मदद करता है कि कोई परिधीय उपकरण स्मृति के किन हिस्सों तक पहुँच सकता है। शोधकर्ताओं द्वारा जाँचे गए अधिक मज़बूत पृथक्करण विन्यास में वही प्रत्यक्ष पहुँच मार्ग उपलब्ध नहीं था। इसलिए यह नतीजा इस बात पर ज़ोर देता है कि तैनाती की वास्तविक सेटिंग की पुष्टि की जाए—यह मानकर न चला जाए कि सुरक्षा क्षमता इंस्टॉल होने भर से वह सक्रिय रूप से सुरक्षा-सीमा लागू कर रही है।
DPU एक प्रोग्राम किया जा सकने वाला अवसंरचना प्रोसेसर है, जिसका इस्तेमाल नेटवर्किंग, स्टोरेज और सुरक्षा सेवाओं के लिए होता है। डेटा को कुशलता से स्थानांतरित करने की इसकी क्षमता उपयोगी है, लेकिन अगर किसी हमलावर का इस घटक पर नियंत्रण हो जाए, तो अवसंरचना के वैध कार्यों के लिए दिए गए विशेषाधिकार ख़तरनाक बन सकते हैं।
NVIDIA की प्रतिक्रिया: विश्वास-सीमाओं की पुष्टि करें
सहयोग का विवरण देते हुए, NVIDIA ने BlueField के प्रमाणित बूट, हार्डवेयर-आधारित विश्वास, पृथक्करण, फ़र्मवेयर अपडेट की सुरक्षा और सत्यापन का उल्लेख किया है। कंपनी इस बात पर भी ज़ोर देती है कि क्लाउड ऑपरेटर अलग-अलग विश्वास मॉडलों के लिए अलग सुरक्षा विन्यास चुनते हैं।
कंपनियों का संदेश है कि ऑपरेटरों को इन विकल्पों के बारे में प्रमाण चाहिए। स्मृति-पहुँच नियंत्रणों, डिवाइस पृथक्करण और प्रबंधन इंटरफ़ेस का आकलन तैनाती के ख़तरा-मॉडल के संदर्भ में किया जाना चाहिए। किसी सुविधा का उपलब्ध होना भर यह नहीं दर्शाता कि उसका विन्यास सही है।
NVIDIA और Eclypsium यह भी बताते हैं कि समस्या किसी एक विक्रेता तक सीमित नहीं है। एआई प्रणालियाँ विशेषाधिकार-प्राप्त होस्ट सॉफ़्टवेयर, एक्सेलरेटर फ़र्मवेयर, प्रबंधन नियंत्रकों और डेटा-स्थानांतरण तंत्रों पर निर्भर करती हैं। अलग-अलग आर्किटेक्चर में सटीक रास्ते भिन्न होते हैं, लेकिन इन घटकों का ध्यान रखने की ज़रूरत नहीं बदलती।
एजेंट की सुरक्षा भी अवसंरचना की सुरक्षा पर क्यों निर्भर करती है
जब कोई मॉडल टूल का इस्तेमाल कर सकता हो, कंपनी के डेटा तक पहुँच सकता हो या कार्रवाई शुरू कर सकता हो, तो दाँव और बढ़ जाते हैं। अवसंरचना में छेड़छाड़ से अनुप्रयोग-स्तर के सुरक्षा उपायों की वे धारणाएँ कमज़ोर पड़ सकती हैं, जो इस बात पर आधारित हैं कि वास्तव में कौन-सा मॉडल चल रहा है।
NVIDIA का ओपन एजेंट सुरक्षा प्लेटफ़ॉर्म सुरक्षा की कई परतों वाले दृष्टिकोण का उदाहरण है। OpenShell रनटाइम संचालन पर नियंत्रण देता है, जबकि NVIDIA Sentry on BlueField होस्ट और एजेंट से बाहर, हार्डवेयर-पृथक सुरक्षा डोमेन से काम करता है। इस संरचना का उद्देश्य व्यवहार की निगरानी करना और एक अलग नियंत्रण-बिंदु से नीतियाँ लागू करना है।
यह स्वतंत्र स्थिति सुरक्षा की एक और ज़िम्मेदारी पैदा करती है: नियंत्रण लागू करने वाला हार्डवेयर और उसका सॉफ़्टवेयर तंत्र भी भरोसेमंद बने रहना चाहिए। किसी नियंत्रण को अनुप्रयोग से बाहर ले जाने पर एक निर्भरता घटती है, लेकिन जिस घटक को वह नियंत्रण सौंपा गया है, उसकी पुष्टि करना और भी महत्त्वपूर्ण हो जाता है।
हार्डवेयर की सूची से सतत आश्वासन तक
Eclypsium मॉडल-केंद्रित आश्वासन और अवसंरचना की अखंडता के बीच के अंतर को “एआई अवसंरचना आश्वासन अंतराल” कहता है। इसका अवसंरचना आश्वासन मंच घटकों की सूची तैयार करता है, फ़र्मवेयर और कॉन्फ़िगरेशन का आकलन करता है, डिवाइस की स्थिति की तुलना स्वीकृत आधार-स्थितियों से करता है और बदलावों पर नज़र रखता है। कंपनी इन क्षमताओं को मौजूदा ऐप्लिकेशन और मॉडल सुरक्षा उपायों का पूरक बताती है।
संचालकों के लिए व्यावहारिक काम की शुरुआत DPU, GPU, प्रबंधन नियंत्रकों और उनके फ़र्मवेयर को अलग-अलग प्रबंधित परिसंपत्तियों के रूप में देखने से होती है। हर परिसंपत्ति के लिए ज़िम्मेदारी तय होनी चाहिए, संस्करणों का रिकॉर्ड रखा जाना चाहिए, कमज़ोरियों का आकलन होना चाहिए और अपडेट की प्रक्रिया स्पष्ट होनी चाहिए। प्रबंधन-प्लेन तक पहुँच और अवसंरचना प्रोसेसरों पर मौजूद तृतीय-पक्ष सॉफ़्टवेयर की भी इस समीक्षा में जाँच होनी चाहिए।
जाँच के दौरान हार्डवेयर को परिनियोजन, अपडेट, घटना से उबरने और पुनः आवंटन के सभी चरणों में परखना चाहिए। ऑपरेटिंग सिस्टम की स्वच्छ छवि से अपने-आप यह साबित नहीं होता कि हर निचले स्तर का घटक स्वीकृत स्थिति में है। साझा अवसंरचना में यह जीवनचक्र विशेष रूप से महत्वपूर्ण हो जाता है, क्योंकि हार्डवेयर का इस्तेमाल लगातार अलग-अलग ग्राहक कर सकते हैं।
सिर्फ़ आर्टिफ़ैक्ट नहीं, चल रही प्रणाली की जाँच
मॉडल हस्ताक्षर उपयोगी बने रहते हैं: वे लोड किए जा रहे आर्टिफ़ैक्ट के बारे में एक अहम सवाल का जवाब देते हैं। सुरक्षित बूट, अटेस्टेशन, रनटाइम आइसोलेशन और निरंतर निगरानी उस प्रणाली के बारे में अलग-अलग सवालों के जवाब देते हैं, जो उस आर्टिफ़ैक्ट को चलाती है। इनमें से किसी को भी बाकी सभी का विकल्प नहीं मानना चाहिए।
Eclypsium के शोध का महत्व यह है कि मॉडल अखंडता की एक जाँच में सफल हो सकता है, जबकि उसके निष्पादन-क्रम का कोई दूसरा हिस्सा बदल चुका हो। महत्वपूर्ण कार्यप्रवाहों में एआई तैनात करने वाले संगठनों के लिए, संचालन के दौरान मॉडल के मूल्यांकन के साथ-साथ अवसंरचना का सत्यापन भी आवश्यक है।
