Unde se opresc standardele de securitate AI – și unde trebuie să înceapă protecția la runtime

Cu toată vorbirea despre riscurile de securitate ale inteligenței artificiale, o problemă care pare să fie ignorată este aceasta: faptul că sistemele de inteligență artificială funcționează numai prin expunerea celor mai valoroase active – modele și date.

Spre deosebire de software-ul tradițional, inteligența artificială nu execută pur și simplu logică predefinită. Ea amestecă în mod continuu modele proprietare cu intrări sensibile pentru a genera ieșiri, adesea pe infrastructuri care nu au fost proiectate pentru a proteja calculul.

În acest fel, securitatea tradițională este insuficientă. Criptarea este eficientă atunci când datele sunt stocate sau transmise prin rețea, dar nu atunci când datele sunt procesate sau operate. Pentru inteligența artificială, în special, pericolul apare atunci când un model este implementat. Parametrii săi sunt încărcați în memorie, inițializați și executați la scară – punctul în care criptarea se oprește – expunându-l la acces neautorizat potențial. În timpul inferenței, datele sensibile curg prin același spațiu expus. Rezultatul este o suprafață de risc foarte vulnerabilă: sisteme de inteligență artificială care pot părea securizate – dar care sunt de fapt neprotejate în momentele cele mai critice.

Organizațiile de standardizare, cum ar fi Institutul Național de Standarde și Tehnologie (NIST), Agenția Uniunii Europene pentru Securitate Cibernetică (cunoscută anterior sub numele de Agenția Europeană pentru Securitate a Rețelelor și a Informației, sau ENISA), și Proiectul de Securitate a Aplicațiilor Web Deschise (OWASP) au început să cartografieze acest teritoriu. Ei descriu riscurile, numesc vulnerabilitățile și conturează principiile de guvernanță. Dar ei se opresc înainte de a prescrie cum să protejeze modelele ca proprietate intelectuală și datele ca active confidențiale odată ce execuția începe. Închiderea acestei lacune necesită o reevaluare a securității inteligenței artificiale – nu ca o exercițiu de conformitate, ci ca o problemă de protejare a calculului însuși. Aici, criptarea în timpul utilizării, sau criptarea de la capăt la capăt, joacă un rol.

Punctul orb în securitatea modernă a inteligenței artificiale

Majoritatea conversațiilor despre securitatea inteligenței artificiale se învârt încă în jurul unor subiecte familiare: guvernanța datelor de antrenament, controlul accesului, monitorizarea API-urilor și politici de utilizare responsabilă. Acestea sunt necesare. Cu toate acestea, niciuna dintre ele nu abordează ceea ce se întâmplă după implementare, atunci când un model părăsește depozitul și devine un sistem viu.

Odată implementat, parametrii unui model nu mai sunt artefacte abstracte. Ei sunt active vii, rezidente în memorie, accesate în mod continuu în timpul inferenței și adesea utilizate de multiple chiriași sau clienți prin servicii de inteligență artificială partajate. Această expunere are loc înainte de orice cerere de inferență, compunând astfel riscul prin introducerea intrărilor sensibile și a comportamentului observabil din exterior.

Tratarea protecției modelului ca o preocupare pre-implementare și securitatea inferenței ca o problemă de timp de rulare ratează esența. În sistemele reale, aceste riscuri se suprapun. Modelele și datele sunt expuse pe parcursul inițializării, execuției și ieșirii. Securitatea care începe și se termină cu controalele de stocare nu reușește să abordeze aceste expuneri.

Ce NIST corect — și unde se oprește

Cadrul de gestionare a riscurilor de inteligență artificială al NIST a devenit o piatră de temelie pentru organizațiile care încearcă să gestioneze riscurile de inteligență artificială. Structura sa – guvernează, cartografiează, măsoară, gestionează – oferă o modalitate disciplinată de a gândi despre răspundere, context, impact și atenuare pe tot parcursul ciclului de viață al inteligenței artificiale.

Ce face NIST în mod deosebit de bine este să cadreze riscul de inteligență artificială ca fiind sistemic, și nu accidental. Eșecurile de inteligență artificială sunt rareori evenimente punctuale; ele apar din interacțiunile dintre modele, date, oameni și infrastructură. Acest cadru este esențial.

Unde cadruul de lucru este în defect, este în a nu dicta cum sunt protejate activele de inteligență artificială de înaltă valoare odată ce sistemele sunt vii. Parametrii modelului sunt tratați implicit ca artefacte de proiectare, și nu ca active de timp de rulare. Mediile de execuție sunt presupuse a fi suficient de de încredere.

În practică, parametrii modelului sunt adesea cele mai valoroase active intelectuale pe care le deține o organizație. Ei sunt încărcați în memorie, copiați pe noduri, stocați în cache și reutilizați. Dacă gestionarea riscurilor de inteligență artificială nu ține cont de confidențialitatea modelelor în timpul implementării și execuției, un activ critic rămâne în afara limitei de risc, ca o țintă ușoară.

ENISA și realitatea amenințărilor specifice inteligenței artificiale

Lucrarea ENISA privind securitatea cibernetică a inteligenței artificiale împinge conversația mai departe. Cadruul său multistratificat distinge între securitatea infrastructurii tradiționale și riscurile specifice inteligenței artificiale, recunoscând că sistemele de inteligență artificială se comportă diferit – și eşuează diferit – decât software-ul convențional.

De ce este important? Inteligența artificială introduce amenințări care nu se potrivesc neapărat în controalele existente: extragerea modelului, scurgerea parametrilor, expunerea co-locării și manipularea în timpul execuției. Aceste riscuri nu necesită atacatori exotici. Ele apar în mod natural atunci când modele de înaltă valoare rulează în medii partajate sau gestionate extern.

Cadruul ENISA recunoaște implicit că securizarea inteligenței artificiale înseamnă securizarea comportamentului, și nu doar a codului. Dar, ca majoritatea standardelor, se concentrează pe ceea ce ar trebui să fie luat în considerare, și nu pe modul în care protecțiile sunt impuse tehnic odată ce modelele sunt în execuție.

OWASP și costul inteligenței observabile

Top 10 OWASP pentru aplicații de modele de limbaj mare oferă o vedere mai concretă asupra modului în care sistemele de inteligență artificială se strică în lumea reală. Injectarea prompt-urilor, divulgarea informațiilor sensibile, scurgerea încorporării, transparența excesivă a ieșirii – acestea nu sunt preocupări teoretice. Ele sunt produsele secundare ale implementării unor modele puternice fără a constrânga ceea ce ele revelează.

Deși aceste probleme sunt adesea formulate ca probleme de nivel de aplicație, consecințele lor sunt mai profunde. Expunerea repetată a comportamentului modelului poate duce la clonarea eficientă; încorporările slab izolate pot revela structura; și abuzul de inferență devine o cale către replicarea modelului.

Taxonomia OWASP face un lucru clar: protejarea inteligenței artificiale nu este doar despre stoparea intrărilor rele. Este despre limitarea a ceea ce modelele expun – intern și extern – odată ce sunt operaționale.

O concluzie comună, o lucrare neterminată

De-a lungul NIST, ENISA și OWASP, există un acord larg asupra fundamentelor:

• Riscul de inteligență artificială se întinde pe tot parcursul ciclului de viață
• Sistemele de inteligență artificială introduc categorii de amenințări noi
• Modelele și datele sunt active de înaltă valoare
• Expunerea la runtime este inevitabilă

Ce lipsește acestor cadre, însă, este un mecanism pentru impunerea confidențialității odată ce modelele sunt implementate și calculul începe. Această omisiune nu este o eroare, deoarece standardele definesc intenția și scopul. Implementarea este, de obicei, lăsată la latitudinea proiectantului de sistem.

Dar ele lasă o lacună critică – una care crește pe măsură ce sistemele de inteligență artificială se extind.

Criptarea în timpul utilizării schimbă ecuația

Criptarea în timpul utilizării schimbă modelul de securitate. În loc de a presupune că datele și modelele trebuie să fie expuse pentru a fi utile, ea tratează calculul ca pe ceva care poate fi protejat.

În termeni practici, acest lucru înseamnă:

• Modelele rămân criptate în timpul implementării, inițializării și execuției
• Intrările nu sunt niciodată vizibile în text clar pentru mediul de execuție
• Stările intermediare nu pot fi inspectate sau modificate
• Infrastructura nu mai trebuie să fie implicite de încredere

Acest lucru nu înlocuiește cadrele de guvernanță sau controalele de nivel de aplicație – el operationalizează. El transformă principiile de risc în garanții impuse în momentul în care sistemele de inteligență artificială sunt cele mai vulnerabile.

Cu alte cuvinte, criptarea în timpul utilizării este stratul lipsă între politica de inteligență artificială și realitatea inteligenței artificiale.

Când guvernanța se termină și execuția începe: Securizarea calculului de inteligență artificială

Securitatea inteligenței artificiale se prăbușește la runtime. Odată implementate, modelele și datele sensibile de inteligență artificială trebuie să fie expuse în memorie pentru a funcționa, creând o suprafață de risc pe care controalele tradiționale – criptarea la odihnă, criptarea în tranzit și cadrele de guvernanță – nu au fost niciodată proiectate să o protejeze.

Organizațiile de standardizare, cum ar fi NIST, ENISA și OWASP, au făcut progrese critice în definirea riscului de inteligență artificială, a răspunderii și a abuzului. Dar îndrumările lor tratează în mare măsură modelele ca artefacte de proiectare și presupun că mediile de execuție pot fi de încredere. În practică, parametrii modelului și intrările sensibile sunt accesate în mod continuu, reutilizate și adesea procesate în medii partajate sau gestionate extern.

Închiderea acestei lacune necesită o reevaluare a securității inteligenței artificiale – nu ca un exercițiu de conformitate, ci ca o problemă de protejare a calculului însuși – atunci când modelele sunt vii, datele sunt în uz și expunerea este inevitabilă. Criptarea în timpul utilizării oferă o modalitate viabilă de a menține modelele și intrările sensibile de inteligență artificială securizate pe tot parcursul ciclului de viață al inteligenței artificiale.