Där AI-säkerhetsstandarder slutar — och skydd vid körning måste börja

Med all diskussion om säkerhetsrisker med AI, verkar en fråga vara förbisedd: det faktum att AI-system bara fungerar genom att exponera sina mest värdefulla tillgångar — modeller och data.

Till skillnad från traditionell programvara, kör AI inte bara fördefinierad logik. Den blandar kontinuerligt ihop proprietära modeller med känsliga indata för att generera utdata, ofta på infrastruktur som inte var utformad för att skydda beräkningar.

På detta sätt brister traditionell säkerhet. Kryptering är effektiv när data lagras eller överförs över ett nätverk, men inte när data bearbetas eller används. För AI i synnerhet uppstår faran när en modell distribueras. Dess parametrar laddas in i minnet, initieras och körs i stor skala — den punkt då krypteringen upphör — och exponerar den för potentiell obehörig åtkomst. Under inferens flödar känslig data genom samma exponerade utrymme. Resultatet är en mycket sårbar riskyta: AI-system som kan verka säkra — men i själva verket är oskyddade i de mest kritiska ögonblicken.

Standardiseringsorgan som National Institute of Standards and Technology (NIST), Europeiska unionens byrå för nätverks- och informationssäkerhet (tidigare känd som European Network and Information Security Agency, eller ENISA), och Open Web Application Security Project (OWASP) har börjat kartlägga detta område. De beskriver riskerna, namnger sårbarheterna och anger principer för styrning. Men de slutar kort med att föreskriva hur man skyddar modeller som immateriella tillgångar och data som konfidentiella tillgångar när körning börjar. Att stänga denna lucka kräver att man omdefinierar AI-säkerhet — inte som en efterlevnadsövning, utan som ett problem med beräkning i sig. Här spelar kryptering under användning, eller änd-to-end-kryptering, en roll.

Den blinda fläcken i modern AI-säkerhet

De flesta AI-säkerhetsdiskussioner kretsar fortfarande kring bekanta områden: styrning av träningsdata, åtkomstkontroll, API-övervakning och ansvarsfulla användarpolicyer. Dessa är nödvändiga. Men ingen av dem behandlar vad som händer efter distribution, när en modell lämnar lagret och blir ett levande system.

När en modell distribueras är dess parametrar inte längre abstrakta artefakter. De är levande, minnesbaserade tillgångar, som kontinuerligt åtkoms under inferens och ofta används av flera hyresgäster eller kunder via delade AI-tjänster. Denna exponering sker innan någon inferensbegäran görs, vilket förvärrar risken genom att introducera känsliga indata och externt observerbart beteende.

Att behandla modellsäkerhet som en fråga före distribution och säkerhet under körning som en fråga under körning missar poängen. I verkliga system överlappar dessa risker. Modeller och data exponeras över initialization, körning och utdata. Säkerhet som börjar och slutar med lagringskontroller misslyckas med att hantera dessa exponeringar.

Vad NIST får rätt — och där det slutar

NIST:s ramverk för AI-riskhantering har blivit en hörnsten för organisationer som försöker hantera AI-risk. Dess struktur — styra, kartlägga, mäta, hantera — erbjuder ett disciplinerat sätt att tänka på ansvar, sammanhang, påverkan och lindring över hela AI-livscykeln.

Vad NIST gör särskilt bra är att ramverket AI-risk som systemisk snarare än som slumpmässig. AI-fel är sällan enstaka händelser; de uppstår från interaktioner mellan modeller, data, människor och infrastruktur. Den ramen är avgörande.

Där ramverket brister är i att det inte anger hur högvärdes AI-tillgångar skyddas när system är live. Modellparametrar behandlas implicit som design-tidsartefakter snarare än som körningstillgångar. Körningsmiljöer antas vara tillräckligt pålitliga.

I praktiken är modellparametrar ofta den mest värdefulla immateriella tillgången en organisation äger. De laddas in i minnet, kopieras över noder, cachelagras och återanvänds. Om AI-riskhantering inte tar hänsyn till konfidentialiteten hos modeller under distribution och körning, förblir en kritisk tillgång utanför riskgränsen, som en sittande anka.

ENISA och verkligheten med AI-specifika hot

ENISA:s arbete med AI-cybersäkerhet driver samtalet längre. Dess multilagersramverk skiljer mellan traditionell infrastruktursäkerhet och AI-specifika risker, och erkänner att AI-system beter sig annorlunda — och misslyckas annorlunda — än konventionell programvara.

Varför är detta viktigt? AI introducerar hot som inte passar in i befintliga kontroller: modellutvinning, parameterläckage, co-tenancyexponering och manipulering under körning. Dessa risker kräver inte exotiska angripare. De uppstår naturligt när högvärdesmodeller körs i delade eller externt hanterade miljöer.

ENISA:s ramverk erkänner implicit att att skydda AI innebär att skydda beteende, inte bara kod. Men som de flesta standarder fokuserar den på vad som bör beaktas, inte hur skydd tekniskt genomförs när modeller körs.

OWASP och kostnaden för observerbar intelligens

OWASP:s topp 10 för stora språkmodellapplikationer erbjuder en mer konkret vy av hur AI-system bryter i den verkliga världen. Promptinjektion, känslig informationsavslöjande, inbäddningsläckage, överdriven utdatatransparens — dessa är inte teoretiska problem. De är biprodukter av att distribuera kraftfulla modeller utan att begränsa vad de avslöjar.

Även om dessa problem ofta beskrivs som applikationslagerproblem, är deras konsekvenser djupare. Upprepad exponering av modellbeteende kan leda till effektiv kloning; dåligt isolerade inbäddningar kan avslöja struktur; och inferensmissbruk blir en väg till modellreplicering.

OWASP:s taxonomi gör en sak tydlig: att skydda AI är inte bara att stoppa dåliga indata. Det handlar om att begränsa vad modeller exponerar — internt och externt — när de är operativa.

En gemensam slutsats, ett ofullbordat arbete

Över NIST, ENISA och OWASP finns en bred överenskommelse om grunderna:

• AI-risk omfattar hela livscykeln
• AI-system introducerar nya hotkategorier
• Modeller och data är högvärdes tillgångar
• Exponering under körning är oundviklig

Vad dessa ramverk saknar är dock ett mekanism för att genomföra konfidentialitet när modeller distribueras och beräkning börjar. Den utelämnandet är inte ett fel, eftersom standarder definierar avsikt och omfattning. Implementering lämnas vanligtvis till systemdesignern.

Men de lämnar en kritisk lucka — en som växer när AI-system skalar.

Kryptering under användning förändrar ekvationen

Kryptering under användning förändrar säkerhetsmodellen. Istället för att anta att data och modeller måste exponeras för att vara användbara, behandlar den beräkning som något som kan skyddas.

I praktiken innebär detta:

• Modeller förblir krypterade under distribution, initiering och körning
• Indata är aldrig synliga i klartext för körningsmiljön
• Mellanliggande tillstånd kan inte inspekteras eller modifieras
• Infrastruktur behöver inte längre vara implicit tillförlitlig

Detta ersätter inte styrningsramverk eller applikationslagerkontroller — det operationaliserar dem. Det omvandlar riskprinciper till genomförbara garantier precis när AI-system är som mest sårbara.

Med andra ord är kryptering under användning det saknade lagret mellan AI-policy och AI-verklighet.

När styrning slutar och körning börjar: Att skydda AI-beräkning

AI-säkerhet bryter samman under körning. När AI-modeller och känsliga data måste exponeras i minnet för att fungera, skapas en riskyta som traditionella kontroller — kryptering i vila, kryptering under överföring och styrningsramverk — aldrig var utformade för att skydda.

Standardiseringsorgan som NIST, ENISA och OWASP har gjort kritiskt framsteg i att definiera AI-risk, ansvar och missbruk. Men deras vägledning behandlar i huvudsak modeller som design-tidsartefakter och antar att körningsmiljöer kan lita på. I praktiken är modellparametrar och känsliga indata kontinuerligt åtkomna, återanvända och ofta bearbetade i delade eller externt hanterade miljöer.

Att stänga denna lucka kräver att man omdefinierar AI-säkerhet — inte som en efterlevnadsövning, utan som ett problem med att skydda beräkning i sig — när modeller är live, data används och exponering är oundviklig. Kryptering under användning erbjuder ett genomförbart sätt att hålla AI-modeller och känsliga indata säkra över alla stadier av AI-livscykeln.