งานวิจัยของ Eclypsium เผยฮาร์ดแวร์ที่ถูกเจาะระบบสามารถเปลี่ยนแปลงโมเดล AI ขณะทำงานได้อย่างไร

Eclypsium แสดงให้เห็นว่าโครงสร้างพื้นฐานด้านคอมพิวเตอร์ที่ถูกเจาะระบบสามารถเปลี่ยนพฤติกรรมของโมเดล AI ระหว่างการอนุมานได้ แม้ไฟล์ต้นฉบับจะยังคงอยู่ครบถ้วน งานวิจัยที่เผยแพร่เมื่อวันที่ 29 ตุลาคมในบทความ AI ที่เชื่อถือได้ต้องอาศัยโครงสร้างพื้นฐานที่เชื่อถือได้ ชี้ให้เห็นว่าเหตุใดการตรวจสอบลายเซ็นหรือค่าแฮชของไฟล์โมเดลจึงไม่อาจยืนยันความถูกต้องสมบูรณ์ของโมเดลที่กำลังทำงานอยู่ในหน่วยความจำได้

ในการสาธิตแบบควบคุมซึ่งได้รับการสนับสนุนจาก NVIDIA นักวิจัยใช้หน่วยประมวลผลข้อมูล (DPU) ที่ถูกเจาะระบบร่วมกับการตั้งค่าการแยกหน่วยความจำที่ไม่เข้มงวด เพื่อแก้ไขค่าน้ำหนักของโมเดลขณะทำงาน คำตอบของโมเดลเปลี่ยนไปโดยไม่มีการแก้ไขโมเดลที่จัดเก็บไว้หรือบริการอนุมาน ผลการศึกษานี้ทำให้ฮาร์ดแวร์ เฟิร์มแวร์ และการกำหนดค่าอุปกรณ์เป็นส่วนหนึ่งของขอบเขตความปลอดภัยของ AI

อีกช่องทางหนึ่งในการเปลี่ยนแปลงโมเดล AI

การพูดคุยเรื่องความปลอดภัยของ AI มักมุ่งเน้นไปที่พรอมป์ต์ที่เป็นอันตราย ข้อมูลฝึกที่ถูกวางยาพิษ และการใช้เครื่องมือที่ไม่ปลอดภัย งานวิจัยนี้ตรวจสอบชั้นที่อยู่ลึกลงไป นั่นคือโครงสร้างพื้นฐานที่จัดเก็บและเคลื่อนย้ายพารามิเตอร์ของโมเดลขณะทำงาน

ค่าน้ำหนักคือตัวแปรเชิงตัวเลขที่กำหนดรูปแบบคำตอบของโมเดล ไฟล์ที่ถูกต้องบนดิสก์สามารถโหลดเข้าสู่หน่วยความจำ แล้วถูกแก้ไขในภายหลังโดยองค์ประกอบที่มีสิทธิ์เข้าถึงสูงเพียงพอได้ แม้จะตรวจสอบไฟล์ต้นฉบับในภายหลังและพบไบต์ตามที่คาดไว้ แต่คำตอบที่สร้างขึ้นก็อาจอาศัยสถานะขณะทำงานที่ถูกเปลี่ยนแปลงไปแล้ว

การสาธิตของ Eclypsium แสดงให้เห็นอย่างชัดเจนว่าผลลัพธ์เชิงวิเคราะห์ต่อคำถามด้านภูมิรัฐศาสตร์เปลี่ยนแปลงไป ข้อกังวลในวงกว้างกว่าคือ การแทรกแซงขณะทำงานอาจส่งผลต่อการใช้งานที่มีความอ่อนไหวอื่น ๆ เช่น การสร้างโค้ดและการตัดสินใจอัตโนมัติ อย่างไรก็ตาม ควรแยกความเป็นไปได้เหล่านั้นออกจากพฤติกรรมเฉพาะที่แสดงให้เห็นในการทดลองในห้องปฏิบัติการ

ข้อกล่าวอ้างว่าการเปลี่ยนแปลงยังคงไม่ถูกตรวจพบก็มีขอบเขตที่ชัดเจนเช่นกัน กล่าวคือ การตรวจสอบความถูกต้องของโมเดลที่จัดเก็บไว้ซึ่งใช้ในการสาธิตไม่พบการเปลี่ยนแปลงในหน่วยความจำ แต่ไม่ได้ยืนยันว่าการเปลี่ยนแปลงดังกล่าวจะตรวจไม่พบด้วยการเฝ้าติดตามหรือการตรวจพิสูจน์ทางนิติวิทยาศาสตร์ทุกรูปแบบ

เงื่อนไขของการโจมตีมีความสำคัญ

การทดสอบใช้สภาพแวดล้อม NVIDIA Grace Hopper เส้นทางการเข้าถึงหน่วยความจำโดยตรงอาศัยองค์ประกอบที่มีสิทธิ์ระดับสูงซึ่งถูกเจาะระบบ และการตั้งค่าที่อนุญาตให้เข้าถึงหน่วยความจำที่มีความอ่อนไหว นักวิจัยระบุว่าการส่งผ่าน IOMMU และการตั้งค่าการแยกอุปกรณ์ PCIe ที่ไม่เข้มงวดเป็นเงื่อนไขสำคัญ พร้อมย้ำอย่างชัดเจนว่าสิ่งเหล่านี้ไม่ใช่การตั้งค่าเริ่มต้นของ Linux

IOMMU ช่วยควบคุมว่าอุปกรณ์ต่อพ่วงจะเข้าถึงหน่วยความจำส่วนใดได้บ้าง ในการกำหนดค่าการแยกส่วนที่เข้มงวดกว่าซึ่งนักวิจัยนำมาทดสอบ เส้นทางการเข้าถึงโดยตรงแบบเดียวกันนี้ไม่สามารถใช้งานได้ ผลการทดสอบจึงเน้นย้ำถึงความสำคัญของการตรวจสอบการตั้งค่าที่ใช้จริงในการติดตั้งใช้งาน แทนที่จะสันนิษฐานว่าความสามารถด้านความปลอดภัยที่ติดตั้งไว้กำลังบังคับใช้ขอบเขตการป้องกันอยู่

DPU คือหน่วยประมวลผลโครงสร้างพื้นฐานที่ตั้งโปรแกรมได้ ซึ่งใช้กับบริการเครือข่าย การจัดเก็บข้อมูล และความปลอดภัย ความสามารถในการเคลื่อนย้ายข้อมูลอย่างมีประสิทธิภาพเป็นประโยชน์ แต่สิทธิ์ที่จำเป็นต่อการทำงานตามหน้าที่ของโครงสร้างพื้นฐานอาจกลายเป็นอันตรายได้ หากผู้โจมตีเข้าควบคุมองค์ประกอบดังกล่าว

คำชี้แจงของ NVIDIA: ตรวจสอบขอบเขตความเชื่อถือ

ในคำอธิบายความร่วมมือ NVIDIA กล่าวถึงการบูตที่ผ่านการยืนยันตัวตน การสร้างรากฐานความเชื่อถือจากฮาร์ดแวร์ การแยกส่วน การป้องกันการอัปเดตเฟิร์มแวร์ และการรับรองสถานะของ BlueField นอกจากนี้ยังเน้นย้ำว่าผู้ให้บริการคลาวด์เลือกการกำหนดค่าความปลอดภัยที่แตกต่างกันตามรูปแบบความเชื่อถือที่ใช้

สารที่บริษัททั้งสองต้องการสื่อคือ ผู้ปฏิบัติงานจำเป็นต้องมีหลักฐานเกี่ยวกับทางเลือกเหล่านั้น ต้องประเมินการควบคุมการเข้าถึงหน่วยความจำ การแยกอุปกรณ์ และอินเทอร์เฟซการจัดการโดยพิจารณาจากแบบจำลองภัยคุกคามของการติดตั้งใช้งาน การมีฟีเจอร์ให้ใช้งานเพียงอย่างเดียวไม่ได้แสดงว่าฟีเจอร์นั้นได้รับการกำหนดค่าอย่างถูกต้อง

NVIDIA และ Eclypsium ยังระบุด้วยว่าปัญหานี้ไม่ได้จำกัดอยู่ที่ผู้จำหน่ายรายใดรายหนึ่ง ระบบ AI ต้องพึ่งพาซอฟต์แวร์โฮสต์ที่มีสิทธิ์ระดับสูง เฟิร์มแวร์ของตัวเร่งประมวลผล ตัวควบคุมการจัดการ และกลไกการถ่ายโอนข้อมูล เส้นทางที่แน่นอนแตกต่างกันไปตามสถาปัตยกรรม แต่ความจำเป็นในการคำนึงถึงองค์ประกอบเหล่านี้ไม่ได้แตกต่างกัน

เหตุใดความปลอดภัยของเอเจนต์จึงขึ้นอยู่กับความปลอดภัยของโครงสร้างพื้นฐานด้วย

ความเสี่ยงยิ่งเพิ่มขึ้นเมื่อโมเดลสามารถเรียกใช้เครื่องมือ เข้าถึงข้อมูลขององค์กร หรือเริ่มดำเนินการต่าง ๆ ได้ การดัดแปลงโครงสร้างพื้นฐานอาจบั่นทอนสมมติฐานที่มาตรการป้องกันระดับแอปพลิเคชันตั้งไว้เกี่ยวกับโมเดลที่กำลังทำงานจริง

แพลตฟอร์มความปลอดภัยแบบเปิดสำหรับเอเจนต์ของ NVIDIA แสดงให้เห็นแนวทางการป้องกันหลายชั้น โดย OpenShell ทำหน้าที่กำกับดูแลการทำงานขณะรันไทม์ ขณะที่ NVIDIA Sentry บน BlueField ทำงานจากโดเมนความปลอดภัยที่แยกจากฮาร์ดแวร์ อยู่นอกโฮสต์และเอเจนต์ สถาปัตยกรรมนี้มุ่งเฝ้าติดตามพฤติกรรมและบังคับใช้นโยบายจากจุดควบคุมที่แยกเป็นอิสระ

ตำแหน่งที่แยกเป็นอิสระดังกล่าวก่อให้เกิดความรับผิดชอบด้านความปลอดภัยเพิ่มเติม นั่นคือฮาร์ดแวร์ที่ใช้บังคับใช้มาตรการและชุดซอฟต์แวร์ของฮาร์ดแวร์นั้นต้องยังคงเชื่อถือได้ การย้ายจุดควบคุมออกจากแอปพลิเคชันช่วยลดการพึ่งพาสิ่งหนึ่ง แต่ขณะเดียวกันก็เพิ่มความสำคัญของการตรวจสอบองค์ประกอบที่ได้รับมอบหมายให้ควบคุม

จากการจัดทำบัญชีฮาร์ดแวร์สู่การรับรองความปลอดภัยอย่างต่อเนื่อง

Eclypsium เรียกช่องว่างระหว่างการรับประกันความน่าเชื่อถือที่มุ่งเน้นโมเดลกับความมั่นคงสมบูรณ์ของโครงสร้างพื้นฐานว่า “ช่องว่างด้านการรับประกันโครงสร้างพื้นฐาน AI” แพลตฟอร์มรับประกันความมั่นคงของโครงสร้างพื้นฐานของบริษัทจัดทำบัญชีรายการส่วนประกอบ ประเมินเฟิร์มแวร์และการกำหนดค่า เปรียบเทียบสถานะของอุปกรณ์กับค่าพื้นฐานที่ได้รับอนุมัติ และเฝ้าติดตามการเปลี่ยนแปลง บริษัทวางตำแหน่งความสามารถเหล่านี้ให้ทำงานเสริมกับมาตรการป้องกันแอปพลิเคชันและโมเดลที่มีอยู่

สำหรับผู้ดูแลระบบ งานในทางปฏิบัติเริ่มจากการจัดการ DPU, GPU, ตัวควบคุมการจัดการ และเฟิร์มแวร์ของอุปกรณ์เหล่านี้ในฐานะสินทรัพย์แยกแต่ละรายการ แต่ละรายการต้องมีผู้รับผิดชอบ การติดตามเวอร์ชัน การประเมินช่องโหว่ และกระบวนการอัปเดตที่ชัดเจน การตรวจสอบนี้ควรครอบคลุมการเข้าถึงระนาบการจัดการและซอฟต์แวร์จากบุคคลที่สามบนหน่วยประมวลผลโครงสร้างพื้นฐานด้วย

การตรวจสอบควรติดตามฮาร์ดแวร์ไปตลอดกระบวนการติดตั้งใช้งาน การอัปเดต การกู้คืนจากเหตุการณ์ และการจัดสรรให้ผู้ใช้รายใหม่ด้วย การมีอิมเมจระบบปฏิบัติการที่สะอาดเพียงอย่างเดียวไม่ได้ยืนยันว่าองค์ประกอบทุกระดับที่อยู่ล่างลงไปมีสถานะตามที่อนุมัติแล้ว โครงสร้างพื้นฐานที่ใช้ร่วมกันทำให้การจัดการวงจรชีวิตดังกล่าวมีความสำคัญเป็นพิเศษ เพราะฮาร์ดแวร์อาจให้บริการลูกค้าหลายรายต่อเนื่องกัน

ตรวจสอบระบบที่กำลังทำงาน ไม่ใช่แค่สิ่งที่นำไปใช้งาน

ลายเซ็นของโมเดลยังคงมีประโยชน์ เพราะช่วยตอบคำถามสำคัญเกี่ยวกับอาร์ติแฟกต์ที่กำลังโหลด ส่วนการบูตอย่างปลอดภัย การรับรองสถานะ การแยกสภาพแวดล้อมขณะทำงาน และการเฝ้าติดตามอย่างต่อเนื่อง ช่วยตอบคำถามอีกชุดหนึ่งเกี่ยวกับระบบที่เรียกใช้อาร์ติแฟกต์นั้น ไม่ควรถือว่ามาตรการใดมาตรการหนึ่งใช้แทนมาตรการอื่นทั้งหมดได้

ความสำคัญของงานวิจัยของ Eclypsium อยู่ที่การแสดงให้เห็นว่าโมเดลอาจผ่านการตรวจสอบความถูกต้องสมบูรณ์ข้อหนึ่งได้ ขณะที่ส่วนอื่นในสายการทำงานของโมเดลมีการเปลี่ยนแปลง สำหรับองค์กรที่นำ AI ไปใช้กับกระบวนงานที่ส่งผลสำคัญต่อผู้คน การตรวจสอบยืนยันโครงสร้างพื้นฐานจึงต้องดำเนินควบคู่ไปกับการประเมินโมเดลตลอดระยะเวลาการใช้งาน