ที่ไหนที่มาตรฐานความปลอดภัยของ AI หยุด — และการป้องกัน Runtime ต้องเริ่มต้น

ด้วยการพูดถึงความเสี่ยงด้านความปลอดภัยของ AI ที่มีการพูดถึงกันอย่างกว้างขวาง หนึ่งประเด็นที่ดูเหมือนถูกมองข้ามคือความจริงที่ว่าระบบ AI ต้องเปิดเผยสินทรัพย์ที่มีค่าที่สุดของตน — โมเดลและข้อมูล — เพื่อให้ระบบทำงานได้

ไม่เหมือนกับซอฟต์แวร์แบบดั้งเดิม AI ไม่ได้เพียงแค่ดำเนินการตรรกะที่กำหนดไว้ล่วงหน้า แต่จะผสมผสานโมเดลที่เป็นกรรมสิทธิ์เข้ากับข้อมูลที่ไวต่อการรั่วไหลเพื่อสร้างผลลัพธ์ บ่อยครั้งบนโครงสร้างพื้นฐานที่ไม่ได้ออกแบบมาเพื่อป้องกันการคำนวณ

ในทางนี้ ความปลอดภัยแบบดั้งเดิมก็ไม่เพียงพอ การเข้ารหัสลับเป็นผลเมื่อข้อมูลถูกเก็บหรือส่งผ่านเครือข่าย แต่ไม่ใช่เมื่อข้อมูลถูกประมวลผลหรือดำเนินการ สำหรับ AI โดยเฉพาะ อันตรายเกิดขึ้นเมื่อโมเดลถูกใช้งาน พารามิเตอร์ของโมเดลถูกโหลดเข้าไปในหน่วยความจำ เริ่มต้น และใช้งานในระดับใหญ่ — จุดที่การเข้ารหัสลับหยุด — ทำให้เสี่ยงต่อการเข้าถึงโดยไม่ได้รับอนุญาต ในระหว่างการอนุมาน ข้อมูลที่ไวต่อการรั่วไหลจะไหลผ่านพื้นที่ที่เปิดเผยเช่นเดียวกัน ผลลัพธ์คือพื้นผิวเสี่ยงที่อ่อนแอ: ระบบ AI ที่ดูเหมือนปลอดภัย — แต่จริงๆ แล้วไม่ได้รับการป้องกันในขณะสำคัญที่สุด

องค์กรมาตรฐาน เช่น National Institute of Standards and Technology (NIST) European Union Agency for Cybersecurity (ENISA) และ Open Web Application Security Project (OWASP) ได้เริ่มสร้างพื้นที่นี้ พวกเขาบรรยายถึงความเสี่ยง ตั้งชื่อความอ่อนแอ และกำหนดหลักการกำกับดูแล แต่พวกเขาไม่ได้กำหนดวิธีการป้องกันโมเดลในฐานะทรัพย์สินทางปัญญาและข้อมูลในฐานะทรัพย์สินส่วนบุคคลเมื่อการดำเนินการเริ่มต้น การปิดช่องว่างนี้ต้องมีการคิดใหม่เกี่ยวกับความปลอดภัยของ AI — ไม่ใช่การออกกำลังกายด้านการปฏิบัติตามกฎระเบียบ แต่เป็นปัญหาการคำนวณตัวเอง ซึ่งเป็นที่ที่การเข้ารหัสลับแบบใช้งาน (Encryption-in-use) มีบทบาท

จุดบอดในความปลอดภัยของ AI สมัยใหม่

ส่วนใหญ่ของการอภิปรายด้านความปลอดภัยของ AI ยังคงอยู่ในพื้นที่ที่คุ้นเคย: การกำกับดูแลข้อมูลการฝึกอบรม การควบคุมการเข้าถึง การติดตาม API และนโยบายผู้ใช้ที่รับผิดชอบ สิ่งเหล่านี้เป็นสิ่งจำเป็น อย่างไรก็ตาม ไม่มีสิ่งใดที่กล่าวถึงสิ่งที่เกิดขึ้นหลังจากการปรับใช้ เมื่อโมเดลออกจากคลังและกลายเป็นระบบที่มีชีวิต

เมื่อโมเดลถูกใช้งาน พารามิเตอร์ของโมเดลไม่ได้เป็นเพียงสิ่งประดิษฐ์ที่เป็นนามธรรมอีกต่อไป แต่เป็นทรัพย์สินที่มีชีวิตอยู่ในหน่วยความจำ ที่สามารถเข้าถึงได้อย่างต่อเนื่องระหว่างการอนุมาน และมักจะถูกใช้โดยผู้เช่าหลายรายหรือลูกค้าผ่านบริการ AI ที่ใช้ร่วมกัน การเปิดเผยข้อมูลนี้เกิดขึ้นก่อนที่จะมีการร้องขอการอนุมานใดๆ ทำให้ความเสี่ยงเพิ่มขึ้นโดยการแนะนำข้อมูลที่ไวต่อการรั่วไหลและพฤติกรรมที่สามารถสังเกตได้จากภายนอก

การรักษาความปลอดภัยของโมเดลเป็นข้อกังวลก่อนการปรับใช้ และความปลอดภัยของการอนุมานเป็นข้อกังวลในขณะทำงาน ข้อความเหล่านี้พลาดประเด็น ในระบบจริง ความเสี่ยงเหล่านี้ทับซ้อนกัน โมเดลและข้อมูลถูกเปิดเผยระหว่างการเริ่มต้น การดำเนินการ และการผลิต ความปลอดภัยที่เริ่มต้นและหยุดกับการควบคุมการเก็บข้อมูลล้มเหลวในการจัดการกับการเปิดเผยข้อมูลเหล่านี้

สิ่งที่ NIST ทำถูก — และที่ไหนที่หยุด

เฟรมเวิร์กการบริหารความเสี่ยงของ AI ของ NIST ได้กลายเป็นศูนย์กลางสำหรับองค์กรที่พยายามจัดการความเสี่ยงของ AI โครงสร้าง — กำกับ แผนที่ วัด จัดการ — เสนอแนวทางที่มีระเบียบในการคิดเกี่ยวกับความรับผิดชอบ บริบท ผลกระทบ และการบรรเทาผลกระทบตลอดวงจรชีวิตของ AI

สิ่งที่ NIST ทำได้ดีเป็นพิเศษคือการกำหนดความเสี่ยงของ AI เป็นระบบมากกว่าการเกิดขึ้นโดยบังเอิญ ความล้มเหลวของ AI ไม่ใช่เหตุการณ์เดียวที่เกิดขึ้น แต่เกิดจากปฏิสัมพันธ์ระหว่างโมเดล ข้อมูล บุคคล และโครงสร้างพื้นฐาน การกำหนดความเสี่ยงนี้เป็นสิ่งจำเป็น

ที่ไหนที่เฟรมเวิร์กนี้ล้มเหลวคือการไม่ได้กำหนดวิธีการป้องกันสินทรัพย์ AI ที่มีค่าสูงเมื่อระบบถูกใช้งาน พารามิเตอร์ของโมเดลถูกมองว่าเป็นศิลปะการออกแบบมากกว่าทรัพย์สินในขณะทำงาน สภาพแวดล้อมการดำเนินการถูกมองว่ามีความน่าเชื่อถือเพียงพอ

ในทางปฏิบัติ พารามิเตอร์ของโมเดลมักจะเป็นสินทรัพย์ที่มีค่าที่สุดขององค์กร พวกมันถูกโหลดเข้าไปในหน่วยความจำ คัดลอกข้ามโหนด เก็บในแคช และใช้ซ้ำ หากการบริหารความเสี่ยงของ AI ไม่คำนึงถึงความเป็นส่วนตัวของโมเดลระหว่างการปรับใช้และการดำเนินการ สินทรัพย์ที่สำคัญจะยังคงอยู่นอกขอบเขตความเสี่ยง เช่นเป็ดที่นั่งอยู่

ENISA และความเป็นจริงของภัยคุกคามที่เฉพาะเจาะจงสำหรับ AI

การทำงานของ ENISA ในด้านความปลอดภัยของ AI ทำให้การอภิปรายไปไกลกว่านี้ เฟรมเวิร์กหลายชั้นของ ENISA แยกความปลอดภัยของโครงสร้างพื้นฐานแบบดั้งเดิมออกจากความเสี่ยงของ AI โดยยอมรับว่าระบบ AI มีพฤติกรรมที่แตกต่าง — และล้มเหลวแตกต่าง — จากซอฟต์แวร์แบบดั้งเดิม

ทำไมสิ่งนี้จึงสำคัญ? AI นำภัยคุกคามที่ไม่พอดีกับเครื่องมือควบคุมที่มีอยู่: การถอดรหัสโมเดล การรั่วไหลของพารามิเตอร์ การเปิดเผยระหว่างการเช่า และการปลอมแปลงระหว่างการดำเนินการ ความเสี่ยงเหล่านี้ไม่ต้องการผู้โจมตีที่ซับซ้อน แต่เกิดขึ้นตามธรรมชาติเมื่อโมเดลที่มีค่าใช้งานใน环境ที่ใช้ร่วมกันหรือจัดการจากภายนอก

เฟรมเวิร์กของ ENISA ยอมรับโดยไม่ชัดเจนว่าการรักษาความปลอดภัยของ AI หมายถึงการรักษาความปลอดภัยของพฤติกรรม ไม่ใช่แค่โค้ด แต่เหมือนกับมาตรฐานส่วนใหญ่ มันเน้นไปที่สิ่งที่ควรพิจารณา ไม่ใช่วิธีการป้องกันที่ใช้จริงเมื่อโมเดลกำลังทำงาน

OWASP และต้นทุนของการมองเห็นได้

OWASP เสนอการมองเห็นภาพที่เป็นรูปธรรมมากขึ้นเกี่ยวกับว่าระบบ AI ล้มเหลวในโลกแห่งความเป็นจริง การฉีดข้อมูลเข้าไป การเปิดเผยข้อมูลที่ไวต่อการรั่วไหล การรั่วไหลของการฝังตัว และการเปิดเผยผลลัพธ์ที่มากเกินไป — สิ่งเหล่านี้ไม่ใช่ความกังวลที่เป็น理论

แม้ว่าปัญหาเหล่านี้มักถูกมองว่าเป็นปัญหาในระดับของแอปพลิเคชัน ผลที่ตามมาของปัญหาเหล่านี้ลึกกว่านั้น การเปิดเผยพฤติกรรมของโมเดลซ้ำๆ อาจนำไปสู่การโคลนแบบมีประสิทธิภาพ การฝังตัวที่ไม่ได้แยกออกจากกันอย่างดีสามารถเปิดเผยโครงสร้าง และการละเมิดการอนุมานกลายเป็นเส้นทางในการทำซ้ำโมเดล

การจำแนกประเภทของ OWASP ทำให้ประเด็นหนึ่งชัดเจน: การป้องกัน AI ไม่ใช่แค่การหยุดการเข้าถึงที่ไม่ดี แต่เป็นการจำกัดสิ่งที่โมเดลเปิดเผย — ทั้งภายในและภายนอก — เมื่อพวกมันทำงาน

ข้อสรุปที่ใช้ร่วมกัน — และงานที่ยังไม่เสร็จ

ทั่ว NIST, ENISA และ OWASP มีข้อตกลงร่วมกันว่า:

• ความเสี่ยงของ AI ครอบคลุมวงจรชีวิต
• ระบบ AI นำภัยคุกคามใหม่ๆ มา
• โมเดลและข้อมูลเป็นสินทรัพย์ที่มีค่าสูง
• การเปิดเผยในขณะทำงานไม่สามารถหลีกเลี่ยงได้

สิ่งที่เฟรมเวิร์กเหล่านี้ขาดคือกลไกในการบังคับใช้ความเป็นส่วนตัวเมื่อโมเดลถูกใช้งานและการคำนวณเริ่มต้น สิ่งนี้ไม่ใช่ข้อบกพร่อง เนื่องจากมาตรฐานกำหนดเจตนาและขอบเขต การใช้งานมักถูกปล่อยให้กับผู้ออกแบบระบบ

แต่พวกมันปล่อยให้ช่องว่างที่สำคัญ — ช่องว่างที่กว้างขึ้นเมื่อระบบ AI มีขนาดใหญ่ขึ้น

การเข้ารหัสลับแบบใช้งานเปลี่ยนสมการ

การเข้ารหัสลับแบบใช้งานเปลี่ยนโมเดลความปลอดภัย แทนที่จะสมมติว่าข้อมูลและโมเดลต้องเปิดเผยเพื่อให้ใช้งานได้ มันรักษาการคำนวณให้เป็นสิ่งที่สามารถป้องกันได้

ในทางปฏิบัติ สิ่งนี้หมายถึง:

• โมเดลยังคงเข้ารหัสลับระหว่างการปรับใช้ การเริ่มต้น และการดำเนินการ
• ข้อมูลเข้าไม่เคยปรากฏในรูปแบบที่อ่านได้สำหรับสภาพแวดล้อมการดำเนินการ
• สถานะระหว่างกลางไม่สามารถตรวจสอบหรือแก้ไขได้
• โครงสร้างพื้นฐานไม่ต้องถูกไว้วางใจโดยไม่ชัดเจน

สิ่งนี้ไม่ได้แทนที่เฟรมเวิร์กการกำกับดูแลหรือการควบคุมในระดับแอปพลิเคชัน — มันทำให้การควบคุมการปฏิบัติงาน มันเปลี่ยนหลักการความเสี่ยงเป็นการรับประกันที่บังคับใช้ได้เมื่อระบบ AI มีความอ่อนแอมากที่สุด

ในอีกคำหนึ่ง การเข้ารหัสลับแบบใช้งานคือชั้นที่หายไประหว่างนโยบาย AI และความเป็นจริงของ AI

เมื่อการกำกับดูแลสิ้นสุดและการดำเนินการเริ่มต้น: การรักษาความปลอดภัยการคำนวณ AI

ความปลอดภัยของ AI ล้มเหลวในขณะทำงาน เมื่อโมเดล AI และข้อมูลที่ไวต่อการรั่วไหลต้องเปิดเผยในหน่วยความจำเพื่อให้ทำงานได้ ทำให้เกิดพื้นผิวเสี่ยงที่ไม่ได้รับการคุ้มครองโดยการควบคุมแบบดั้งเดิม — การเข้ารหัสลับขณะพัก การเข้ารหัสลับระหว่างการถ่ายโอน และเฟรมเวิร์กการกำกับดูแล

องค์กรมาตรฐาน เช่น NIST, ENISA และ OWASP ได้ทำความก้าวหน้าที่สำคัญในการกำหนดความเสี่ยง ความรับผิดชอบ และการละเมิดของ AI แต่คำแนะนำของพวกมันส่วนใหญ่ถือว่าโมเดลเป็นศิลปะการออกแบบและสมมติว่าสภาพแวดล้อมการดำเนินการสามารถไว้วางใจได้ ในทางปฏิบัติ พารามิเตอร์ของโมเดลและข้อมูลที่ไวต่อการรั่วไหลถูกเข้าถึงซ้ำๆ ใช้ซ้ำ และมักจะถูกประมวลผลใน环境ที่ใช้ร่วมกันหรือจัดการจากภายนอก

การปิดช่องว่างนี้ต้องมีการคิดใหม่เกี่ยวกับความปลอดภัยของ AI — ไม่ใช่การออกกำลังกายด้านการปฏิบัติตามกฎระเบียบ แต่เป็นปัญหาการคำนวณตัวเอง — เมื่อโมเดลมีชีวิต ข้อมูลถูกใช้งาน และการเปิดเผยไม่สามารถหลีกเลี่ยงได้ การเข้ารหัสลับแบบใช้งานเสนอวิธีการที่เป็นไปได้ในการรักษาโมเดล AI และข้อมูลที่ไวต่อการรั่วไหลให้ปลอดภัยตลอดทุกขั้นตอนของวงจรชีวิต AI