Eclypsium Araştırması, Ele Ge geçirilmiş Donanımın Yapay Zekâ Modellerini Çalışma Zamanında Nasıl Değiştirebildiğini Gösteriyor

Eclypsium, ele geçirilmiş bilişim altyapısının, özgün dosyalar bozulmadan kalırken çıkarım sırasında bir yapay zekâ modelinin davranışını nasıl değiştirebildiğini gösterdi. 29 Ekim’de Güvenilir Yapay Zekâ, Güvenilir Altyapı Gerektirir başlığıyla yayımlanan araştırma, bir modelin imzasını veya dosya karmasını denetlemenin bellekte çalışan modelin bütünlüğünü kanıtlamaya yetmediğini ortaya koyuyor.

NVIDIA’nın desteğiyle gerçekleştirilen kontrollü bir gösterimde araştırmacılar, çalışma zamanındaki model ağırlıklarını değiştirmek için ele geçirilmiş bir veri işleme birimini (DPU), bellek erişimine izin veren yalıtım ayarlarıyla birlikte kullandı. Depolanan model veya çıkarım hizmeti değiştirilmeden modelin yanıtları değişti. Bu bulgu, donanımın, ürün yazılımının ve aygıt yapılandırmasının yapay zekâ güvenlik sınırının içinde yer aldığını gösteriyor.

Yapay Zekâ Modelini Değiştirmenin Farklı Bir Yolu

Yapay zekâ güvenliği tartışmaları genellikle kötü amaçlı istemlere, zehirlenmiş eğitim verilerine ve güvenli olmayan araç kullanımına odaklanıyor. Bu araştırma ise daha alt bir katmanı inceliyor: model çalışırken parametrelerini barındıran ve taşıyan altyapıyı.

Ağırlıklar, bir modelin yanıtlarını şekillendiren sayısal parametrelerdir. Diskteki geçerli bir dosya belleğe yüklenebilir ve ardından yeterli ayrıcalığa sahip bir bileşen tarafından değiştirilebilir. Değiştirilmiş çalışma zamanı durumu kullanılarak bir yanıt üretilmiş olsa bile, özgün dosya daha sonra denetlendiğinde beklenen baytlar görülmeye devam eder.

Eclypsium’un gösteriminde, jeopolitik bir soruya verilen yanıtın analiz çıktısı gözle görülür biçimde değişti. Daha genel kaygı, çalışma zamanı manipülasyonunun üretilen kod ve otomatik kararlar dâhil olmak üzere başka hassas kullanım alanlarını da etkileyebilmesidir. Bu olasılıkları laboratuvarda gösterilen somut davranıştan ayrı değerlendirmek gerekir.

Tespit edilmeden kalındığı iddiasının da belirli bir kapsamı var: gösterimde kullanılan depolanmış model bütünlüğü denetimleri, bellekteki değişiklikleri ortaya çıkarmadı. Bu, her tür izleme veya adli incelemeden gizli kalındığını kanıtlamaz.

Saldırı Koşulları Önem Taşıyor

Testte NVIDIA Grace Hopper ortamı kullanıldı. Doğrudan bellek erişimi yolu, ele geçirilmiş ayrıcalıklı bir bileşene ve hassas belleğe erişime izin veren yapılandırma ayarlarına bağlıydı. Araştırmacılar, IOMMU geçişini ve izin verici PCIe yalıtımını önemli koşullar olarak belirtiyor ve bunların varsayılan Linux ayarları olmadığını özellikle vurguluyor.

IOMMU, bir çevre biriminin hangi belleğe erişebileceğini denetlemeye yardımcı olur. Araştırmacıların test ettiği daha güçlü yalıtım yapılandırmasında aynı doğrudan erişim yolu kullanılamıyordu. Dolayısıyla sonuç, bir güvenlik özelliğinin kurulu olmasının sınırı etkin biçimde koruduğu anlamına geldiğini varsaymak yerine gerçek dağıtım ayarlarını doğrulamanın önemini vurguluyor.

DPU, ağ, depolama ve güvenlik hizmetlerinde kullanılan programlanabilir bir altyapı işlemcisidir. Verileri verimli biçimde taşıyabilmesi değerlidir; ancak meşru altyapı işlevlerini yerine getiren ayrıcalıklar, saldırganın bileşen üzerinde denetim elde etmesi hâlinde tehlikeli olabilir.

NVIDIA’nın Yanıtı: Güven Sınırlarını Doğrulayın

NVIDIA, iş birliğine ilişkin açıklamasında BlueField’ın kimliği doğrulanmış açılışını, donanım köklü güvenini, yalıtımını, ürün yazılımı güncelleme korumalarını ve tasdik özelliklerini anlatıyor. Ayrıca bulut işletmecilerinin farklı güven modellerine göre farklı güvenlik yapılandırmaları seçtiğini vurguluyor.

Şirketlerin mesajı, işletmecilerin bu tercihlere ilişkin kanıta ihtiyaç duyduğu yönünde. Bellek erişimi denetimleri, aygıt yalıtımı ve yönetim arayüzleri, dağıtımın tehdit modeli bağlamında değerlendirilmelidir. Bir özelliğin mevcut olması tek başına doğru yapılandırıldığını göstermez.

NVIDIA ve Eclypsium, sorunun tek bir tedarikçinin ötesine uzandığını da belirtiyor. Yapay zekâ sistemleri; ayrıcalıklı ana makine yazılımlarına, hızlandırıcı ürün yazılımlarına, yönetim denetleyicilerine ve veri aktarım mekanizmalarına dayanıyor. Bu bileşenlerin izlediği yollar mimariye göre değişiyor; ancak bu bileşenleri hesaba katma gerekliliği değişmiyor.

Ajan Güvenliği Neden Altyapı Güvenliğine de Bağlı?

Bir model araçları çağırabildiğinde, kurumsal verilere erişebildiğinde veya eylem başlatabildiğinde riskler artıyor. Altyapının kurcalanması, uygulama düzeyindeki korumaların gerçekte hangi modelin çalıştığına ilişkin varsayımlarını geçersiz kılabilir.

NVIDIA’nın Açık Ajan Güvenliği Platformu, katmanlı yaklaşımı gözler önüne seriyor. OpenShell çalışma zamanı yönetişimi sağlarken BlueField üzerindeki NVIDIA Sentry, ana makinenin ve ajanın dışında, donanımdan yalıtılmış bir güvenlik alanında çalışıyor. Mimari, davranışı izlemeyi ve ayrı bir denetim noktasından politika uygulamayı amaçlıyor.

Bu bağımsız konum, yeni bir güvenlik sorumluluğu doğuruyor: uygulama mekanizmasını oluşturan donanım ve yazılım yığını da güvenilir kalmalı. Bir denetimi uygulamanın dışına taşımak, bir bağımlılığı azaltırken bu denetimden sorumlu bileşenin doğrulanmasının önemini artırıyor.

Donanım Envanterinden Sürekli Güvenceye

Eclypsium, model odaklı güvence ile altyapı bütünlüğü arasındaki kopukluğu “Yapay Zekâ Altyapısı Güvence Açığı” olarak adlandırıyor. Altyapı güvence platformu; bileşenlerin envanterini çıkarıyor, donanım yazılımını ve yapılandırmayı değerlendiriyor, cihazların durumunu onaylı temel değerlerle karşılaştırıyor ve değişiklikleri izliyor. Şirket, bu yetenekleri mevcut uygulama ve model korumalarını tamamlayıcı nitelikte sunuyor.

Operatörler için uygulamaya dönük çalışmalar, DPU’ları, GPU’ları, yönetim denetleyicilerini ve bunların donanım yazılımlarını ayrı ayrı yönetilen varlıklar olarak ele almakla başlar. Her biri için sorumluluk sahibi belirlenmeli, sürümler takip edilmeli, güvenlik açıkları değerlendirilmeli ve anlaşılır bir güncelleme süreci oluşturulmalıdır. Yönetim düzlemine erişim ve altyapı işlemcilerindeki üçüncü taraf yazılımlar da bu incelemeye dahil edilmelidir.

Kontroller, donanımı dağıtım, güncellemeler, olay kurtarma ve yeniden atama süreçlerinin tamamında da izlemelidir. Temiz bir işletim sistemi imajı, tek başına, daha alt düzeydeki her bileşenin onaylanmış durumda olduğunu göstermez. Donanımın art arda farklı müşterilere hizmet verebilmesi nedeniyle, paylaşımlı altyapılarda bu yaşam döngüsü özellikle önem taşır.

Yalnızca Yapıtı Değil, Çalışan Sistemi de Denetlemek

Model imzaları hâlâ yararlıdır: Yüklenen yapıtla ilgili önemli bir soruyu yanıtlar. Güvenli önyükleme, doğrulama, çalışma zamanı yalıtımı ve sürekli izleme ise yapıtı çalıştıran sistemle ilgili farklı sorulara yanıt verir. Bunların hiçbiri diğerlerinin tamamının yerine geçecek şekilde değerlendirilmemelidir.

Eclypsium’un araştırmasının önemi, bir model bütünlük kontrollerinden birini geçerken yürütme zincirinin başka bir bölümünün değişmiş olabileceğini göstermesidir. Yapay zekâyı kritik iş akışlarında kullanan kuruluşlarda, altyapı doğrulaması operasyon süresince model değerlendirmesine eşlik etmelidir.