AI Güvenlik Standartlarının Durdurulduğu Yer — ve Çalışma Zamanı Koruma Nerede Başlamalıdır

Tüm AI güvenlik riskleri hakkında konuşmalarla birlikte, gözden kaçan bir sorun var: AI sistemlerinin yalnızca en değerli varlıklarını – modelleri ve verileri – ortaya koyarak işlev görebileceği gerçeği.

Geleneksel yazılımların aksine, AI yalnızca önceden tanımlanmış mantığı yürütmez. Proprietary modelleri hassas girdilerle sürekli olarak birleştirir ve genellikle koruma için tasarlanmayan altyapıda çıktılar üretir.

Bu şekilde, geleneksel güvenlik yetersiz kalır. Şifreleme, veri depolandığında veya ağ üzerinden iletildiğinde etkili olur, ancak veri işlendiğinde veya üzerinde işlem yapıldığında değil. Özellikle AI için tehlike, bir model dağıtıldığında ortaya çıkar. Parametreleri belleğe yüklenir, başlatılır ve ölçeklenir – şifrelemenin durduğu nokta – potansiyel yetkisiz erişime maruz kalma riski ortaya çıkar. Çıktı sırasında, hassas veriler aynı şekilde maruz kalan alanda akar. Sonuç, AI sistemlerinin görünüşte güvenli olmasına rağmen en kritik anlarda aslında korumasız olduğu çok yüksek riskli bir yüzeydir.

Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), Avrupa Birliği Siber Güvenlik Ajansı (eski adıyla Avrupa Ağ ve Bilgi Güvenliği Ajansı veya ENISA) ve Open Web Application Security Project (OWASP) gibi standart organizasyonları bu alanı haritalamaya başlamıştır. Riskleri tanımlar, zayıflıkları adlandırır ve yönetim ilkelerini belirtir. Ancak, yürütme başladıktan sonra modelleri fikri mülkiyet olarak ve verileri gizli varlıklar olarak nasıl korumaya devam edeceğinden bahsetmez. Bu açığı kapatmak, AI güvenliğini bir uyum egzersizi olarak değil, hesaplamaya ilişkin bir sorun olarak yeniden düşünmeyi gerektirir. İşte burada şifreleme-kullanım veya uçtan-uca şifreleme devreye girer.

Modern AI Güvenliğinde Kör Nokta

Çoğu AI güvenlik konuşması hala tanıdık bir alana odaklanıyor: eğitim verisi yönetimi, erişim denetimleri, API izleme ve sorumlu kullanıcı politikaları. Bunlar gerekli. Ancak, bunlardan hiçbiri, bir modelin Deposu terk edip canlı bir sistem haline geldiğinde neler olduğuyla ilgili değildir.

Dağıtıldıktan sonra, bir modelin parametreleri artık soyut varlıklar değildir. Bunlar, canlı, bellekte yer alan varlıklardır ve sürekli olarak çıkarım sırasında erişilir ve genellikle paylaşılan AI hizmetleri aracılığıyla birden fazla kiracı veya müşteri tarafından kullanılır. Bu maruz kalma, herhangi bir çıkarım isteğinden önce meydana gelir ve böylece hassas girdileri ve dışarıdan gözlemlenebilir davranışı tanıtarak riski artırır.

Model korumasını bir önceden dağıtım endişesi olarak ve çıkarım güvenliğini bir çalışma zamanı endişesi olarak tedavi etmek konuyu kaçırır. Gerçek sistemlerde, bu riskler örtüşür. Modeller ve veriler, başlatma, yürütme ve çıktı boyunca ortaya çıkar. Depolama kontrolleriyle başlayan ve biten güvenlik, bu maruz kalma durumlarını ele almaz.

NIST Ne Yapıyor — ve Nerede Durduruyor

NIST AI Risk Yönetimi Çerçevesi, AI riskini yönetmeye çalışan organizasyonlar için bir köşe taşı haline gelmiştir. Yapısı – yönet, harita, ölç, yönet – hesap verebilirlik, bağlam, etki ve azaltma konusunda disiplinli bir şekilde düşünmeyi sağlar. AI yaşam döngüsü boyunca.

NIST’in özellikle iyi yaptığı şey, AI riskini kazara değil, sistematik olarak çerçevelemektir. AI başarısızlıkları nadiren tek noktalı olaylardır; modeller, veriler, insanlar ve altyapı arasındaki etkileşimlerden ortaya çıkar. Bu çerçeveleme vazgeçilmezdir.

Çerçevenin eksik olduğu yer, yüksek değerli AI varlıklarının sistemler canlı olduğunda nasıl korunacağına ilişkin bir mekanizma sağlamamasıdır. Model parametreleri, tasarım zamanı yapıtları olarak değil, çalışma zamanı varlıkları olarak örtük olarak ele alınır. Yürütme ortamları đủ güvenilir kabul edilir.

Pratikte, model parametreleri genellikle bir organizasyonun sahip olduğu en değerli fikri mülkiyettir. Belleğe yüklenir, düğümler arasında kopyalanır, önbelleğe alınır ve yeniden kullanılır. AI risk yönetimi, dağıtım ve yürütme sırasında modellerin gizliliğini hesaba katmazsa, kritik bir varlık risk sınırının dışında kalır, gibi bir oturmuş ördek.

ENISA ve AI-Spesifik Tehditlerin Gerçekliği

ENISA’nın AI siber güvenliği üzerindeki çalışması, konuşmayı daha da ileri taşıyor. Çok katmanlı çerçevesi, geleneksel altyapı güvenliğinden AI-spesifik risklere ayırır ve AI sistemlerinin geleneksel yazılımlardan farklı davrandığını ve farklı şekilde başarısız olduğunu kabul eder.

Bu neden önemlidir? AI, mevcut kontrollerin içine düzgün bir şekilde uymayan tehditler tanır: model çıkarma, parametre sızıntısı, birlikte kiracı maruz kalma ve yürütme sırasında müdahale. Bu riskler, egzotik saldırganlar gerektirmez. Paylaşılan veya dışarıdan yönetilen ortamlarda yüksek değerli modeller çalıştırıldığında doğal olarak ortaya çıkarlar.

ENISA’nın çerçevesi, örtük olarak, AI’yi güvence altına almanın kod değil, davranışı güvence altına almak anlamına geldiğini tanır. Ancak, çoğu standart gibi, dikkate alınması gerekenleri tanımlar, ancak modeller çalışırken teknik olarak nasıl korunacağına ilişkin rehberlik vermez.

OWASP ve Gözlemlenebilir Zeka Maliyeti

OWASP’nin Büyük Dil Modeli Uygulamaları için İlk 10, AI sistemlerinin gerçek dünyada nasıl kırıldığının daha somut bir görünümünü sunar. İstemci enjeksiyonu, hassas bilgi ifşası, gömme sızıntısı, aşırı çıktı şeffaflığı – bunlar teorik endişeler değil. Güçlü modelleri, neyi ortaya koyduklarını sınırlamadan dağıtmalarının bir sonucu.

Bu sorunlar genellikle uygulama katmanı sorunları olarak tanımlanırken, sonuçları daha derindir. Model davranışının tekrar tekrar maruz kalması, etkili klonlamaya yol açabilir; kötü izole edilmiş gömmeler, yapıyı ortaya çıkarabilir ve çıkarım suistimali, model kopyalamasına bir yol haline gelebilir.

OWASP’nin taksonomisi, bir şeyi netleştirir: AI’yi korumak, yalnızca kötü girdileri durdurmaktan ibaret değildir. Modellerin, canlı olduklarında iç ve dış olarak neyi ortaya koyduğunu sınırlamaktır.

Paylaşılan Sonuç, Bitirilmemiş İş

NIST, ENISA ve OWASP boyunca, temel ilkeler konusunda geniş bir anlaşma vardır:

• AI riski yaşam döngüsünü kapsar
• AI sistemleri yeni tehdit kategorileri tanır
• Modeller ve veriler yüksek değerli varlıklardır
• Çalışma zamanı maruz kalması kaçınılmazdır

Bu çerçevelerin eksik olduğu şey, modeller dağıtıldıktan ve hesaplamalar başladıktan sonra gizliliği nasıl uygulanacağına ilişkin bir mekanizmadır. Bu ihmal bir hata değildir, çünkü standartlar intent ve kapsamı tanımlar. Uygulama genellikle sistem tasarımcısına bırakılır.

Ancak, AI sistemleri ölçeklenirken daha da genişleyen kritik bir açığı bırakırlar.

Şifreleme-Kullanım Denklemini Değiştirir

Şifreleme-kullanım, güvenlik modelini değiştirir. Veri ve modellerin faydalı olmak için ortaya çıkması gerektiği varsayımını, hesaplamanın korunabileceği şekilde ele alır.

Pratik olarak, bu demektir:

• Modeller, dağıtım, başlatma ve yürütme sırasında şifreli kalır
• Girdiler, yürütme ortamına açık metin olarak hiçbir zaman görünmez
• Ara durumlar incelenebilir veya değiştirilemez
• Altyapıya artık örtük olarak güvenilmesi gerekmez

Bu, yönetim çerçevelerini veya uygulama katmanı denetimlerini değiştirmez – onları işler. Risk ilkelerini, AI sistemleri en savunmasız olduğunda uygulanabilir garantilere dönüştürür.

Diğer bir deyişle, şifreleme-kullanım, AI politikası ile AI gerçekliği arasındaki kayıp katmandır.

Yönetimin Bittiği ve Yürütmenin Başladığı Yer: AI Hesaplamasını Güvence Altına Alma

AI güvenliği, çalışma zamanında bozulur. Bir kez dağıtıldıktan sonra, AI modelleri ve hassas veriler işlev görmek için bellekte ortaya çıkmalıdır, bu da geleneksel kontroller – dinlenme sırasında şifreleme, iletim sırasında şifreleme ve yönetim çerçeveleri – tarafından korunmayan bir risk yüzeyi oluşturur.

NIST, ENISA ve OWASP gibi standart organizasyonları, AI riskini, hesap verebilirliği ve suistimali tanımlamada kritik ilerleme kaydetmiştir. Ancak, rehberliklerinin büyük çoğunluğu modelleri tasarım zamanı yapıtları olarak ele alır ve yürütme ortamlarının güvenilir olabileceğini varsayar. Pratikte, model parametreleri ve hassas girdiler sürekli olarak erişilir, yeniden kullanılır ve genellikle paylaşılan veya dışarıdan yönetilen ortamlarda işlenir.

Bu açığı kapatmak, AI güvenliğini bir uyum egzersizi olarak değil, hesaplamayı kendisinin koruma sorunu olarak yeniden düşünmeyi gerektirir – modeller canlı olduğunda, veri kullanılırken ve maruz kalma kaçınılmazdır. Şifreleme-kullanım, AI modellerini ve hassas girdileri, AI yaşam döngüsünün her aşamasında güvenli tutmak için uygulanabilir bir yol sunar.