Nghiên cứu của Eclypsium cho thấy phần cứng bị xâm nhập có thể làm thay đổi mô hình AI khi đang chạy

Eclypsium đã chứng minh cách hạ tầng máy tính bị xâm nhập có thể làm thay đổi hành vi của mô hình AI trong quá trình suy luận, trong khi các tệp gốc vẫn nguyên vẹn. Nghiên cứu, được công bố ngày 29 tháng 10 trong AI đáng tin cậy đòi hỏi hạ tầng đáng tin cậy, cho thấy vì sao việc kiểm tra chữ ký hoặc mã băm của mô hình không đủ để xác nhận tính toàn vẹn của mô hình đang chạy trong bộ nhớ.

Trong một cuộc trình diễn có kiểm soát với sự hỗ trợ của NVIDIA, các nhà nghiên cứu đã sử dụng một bộ xử lý dữ liệu (DPU) bị xâm nhập, kết hợp với cơ chế cách ly bộ nhớ lỏng lẻo, để sửa đổi trọng số của mô hình khi đang chạy. Câu trả lời của mô hình đã thay đổi mà không cần sửa đổi mô hình được lưu trữ hay dịch vụ suy luận. Phát hiện này cho thấy phần cứng, chương trình cơ sở và cấu hình thiết bị đều nằm trong ranh giới bảo mật của AI.

Một cách tiếp cận khác để thay đổi mô hình AI

Các cuộc thảo luận về bảo mật AI thường tập trung vào lời nhắc độc hại, dữ liệu huấn luyện bị đầu độc và việc sử dụng công cụ không an toàn. Nghiên cứu này xem xét một lớp thấp hơn: hạ tầng lưu trữ và di chuyển các tham số của mô hình trong khi mô hình hoạt động.

Trọng số là các tham số dạng số định hình câu trả lời của mô hình. Một tệp hợp lệ trên đĩa có thể được tải vào bộ nhớ rồi bị một thành phần có đủ đặc quyền sửa đổi. Khi kiểm tra lại tệp gốc sau đó, hệ thống vẫn thấy các byte như mong đợi, dù câu trả lời đã được tạo ra bằng trạng thái khi chạy đã bị thay đổi.

Cuộc trình diễn của Eclypsium đã cho thấy rõ kết quả phân tích thay đổi khi trả lời một câu hỏi địa chính trị. Mối lo ngại rộng hơn là việc thao túng khi chạy có thể ảnh hưởng đến những mục đích sử dụng nhạy cảm khác, bao gồm tạo mã và đưa ra quyết định tự động. Cần phân biệt những khả năng đó với hành vi cụ thể được thể hiện trong phòng thí nghiệm.

Tuyên bố rằng việc này không bị phát hiện cũng có phạm vi xác định: các bước kiểm tra tính toàn vẹn của mô hình được lưu trữ trong cuộc trình diễn không phát hiện ra những thay đổi trong bộ nhớ. Điều đó không chứng minh rằng mọi hình thức giám sát hoặc kiểm tra pháp chứng đều không thể phát hiện chúng.

Các điều kiện tấn công rất quan trọng

Thử nghiệm được thực hiện trong môi trường NVIDIA Grace Hopper. Đường truy cập bộ nhớ trực tiếp phụ thuộc vào một thành phần có đặc quyền bị xâm nhập và các thiết lập cấu hình cho phép truy cập bộ nhớ nhạy cảm. Các nhà nghiên cứu xác định chế độ passthrough của IOMMU và cơ chế cách ly PCIe lỏng lẻo là những điều kiện quan trọng, đồng thời nêu rõ rằng đây không phải là các thiết lập mặc định của Linux.

IOMMU giúp kiểm soát vùng bộ nhớ mà thiết bị ngoại vi có thể truy cập. Trong cấu hình cách ly chặt chẽ hơn mà các nhà nghiên cứu thử nghiệm, không thể sử dụng cùng đường truy cập trực tiếp đó. Vì vậy, kết quả này nhấn mạnh tầm quan trọng của việc xác minh các thiết lập thực tế khi triển khai, thay vì cho rằng một tính năng bảo mật đã được cài đặt thì đang chủ động thực thi ranh giới bảo vệ.

DPU là bộ xử lý hạ tầng có thể lập trình, được sử dụng cho các dịch vụ mạng, lưu trữ và bảo mật. Khả năng di chuyển dữ liệu hiệu quả của DPU rất hữu ích, nhưng các đặc quyền phục vụ những chức năng hạ tầng hợp pháp có thể trở nên nguy hiểm nếu kẻ tấn công giành quyền kiểm soát thành phần này.

Phản hồi của NVIDIA: Xác minh ranh giới tin cậy

Trong bài viết về sự hợp tác, NVIDIA mô tả các tính năng khởi động xác thực, niềm tin dựa trên phần cứng, cách ly, bảo vệ cập nhật chương trình cơ sở và chứng thực của BlueField. Công ty cũng nhấn mạnh rằng các đơn vị vận hành đám mây lựa chọn những cấu hình bảo mật khác nhau tùy theo mô hình tin cậy.

Thông điệp của hai công ty là các đơn vị vận hành cần có bằng chứng về những lựa chọn đó. Cần đánh giá các biện pháp kiểm soát quyền truy cập bộ nhớ, cách ly thiết bị và giao diện quản lý trong bối cảnh mô hình mối đe dọa của môi trường triển khai. Chỉ riêng việc có một tính năng không chứng minh được rằng tính năng đó đã được cấu hình đúng.

NVIDIA và Eclypsium cũng cho rằng vấn đề này không chỉ giới hạn ở một nhà cung cấp. Các hệ thống AI phụ thuộc vào phần mềm máy chủ có đặc quyền, chương trình cơ sở của bộ tăng tốc, bộ điều khiển quản lý và cơ chế truyền dữ liệu. Các đường truy cập cụ thể khác nhau tùy kiến trúc, nhưng nhu cầu tính đến những thành phần đó thì không thay đổi.

Vì sao bảo mật tác tử cũng phụ thuộc vào bảo mật hạ tầng

Mức độ rủi ro tăng lên khi mô hình có thể gọi công cụ, truy cập dữ liệu doanh nghiệp hoặc khởi tạo hành động. Việc can thiệp vào hạ tầng có thể làm suy yếu những giả định của các biện pháp bảo vệ ở cấp ứng dụng về việc mô hình nào thực sự đang chạy.

Nền tảng an toàn cho tác tử mở của NVIDIA cho thấy một cách tiếp cận bảo vệ theo nhiều lớp. OpenShell cung cấp khả năng quản trị khi chạy, còn NVIDIA Sentry trên BlueField hoạt động trong một miền bảo mật được cách ly bằng phần cứng, nằm bên ngoài máy chủ và tác tử. Kiến trúc này hướng đến việc giám sát hành vi và thực thi chính sách từ một điểm kiểm soát riêng biệt.

Vị trí độc lập đó kéo theo một trách nhiệm bảo mật khác: bản thân phần cứng thực thi và ngăn xếp phần mềm của nó cũng phải luôn đáng tin cậy. Việc chuyển một cơ chế kiểm soát ra bên ngoài ứng dụng giúp giảm một yếu tố phụ thuộc, đồng thời làm tăng tầm quan trọng của việc xác minh thành phần được giao quyền kiểm soát đó.

Từ kiểm kê phần cứng đến bảo đảm liên tục

Eclypsium gọi sự bất đồng bộ giữa việc bảo đảm tập trung vào mô hình và tính toàn vẹn của hạ tầng là “Khoảng trống bảo đảm hạ tầng AI”. Nền tảng bảo đảm hạ tầng của công ty kiểm kê các thành phần, đánh giá firmware và cấu hình, đối chiếu trạng thái thiết bị với các cấu hình chuẩn đã được phê duyệt, đồng thời giám sát các thay đổi. Công ty định vị những khả năng này là bổ trợ cho các biện pháp bảo vệ ứng dụng và mô hình hiện có.

Đối với đơn vị vận hành, công việc thực tế bắt đầu từ việc quản lý DPU, GPU, bộ điều khiển quản lý và firmware của chúng như những tài sản riêng biệt. Mỗi tài sản cần có đơn vị chịu trách nhiệm, được theo dõi phiên bản, đánh giá lỗ hổng và có quy trình cập nhật rõ ràng. Việc rà soát này cũng cần bao gồm quyền truy cập vào mặt phẳng quản lý và phần mềm của bên thứ ba trên các bộ xử lý hạ tầng.

Việc kiểm tra cũng cần theo sát phần cứng trong suốt quá trình triển khai, cập nhật, khôi phục sau sự cố và chuyển giao. Chỉ riêng một ảnh hệ điều hành sạch không đủ để xác nhận rằng mọi thành phần ở cấp thấp hơn đều ở trạng thái được phê duyệt. Hạ tầng dùng chung khiến vòng đời này đặc biệt quan trọng, vì phần cứng có thể lần lượt phục vụ nhiều khách hàng.

Kiểm tra hệ thống đang vận hành, không chỉ riêng tạo phẩm

Chữ ký mô hình vẫn hữu ích: chúng trả lời một câu hỏi quan trọng về tạo phẩm đang được tải. Khởi động an toàn, chứng thực, cô lập trong thời gian chạy và giám sát liên tục trả lời những câu hỏi khác về hệ thống thực thi mô hình đó. Không biện pháp nào trong số này nên được xem là phương án thay thế cho tất cả các biện pháp còn lại.

Ý nghĩa trong nghiên cứu của Eclypsium nằm ở chỗ một mô hình có thể vượt qua một bước kiểm tra tính toàn vẹn trong khi một phần khác trong chuỗi thực thi của nó đã thay đổi. Đối với các tổ chức triển khai AI trong những quy trình công việc có hệ quả đáng kể, việc xác minh hạ tầng cần được thực hiện song song với việc đánh giá mô hình trong suốt quá trình vận hành.