Ở Đâu An Ninh Bảo Mật AI Dừng Lại — Và Bảo Vệ Runtime Phải Bắt Đầu

Với tất cả những cuộc thảo luận về các rủi ro bảo mật của AI, một vấn đề dường như bị bỏ qua là: thực tế rằng các hệ thống AI chỉ hoạt động bằng cách lộ ra những tài sản quý giá nhất của chúng — mô hình và dữ liệu.

Không giống như phần mềm truyền thống, AI không chỉ thực hiện logic được định nghĩa trước. Nó liên tục kết hợp mô hình độc quyền với đầu vào nhạy cảm để tạo ra đầu ra, thường trên cơ sở hạ tầng không được thiết kế để bảo vệ tính toán.

Theo cách này, bảo mật truyền thống không đủ. Mã hóa hiệu quả khi dữ liệu được lưu trữ hoặc truyền qua mạng, nhưng không khi dữ liệu được xử lý hoặc vận hành. Đối với AI đặc biệt, nguy cơ phát sinh khi một mô hình được triển khai. Các tham số của nó được tải vào bộ nhớ, khởi tạo và thực hiện trên quy mô lớn – điểm mà mã hóa ngừng hoạt động – lộ nó ra khả năng truy cập không được ủy quyền. Trong quá trình suy luận, dữ liệu nhạy cảm chảy qua không gian暴露 đó. Kết quả là một bề mặt rủi ro dễ bị tấn công cao: Các hệ thống AI có thể看似 an toàn — nhưng thực tế không được bảo vệ trong những khoảnh khắc quan trọng nhất.

Các tổ chức tiêu chuẩn như Viện Tiêu chuẩn và Công nghệ Quốc gia (NIST), Cơ quan An ninh Mạng của Liên minh Châu Âu (trước đây được gọi là Cơ quan An ninh Thông tin và Mạng của Châu Âu, hoặc ENISA), và Dự án An ninh Ứng dụng Mở OWASP đã bắt đầu vạch ra lãnh thổ này. Họ mô tả các rủi ro, đặt tên cho các điểm yếu, và phác thảo các nguyên tắc quản trị. Nhưng họ dừng lại trước khi quy định cách bảo vệ mô hình như tài sản trí tuệ và dữ liệu như tài sản bí mật một khi việc thực hiện bắt đầu. Đóng khoảng trống này đòi hỏi phải suy nghĩ lại về bảo mật AI — không phải như một bài tập tuân thủ, mà như một vấn đề về tính toán bản thân. Đây là nơi mã hóa trong quá trình sử dụng, hoặc mã hóa từ đầu đến cuối, đóng vai trò.

Điểm Mù Trong An Ninh Bảo Mật AI Hiện Đại

Hầu hết các cuộc thảo luận về bảo mật AI vẫn quay quanh những chủ đề quen thuộc: quản trị dữ liệu đào tạo, kiểm soát truy cập, giám sát API, và chính sách người dùng có trách nhiệm. Những điều này là cần thiết. Tuy nhiên, không một trong số chúng giải quyết được việc gì xảy ra sau khi triển khai, khi một mô hình rời khỏi kho lưu trữ và trở thành một hệ thống sống.

Một khi được triển khai, các tham số của mô hình không còn là các hiện象 trừu tượng. Chúng là tài sản sống, cư trú trong bộ nhớ, được truy cập liên tục trong quá trình suy luận và thường được sử dụng bởi nhiều người thuê hoặc khách hàng thông qua các dịch vụ AI chia sẻ. Sự暴露 này xảy ra trước khi bất kỳ yêu cầu suy luận nào được thực hiện, do đó làm tăng rủi ro bằng cách giới thiệu đầu vào nhạy cảm và hành vi quan sát được từ bên ngoài.

Việc coi bảo vệ mô hình như một vấn đề trước khi triển khai và bảo mật suy luận như một vấn đề thời gian chạy bỏ qua điểm mấu chốt. Trong các hệ thống thực, những rủi ro này chồng chéo. Mô hình và dữ liệu được暴露 trên suốt quá trình khởi tạo, thực hiện và đầu ra. Bảo mật bắt đầu và kết thúc với các kiểm soát lưu trữ không giải quyết được những sự暴露 này.

NIST Được Gì — Và Ở Đâu Nó Dừng Lại

Khung khổ Quản lý Rủi ro AI của NIST đã trở thành một điểm tựa cho các tổ chức cố gắng quản lý rủi ro AI. Cấu trúc của nó — quản trị, lập bản đồ, đo lường, quản lý — cung cấp một cách có kỷ luật để suy nghĩ về trách nhiệm, ngữ cảnh, tác động và giảm thiểu trên toàn bộ chu kỳ sống của AI.

Điều mà NIST làm đặc biệt tốt là đặt rủi ro AI trong bối cảnh hệ thống chứ không phải là sự kiện ngẫu nhiên. Các thất bại của AI hiếm khi là các sự kiện đơn lẻ; chúng xuất phát từ sự tương tác giữa mô hình, dữ liệu, con người và cơ sở hạ tầng. Việc đặt khung đó là điều cần thiết.

Ở đâu khung khổ này không đạt được là trong việc không quy định cách bảo vệ tài sản AI có giá trị cao một khi hệ thống đang hoạt động. Các tham số mô hình được coi là các hiện tượng thiết kế thời gian chứ không phải là tài sản thời gian chạy. Môi trường thực hiện được giả định là đáng tin cậy.

Trong thực tế, các tham số mô hình thường là tài sản trí tuệ quý giá nhất mà một tổ chức sở hữu. Chúng được tải vào bộ nhớ, sao chép qua các nút, lưu vào bộ nhớ đệm và tái sử dụng. Nếu quản lý rủi ro AI không tính đến bí mật của mô hình trong quá trình triển khai và thực hiện, một tài sản quan trọng vẫn nằm ngoài ranh giới rủi ro, như một con vịt ngồi.

ENISA Và Thực Tế Của Các Đe Dọa Riêng Biệt Của AI

Công việc của ENISA về an ninh mạng AI đẩy cuộc trò chuyện xa hơn. Khung khổ nhiều lớp của nó phân biệt giữa an ninh cơ sở hạ tầng truyền thống và các rủi ro riêng biệt của AI, thừa nhận rằng các hệ thống AI hoạt động khác — và thất bại khác — so với phần mềm thông thường.

Tại sao điều này lại quan trọng? AI giới thiệu các mối đe dọa không phù hợp một cách gọn gàng vào các kiểm soát hiện có: trích xuất mô hình, rò rỉ tham số,暴露 đồng thuê và can thiệp trong quá trình thực hiện. Những rủi ro này không yêu cầu các kẻ tấn công kỳ lạ. Chúng xuất phát tự nhiên khi các mô hình có giá trị cao chạy trong môi trường được chia sẻ hoặc quản lý từ bên ngoài.

Khung khổ của ENISA ngầm công nhận rằng việc bảo mật AI có nghĩa là bảo mật hành vi, không chỉ mã. Nhưng giống như hầu hết các tiêu chuẩn, nó tập trung vào những gì nên được xem xét, không phải cách bảo vệ được thực thi kỹ thuật một khi mô hình đang chạy.

OWASP Và Chi Phí Của Trí Tuệ Quan Sát Được

OWASP’s Top 10 cho các ứng dụng mô hình ngôn ngữ lớn cung cấp một cái nhìn cụ thể hơn về cách các hệ thống AI bị hỏng trong thế giới thực. Tiêm prompt, tiết lộ thông tin nhạy cảm, rò rỉ nhúng, minh bạch đầu ra quá mức — những vấn đề này không phải là lý thuyết. Chúng là sản phẩm phụ của việc triển khai các mô hình mạnh mà không hạn chế những gì chúng tiết lộ.

Mặc dù những vấn đề này thường được đặt trong bối cảnh các vấn đề ở lớp ứng dụng, nhưng hậu quả của chúng sâu sắc hơn. Sự暴露 lặp đi lặp lại của hành vi mô hình có thể dẫn đến việc nhân bản hiệu quả; các nhúng bị cách ly kém có thể tiết lộ cấu trúc; và lạm dụng suy luận trở thành một con đường đến sự nhân bản mô hình.

Thuật ngữ của OWASP làm rõ một điều: việc bảo vệ AI không chỉ là về việc ngăn chặn các đầu vào xấu. Đó là về việc hạn chế những gì mô hình tiết lộ — cả nội bộ và bên ngoài — một khi chúng đang hoạt động.

Kết Luận Chung, Một Công Việc Chưa Hoàn Thành

Trên NIST, ENISA và OWASP, có sự đồng thuận rộng rãi về các nguyên tắc cơ bản:

• Rủi ro AI bao trùm toàn bộ chu kỳ sống
• Các hệ thống AI giới thiệu các loại đe dọa mới
• Mô hình và dữ liệu là tài sản có giá trị cao
• Sự暴露 thời gian chạy là không thể tránh khỏi

Những gì các khung khổ này thiếu, tuy nhiên, là một cơ chế để thực thi bí mật một khi mô hình được triển khai và tính toán bắt đầu. Sự thiếu hụt đó không phải là một khiếm khuyết, vì các tiêu chuẩn định nghĩa ý định và phạm vi. Việc thực hiện thường được để lại cho nhà thiết kế hệ thống.

Nhưng họ để lại một khoảng trống quan trọng — một khoảng trống ngày càng rộng khi các hệ thống AI mở rộng.

Mã Hóa Trong Quá Trình Sử Dụng Thay Đổi Phương Trình

Mã hóa trong quá trình sử dụng thay đổi mô hình bảo mật. Thay vì giả định rằng dữ liệu và mô hình phải được暴露 để có ích, nó coi tính toán như một thứ có thể được bảo vệ.

Trong các điều khoản thực tế, điều này có nghĩa là:

• Mô hình vẫn được mã hóa trong quá trình triển khai, khởi tạo và thực hiện
• Đầu vào không bao giờ có thể nhìn thấy ở dạng văn bản rõ ràng trong môi trường thực hiện
• Các trạng thái trung gian không thể được kiểm tra hoặc sửa đổi
• Cơ sở hạ tầng không cần phải được tin cậy ngầm

Điều này không thay thế các khung khổ quản trị hoặc các kiểm soát ở lớp ứng dụng — nó vận hành chúng. Nó biến các nguyên tắc rủi ro thành các đảm bảo có thể thực thi ngay khi các hệ thống AI dễ bị tổn thương nhất.

Nói cách khác, mã hóa trong quá trình sử dụng là lớp thiếu hụt giữa chính sách AI và thực tế AI.

Khi Quản Trị Kết Thúc Và Thực Hiện Bắt Đầu: Bảo Vệ Tính Toán AI

Bảo mật AI bị phá vỡ tại thời gian chạy. Một khi được triển khai, các mô hình AI và dữ liệu nhạy cảm phải được暴露 trong bộ nhớ để hoạt động, tạo ra một bề mặt rủi ro mà các kiểm soát truyền thống — mã hóa khi nghỉ, mã hóa trong quá trình truyền và các khung khổ quản trị — không được thiết kế để bảo vệ.

Các tổ chức tiêu chuẩn như NIST, ENISA và OWASP đã đạt được tiến bộ quan trọng trong việc định nghĩa rủi ro AI, trách nhiệm và lạm dụng. Nhưng hướng dẫn của họ chủ yếu coi mô hình như các hiện tượng thiết kế thời gian và giả định rằng môi trường thực hiện có thể được tin cậy. Trong thực tế, các tham số mô hình và đầu vào nhạy cảm được truy cập, tái sử dụng và thường được xử lý trong môi trường được chia sẻ hoặc quản lý từ bên ngoài.

Đóng khoảng trống này đòi hỏi phải suy nghĩ lại về bảo mật AI không phải như một bài tập tuân thủ, mà như một vấn đề về bảo vệ tính toán bản thân — khi mô hình đang hoạt động, dữ liệu đang được sử dụng và sự暴露 là không thể tránh khỏi. Mã hóa trong quá trình sử dụng cung cấp một cách khả thi để giữ cho các mô hình AI và đầu vào nhạy cảm an toàn trên mọi giai đoạn của chu kỳ sống AI.