VB Intelligence | Аналіз партнера
З появою конфіденційних обчислень для GPU можна захистити чутливі робочі навантаження, але підприємствам також потрібні докази того, що вони можуть ідентифікувати агенти, ізолювати орендарів та відкликати доступ без порушення роботи.
Якщо ШІ-агент скомпрометований, чи може ваше підприємство зупинити його і забезпечити безперебійну роботу бізнесу? Це питання пов’язує безпеку ШІ з операційною вимогою: контролем доступу на рівні окремого робочого навантаження.
Я нещодавно мав розмову з Ніром Червоні, керівником відділу продуктів безпеки в Nebius, хмарному провайдері, що спеціалізується на ШІ. Він допоміг окреслити незалежний, інфраструктурно-орієнтований підхід, побудований на чітких ідентифікаторах агентів, обмежених облікових даних, ключах шифрування, контрольованих клієнтом, та реєстрованій активності. Ми також обговорили конфіденційні обчислення GPU як додатковий захист даних і моделей під час обробки, з чітко встановленими обмеженнями.
На мою думку, ключовим наслідком для корпоративних покупців є те, що оцінка ШІ-інфраструктури повинна виходити за межі обчислювальної потужності та сертифікатів безпеки. Покупцям потрібні докази того, що засоби контролю працюють в умовах збою: скомпрометована ідентифікація, невдала перевірка цілісності або спроба перетину меж орендарів.
Конфіденційні обчислення можуть зміцнити цю основу. Вони не підтверджують, що дії агента авторизовані, його додаток безпечний, або його виходи є відповідними.
Ключові висновки
Індивідуальні ідентифікатори агентів підтримують стримування. Спільні облікові дані ускладнюють атрибуцію та роблять вибіркове відкликання складнішим. Підприємства повинні перевіряти, чи зупинка одного агента також не перериває роботу інших, непов’язаних робочих навантажень.
Політики доступу та модератори моделей слугують різним цілям. Дозволи повинні обмежувати те, до чого агент може отримати доступ, незалежно від того, як модель реагує на запит.
Конфіденційні обчислення GPU додають специфічний захист. Його цінність залежить від підтримуваної конфігурації, процесу перевірки цілісності та політики, що регулює випуск ключів.
Ізоляція клієнтів ШІ-спеціалізованих хмар потребує операційних доказів. Ретельність зміни обладнання, мережі керування, спільні площини керування та GPU-інтерконекти належать до належної перевірки постачальника.
Вимоги до суверенітету виходять за межі місцезнаходження. Клієнти повинні перевіряти доступ, обробку, зберігання та контроль над засобами захисту в межах розгортання.
Що сталося
У нашому серпневому опитуванні VB Pulse половина респондентів заявили, що їхні організації мають агентів у продакшені. Серед цієї групи 61% повідомили про принаймні певну спільну роботу облікових даних між агентами. У дослідженні VB Pulse за вересень лише 14% респондентів, які відповідали на запитання про відкликання, заявили, що іменований власник може відкликати доступ агента протягом кількох хвилин.
Це викликає практичне занепокоєння щодо того, чи розгортання агентів випереджає управління доступом.
Перспектива Червоні підкреслила знайомі основи безпеки: окремий ідентифікатор для кожного агента, короткочасні облікові дані, обмежені його завданнями, керовані секрети, ключі, контрольовані клієнтом, та журнали аудиту, що подаються до системи моніторингу безпеки підприємства.
«Ніколи не покладайтеся на модератор для забезпечення того, що політика доступу може забезпечити детерміновано», — сказав він.
Червоні зазначив, що Nebius інвестував у керування ідентифікацією та доступом, керування ключами, керування секретами та аудит логів, працюючи з клієнтами, які хочуть використовувати власну систему керування ключами (KMS) або інші компоненти безпеки. Я вважаю, що ці заяви є хорошою відправною точкою для визначення того, як має виглядати валідація.
Чому це важливо
Стримування агента має бути вимогою безперервності бізнесу
Спільні облікові дані створюють залежність між робочими навантаженнями. Їх відкликання може зупинити скомпрометованого агента, але також може перервати роботу інших агентів, що використовують той самий доступ.
За моєю оцінкою, підприємства повинні оцінювати контроль доступу та стійкість разом. Іменований власник, окремий ідентифікатор та обмежені дозволи створюють умови для вибіркового стримування. Потім вправа повинна встановити, чи працює це стримування, зокрема, що відбувається з активними сесіями та роботою, яка вже триває.
Модератори моделей залишаються корисними, але вони відповідають на інше запитання. Навіть якщо модератор спрямовує агента від неприйнятної дії, це не скасовує його базового дозволу на виконання цієї дії. Авторизація інфраструктури та додатків повинна незалежно забезпечувати дотримання меж.
Конфіденційні обчислення роблять межу довіри більш явною
Червоні описав конфіденційні обчислення GPU як розширення захисту на обробку GPU, включаючи захист від певних привілейованих інфраструктурних суб’єктів у підтримуваних реалізаціях. Атестація надає докази щодо середовища, які клієнт може оцінити перед випуском ключів.
Референсна архітектура NVIDIA підтверджує, що це системна реалізація. Її необхідні можливості включають виміряне зображення конфіденційної віртуальної машини, конфіденційні обчислення як на CPU, так і на GPU, верифікатор атестації, керування ключами, що підтримує безпечний випуск ключів, та журналювання, яке уникає розкриття обробленого контенту.
Для покупців важливим питанням є те, які компоненти та шляхи доступу захищені в запропонованому розгортанні. Сам по собі маркер конфіденційних обчислень не дає відповіді на це.
Червоні також визнав обмеження: технологія не виправляє вразливості додатків, не зупиняє ін’єкції запитів і не керує виходами моделей. Скомпрометований ідентифікатор все ще може використовувати свої законні дозволи. Тому підприємства повинні оцінювати захист конфіденційності поряд з авторизацією та безпекою додатків.
Ізоляція та суверенітет потребують доказів, які клієнти можуть перевірити
Червоні запропонував конкретний набір незалежних питань щодо ізоляції орендарів:
Обладнання: Як підготовлене обладнання між клієнтами?
Санітаризація: Як відбувається санітаризація цілісності прошивки та пам’яті GPU?
Ізоляція машин: Чи можуть робочі навантаження орендарів отримати доступ до інтерфейсів керування?
Спільна природа: Які компоненти площини керування є спільними?
Ізоляція мережі: Якpartitioned високошвидкісні мережі, і чи була ізоляція незалежно протестована?
Ці питання перетворюють загальну гарантію на перевірену заяву. Мені це подобається, тому що відповідні докази — це процедура, конфігурація та результат тестування, що стосуються послуги, якою клієнт фактично користуватиметься.
Це може бути найважливішим моментом для багатьох організацій, оскільки це викликає значне плутання щодо відмінностей між місцем зберігання даних та суверенітетом. Червоні провів відмінність між місцем зберігання даних та суверенітетом. У його трактуванні, крім географії, клієнти повинні перевіряти, хто може отримати доступ до інформації, як вона обробляється та хто контролює її захист. Знову ж таки, це виходить за межі простого місцезнаходження до суті суверенітету.
Його приклад регульованого європейського розгортання включав виділену потужність, ключі, контрольовані клієнтом, випуск ключів на основі атестації, схвалений та зареєстрований доступ персоналу та висновки з нульовим зберіганням. Це була ілюстративна архітектура, а не доказ того, що кожна послуга Nebius має ці характеристики.
На що звернути увагу
Наступними доказовими пунктами мають стати операційні:
Ефективність відкликання: Чи може клієнт вимкнути одного агента та підтвердити, що його доступ припинено, тоді як інші робочі навантаження продовжують працювати?
Примусове виконання атестації: Що відбувається, коли перевірка не вдається, і чи може обхідний шлях порушити політику випуску ключів?
Продуктивність специфічна для розгортання: Які зміни затримки, пропускної здатності та вартості з’являються у робочому навантаженні клієнта з увімкненим необхідним захистом?
Охоплення ізоляції: Чи охоплюють незалежні тести перепризначення обладнання, інтерфейси керування, спільні послуги та конфігурацію інтерконекту, що купується?
Спостережуваний доступ та зберігання: Чи можуть клієнти перевірити, чи відповідає доступ персоналу, журнали, резервні копії та зберігання висновків узгодженим вимогам?
Отже, що
На мою думку, критерієм купівлі ШІ-інфраструктури має бути демонстраційний контроль над робочим навантаженням у продакшені. Конфіденційні обчислення GPU розширюють захист, який можуть застосовувати підприємства, але операційна безпека, як і раніше, залежить від ідентифікації, авторизації, ізоляції та відновлення.
Керівники відділів безпеки (CISO) та керівники ШІ-платформ повинні почати з репрезентативного робочого процесу агента.
Встановіть ідентифікатор: Надайте йому окремий ідентифікатор
Призначте власника: Призначте відповідального власника
Аналіз дозволів: Документуйте його дозволи та протестуйте відкликання
Тестування та вимірювання: Виміряйте як час стримування доступу, так і вплив на залежні служби.
Для робочих навантажень, що потребують сильнішого захисту під час обробки, інфраструктурні команди повинні протестувати конфіденційні обчислення в цільовому розгортанні. Валідуйте шлях атестації та випуску ключів, відпрацюйте умови збоїв та виміряйте продуктивність відповідно до вимог додатка.
Закупівля повинна використовувати ці результати для визначення критеріїв прийняття. Здатність постачальника демонструвати вибіркове стримування, захищену обробку та перевірену ізоляцію повинна впливати на розміщення робочих навантажень поряд з потужністю та ціною. Оскільки агенти набувають все більшої влади, здатність підприємства відкликати цю владу стає основним показником готовності до продакшену.
Роб Стречай – головний аналітик VB Intelligence.
За даними порталу: venturebeat.com