AI Ajanları İçin Bulut Güvenliğinde Kontrol Kanıtı Şart

AI ajanlarının üretime geçişi hızlanırken, kurumların bulut altyapısında kontrolü kanıtlaması gerekliliği öne çıkıyor. VB Intelligence tarafından yayımlanan ve Nebius güvenlik ürünleri başkanı Nir Chervoni ile yapılan görüşmeye dayanan analiz, kimlik doğrulama, erişim kontrolleri, kiracı izolasyonu ve GPU gizli bilişimin gerçek arıza koşullarında test edilmesi gerektiğini ortaya koyuyor. Değerlendirmeye göre, bir AI ajanının ele geçirilmesi halinde kurumun o ajanı durdurup iş sürekliliğini koruyup koruyamayacağı sorusu, AI güvenliğini doğrudan operasyonel bir gerekliliğe bağlıyor.
Analiz, AI altyapısı değerlendirmesinin yalnızca işlem kapasitesi ve güvenlik sertifikalarıyla sınırlı kalmaması gerektiğini vurguluyor. Alıcıların, ele geçirilmiş bir kimlik, başarısız bir bütünlük doğrulaması veya kiracı sınırlarını aşma girişimi gibi arıza senaryolarında kontrollerin gerçekten çalışıp çalışmadığına dair kanıta ihtiyaç duyduğu belirtiliyor. Gizli bilişimin bu temeli güçlendirebileceği ancak tek başına bir ajanın eylemlerinin yetkilendirilmiş olduğunu, uygulamanın güvenli olduğunu veya çıktıların uygun olduğunu kanıtlamadığı ifade ediliyor.

Ajan Kimlikleri ve Erişim Kontrolünde Zafiyet Sinyalleri​

Ağustos ayındaki VB Pulse anketinde katılımcıların yarısı kurumlarında ajanların üretimde olduğunu söyledi. Bu grup içinde yüzde 61, ajanlar arasında en azından bir ölçüde kimlik bilgisi paylaşımı olduğunu bildirdi. Eylül ayındaki VB Pulse anketinde ise erişimin iptali sorusunu yanıtlayanların yalnızca yüzde 14'ü, adlandırılmış bir sahibin bir ajanın erişimini dakikalar içinde iptal edebildiğini belirtti. Bu veriler, ajan dağıtımının erişim yönetişiminden daha hızlı ilerlemiş olabileceğine dair pratik bir endişeyi gündeme getiriyor.
Chervoni'nin yaklaşımı, her ajan için ayrı bir kimlik, görevleriyle sınırlı kısa ömürlü kimlik bilgileri, yönetilen gizli bilgiler, müşteri kontrollü anahtarlar ve kurumun güvenlik izleme sistemine beslenen denetim kayıtları gibi bilinen güvenlik temellerine vurgu yapıyor. Chervoni, "Never rely on a guardrail to enforce something an access policy could enforce deterministically," ifadesini kullandı. Bu yaklaşım, modelin bir isteme nasıl yanıt verdiğinden bağımsız olarak, bir ajanın neye erişebileceğini izinlerin belirlemesi gerektiği anlamına geliyor.
Analize göre, paylaşılan bir kimlik bilgisi iş yükleri arasında bağımlılık yaratıyor. Ele geçirilmiş bir ajanı durdurmak için bu kimlik bilgisinin iptal edilmesi, aynı erişimi kullanan diğer ajanları da kesintiye uğratabiliyor. Bu nedenle erişim kontrolü ve dayanıklılığın birlikte değerlendirilmesi gerekiyor. Adlandırılmış bir sahip, ayrı bir kimlik ve sınırlandırılmış izinler seçici containment için koşulları oluştururken, bu containment'in gerçekten çalışıp çalışmadığının tatbikatla doğrulanması gerekiyor. Buna aktif oturumlara ve devam eden işlere ne olduğu da dahil.
Chervoni, Nebius'un kimlik ve erişim yönetimi, anahtar yönetimi, gizli bilgi yönetimi ve denetim günlüğüne yatırım yaptığını, kendi anahtar yönetim sistemini veya diğer güvenlik bileşenlerini getirmek isteyen müşterilerle çalıştığını söyledi. Analizi kaleme alan VB Intelligence Baş Analisti Rob Strechay, bu ifadelerin doğrulamanın nasıl görünmesi gerektiğini belirlemek için iyi bir başlangıç noktası olduğu görüşünü dile getirdi.

GPU Gizli Bilişim Ne Sağlıyor, Ne Sağlamıyor​

Görüşmede Chervoni, GPU gizli bilişimi, desteklenen uygulamalarda belirli ayrıcalıklı altyapı aktörlerine karşı koruma da dahil olmak üzere GPU işlemeye kadar korumayı genişleten bir teknoloji olarak tanımladı. Doğrulama olarak adlandırılan attestation, müşterinin anahtarları serbest bırakmadan önce ortam hakkında değerlendirebileceği kanıt sağlıyor.
NVIDIA'nın referans mimarisi, bunun sistem düzeyinde bir uygulama olduğunu pekiştiriyor. Buna göre gerekli yetenekler arasında ölçülmüş gizli sanal makine imajı, hem CPU hem de GPU'da gizli bilişim, bir doğrulama doğrulayıcısı, güvenli anahtar serbest bırakmayı destekleyen anahtar yönetimi ve işlenen içeriği açığa çıkarmaktan kaçınan günlüğe kaydetme yer alıyor. Alıcılar için anlamlı soru, önerilen dağıtımda hangi bileşenlerin ve erişim yollarının korunduğu. Yalnızca gizli bilişim etiketi bu soruyu yanıtlamıyor.
Chervoni, teknolojinin sınırlarını da kabul etti. Buna göre gizli bilişim, uygulama güvenlik açıklarını düzeltmiyor, istem enjeksiyonunu durdurmuyor veya model çıktılarını yönetmiyor. Ele geçirilmiş bir kimlik, meşru izinlerini kullanmaya devam edebiliyor. Bu nedenle kurumların gizlilik korumalarını yetkilendirme ve uygulama güvenliğiyle birlikte değerlendirmesi gerekiyor. Analiz, gizli bilişimin güven sınırını daha açık hale getirdiğini ancak yetkilendirme ve uygulama güvenliğinin ayrı katmanlar olarak kalması gerektiğini belirtiyor.

Kiracı İzolasyonu ve Egemenlik İçin Doğrulama Gerekliliği​

Chervoni, AI'ye özgü bulut kiracı izolasyonu için agnostik ve somut bir soru seti önerdi. Bu sorular arasında donanımın müşteriler arasında nasıl hazırlandığı, ürün yazılımı bütünlüğü ve GPU bellek temizliğinin nasıl ele alındığı, kiracı iş yüklerinin yönetim arayüzlerine ulaşıp ulaşamadığı, hangi kontrol düzlemi bileşenlerinin paylaşıldığı ve yüksek hızlı ağların nasıl bölümlendiği ile izolasyonun bağımsız olarak test edilip edilmediği yer alıyor.
Analize göre bu sorular, geniş bir güvenceyi değerlendirilebilir bir iddiaya dönüştürüyor. İlgili kanıt, müşterinin fiilen kullanacağı hizmete uygulanabilir prosedür, yapılandırma ve test sonucu. Donanımın yeniden atanması, yönetim arayüzleri, paylaşılan hizmetler ve satın alınan ara bağlantı yapılandırmasının bağımsız testlerle kapsanıp kapsanmadığı, tedarikçi durum tespitinin parçası olarak görülüyor.
Egemenlik gerekliliklerinin de konumun ötesine geçtiği vurgulanıyor. Chervoni, veri yerleşimi ile egemenlik arasında ayrım yaptı. Onun çerçevesine göre coğrafyaya ek olarak müşterilerin bilgilere kimlerin erişebileceğini, bilgilerin nasıl işlendiğini ve korumaları kimin kontrol ettiğini incelemesi gerekiyor. Bu, konumun ötesinde egemenliğin özüne işaret ediyor.
Örnek olarak, düzenlemeye tabi bir Avrupa dağıtımı için ayrılmış kapasite, müşteri kontrollü anahtarlar, doğrulamaya dayalı anahtar serbest bırakma, onaylanmış ve günlüğe kaydedilmiş personel erişimi ve sıfır saklamalı çıkarım içeren bir mimari paylaşıldı. Analiz, bunun her Nebius hizmetinin bu özellikleri sağladığına dair bir kanıt değil, açıklayıcı bir mimari olduğunu özellikle belirtiyor.

Operasyonel Kanıtlar ve Satın Alma Kriterleri​

Analiz, bir sonraki kanıt noktalarının operasyonel olması gerektiğini belirtiyor. İzlenmesi gereken başlıklar arasında iptal etkinliği, doğrulama uygulaması, dağıtıma özgü performans, izolasyon kapsamı ve gözlemlenebilir erişim ile saklama yer alıyor. İptal etkinliği, bir müşterinin bir ajanı devre dışı bırakıp ilgisiz iş yükleri devam ederken erişimin sona erdiğini doğrulayıp doğrulayamayacağını kapsıyor. Doğrulama uygulamasında, doğrulama başarısız olduğunda ne olduğu ve bir geçersiz kılmanın anahtar serbest bırakma politikasını atlayıp atlayamayacağı sorgulanıyor.
Dağıtıma özgü performansta, gerekli korumalar etkinleştirildiğinde müşterinin iş yükünde ortaya çıkan gecikme, verim ve maliyet değişikliklerinin ölçülmesi isteniyor. İzolasyon kapsamı, bağımsız testlerin donanım yeniden atamasını, yönetim arayüzlerini, paylaşılan hizmetleri ve satın alınan ara bağlantı yapılandırmasını kapsayıp kapsamadığını sorguluyor. Gözlemlenebilir erişim ve saklamada ise müşterilerin personel erişiminin, günlüklerin, yedeklerin ve çıkarım saklamanın üzerinde anlaşılan gerekliliklerle eşleştiğini doğrulayıp doğrulayamayacağı ele alınıyor.
Analizin genel çıkarımı, AI altyapısı için satın alma kriterinin çalışan bir iş yükü üzerinde gösterilebilir kontrol olması gerektiği yönünde. GPU gizli bilişim, kurumların uygulayabileceği korumaları genişletiyor ancak operasyonel güvenlik kimlik, yetkilendirme, izolasyon ve kurtarmaya bağlı kalmaya devam ediyor. CISO'lar ve AI platform liderleri için öneri, temsili bir ajan iş akışıyla başlamak, ona ayrı bir kimlik vermek, sorumlu bir sahip atamak, izinlerini belgeleyip iptali test etmek ve hem containment süresini hem de bağımlı hizmetler üzerindeki etkiyi ölçmek şeklinde sıralanıyor.
Daha güçlü işlem sırası koruması gerektiren iş yükleri için altyapı ekiplerinin gizli bilişimi amaçlanan dağıtımda test etmesi, doğrulama ve anahtar serbest bırakma yolunu doğrulaması, arıza koşullarını uygulaması ve performansı uygulamanın gerekliliklerine göre ölçmesi öneriliyor. Tedarik sürecinin bu sonuçları kabul kriterlerini tanımlamak için kullanması ve bir sağlayıcının seçici containment, korumalı işleme ve doğrulanabilir izolasyonu gösterme yeteneğinin kapasite ve fiyatla birlikte iş yükü yerleşimini etkilemesi gerektiği ifade ediliyor. Ajanlar daha fazla yetki kazandıkça, kurumun bu yetkiyi geri çekme yeteneği üretim hazırlığının temel bir ölçüsü haline geliyor.
VentureBeat, Nebius'un etkinlik kapsamının sponsoru olduğu ücretli bir medya ortağıdır. Ne Nebius'un ne de diğer sponsorların VentureBeat, VentureBeat Intelligence veya VentureBeat Research üzerindeki içerikler üzerinde editoryal kontrolü bulunmuyor. Görüş ve değerlendirmeler VB Intelligence'a aittir.

Sıkça Sorulan Sorular​

AI ajanları için neden ayrı kimlik öneriliyor?​

Kaynağa göre bireysel ajan kimlikleri containment'i destekliyor. Paylaşılan kimlik bilgileri ilişkilendirmeyi zorlaştırıyor ve seçici iptali güçleştiriyor. Kurumların bir ajanı durdurmanın ilgisiz iş yüklerini kesintiye uğratıp uğratmadığını test etmesi gerekiyor.

Erişim politikaları ile model koruma bariyerleri arasındaki fark nedir?​

Kaynak, erişim politikaları ve model koruma bariyerlerinin farklı amaçlara hizmet ettiğini belirtiyor. İzinler, modelin isteme nasıl yanıt verdiğinden bağımsız olarak bir ajanın neye ulaşabileceğini kısıtlamalı. Chervoni, deterministik olarak erişim politikasıyla uygulanabilecek bir şeyi koruma bariyerine bırakmamayı öneriyor.

GPU gizli bilişim neyi koruyor, neleri kapsamıyor?​

GPU gizli bilişim, desteklenen yapılandırmalarda GPU işleme sırasında verileri ve modelleri koruyor ve belirli ayrıcalıklı altyapı aktörlerine karşı koruma ile doğrulama kanıtı sağlıyor. Ancak ajanın eylemlerinin yetkilendirilmiş olduğunu kanıtlamıyor, uygulama açıklarını düzeltmiyor, istem enjeksiyonunu durdurmuyor ve model çıktılarını yönetmiyor.

Kiracı izolasyonu için hangi doğrulama soruları öneriliyor?​

Chervoni'nin önerdiği sorular arasında donanımın müşteriler arasında nasıl hazırlandığı, ürün yazılımı bütünlüğü ve GPU bellek temizliği, kiracı iş yüklerinin yönetim arayüzlerine erişimi, hangi kontrol düzlemi bileşenlerinin paylaşıldığı ve yüksek hızlı ağların nasıl bölünüp bağımsız test edilip edilmediği yer alıyor.

VB Pulse anketleri ajan yönetiminde ne gösterdi?​

Ağustos VB Pulse anketinde katılımcıların yarısı ajanların üretimde olduğunu, bu grupta yüzde 61'i ajanlar arasında kimlik bilgisi paylaşımı olduğunu söyledi. Eylül anketinde iptal sorusunu yanıtlayanların yalnızca yüzde 14'ü adlandırılmış bir sahibin erişimi dakikalar içinde iptal edebildiğini belirtti.