扫一扫
关注微信公众号

全球首份《AI系统安全开发准则》发布,提出四方面安全监管要求
2023-11-29   安全牛

2023年11月26日 ,美国、英国、澳大利亚等18个国家的网络安全监管部门联合发布了全球首份《AI系统安全开发准则》,旨在实现保护人工智能模型不被恶意篡改,并敦促人工智能公司在开发或使用人工智能模型时更加关注“设计安全”。

作为这份准则制定的主要参与方,美国网络安全和基础设施安全局(CISA)表示:世界正处于AI技术快速发展的拐点,AI很可能是如今最具影响力的技术,但充分保障网络安全是建立安全、可靠和值得信赖AI系统的关键。因此,我们联合了多个国家的网络安全监管部门,并与谷歌、亚马逊、OpenAI和微软等公司的技术专家合作,共同编写发布了这份准则,旨在提高AI技术应用的安全性。

据了解,这份准则是全球第一份由官方机构发布的针对AI系统开发安全的指导文件。准则明确要求AI企业必须优先考虑为客户确保安全结果,积极倡导AI应用的透明度和问责机制,并以保障安全设计为首要任务来构建组织的管理结构。准则旨在提高AI的网络安全性,有助于确保安全地设计、开发和部署AI技术。

此外,依托美国政府一贯以来在管理网络安全风险方面的工作经验,准则要求所有AI研发公司在新的AI工具公开发布之前要经过充分测试,确保已实施安全护栏以最大程度消除社会危害(比如偏见和歧视)和隐私问题。准则还要求AI研发公司承诺:通过漏洞悬赏系统,方便第三方发现和报告其AI系统中的漏洞,从而迅速发现和修复漏洞。

具体而言,此次发布的准则为AI系统安全开发提出了4大方面的监管要求:

1、要优先考虑“设计安全”和“默认安全”

在准则中,多次强调了“设计安全”和“默认安全”原则,即AI开发公司应该主动保护AI产品免受攻击的方法。起草者敦促AI开发人员在决策过程中优先考虑安全,而不单单注重功能和性能。准则还建议产品提供设置为最安全的默认应用选项,并向用户清楚地传达替代该默认配置的风险。根据准则要求,AI系统的开发人员应该为下游的应用结果承担责任,而不是依赖客户去控制安全。

要求摘录:“用户(无论是‘最终用户’还是整合外部AI组件的提供商)通常缺乏足够的可见性及专业知识来充分了解、评估或解决与他们正在使用的AI系统相关的风险。因此,根据‘设计安全’原则,AI组件的提供商应该对供应链下游用户的安全后果负责。”

2、密切关注复杂的供应链安全

AI工具开发人员在设计自己的产品时常依赖第三方组件,比如基础模型、训练数据集和API。庞大的供应商网络会给AI系统带来更大的攻击面,其中任何一个薄弱环节都可能会对产品的安全性产生负面影响。因此,准则要求开发人员在决定引用第三方组件时,需要充分评估其中的安全风险。在与第三方合作时,开发人员应该审查和监控供应商的安全状况,要求供应商遵守与自己组织相同的安全标准,并对导入的第三方代码实施扫描和隔离。

要求摘录:“如果第三方组件未达到安全标准,开发者要为关键任务系统准备好切换到替代解决方案。企业可以使用NCSC的《供应链指南》等资源,以及软件工件供应链级别(SLSA)等资源,用于跟踪供应链和软件开发生命周期的认证。”

3、考虑AI应用中面临的独特风险

AI系统应用时会产生一些特有的威胁(如提示注入攻击和数据中毒),因此开发者需要充分考虑AI系统独特的安全因素。AI系统“设计安全”方法的一个重要组成部分就是为AI模型输出设置安全护栏,以防止敏感数据泄露,并限制用于文件编辑等任务的AI组件的操作。开发人员应该将AI特有的威胁场景纳入发布前的测试中,并监控用户输入以判断是否存在恶意利用系统的企图。

要求摘录:“‘对抗性机器学习’(AML)一词用于描述利用机器学习组件(包括硬件、软件、工作流和供应链)中的安全漏洞。AML使攻击者能够在机器学习系统中引发意想不到的行为,包括:影响模型的分类或回归性能、允许用户执行未经授权的操作以及提取敏感的模型信息。”

4、AI系统安全开发应该具有持续性和协作性

准则概述了贯穿AI系统设计、开发、部署、操作及维护等全生命周期阶段的最佳安全实践,并强调了要持续监控已部署AI系统的重要性,这样能够发现模型行为方面的变化和可疑的用户输入。“设计安全”原则是任何软件更新的关键组成部分,准则建议开发者在默认情况下自动更新。最后,则建议开发人员利用更庞大的AI社区反馈和信息共享,不断改进系统的安全性。

要求摘录:“需要时,AI系统开发者可以将遇到的安全问题上报到更庞大的社区,比如发布响应漏洞披露的公告,包括详细而完整的常见漏洞枚举。当发现安全问题时,开发者要采取行动,迅速而适当地缓解和修复问题。”

参考链接:

https://thehackernews.com/2023/11/us-uk-and-global-partners-release.html。

https://www.scmagazine.com/news/4-key-takeaways-from-new-global-ai-security-guidelines。


热词搜索:AI 系统安全

上一篇:GenAI将如何在零信任的环境中增强网络安全
下一篇:最后一页

分享到: 收藏