科技的發(fā)展常常以浪潮的形式出現(xiàn)。信息技術(shù)領(lǐng)域,“后浪”迭起,“C位”流轉(zhuǎn),但即便那些在時(shí)代的風(fēng)口處在“浪潮之巔”的,也無(wú)法繞過(guò)永恒的課題:安全。
生成式AI(AIGC)近年熱度非常,在啟發(fā)“千行百業(yè)”的企業(yè)進(jìn)行新一輪業(yè)務(wù)創(chuàng)新的同時(shí),也在安全層面帶來(lái)了全新的挑戰(zhàn)。并且,由于生成式 AI依賴(lài)大量數(shù)據(jù)和模型、流程環(huán)節(jié)多維、細(xì)節(jié)豐富,讓這些安全挑戰(zhàn)復(fù)雜多樣且變化多端。將安全合規(guī)“武裝到牙齒”,伴隨生成式AI的高速發(fā)展,變得更為緊要。
在“安全為先”的理念下,亞馬遜云科技既提供了一系列的技術(shù)、服務(wù)和工具幫助更多企業(yè)充分釋放生成式AI的潛力,創(chuàng)新或者應(yīng)用生成式AI尋求增量;更將確保安全合規(guī)作為基礎(chǔ),將其生成式AI的各種安全相關(guān)工具與理念,涵蓋數(shù)據(jù)、模型以及應(yīng)用各個(gè)環(huán)節(jié);再進(jìn)一步,亞馬遜云科技還將AI以及生成式 AI技術(shù)應(yīng)用于其安全及合規(guī)服務(wù)中,以更智能的安全、合規(guī)服務(wù)應(yīng)對(duì)復(fù)雜的安全威脅、提高合規(guī)效率。
前不久的“2023亞馬遜云科技re:Inforce中國(guó)站”,亞馬遜云科技,就將“生成式AI的安全挑戰(zhàn)及對(duì)策”以及“如何將生成式AI應(yīng)用于安全實(shí)踐”做了全新呈現(xiàn)。
用“冰山思維”系統(tǒng)性審視?生成式AI安全
通過(guò)智能客服優(yōu)化客戶體驗(yàn),通過(guò)自動(dòng)生成代碼提高技術(shù)團(tuán)隊(duì)生產(chǎn)力,通過(guò)文字生成圖片的方式加速內(nèi)容生成,通過(guò)自動(dòng)化文檔處理提高整個(gè)組織運(yùn)營(yíng)效率……這是各行各業(yè)、各個(gè)部門(mén)中的不少人正在經(jīng)歷的日常,代表著生成式AI持續(xù)被應(yīng)用到企業(yè)運(yùn)營(yíng)的各個(gè)環(huán)節(jié),提高效率、優(yōu)化流程,甚至協(xié)助創(chuàng)新。
即便如此,生成式AI就像洋面上的一座“冰山”,應(yīng)用它所帶來(lái)的便捷與高效,依舊常常只是龐大山體顯露的小小一角。
亞馬遜云科技大中華區(qū)解決方案架構(gòu)部總監(jiān)代聞表示:
“生成式AI的需求越來(lái)越多從業(yè)務(wù)部門(mén)提出,不只是技術(shù)部門(mén)進(jìn)行創(chuàng)新的工具或者是平臺(tái),而是變成了業(yè)務(wù)增強(qiáng)競(jìng)爭(zhēng)力的一個(gè)核心手段。也正是因?yàn)樯墒紸I應(yīng)用場(chǎng)景的井噴,業(yè)務(wù)部門(mén)需求如此旺盛,目前給企業(yè)的技術(shù)部門(mén)帶來(lái)了前所未有的挑戰(zhàn)?!?/p>
“從構(gòu)建開(kāi)始,我們就需要把安全作為企業(yè)AI戰(zhàn)略發(fā)展中的核心環(huán)節(jié)。?然而,我們應(yīng)該從哪里開(kāi)始?依靠一個(gè)什么樣的框架?這就要求我們不能只是關(guān)注AI應(yīng)用本身,而是從一個(gè)全棧的角度,去全面審視應(yīng)用、模型、數(shù)據(jù)、基礎(chǔ)架構(gòu)的安全規(guī)范、技術(shù)策略和平臺(tái)工具。?生成式AI應(yīng)用就像是海面上的冰山,我們想要在企業(yè)里安全地駕馭這項(xiàng)新技術(shù),還需要關(guān)注海面下的冰川。??”
也正是如此,“re:Inforce2023”整體探討了“數(shù)據(jù)和模型的安全”、“應(yīng)用安全”、“全球合規(guī)”三個(gè)大議題。
數(shù)據(jù)和模型安全,構(gòu)建AI應(yīng)用的關(guān)鍵
代聞表示:生成式AI的井噴對(duì)一個(gè)企業(yè)的數(shù)據(jù)平臺(tái)有了更高的要求。要訓(xùn)練構(gòu)建一個(gè)生成式AI的模型,需要大量的非結(jié)構(gòu)化數(shù)據(jù)。如果一個(gè)企業(yè)直接去應(yīng)用一個(gè)做好的模型進(jìn)行微調(diào),這時(shí)候又需要有高質(zhì)量的專(zhuān)業(yè)化的數(shù)據(jù)來(lái)微調(diào)這個(gè)模型。這兩個(gè)方面的要求目前對(duì)于大多數(shù)企業(yè)的數(shù)據(jù)平臺(tái)都是提出了更高的要求。
先看數(shù)據(jù)安全。亞馬遜云科技提供了貫穿生成式AI全周期的數(shù)據(jù)治理,從數(shù)據(jù)源的獲取到數(shù)據(jù)的存儲(chǔ)和查詢,再到將數(shù)據(jù)傳輸給 AI平臺(tái)進(jìn)行模型的訓(xùn)練、調(diào)優(yōu)和推理,以及全面實(shí)施數(shù)據(jù)分類(lèi)和治理。通過(guò)提供一整套的解決方案、產(chǎn)品服務(wù)和實(shí)踐,全面保護(hù)存儲(chǔ)中、傳輸中以及使用中的數(shù)據(jù)。
通過(guò)實(shí)施安全密鑰管理、靜態(tài)數(shù)據(jù)加密、強(qiáng)制實(shí)施訪問(wèn)控制、利用機(jī)制限制數(shù)據(jù)訪問(wèn),保護(hù)存儲(chǔ)中的數(shù)據(jù)。?本次大會(huì)上,推出了敏感數(shù)據(jù)保護(hù)解決方案,可實(shí)現(xiàn)對(duì)企業(yè)敏感數(shù)據(jù)的自動(dòng)化發(fā)現(xiàn)并在統(tǒng)一平臺(tái)管理數(shù)據(jù)資產(chǎn)。該解決方案允許客戶創(chuàng)建數(shù)據(jù)目錄、使用內(nèi)置或定制數(shù)據(jù)識(shí)別規(guī)則定義敏感數(shù)據(jù)類(lèi)型,該方案利用機(jī)器學(xué)習(xí)、模式匹配的方式自動(dòng)識(shí)別敏感數(shù)據(jù),并提供可視化面板,幫助客戶更輕松地對(duì)敏感數(shù)據(jù)進(jìn)行管理和保護(hù)。
從實(shí)施安全密鑰和證書(shū)管理、執(zhí)行傳輸中加密、自動(dòng)檢測(cè)意外數(shù)據(jù)訪問(wèn)、對(duì)網(wǎng)絡(luò)通信進(jìn)行身份驗(yàn)證四個(gè)方面對(duì)傳輸中的數(shù)據(jù)進(jìn)行保護(hù)。
從身份認(rèn)證、隔離環(huán)境、多方協(xié)作以及數(shù)據(jù)共享四個(gè)方面,進(jìn)行使用中的數(shù)據(jù)保護(hù)。
再看模型安全。模型訓(xùn)練后進(jìn)入生產(chǎn)環(huán)境的安全防護(hù)同樣重要。針對(duì)大模型,幾個(gè)月前,亞馬遜云科技宣布推出Amazon Bedrock和多種生成式AI服務(wù)和功能,以幫助客戶構(gòu)建和擴(kuò)展自己的生成式AI應(yīng)用程序。?
安全方面,Amazon Bedrock使用組織內(nèi)部的數(shù)據(jù)來(lái)訓(xùn)練大模型,同時(shí)又保證:首先,背后給大模型做了私有拷貝,這個(gè)拷貝只是給客戶服務(wù),不會(huì)再跟其他任何的大模型共享。二是訓(xùn)練數(shù)據(jù)只是在客戶賬戶里來(lái)幫助工作,Amazon Bedrock不會(huì)拿任何用戶的數(shù)據(jù)來(lái)增進(jìn)自己的模型。對(duì)企業(yè)采用大模型時(shí)關(guān)于數(shù)據(jù)主權(quán)、數(shù)據(jù)保護(hù)方面的擔(dān)心,給了一個(gè)完善的答案。
同時(shí),它能全面地使用亞馬遜云科技提供的安全功能,Amazon KMS、Amazon IAM等可以完善地跟Amazon Bedrock集成,集成以后可以很好地管理加密、權(quán)限控制和所有行為的日志。
應(yīng)用安全,實(shí)現(xiàn)AI價(jià)值的保障
考慮到應(yīng)用“創(chuàng)造價(jià)值”的屬性,其安全必然是實(shí)現(xiàn)AI價(jià)值的保障。從防護(hù)方面,有兩個(gè)階段,第一個(gè)階段是開(kāi)發(fā)流程中的安全,第二個(gè)階段是生產(chǎn)過(guò)程中的安全。
開(kāi)發(fā)安全應(yīng)該貫穿到從開(kāi)發(fā)到持續(xù)集成、持續(xù)部署再到投產(chǎn)、監(jiān)控以及整個(gè)反饋的過(guò)程里,也就是要延伸到整個(gè)開(kāi)發(fā)生命周期?;谶@種趨勢(shì),新推出了兩項(xiàng)服務(wù):
Amazon CodeWhisperer,AI編程助手,可根據(jù)開(kāi)發(fā)者指令利用內(nèi)嵌的基礎(chǔ)模型實(shí)時(shí)生成代碼建議,內(nèi)置了代碼安全掃描功能,可幫助開(kāi)發(fā)者查找難以檢測(cè)的漏洞并提出補(bǔ)救建議;Amazon CodeGuru Security,可以掃描代碼,在代碼里面尋找漏洞,還能夠在CICD通過(guò)人工智能和機(jī)器學(xué)習(xí)的方式自動(dòng)降低誤報(bào)率,同時(shí)基于API設(shè)計(jì),能夠非常方便地集成到開(kāi)發(fā)工作流里邊去,實(shí)現(xiàn)集中化和擴(kuò)展性。
運(yùn)行投產(chǎn)安全則綜合涉及零信任、威脅識(shí)別、攻擊保護(hù)。
零信任方面,亞馬遜云科技推出幾個(gè)工具,幫助客戶在自己的亞馬遜云科技環(huán)境下構(gòu)建一套機(jī)制。對(duì)訪問(wèn)大模型的應(yīng)用進(jìn)行權(quán)限管理,確保只有在擁有特定權(quán)限的應(yīng)用,才能訪問(wèn)或者調(diào)用大模型里的制定API。
Amazon Verified Access可以搭建一套無(wú)需VPN的網(wǎng)絡(luò)驗(yàn)證系統(tǒng),還支持可以設(shè)置規(guī)則,這些管控,可以在幾乎不對(duì)應(yīng)用進(jìn)行任何代碼改變的情況下部署和發(fā)生;Amazon Verified Permissions,為用戶構(gòu)建的應(yīng)用程序提供細(xì)粒度授權(quán)和權(quán)限管理,用戶可以使用該服務(wù)管理其應(yīng)用程序的角色和屬性的訪問(wèn)控制;新的開(kāi)源語(yǔ)言CEDAR,方便書(shū)寫(xiě)所有授權(quán)規(guī)則,使得更加輕松、快速地創(chuàng)建所有的訪問(wèn)控制權(quán)限。
針對(duì)威脅識(shí)別,Amazon GuardDuty使用了基于人工智能和機(jī)器學(xué)習(xí)的技術(shù),使安全事件的誤報(bào)率減少50%。能夠?qū)崿F(xiàn)初期檢測(cè),還可以做持續(xù)分析,會(huì)使用機(jī)器學(xué)習(xí)的技術(shù)來(lái)檢測(cè)“所有的威脅”,以智能化的手段給予采取行動(dòng)的建議。
針對(duì)網(wǎng)絡(luò)防護(hù),Amazon Shield用于防DDos攻擊;Amazon WAF提供防火墻支撐,每天托管規(guī)則請(qǐng)求超過(guò)3500億條;Amazon Firewall Manager管制防火墻策略,去年緩解了70萬(wàn)次DDos攻擊。
AI反哺安全,提升安全合規(guī)效率
在提供生成式AI安全合規(guī)解決方案的同時(shí),亞馬遜云科技也將AI技術(shù)應(yīng)用到其安全及合規(guī)服務(wù)中,通過(guò)更智能的安全及合規(guī)服務(wù)應(yīng)對(duì)復(fù)雜的安全威脅、提升合規(guī)效率。這是一種技術(shù)的雙向流動(dòng)。
威脅檢測(cè)服務(wù)Amazon GuardDuty可通過(guò)人工智能和機(jī)器學(xué)習(xí)將安全事件的誤報(bào)率降低50%。亞馬遜云科技通過(guò)在其500多項(xiàng)自身合規(guī)審計(jì)控制項(xiàng)中使用AI技術(shù),大幅提升了自身的合規(guī)效率,將審計(jì)時(shí)間簡(jiǎn)約了53%。在此次大會(huì)上,亞馬遜云科技推出了多項(xiàng)具有AI能力的安全服務(wù)新功能,包括推出Amazon CodeGuru Security 預(yù)覽版,利用機(jī)器學(xué)習(xí)技術(shù)幫助用戶識(shí)別代碼漏洞,并提供修復(fù)漏洞的指導(dǎo)意見(jiàn);擴(kuò)大Amazon Detective發(fā)現(xiàn)組的范圍至Amazon Inspector,該服務(wù)利用機(jī)器學(xué)習(xí)技術(shù),可以幫助專(zhuān)業(yè)安全人員加快調(diào)查過(guò)程、確定根本原因。
在IDC近期發(fā)布的《2023中國(guó)公有云托管安全服務(wù)能力報(bào)告》中,亞馬遜云科技在專(zhuān)家能力、漏洞及威脅檢測(cè)、威脅情報(bào)等7項(xiàng)目評(píng)估維度上是獲得滿分最多的廠商之一,其中“生態(tài)建設(shè)”評(píng)估維度是唯一獲得滿分的廠商。從全棧的角度考量安全合規(guī),應(yīng)該正是其中關(guān)鍵。(丁科技網(wǎng)原創(chuàng),轉(zhuǎn)載務(wù)必注明“來(lái)源:丁科技網(wǎng)”)
- QQ:61149512