CISA ja NCSC teevad jõupingutusi tehisintellekti turvastandardite tõstmiseks

Taasavaldanud Platon

järgijaid: 0

Ühendkuningriigi riiklik küberjulgeolekuamet (NCSC) ja USA küberturvalisuse ja infrastruktuuri turbeagentuur (CISA) on avaldanud ametlikud juhised tehisintellekti rakenduste turvamiseks – dokumendi, millega agentuurid loodavad tagada, et ohutus on tehisintellekti arengule omane.

Briti spiooniagentuur ütleb juhenddokument on esimene omataoline ja seda toetab veel 17 riiki.

Juhtimine avaldamine on pikaajaline hirm, et turvalisus on järelmõte, kuna tehisintellektisüsteemide pakkujad töötavad selle nimel, et AI arengutempoga sammu pidada.

NCSC tegevjuht Lindy Cameron ütles selle aasta alguses, et tehnoloogiatööstuses on turvalisuse tagamine teisejärguline, kui tehnoloogia areng on kiire.

Täna juhtisid sellele probleemile taas tähelepanu AI-süsteemi turvalise arendamise juhised, lisades, et tehisintellekt puutub alati kokku ka uute haavatavustega.

"Me teame, et tehisintellekt areneb fenomenaalses tempos ja selleks, et sammu pidada, on vaja valitsuste ja tööstuse kooskõlastatud rahvusvahelist tegevust," ütles Cameron.

„Need juhised tähistavad olulist sammu tõeliselt globaalse ja ühise arusaama kujundamisel tehisintellektiga seotud küberriskidest ja nende leevendamise strateegiatest, tagamaks, et turvalisus ei ole arengu järelsõna, vaid kogu põhinõue.

"Olen uhke, et NCSC juhib olulisi jõupingutusi tehisintellekti küberturvalisuse lati tõstmiseks: turvalisem globaalne küberruum aitab meil kõigil turvaliselt ja enesekindlalt mõista selle tehnoloogia suurepäraseid võimalusi."

Suunistes võetakse vastu a konstruktsiooni järgi turvaline lähenemisviisi, mis ideaalis aitab AI arendajatel teha kõige küberturvalisemaid otsuseid arendusprotsessi kõikides etappides. Need kehtivad nii algusest peale loodud rakenduste kui ka olemasolevate ressursside baasil loodud rakenduste puhul.

Allpool on täielik loetelu riikidest, kes seda juhist toetavad, ja nende vastavad küberjulgeolekuasutused.

Austraalia – Austraalia signaalide direktoraadi Austraalia küberturvakeskus (ACSC)
Kanada – Kanada küberturvalisuse keskus (CCCS)
Tšiili – Tšiili valitsuse CSIRT
Tšehhi – Tšehhi riiklik küber- ja infoturbeagentuur (NUKIB)
Eesti – Eesti Infosüsteemi Amet (RIA) ja Eesti Riiklik Küberturvalisuse Keskus (NCSC-EE)
Prantsusmaa – Prantsuse küberjulgeolekuagentuur (ANSSI)
Saksamaa – Saksamaa föderaalne infoturbeamet (BSI)
Iisrael – Iisraeli riiklik küberdirektoraat (INCD)
Itaalia – Itaalia riiklik küberjulgeolekuagentuur (ACN)
Jaapan – Jaapani küberjulgeoleku juhtumite valmisoleku ja strateegia riiklik keskus (NISC; Jaapani teaduse, tehnoloogia ja innovatsioonipoliitika sekretariaat, kabinetibüroo
Uus-Meremaa – Uus-Meremaa riiklik küberjulgeolekukeskus
Nigeeria – Nigeeria riiklik infotehnoloogia arendusagentuur (NITDA)
Norra – Norra riiklik küberturvakeskus (NCSC-NO)
Poola – Poola NASK riiklik uurimisinstituut (NASK)
Korea Vabariik – Korea Vabariigi riiklik luureteenistus (NIS)
Singapur – Singapuri küberjulgeolekuagentuur (CSA)
Suurbritannia ja Põhja-Iiri Ühendkuningriik – National Cyber Security Center (NCSC)
Ameerika Ühendriigid – küberturvalisuse ja infrastruktuuri agentuur (CISA); Riiklik Julgeolekuagentuur (NSA; Föderaalne Juurdlusbüroo (FBI)

Suunised on jagatud neljaks peamiseks fookusvaldkonnaks, millest igaühel on konkreetsed soovitused tehisintellekti arendustsükli iga etapi täiustamiseks.

1. Turvaline disain

Nagu pealkiri viitab, on juhistes kirjas, et turvalisusele tuleks mõelda juba enne arenduse algust. Esimene samm on tõsta töötajate teadlikkust tehisintellekti turvariskidest ja nende leevendamisest.

Arendajad peaksid seejärel modelleerima oma süsteemi ähvardavaid ohte, võttes arvesse ka nende tulevikukindlust, näiteks arvesse võtma suuremat arvu turvaohtusid, mis tekivad, kui tehnoloogia meelitab ligi rohkem kasutajaid, ja tulevasi tehnoloogilisi arenguid, nagu automatiseeritud rünnakud.

Turvaotsuseid tuleks teha ka iga funktsionaalsuse otsusega. Kui arendaja on projekteerimisetapis teadlik, et AI komponendid käivitavad teatud toiminguid, tuleb esitada küsimusi selle kohta, kuidas seda protsessi kõige paremini kaitsta. Näiteks kui AI muudab faile, tuleks lisada vajalikud kaitsemeetmed, et piirata seda võimalust ainult rakenduse spetsiifiliste vajadustega.

2. Turvaline areng

Arendusetapi kindlustamine hõlmab juhiseid tarneahela turvalisuse, usaldusväärse dokumentatsiooni säilitamise, varade kaitsmise ja tehniliste võlgade haldamise kohta.

Tarneahela turvalisus on viimastel aastatel olnud kaitsjate jaoks eriliseks fookuspunktiks, kusjuures mitmed kõrgetasemelised rünnakud on viinud tohutul hulgal ohvreid.

Oluline on tagada, et tehisintellekti arendajate kasutatavad tarnijad oleksid kontrollitud ja töötaksid kõrgete turvastandardite kohaselt, nagu ka plaanide koostamine, kui missioonikriitilistes süsteemides esineb probleeme.

3. Turvaline kasutuselevõtt

Turvaline juurutamine hõlmab AI-süsteemi toetamiseks kasutatava infrastruktuuri kaitsmist, sealhulgas API-de, mudelite ja andmete juurdepääsu kontrolle. Kui peaks ilmnema turvaintsident, peaksid arendajad koostama ka reageerimis- ja parandusplaanid, mis eeldavad, et probleemid ühel päeval pinnale kerkivad.

Mudeli funktsionaalsust ja andmeid, mille põhjal seda koolitati, tuleks rünnete eest pidevalt kaitsta ning need tuleks vastutustundlikult välja anda alles siis, kui need on läbinud põhjaliku turbehinnangu.

Tehisintellektisüsteemid peaksid samuti võimaldama kasutajatel vaikimisi olla turvalised, muutes võimaluse korral kõigi kasutajate jaoks vaikeseadeks kõige turvalisema valiku või konfiguratsiooni. Samuti on võtmetähtsusega kasutajate andmete kasutamise, salvestamise ja juurdepääsu läbipaistvus.

4. Turvaline kasutamine ja hooldus

Viimane osa hõlmab AI-süsteemide turvalisust pärast nende kasutuselevõttu.

Järelevalve on selle keskmes, olgu selleks siis süsteemi käitumine, et jälgida muudatusi, mis võivad mõjutada turvalisust, või see, mis süsteemi sisestatakse. Privaatsus- ja andmekaitsenõuete täitmine nõuab järelevalvet ja metsaraie sisendid väärkasutuse tunnuste tuvastamiseks.

Värskendused tuleks vaikimisi välja anda ka automaatselt, nii et aegunud või haavatavad versioonid ei oleks kasutusel. Lõpuks võib teabejagamiskogukondades aktiivne osalemine aidata tööstusel luua arusaamist tehisintellekti turvaohtudest, pakkudes kaitsjatele rohkem aega leevendusmeetmete väljatöötamiseks, mis omakorda võib piirata võimalikke pahatahtlikke ärakasutusi. ®