Y Porwr fel Drws Cefn: Echdynnu Cyfrinachol LLM Ochr y Cleient wedi'i Ddirmygu
Am gyfnod rhy hir, rydym wedi trin "rhybuddion diogelwch AI" fel bygythiadau pell neu chwilfrydedd academaidd. Rydym wedi clywed am chwistrelliad prydlon, jailbreaks, a gollyngiadau data mewn arlliwiau tawel, yn aml yn cael ei ddilyn gan shrug a "byddwn yn cyrraedd." Fodd bynnag, mae arddangosiadau rhyngweithiol diweddar wedi chwalu'r rhith cyfforddus hwnnw. Nid yw hyn yn fregusrwydd damcaniaethol bellach; mae'n gamfanteisio byw, seiliedig ar borwr, ar ochr y cleient ar gyfer echdynnu gwybodaeth sensitif o Fodelau Iaith Mawr (LLMs) [2]. Os ydych chi'n defnyddio cymwysiadau wedi'u pweru gan LLM, yn enwedig unrhyw beth sy'n wynebu'r we, daeth eich "problem yn y dyfodol" yn atebolrwydd presennol iawn, cyhoeddus iawn, a allai fod yn embaras iawn.
Nid yw hwn yn bennawd generig arall "AI is risky". Mae hwn yn arddangosiad penodol, diriaethol o sut y gall actor maleisus, gan ddefnyddio ei borwr yn unig, orfodi eich LLM i ddatgelu gwybodaeth sensitif. Ystyriwch hynny am eiliad. Nid yw'n ymwneud ag ymosodiadau cymhleth ar ochr y gweinydd neu fewnsylliad model dwfn. Mae'n ymwneud â'r haen ryngweithio - drws blaen eich cais - yn cael ei hecsbloetio gydag ychydig o gymeriadau wedi'u crefftio'n ofalus. Mae'n cyfateb yn ddigidol i rywun yn saernïo'r ymadrodd cywir i'ch chatbot tybiedig yn ddiogel, ac mae'n trosglwyddo data critigol, yn aml fesul tipyn.
Y Rhith o Ddiogelwch Model
Mae llawer o fentrau wedi buddsoddi'n drwm mewn LLMs "diogel", naill ai'n mireinio modelau perchnogol neu'n dibynnu ar APIs gradd menter gyda rheiliau gwarchod tybiedig. Y rhagdybiaeth ymhlyg yw, os yw'r model ei hun yn gadarn, y bydd y cymhwysiad a adeiladwyd ar ei ben yn etifeddu'r diogelwch hwnnw. Mae gwrthdystiadau diweddar yn amlygu hyn fel camsyniad peryglus. Nid yw'r bregusrwydd yng nghudd-wybodaeth graidd y model na'i ddata hyfforddi; mae yn y rhyngwyneb rydyn ni'n ei adeiladu o'i gwmpas [1]. Dyma'r broblem glasurol "claddgell gadarn, drws ffrynt simsan". Efallai bod gennych yr LLM mwyaf datblygedig, caled yn y byd, ond os yw parser mewnbwn eich cais yn naïf, neu os nad yw'ch hidlydd allbwn yn bodoli, rydych yn ei hanfod yn gadael gwybodaeth hanfodol yn agored i unrhyw un ddod o hyd iddi.
Mae'r dechneg "chwistrelliad prydlon" hon yn arbennig o bryderus oherwydd ei bod yn trosoli natur gynhenid yr LLM: ei gallu i ddilyn cyfarwyddiadau a chwblhau patrymau. Trwy chwistrellu rhagddodiad wedi'i adeiladu'n ofalus i fewnbwn defnyddiwr, gall yr ymosodwr drin cyflwr mewnol y model, gan ei orfodi i ddatgelu gwybodaeth na fwriadwyd iddo erioed [3]. Mae'r agwedd "un-did" neu iterus yn hollbwysig yma. Mae'n awgrymu all-hidlo trefnus, wedi'i reoli, nid dim ond dymp data anhrefnus. Dychmygwch ymosodwr yn gofyn yn ailadroddus, "A yw cymeriad cyntaf y gyfrinach yn 'A'?" yna "A yw'n 'B'?" ac yn y blaen. Mae'n araf, ydy, ond mae hefyd yn hynod o effeithiol ac yn anodd ei ganfod os nad ydych chi'n chwilio amdano'n benodol.
Eich Porwr, Eu Arf
Mae'r ffaith mai ecsbloetio ar sail porwr yw hwn yn newid y gêm yn gyfan gwbl. Mae'n golygu:
- ** Rhwystr Isel rhag Mynediad:** Gall unrhyw un sydd â sgiliau datblygu gwe sylfaenol a phorwr roi cynnig ar hyn. Nid oes angen unrhyw offer arbenigol na gwybodaeth AI dwfn.
- ** Gweithredu Ochr Cleient:** Mae'r ymosodiad yn tarddu o beiriant y defnyddiwr, gan ei gwneud hi'n anoddach gwahaniaethu oddi wrth fewnbwn defnyddiwr cyfreithlon ar ymyl y rhwydwaith.
- Bygythiad Ar Unwaith: Os yw eich rhaglen LLM yn fyw ac yn hygyrch trwy ryngwyneb gwe, mae eisoes yn agored i'r fector hwn. Nid clwt yn y dyfodol mo hwn; mae'n argyfwng presennol.
Ystyriwch y goblygiadau: pytiau cod perchnogol, dogfennaeth fewnol, data cwsmeriaid, allweddi API, neu hyd yn oed drin ymddygiad eich LLM yn gynnil i ledaenu gwybodaeth anghywir neu gynhyrchu cynnwys niweidiol. Gellir echdynnu neu ddylanwadu ar hyn i gyd, fesul tipyn, trwy flwch testun syml.
Eich cyfrifoldeb chi
Nid yw hyn yn broblem i ddarparwyr model fel OpenAI neu Google ei thrwsio yn eu diweddariad model nesaf. Mae hon yn broblem diogelwch cais, ac mae'r cyfrifoldeb am liniaru yn disgyn yn llwyr ar ysgwyddau datblygwyr, timau diogelwch, a CTOs sy'n defnyddio'r systemau hyn. Mae eich LLM yn injan bwerus, ond naïf yn y pen draw. Bydd yn gwneud yr hyn a ddywedir, hyd yn oed os yw'r cyfarwyddiadau hynny wedi'u cuddio o fewn mewnbwn defnyddwyr sy'n ymddangos yn ddiniwed.
Felly, beth ydych chi'n ei wneud nawr?
Gwrthfesurau ar unwaith:
- Glanweithdra Mewnbwn Ymosodol: Mae hyn yn mynd y tu hwnt i atal chwistrelliad SQL neu XSS. Mae angen i chi graffu ar pob cymeriad sy'n mynd i mewn i'ch LLM. Chwiliwch am batrymau sy'n arwydd o chwistrelliad prydlon, dilyniannau cymeriad anarferol, neu ymdrechion i dorri allan o lifau sgwrsio disgwyliedig [4]. Nid yw hyn yn ymwneud â rhwystro "geiriau drwg"; mae'n ymwneud â nodi ysgogiadau gwrthwynebus. Y tu hwnt i regex sylfaenol a dadansoddiad hewristig, gweithredu dadansoddiad semantig i ganfod bwriad maleisus. Defnyddio dadansoddiad toceneiddio a gwreiddio i nodi patrymau mewnbwn afreolaidd. Ystyriwch ddefnyddio LLM eilaidd, llai neu system seiliedig ar reolau sydd wedi'i hyfforddi'n benodol i ganfod ymdrechion prydlon i chwistrellu. Chwiliwch am batrymau fel cyfarwyddiadau chwarae rôl, ceisiadau echdynnu data penodol, neu ymdrechion i osgoi cyfarwyddiadau blaenorol.
- Hidlo a Dilysu Allbwn Cadarn: Peidiwch byth ag ymddiried yn allbwn yr LLM yn ymhlyg. Cyn i unrhyw destun a gynhyrchir gan LLM gael ei arddangos i ddefnyddiwr neu ei ddefnyddio gan system arall, rhaid iddo basio trwy haen ddilysu drylwyr. A yw'n cynnwys geiriau allweddol sensitif? A yw'n cyfateb i'r fformatau disgwyliedig? A yw'n ceisio gweithredu cod neu ddatgelu awgrymiadau system fewnol? Os yw eich LLM i fod i grynhoi dogfen, ond ei fod yn dechrau rhestru llwybrau ffeil, mae gennych broblem.
- Peirianneg Anogwr Haenog: Er nad yw'n ateb cyflawn, gall ysgogiadau system wedi'u dylunio'n dda ac ychydig o enghreifftiau o ergydion helpu i atgyfnerthu'r ymddygiad dymunol a'i gwneud yn anoddach i ymosodwr herwgipio'r model. Fodd bynnag, deallwch fod peirianneg brydlon yn unig yn annigonol; amddiffynfa fanwl ydyw, nid prif darian.
- Y Braint Leiaf ar gyfer Rhyngweithiadau LLM: A oes gwir angen mynediad at bob darn o ddata y gellid ei annog i'w ddatgelu ar eich LLM? Gweithredu rheolaethau mynediad llym. Os yw'r LLM i fod i ateb cwestiynau am ddogfennaeth gyhoeddus yn unig, sicrhewch nad oes ganddo fynediad rhaglennol i gronfeydd data mewnol nac APIs sensitif.
- Monitro a Chanfod Anomaleddau: Mae angen i chi fod yn chwilio am ymddygiad LLM anarferol. Dylai pigau mewn mathau penodol o ymholiadau, allbynnau sy'n gwyro oddi wrth batrymau arferol, neu ymdrechion mynych i echdynnu gwybodaeth sbarduno rhybuddion ar unwaith.
Nid yw hyn yn ymwneud â "diogelwch AI" eang bellach. Mae hyn yn ymwneud â sicrhau haen rhyngweithio eich cymwysiadau LLM yn erbyn fector ymosodiad penodol, wedi'i ddangos, y gellir ei ddefnyddio ar unwaith. Rydyn ni wedi bod yn adeiladu'r systemau anhygoel, pwerus hyn, yn aml gyda mesurau diogelwch annigonol ar y rhyngwyneb. Mae arddangosiadau diweddar wedi dangos yn union pa mor hawdd yw hi i fanteisio ar y bylchau hyn. Mae'r amser ar gyfer trafodaethau damcaniaethol wedi mynd heibio. Mae angen gweithredu ar unwaith i sicrhau ceisiadau LLM.
Ffynonellau
[1] 10 Uchaf OWASP ar gyfer Cymwysiadau Model Iaith Fawr — https://owasp.org/www-project-top-10-for-large-language-model-applications/ [2] Lakera Gandalf: Her Chwistrellu Brydlon Rhyngweithiol - https://gandalf.lakera.ai/ [3] Ymosodiadau pigiad prydlon | Academi Diogelwch Gwe - https://portswigger.net/web-security/llm-attacks/prompt-injection [4] Beth yw Chwistrellu'n Brydlon a Sut i'w Atal? — https://www.tenable.com/blog/what-is-prompt-injection-and-how-to-prevent-it