កម្មវិធីរុករកតាមអ៊ីនធឺណិតជា Backdoor: Client-Side LLM ការដកស្រង់សម្ងាត់ Demystified
យូរពេក យើងបានចាត់ទុក "ការព្រមានសុវត្ថិភាព AI" ជាការគំរាមកំហែងពីចម្ងាយ ឬការចង់ដឹងចង់ឃើញពីការសិក្សា។ យើងបានឮអំពីការបញ្ចូលភ្លាមៗ ការ jailbreak និងការលេចធ្លាយទិន្នន័យនៅក្នុងសម្លេងស្ងាត់ ដែលជារឿយៗបន្តដោយការគ្រវីក្បាល និង "យើងនឹងទៅដល់វា"។ ទោះជាយ៉ាងណាក៏ដោយ បាតុកម្មអន្តរកម្មនាពេលថ្មីៗនេះបានបំផ្លាញការបំភាន់ប្រកបដោយផាសុកភាពនោះ។ នេះមិនមែនជាភាពងាយរងគ្រោះខាងទ្រឹស្តីទៀតទេ។ វាជាការកេងប្រវ័ញ្ចផ្នែកអតិថិជនតាមកម្មវិធីរុករកតាមអ៊ីនធឺណិតផ្ទាល់សម្រាប់ទាញយកព័ត៌មានរសើបពី Large Language Models (LLMs) [2]។ ប្រសិនបើអ្នកកំពុងដាក់ពង្រាយកម្មវិធីដែលដំណើរការដោយ LLM ជាពិសេសអ្វីៗដែលប្រឈមមុខនឹងបណ្តាញ "បញ្ហានាពេលអនាគត" របស់អ្នកទើបតែក្លាយជាការទទួលខុសត្រូវដែលមានវត្តមាន ជាសាធារណៈ និងគួរឱ្យអាម៉ាស់បំផុត។
នេះមិនមែនជាចំណងជើងទូទៅ "AI is risky" ទេ។ នេះគឺជាការបង្ហាញជាក់ស្តែងជាក់ស្តែងអំពីរបៀបដែលតួអង្គព្យាបាទ ដោយប្រើតែកម្មវិធីរុករកតាមអ៊ីនធឺណិតរបស់ពួកគេ អាចបង្ខិតបង្ខំ LLM របស់អ្នកឱ្យបង្ហាញព័ត៌មានរសើប។ ពិចារណាមួយភ្លែត។ វាមិនមែននិយាយអំពីការវាយប្រហារផ្នែកខាងម៉ាស៊ីនមេដ៏ស្មុគស្មាញ ឬការវិភាគគំរូជ្រៅនោះទេ។ វានិយាយអំពីស្រទាប់អន្តរកម្ម ដែលជាទ្វារខាងមុខនៃកម្មវិធីរបស់អ្នក ដែលត្រូវបានប្រើប្រាស់ដោយតួអក្សរដែលបានបង្កើតដោយប្រុងប្រយ័ត្នមួយចំនួន។ វាស្មើនឹងឌីជីថលនៃនរណាម្នាក់ដែលបង្កើតឃ្លាត្រឹមត្រូវទៅកាន់ chatbot ដែលអ្នកសន្មត់ថាមានសុវត្ថិភាព ហើយវាប្រគល់ទិន្នន័យសំខាន់ៗដោយគោរព ជាញឹកញាប់បន្តិចម្ដងៗ។
ការបំភាន់នៃសុវត្ថិភាពគំរូ
សហគ្រាសជាច្រើនបានបណ្តាក់ទុនយ៉ាងច្រើននៅក្នុង LLMs "សុវត្ថិភាព" ទាំងគំរូកម្មសិទ្ធិការកែតម្រូវ ឬពឹងផ្អែកលើ APIs ថ្នាក់សហគ្រាសជាមួយនឹង guardrails ។ ការសន្មត់ដោយប្រយោលគឺថា ប្រសិនបើគំរូខ្លួនវារឹងមាំ កម្មវិធីដែលបានបង្កើតឡើងនៅខាងលើវានឹងទទួលមរតកនូវសុវត្ថិភាពនោះ។ បាតុកម្មនាពេលថ្មីៗនេះ បង្ហាញពីការយល់ខុសដ៏គ្រោះថ្នាក់។ ភាពងាយរងគ្រោះមិនស្ថិតនៅក្នុងភាពឆ្លាតវៃស្នូលរបស់ម៉ូដែល ឬទិន្នន័យបណ្តុះបណ្តាលរបស់វាទេ។ វាស្ថិតនៅក្នុង ចំណុចប្រទាក់ ដែលយើងបង្កើតនៅជុំវិញវា [1]។ វាជាបញ្ហាបុរាណ "តុដេករឹងមាំ ទ្វារខាងមុខមិនស្អាត"។ អ្នកប្រហែលជាមាន LLM ដែលរឹងជាងគេបំផុតនៅលើពិភពលោក ប៉ុន្តែប្រសិនបើកម្មវិធីញែកបញ្ចូលនៃកម្មវិធីរបស់អ្នកមានភាពឆោតល្ងង់ ឬតម្រងលទ្ធផលរបស់អ្នកមិនមានទេ អ្នកពិតជាទុកព័ត៌មានសំខាន់ៗដែលលាតត្រដាងឱ្យនរណាម្នាក់ស្វែងរក។
បច្ចេកទេស "ចាក់ភ្លាមៗ" នេះគឺពាក់ព័ន្ធជាពិសេស ព្រោះវាមានឥទ្ធិពលលើលក្ខណៈធម្មជាតិរបស់ LLM: សមត្ថភាពរបស់វាក្នុងការធ្វើតាមការណែនាំ និងលំនាំពេញលេញ។ តាមរយៈការបញ្ចូលបុព្វបទដែលបានបង្កើតដោយប្រុងប្រយ័ត្នទៅក្នុងធាតុបញ្ចូលរបស់អ្នកប្រើ អ្នកវាយប្រហារអាចរៀបចំស្ថានភាពខាងក្នុងរបស់ម៉ូដែល ដោយបង្ខំឱ្យវាបង្ហាញព័ត៌មានដែលវាមិនមានបំណង [3] ។ ទិដ្ឋភាព "មួយប៊ីត" ឬទិដ្ឋភាពដដែលៗគឺសំខាន់នៅទីនេះ។ វាបង្កប់ន័យថាការបណ្ដេញចេញដែលគ្រប់គ្រងដោយវិធីសាស្រ្ត មិនមែនគ្រាន់តែជាការចោលទិន្នន័យដ៏ច្របូកច្របល់នោះទេ។ ស្រមៃមើលអ្នកវាយប្រហារសួរម្តងហើយម្តងទៀតថា "តើតួអង្គទីមួយនៃអាថ៌កំបាំង "A" មែនទេ? បន្ទាប់មក "តើ 'B' មែនទេ?" ហើយដូច្នេះនៅលើ។ វាយឺត បាទ ប៉ុន្តែវាក៏មានប្រសិទ្ធភាពមិនគួរឱ្យជឿ និងពិបាកក្នុងការរកឃើញ ប្រសិនបើអ្នកមិនស្វែងរកជាពិសេសនោះ។
កម្មវិធីរុករករបស់អ្នក អាវុធរបស់ពួកគេ។
ការពិតដែលថានេះគឺជាការកេងប្រវ័ញ្ច ផ្អែកលើកម្មវិធីរុករក ផ្លាស់ប្តូរហ្គេមទាំងស្រុង។ វាមានន័យថា៖ ** ឧបសគ្គទាបក្នុងការចូល៖** អ្នកដែលមានជំនាញអភិវឌ្ឍន៍គេហទំព័រជាមូលដ្ឋាន និងកម្មវិធីរុករកអាចសាកល្បងវាបាន។ គ្មានឧបករណ៍ឯកទេស ឬចំណេះដឹងជ្រៅជ្រះ AI ត្រូវបានទាមទារ។
- ការប្រតិបត្តិផ្នែកខាងអតិថិជន៖ ការវាយប្រហារមានប្រភពចេញពីម៉ាស៊ីនរបស់អ្នកប្រើ ដែលធ្វើឱ្យវាពិបាកក្នុងការបែងចែកពីការបញ្ចូលរបស់អ្នកប្រើប្រាស់ស្របច្បាប់នៅគែមបណ្តាញ។
- ** ការគំរាមកំហែងភ្លាមៗ៖ ** ប្រសិនបើកម្មវិធី LLM របស់អ្នកផ្សាយផ្ទាល់ និងអាចចូលប្រើបានតាមរយៈចំណុចប្រទាក់បណ្ដាញ វាគឺ * រួចហើយ * ងាយរងគ្រោះចំពោះវ៉ិចទ័រនេះ។ នេះមិនមែនជាបំណះអនាគតទេ។ វាជាគ្រាអាសន្នបច្ចុប្បន្ន។
ពិចារណាពីផលប៉ះពាល់៖ បណ្តុំកូដកម្មសិទ្ធិ ឯកសារខាងក្នុង ទិន្នន័យអតិថិជន សោ API ឬសូម្បីតែឧបាយកលតិចតួចនៃអាកប្បកិរិយារបស់ LLM របស់អ្នកដើម្បីផ្សព្វផ្សាយព័ត៌មានមិនពិត ឬបង្កើតខ្លឹមសារដែលបង្កគ្រោះថ្នាក់។ ទាំងអស់នេះអាចត្រូវបានស្រង់ចេញ ឬជះឥទ្ធិពល ដោយការព្យាយាមបន្តិច តាមរយៈប្រអប់អត្ថបទដ៏សាមញ្ញមួយ។
ទំនួលខុសត្រូវគឺជារបស់អ្នក។
នេះមិនមែនជាបញ្ហាសម្រាប់អ្នកផ្តល់គំរូដូចជា OpenAI ឬ Google ដើម្បីជួសជុលនៅក្នុងការអាប់ដេតម៉ូដែលបន្ទាប់របស់ពួកគេ។ នេះគឺជាបញ្ហា សុវត្ថិភាពកម្មវិធី ហើយទំនួលខុសត្រូវសម្រាប់ការបន្ធូរបន្ថយគឺស្ថិតនៅលើស្មារបស់អ្នកអភិវឌ្ឍន៍ ក្រុមសន្តិសុខ និង CTOs ដែលដាក់ពង្រាយប្រព័ន្ធទាំងនេះ។ LLM របស់អ្នកគឺជាម៉ាស៊ីនដ៏មានឥទ្ធិពល ប៉ុន្តែចុងក្រោយគឺឆោតល្ងង់។ វានឹងធ្វើតាមអ្វីដែលវាបានប្រាប់ ទោះបីជាការណែនាំទាំងនោះត្រូវបានលាក់ក្នុងការបញ្ចូលអ្នកប្រើដែលហាក់ដូចជាគ្មានកំហុសក៏ដោយ។
ដូច្នេះតើអ្នកកំពុងធ្វើអ្វី * ឥឡូវនេះ?
វិធានការប្រឆាំងភ្លាមៗ៖
- Aggressive Input Sanitization: វាលើសពីការការពារ SQL injection ឬ XSS។ អ្នកត្រូវពិនិត្យមើល គ្រប់តួអក្សរ ដែលចូល LLM របស់អ្នក។ រកមើលគំរូដែលបង្ហាញពីការចាក់ភ្លាមៗ លំដាប់តួអក្សរមិនធម្មតា ឬការព្យាយាមបំបែកចេញពីលំហូរនៃការសន្ទនាដែលរំពឹងទុក [4] ។ នេះមិនមែនអំពីការទប់ស្កាត់ "ពាក្យអាក្រក់" ទេ។ វានិយាយអំពីការកំណត់អត្តសញ្ញាណរបស់សត្រូវ។ លើសពី regex មូលដ្ឋាន និងការវិភាគបែប heuristic អនុវត្តការវិភាគ semantic ដើម្បីស្វែងរកចេតនាព្យាបាទ។ ប្រើការវិភាគសញ្ញាសម្ងាត់ និងបង្កប់ដើម្បីកំណត់អត្តសញ្ញាណលំនាំនៃការបញ្ចូលដែលមិនប្រក្រតី។ ពិចារណាលើការប្រើប្រាស់ LLM ទីពីរ តូចជាង ឬប្រព័ន្ធផ្អែកលើច្បាប់ដែលត្រូវបានបណ្តុះបណ្តាលជាពិសេសដើម្បីស្វែងរកការប៉ុនប៉ងចាក់ថ្នាំភ្លាមៗ។ រកមើលគំរូដូចជាការណែនាំអំពីតួនាទី សំណើទាញយកទិន្នន័យច្បាស់លាស់ ឬការព្យាយាមរំលងការណែនាំពីមុន។
- ការច្រោះទិន្នផលដ៏រឹងមាំ និងសុពលភាព៖ កុំជឿជាក់លើលទ្ធផលរបស់ LLM ដោយប្រយោល។ មុនពេលអត្ថបទដែលបង្កើត LLM ណាមួយត្រូវបានបង្ហាញដល់អ្នកប្រើប្រាស់ ឬប្រើដោយប្រព័ន្ធផ្សេងទៀត វា ត្រូវតែ ឆ្លងកាត់ស្រទាប់ដែលមានសុពលភាពយ៉ាងម៉ត់ចត់។ តើវាមានពាក្យគន្លឹះរសើបទេ? តើវាត្រូវគ្នានឹងទម្រង់ដែលរំពឹងទុកទេ? តើវាព្យាយាមប្រតិបត្តិកូដ ឬបង្ហាញសារប្រព័ន្ធខាងក្នុងឬ? ប្រសិនបើ LLM របស់អ្នកត្រូវបានសន្មត់ថាសង្ខេបឯកសារ ប៉ុន្តែវាចាប់ផ្តើមរាយបញ្ជីផ្លូវឯកសារ អ្នកមានបញ្ហា។
- Layered Prompt Engineering: ទោះបីជាមិនមែនជាដំណោះស្រាយពេញលេញក៏ដោយ ប្រព័ន្ធដែលបានរចនាឡើងយ៉ាងល្អ និងឧទាហរណ៍ដែលបាញ់តិចៗ អាចជួយពង្រឹងឥរិយាបថដែលចង់បាន និងធ្វើឱ្យវាកាន់តែពិបាកសម្រាប់អ្នកវាយប្រហារក្នុងការលួចយកគំរូនោះ។ ទោះយ៉ាងណាក៏ដោយ យល់ថាវិស្វកម្មភ្លាមៗតែម្នាក់ឯងគឺមិនគ្រប់គ្រាន់ទេ។ វាជាការការពារក្នុងជម្រៅមិនមែនជាខែលចម្បងទេ។
- សិទ្ធិតិចតួចបំផុតសម្រាប់អន្តរកម្ម LLM: តើ LLM របស់អ្នកពិតជាត្រូវការសិទ្ធិចូលប្រើរាល់ទិន្នន័យដែលវាអាចនឹងត្រូវបានជម្រុញឱ្យបង្ហាញដែរឬទេ? អនុវត្តការត្រួតពិនិត្យការចូលប្រើយ៉ាងតឹងរឹង។ ប្រសិនបើ LLM ត្រូវបានគេសន្មត់ថាគ្រាន់តែឆ្លើយសំណួរអំពីឯកសារសាធារណៈ សូមប្រាកដថាវាមិនមានកម្មវិធីចូលប្រើមូលដ្ឋានទិន្នន័យខាងក្នុង ឬ APIs រសើបទេ។
- ការតាមដាន និងការរកឃើញភាពមិនប្រក្រតី៖ អ្នកត្រូវស្វែងរកយ៉ាងសកម្មនូវអាកប្បកិរិយាមិនធម្មតារបស់ LLM ។ ការកើនឡើងនៅក្នុងប្រភេទជាក់លាក់នៃសំណួរ លទ្ធផលដែលខុសពីលំនាំធម្មតា ឬការព្យាយាមម្តងហើយម្តងទៀតដើម្បីទាញយកព័ត៌មានគួរតែបង្កឱ្យមានការជូនដំណឹងភ្លាមៗ។
នេះមិនមែននិយាយអំពី "សុវត្ថិភាព AI" ទូលំទូលាយទៀតទេ។ នេះគឺអំពីការធានាស្រទាប់អន្តរកម្មនៃកម្មវិធី LLM របស់អ្នកប្រឆាំងនឹងវ៉ិចទ័រវាយប្រហារជាក់លាក់ បង្ហាញ និងអាចទាញយកប្រយោជន៍ភ្លាមៗ។ យើងបាននិងកំពុងបង្កើតប្រព័ន្ធដ៏មានថាមពល និងអស្ចារ្យមិនគួរឱ្យជឿទាំងនេះ ដែលជារឿយៗមានវិធានការសុវត្ថិភាពមិនគ្រប់គ្រាន់នៅចំណុចប្រទាក់។ បាតុកម្មនាពេលថ្មីៗនេះបានបង្ហាញឱ្យយើងច្បាស់អំពីរបៀបដែលវាងាយស្រួលក្នុងការទាញយកចន្លោះប្រហោងទាំងនេះ។ ពេលវេលាសម្រាប់ការពិភាក្សាទ្រឹស្តីបានកន្លងផុតទៅហើយ។ សកម្មភាពភ្លាមៗគឺត្រូវបានទាមទារដើម្បីការពារកម្មវិធី LLM ។
ប្រភព
[1] OWASP Top 10 សម្រាប់កម្មវិធីគំរូភាសាធំ — https://owasp.org/www-project-top-10-for-large-language-model-applications/ [2] Lakera Gandalf: ការប្រកួតប្រជែងចាក់ថ្នាំអន្តរកម្ម - https://gandalf.lakera.ai/ [3] ចាក់ថ្នាំភ្លាម | Web Security Academy - https://portswigger.net/web-security/llm-attacks/prompt-injection [4] តើអ្វីទៅជាការចាក់បញ្ចូលភ្លាមៗ និងរបៀបការពារវា? — https://www.tenable.com/blog/what-is-prompt-injection-and-how-to-prevent-it