OPAQUE, компания за конфиденциални изчисления, която изпълнява работни товари с изкуствен интелект в хардуерно изолирани среди, така че операторите да не могат да ги проверяват, публикува отворен стандарт. Той позволява на създателите на AI модели да определят кога и къде техните тегла могат да бъдат декриптирани, след като напуснат собствените сървъри на създателя. Стандартът, наречен Weight Custody Manifest (WCM), се доставя като спецификация за предварителен преглед за разработчици, Python SDK и публичен набор от тестове, покриващ 91 случая.
Решението е насочено към конкретно предизвикателство. Предприятията настройват фино отворени модели върху собствени данни, а от лабораториите за изкуствен интелект се иска да предават все по-ценни водещи модели на клиенти, които настояват моделът да работи върху инфраструктура, управлявана от самите тях, включително суверенни облаци в рамките на правните граници на дадена страна. След като теглата напуснат центъра за данни на създателя, той няма технически начин да приложи договорените условия.
WCM поддържа теглата криптирани, докато приемащата инфраструктура не докаже криптографски, че отговаря на условията, одобрени от създателя, като достъпът може да бъде отнет по-късно, ако тези условия се променят.
„Днешният конфиденциален изкуствен интелект защитава клиента от модела. WCM защитава модела от клиента“, заяви Имран Сидики, главен платформа мениджър в OPAQUE. „Създателите се нуждаят от доказателство, че тяхната интелектуална собственост ще бъде отключена само в среда, която отговаря на договорените условия. WCM предоставя на всички страни доказуема потвърдимост, вместо да иска от която и да е страна просто да се довери на другата.“
Как се извършва проверката
Защитената работна задача изисква еднократен предизвикателен код (challenge) от брокер на ключове. Атестацията на процесора и, където е необходимо, на графичния процесор обвързва този код, измерването на работещия работен товар и транспортния ключ с конкретното стартиране. Брокерът проверява веригите от сертификати, подписите, статуса на отмяна и актуалността, преди да запечата ключа за декриптиране към този атестиран работен товар. Несъответствието означава липса на ключ.
От OPAQUE заявяват, че са изпълнили този обмен на NVIDIA H100 и на отделни конфиденциални сървъри с AMD и Intel, хоствани в Azure и Google Cloud, и че две независими версии на SDK са генерирали идентичен резултат в 5 948 файла.
Какво не доказва демонстрацията
Ако изпробвате стандарта сами, ще получите нещо различно от това, което OPAQUE е изпълнила на собствен хардуер. Публичното бързо ръководство стартира логиката на брокера и работния товар в един обикновен Python процес, с фиктивни доказателства и временен ключ. При стартиране на пакета за съвместимост преминават 91 проверки — 32 на първо ниво, 37 на второ, 12 на трето и 10 на четвърто. Всичко това тества логиката на референтния протокол спрямо фиктивни сертификационни корени и напълно пропуска криптографската проверка на графичния процесор. Успешното преминаване потвърждава, че логиката на кода работи както е написана. Потвърждаването на хардуера изисква отделен тест, проведен на машината, на която създателят планира разгръщането.
Тук има едно съществено ограничение: валидният подпис не може да разграничи оторизиран ключ от такъв, който атакуващ вече е извлякъл от хардуера. Физическите атаки срещу чипове за конфиденциални изчисления са реални и документирани, и OPAQUE посочва тези изследвания, вместо да твърди, че проблемът е решен.
- enterprise
- hardware
- Opaque
- open source
- Python
- standards