KI-Sicherheit hält Einzug in den Chip
Die Cybersicherheit in Unternehmen schützt Daten traditionell in drei relativ intuitiv nachvollziehbaren Zuständen. Durch Verschlüsselung können Informationen im Speicher gesichert werden, Netzwerkprotokolle schützen sie während der Übertragung zwischen Systemen, und Zugriffskontrollen legen fest, wer darauf zugreifen darf. Künstliche Intelligenz deckt einen schwierigeren Bereich auf, da ein Prozessor muss Informationen in der Regel erst entschlüsseln, bevor sie verarbeitet werden können, was bedeutet, dass sensible Daten und proprietäre Modellgewichte innerhalb der Infrastruktur genau dann sichtbar werden können, wenn das KI-System sie gerade nutzt.
Confidential Computing schließt diese Lücke, indem es hardwareisolierte Umgebungen schafft, in denen Daten geschützt bleiben, während sie von der Software verarbeitet werden. Anstatt sich vollständig auf den Cloud-Betreiber, das Host-Betriebssystem oder den Systemadministrator zu verlassen, nutzt die Architektur Sicherheitskontrollen auf Prozessorebene, um Workloads vom Rest des Systems zu isolieren.
Generative KI gibt Unternehmen einen besonders gewichtigen Grund, diese Architektur zu überprüfen, da KI-Workloads häufig wertvolle Modelle mit besonders sensiblen Daten kombinieren. Ein Unternehmen möchte möglicherweise einen externen GPU-Cluster zur Analyse von Verträgen, pharmazeutischen Forschungsergebnissen, Finanzunterlagen oder firmeneigenen technischen Informationen nutzen, doch bei der herkömmlichen Cloud-Sicherheit muss das Unternehmen nach wie vor mehreren Infrastrukturebenen unterhalb der Anwendung vertrauen.
Durch die Hardware-Isolation wird diese Vertrauensgrenze eingeengt. Der Cloud-Anbieter kann weiterhin Rechenkapazität bereitstellen, während die sensible Workload in einer geschützten Umgebung ausgeführt wird, die von anderer Software auf dem Host nicht frei eingesehen werden kann. Verschlüsselungsschlüssel bleiben unzugänglich, bis das System überprüft hat, dass die Workload innerhalb einer genehmigten Konfiguration ausgeführt wird. Dies ermöglicht es Unternehmen, das Eigentum an der physischen Infrastruktur vom Zugriff auf die verarbeiteten Informationen zu trennen.
Die Zertifizierung stellt den Mechanismus bereit, der diese Architektur nicht nur theoretisch, sondern auch praktisch nutzbar macht. Vor der Freigabe sensibler Informationen kann ein Client kryptografisch überprüfen, ob die Hardware- und Softwareumgebung der von der Organisation genehmigten Konfiguration entspricht. Hat sich die Umgebung geändert oder kann ihre Integrität nicht nachgewiesen werden, kann der Client die Bereitstellung der zur Entschlüsselung der Arbeitslast erforderlichen Schlüssel verweigern.
KI-Beschleuniger integrieren diese Funktionen zunehmend, da es für viele Unternehmen aufgrund des Rechenaufwands großer Modelle schwierig geworden ist, auf externe Infrastruktur zu verzichten. Nur wenige Unternehmen können es sich wirtschaftlich leisten, genügend spezialisierte Hardware vorzuhalten, um jeden Spitzenbedarf an KI-Leistung abzudecken – insbesondere angesichts der raschen Einführung neuer Beschleuniger-Generationen. Confidential Computing ermöglicht es Sicherheitsarchitekten, die Annahme zu überdenken, dass sensible Workloads stets auf Hardware verbleiben müssen, die physisch von der Organisation kontrolliert wird.
Banken sind ein naheliegendes Beispiel, da sie möglicherweise ausgefeilte KI-Modelle einsetzen möchten, dabei aber die strenge Kontrolle über Kundendaten und firmeneigene Finanzdaten behalten wollen. Pharmaunternehmen stehen vor vergleichbaren Herausforderungen im Zusammenhang mit Forschungsunterlagen, während Industrieunternehmen möglicherweise KI-Systeme zur Verarbeitung von technischen Dokumenten oder Fertigungsdaten einsetzen möchten, die sie niemals absichtlich einer anderen Organisation zugänglich machen würden.
Die Architektur hat auch Auswirkungen auf Modellanbieter. Proprietäre Modelle können selbst wertvolles geistiges Eigentum enthalten, was bedeutet, dass ein Unternehmen, das ein Modell auf einer von einer anderen Partei kontrollierten Infrastruktur einsetzt, die Gewichte möglicherweise genauso sorgfältig schützen möchte, wie der Kunde seine Daten schützen möchte. Eine vertrauliche Umgebung kann daher eine gemeinsame Vertrauensgrenze schaffen, in der keine der beiden Seiten uneingeschränkten Zugriff auf die sensibelsten Ressourcen der anderen Seite benötigt.
Vertrauliches Rechnen hebt die anderen Ebenen der KI-Sicherheit nicht auf. Ein autorisierter Mitarbeiter kann weiterhin unangemessene Informationen übermitteln, eine Anwendung kann Schwachstellen enthalten und ein autonomer Agent mit übermäßigen Berechtigungen kann nach wie vor schädliche Aktionen ausführen. Die Hardware-Isolation löst ein enger gefasstes Problem, indem sie das Maß an Vertrauen verringert, das Unternehmen in die Infrastruktur unterhalb der Arbeitslast setzen müssen.
Unternehmen müssen zudem die Leistung, Kompatibilität und betriebliche Komplexität prüfen, da eine stärkere Isolierung zusätzlichen Aufwand verursachen und die unterstützten Softwarekonfigurationen einschränken kann. Sicherheitsarchitekten müssen daher ermitteln, welche Workloads tatsächlich eine vertrauliche Ausführung erfordern, anstatt davon auszugehen, dass jede KI-Aufgabe denselben Schutz benötigt.
Die Technologie fügt sich besonders gut in einen allgemeinen Trend hin zu einer Zero-Trust-Architektur ein, da beide Ansätze die Annahme einschränken, dass eine Infrastrukturkomponente allein aufgrund ihrer Lage innerhalb eines bestimmten Netzwerks oder einer bestimmten Verwaltungsgrenze Zugriff erhalten sollte. Stattdessen authentifizieren Systeme Identitäten, überprüfen Umgebungen und beschränken Berechtigungen entsprechend der jeweiligen Arbeitslast.
Beschaffungsteams könnten daher bei der Bewertung von KI-Infrastrukturen künftig andere Fragen stellen. Zu wissen, wo ein Modell ausgeführt wird, ist nach wie vor nützlich, doch Unternehmen müssen zunehmend verstehen, wer die Verschlüsselungsschlüssel kontrolliert, ob die Ausführungsumgebung ihre Integrität nachweisen kann und welche Informationen den Administratoren während der Datenverarbeitung durch das Modell zur Verfügung stehen.
Beim Cloud-Computing mussten Unternehmen ursprünglich dem Anbieter, der die Infrastruktur betrieb, großes Vertrauen entgegenbringen. Confidential AI verändert dieses Verhältnis, indem es dem Anbieter ermöglicht, Rechenkapazität bereitzustellen, während Hardware und Kryptografie die Beobachtungsmöglichkeiten des Anbieters einschränken. Dies könnte es Unternehmen ermöglichen, externe KI-Infrastruktur für Arbeitslasten zu nutzen, die sie zuvor als zu sensibel erachteten, um sie außerhalb ihrer eigenen Umgebung auszuführen.
