筑牢AI安全防线：解锁运行时保护新密钥
文章目录
在围绕人工智能安全风险的探讨中，一个关键问题似乎被悄然搁置：人工智能系统的运行，必须以暴露其核心资产------模型与数据为前提。
与常规软件不同，人工智能并非单纯执行既定逻辑。它持续将专属模型与敏感输入相融合，输出结果，而这些输出所依托的基础设施，往往并非专为计算防护而打造。
正因如此，传统安全手段难以满足人工智能的安全需求。加密技术在数据存储或网络传输环节成效显著，但在数据处理与操作阶段却力不从心。对于人工智能而言，风险在模型部署阶段尤为突出。模型参数被载入内存、完成初始化并大规模运行，此时加密失效，系统极易遭受未经授权的访问。在推理过程中，敏感数据同样会流经这一暴露空间。最终，形成了一个高度脆弱的风险暴露面：人工智能系统看似安全，却在最关键的运行时刻毫无防护。
美国国家标准与技术研究院（NIST）、欧盟网络安全局（前身为欧洲网络与信息安全局，简称ENISA）以及开放式Web应用安全项目（OWASP）等标准机构，已着手深耕这一领域。它们剖析风险、揭示漏洞，并勾勒出治理原则。然而，对于模型（作为知识产权）以及数据（作为机密资产）在执行启动后的保护举措，却缺乏明确规范。填补这一空白，需要对人工智能安全进行全新审视------不再将其视为单纯的合规议题，而是将其提升至计算保护的核心层面。这正是使用中加密或端到端加密大显身手之处。
1、现代人工智能安全的认知盲区
当下，多数关于人工智能安全的讨论，仍聚焦于训练数据治理、访问控制、API监控以及负责任的用户策略等传统领域。这些举措固然不可或缺，但它们均未触及一个关键问题：部署之后，当模型脱离代码库，成为动态运行的系统时，该如何保障其安全？
一旦模型完成部署，其参数便不再是抽象的概念，而是实实在在驻留在内存中的动态资产。在推理过程中，这些参数被持续调用，且常通过共享的人工智能服务，供多个租户或客户使用。这种暴露在推理请求发起前便已存在，通过引入敏感输入和外部可观测行为，进一步加剧了风险。
将模型保护简单归结为部署前的工作，把推理安全视为运行时的独立问题，这种认知忽略了问题的本质。在实际运行的系统中，各类风险相互交织。模型与数据在初始化、执行及输出过程中均处于暴露状态。仅围绕存储控制构建的安全防线，难以有效应对这些暴露风险。
2、NIST：优势与局限并存
NIST的人工智能风险管理框架，已成为众多组织管控人工智能风险的核心依据。其"治理、映射、衡量、管理"的架构，为剖析人工智能全生命周期中的责任、背景、影响及缓解策略，提供了严谨的思维路径。
NIST的突出优势在于，将人工智能风险界定为系统性风险，而非孤立事件。人工智能故障往往源于模型、数据、人员与基础设施之间的复杂交互，而非单一因素。这种系统性视角至关重要。
然而，该框架的局限在于，未能明确规范系统上线后高价值人工智能资产的保护机制。模型参数被默认视为设计阶段的附属品，而非运行时的关键资产；执行环境被假定为足够可靠。
事实上，模型参数通常是组织最为核心的知识产权。它们被载入内存，在节点间复制、缓存并反复使用。若人工智能风险管理忽视模型在部署与执行过程中的保密性，关键资产便如置于风险边界的待宰羔羊，随时面临威胁。
3、ENISA：直面人工智能特有威胁
ENISA在人工智能网络安全领域的探索，进一步拓展了相关讨论的深度。其多层框架精准区分了传统基础设施安全与人工智能特有风险，明确指出人工智能系统的行为模式（及故障模式）与传统软件存在本质差异。
这一区分为何至关重要？人工智能带来了诸多现有控制手段难以有效应对的威胁，如模型提取、参数泄露、共租暴露以及执行过程中的篡改。这些风险无需专业攻击者，当高价值模型在共享或外部管理的环境中运行时，便会自然滋生。
ENISA的框架虽隐含着保护人工智能即保护其行为而非单纯代码的理念，但与多数标准类似，它侧重于明确应考量的因素，而非在模型运行后从技术层面落实保护措施。
4、OWASP：揭示可观测智能的潜在风险
OWASP针对大型语言模型应用的十大安全隐患，生动展现了人工智能系统在现实场景中的失效路径。快速注入、敏感信息泄露、嵌入泄漏、输出过度透明等问题，并非理论假设，而是部署强大模型却缺乏有效约束的必然结果。
尽管这些问题常被归为应用层问题，但其影响远超应用范畴。模型行为的持续暴露可能引发有效的模型克隆；隔离不足的嵌入会泄露模型结构；推理滥用则成为模型复制的通道。
OWASP的分类体系清晰表明：保护人工智能，不仅在于拦截恶意输入，更关键在于限制模型在运行后向内外部泄露的信息。
5、共识之下，仍有未竟之业
NIST、ENISA与OWASP在以下核心原则上形成了广泛共识：
- 人工智能风险贯穿其全生命周期
- 人工智能系统催生了全新的威胁类别
- 模型与数据是极具价值的核心资产
- 运行时暴露是难以避免的现实
然而，这些框架均缺失一种机制，即在模型部署、计算启动后强制保障保密性。这种缺失并非框架缺陷，毕竟标准主要界定意图与范围，具体落地往往由系统设计者负责。
但这一缺失留下了关键漏洞，且随着人工智能系统规模的扩张，漏洞风险将愈发严峻。
6、使用中加密：重塑安全格局
使用中加密彻底革新了安全范式。它不再默认数据与模型必须暴露才能发挥作用，而是将计算本身视为可保护的对象。
具体而言，这意味着：
- 模型在部署、初始化及执行全程，始终保持加密状态
- 输入数据绝不以明文形式呈现给执行环境
- 中间状态无法被窥探或篡改
- 基础设施无需被无条件信任
这并非否定治理框架或应用层控制，而是将这些理念转化为切实可行的保障，尤其在人工智能系统最为脆弱的运行阶段。
简言之，使用中加密填补了人工智能策略与实际应用之间的空白。
7、治理落幕，执行登场：筑牢人工智能计算安全防线
人工智能安全在运行时面临严峻挑战。一旦模型部署，人工智能模型与敏感数据必须在内存中暴露以保障运行，由此形成了传统控制手段------静态加密、传输中加密及治理框架------无法触及的风险暴露面。
NIST、ENISA与OWASP等标准组织，在界定人工智能风险、明确问责机制及防范滥用方面取得了关键突破。但它们的指导原则大多将模型视为设计阶段的产物，并默认执行环境可信。而现实中，模型参数与敏感输入被持续访问、复用，且常在共享或外部管理的环境中处理。
填补这一鸿沟，需要重新定义人工智能安全，将其从合规层面提升至保护计算本身的高度------当模型处于运行状态、数据正在使用且暴露不可避免时。使用中加密为在人工智能全生命周期守护模型与敏感输入安全，提供了切实可行的解决方案。