Miksi halpa avoin tekoälymalli voi olla kyberrikolliselle vaarallisempi kuin huippumalli?

Palo Alto Networksin tietohallintojohtaja Meerah Rajavelin varoitus kohdistuu ennen kaikkea halpoihin ja ladattaviin open-weight-tekoälymalleihin. Niissä mallin koulutetut painot ovat julkisesti saatavilla, joten organisaatio tai yksittäinen käyttäjä voi ajaa mallia omalla palvelimellaan tai työasemallaan.

Rajavelin mukaan tällainen malli voi saavuttaa suljettujen eturintaman mallien kyvykkyyden vain muutamassa kuukaudessa. Siksi suurin riski ei välttämättä ole kallein ja tehokkain malli, jota yritykset kuten OpenAI tai Anthropic tarjoavat valvotun rajapinnan kautta. Välittömämpi uhka voi olla hieman jäljessä oleva malli, jonka kuka tahansa voi ladata ja ottaa käyttöön. 6

Julkaistut mallipainot muuttavat valvonnan pelisääntöjä

Kun tekoälymallia käytetään palveluntarjoajan rajapinnan kautta, tarjoaja voi yleensä lokittaa käyttöä, rajoittaa pyyntöjen määrää, tunnistaa väärinkäyttöä, päivittää suojauksia ja sulkea käyttäjätilin. Paikallisesti ajettu mallikopio on tämän valvontaketjun ulkopuolella.

Mallin turvarajoituksia voidaan muuttaa tai poistaa. Kehittäjä ei voi luotettavasti asentaa päivitystä jokaiseen ladattuun kopioon eikä perua mallin käyttöä jälkikäteen. Yrityksen tietoturvatiimi ei välttämättä edes näe, että malli on ladattu ja otettu käyttöön.

Tämä on keskeinen ero suljetun rajapintapalvelun ja avoimien mallipainojen välillä: kyvykkyys leviää laajalle, mutta keskitetty näkyvyys ja kontrolli heikkenevät.

Hyökkäysten valmistelu voi halventua

Laskevat pilvi-GPU-kustannukset ja paikallinen ajaminen pienentävät sekä taloudellisia että käytännön esteitä. Kyvykästä mallia voidaan käyttää esimerkiksi kohteiden tiedusteluun, haavoittuvuuksien etsimiseen, huijausviestien tuottamiseen, haittaohjelmien muokkaamiseen tai hyökkäysten automatisointiin.

Huolenaihe ei ole se, että jokainen avoimen mallin käyttäjä olisi pahantahtoinen. Ongelma liittyy siihen, että yhä useampi toimija voi automatisoida ja skaalata kyberhyökkäysten osia. Avoimien painojen mallien kyberriskejä käsittelevä tutkimus nostaa esiin juuri tämän leviämisen ja mittakaavan kasvun. 2

Monivaiheinen manipulointi on avoimien mallien heikko kohta

Cisco tutki kahdeksaa open-weight-kielimallia ja havaitsi, että monivaiheisten vastakkainasetteluun perustuvien hyökkäysten onnistumisprosentit olivat 2–10 kertaa suurempia kuin yksittäisiin kehotteisiin perustuvissa testeissä. Raportoidut monivaiheisten hyökkäysten onnistumisasteet vaihtelivat 25,86 prosentista 92,78 prosenttiin. 3

Käytännössä tämä tarkoittaa, että malli voi torjua ensimmäisen haitallisen pyynnön mutta taipua myöhemmin, kun hyökkääjä muotoilee pyyntöjä uudelleen, lisää painetta ja rakentaa keskustelua usean vuoron ajan.

Myös itse mallipaketti voi olla hyökkäyspinta

Mallin itse ylläpitäminen ei tarkoita, että riski rajoittuisi mallin tuottamiin vastauksiin. Yrityksen on luotettava myös ladattavaan mallipakettiin, sen tiedostomuotoon, keskustelumalleihin, päättelypalvelimeen ja muihin riippuvuuksiin.

Cloud Security Alliance on kuvannut itse ylläpidettyihin malleihin liittyviä uhkia, joissa haitallinen suoritettava logiikka tai mallipohja voi aktivoitua jo mallia ladattaessa. Seurauksena voi olla esimerkiksi tunnistetietojen varastaminen tai tietojen siirtäminen hyökkääjälle. 12

Tässä yhteydessä on kuitenkin syytä olla täsmällinen: käytettävissä olevasta ensisijaisesta CSA-lähteestä ei voitu riippumattomasti vahvistaa väitettä, jonka mukaan yksi tietty CSA-havainto olisi nimennyt yhdessä Metan Llaman, Mistralin ja Alibaban Qwenin. Tätä muotoilua on siksi pidettävä puutteellisesti perusteltuna.

Palo Alton hyökkäysluvut vaativat korjauksen

Rajavelin varoituksen yhteydessä esitetyt Palo Alto Networksin hyökkäysmäärät on myös syytä esittää oikein. Yhtiön saatavilla oleva ensisijainen lausunto kertoo, että se havaitsee päivittäin jopa 8,9 miljoonaa uutta tai aiemmin havaitsematonta hyökkäystä ja estää jopa 30,9 miljardia hyökkäystä päivässä. 1

Luvut eivät siis tarkoita noin 250 miljoonaa uutta hyökkäysvektoria ja 30:tä miljardia estettyä hyökkäystä koko kalenterivuoden aikana.

Määrät tukevat silti Rajavelin laajempaa arviota: puolustajat toimivat jo valmiiksi nopeasti muuttuvassa ja erittäin vaihtelevassa uhkaympäristössä. Jos tehokkaita, muokattavia tekoälymalleja jaetaan laajasti, hyökkääjät voivat lyhentää kokeilun, muokkauksen ja käyttöönoton välistä aikaa entisestään.