Seguridad de la cadena de suministro de ML y firma de modelos

Un sistema ML depende de algo más que los pesos del modelo. Su cadena de suministro incluye código fuente, herramientas de compilación, dependencias de paquetes, imágenes base, datos de capacitación y evaluación, artefactos serializados y configuración de implementación. Un atacante o un error accidental pueden introducir una dependencia maliciosa, alterar un archivo de modelo, filtrar credenciales durante una compilación o implementar un artefacto que nunca fue revisado. Las prácticas de seguridad deben proteger estas entradas y preservar evidencia rastreable sobre cómo se produjeron los artefactos de liberación. Las firmas digitales vinculan un artefacto a una identidad de firma y a un resumen criptográfico. Un verificador puede verificar que el artefacto coincida con lo que se firmó y que la firma se encadene a una identidad o política esperada. Las declaraciones de procedencia pueden registrar entradas de construcción y detalles del proceso. Las herramientas de Sigstore admiten la firma de artefactos de contenedor y flujos de trabajo de verificación. Estas comprobaciones ayudan a rechazar artefactos manipulados o no autorizados, pero una firma válida sólo dice que una identidad particular firmó bytes específicos; no significa que el contenido sea seguro o correcto. La serialización de modelos merece especial atención. El pickle Python puede ejecutar código arbitrario durante la deserialización, por lo que cargar un pickle que no es de confianza es peligroso. Verifique los artefactos de fuentes confiables y considere formatos con un comportamiento de ejecución más limitado cuando sea apropiado. Incluso entonces, los analizadores de datos y los tiempos de ejecución de modelos pueden tener vulnerabilidades. Escanee dependencias y contenedores, restrinja permisos, aísle el entrenamiento y la inferencia y evite almacenar secretos en imágenes o paquetes de modelos. Un registro de lanzamiento útil vincula la revisión del código fuente, el entorno de compilación, las dependencias, el linaje de datos, el informe de evaluación y el resumen de artefactos. Aplique control de acceso a las claves de firma y prefiera identidades de corta duración o flujos de trabajo de firma administrados cuando estén disponibles. Verifique las firmas en la política de implementación en lugar de firmar sin hacer cumplir la ley. La revisión de seguridad debe incluir respuesta a incidentes y rotación de claves. Los controles de la cadena de suministro establecen la integridad y la procedencia; Aún se necesitan pruebas separadas, evaluaciones de privacidad y de IA responsable para juzgar el comportamiento del modelo y su idoneidad para su uso.