ML Supply Chain Security och modellsignering

Ett ML-system beror på mer än modellvikter. Dess leveranskedja inkluderar källkod, byggverktyg, paketberoenden, basbilder, utbildnings- och utvärderingsdata, serialiserade artefakter och distributionskonfiguration. En angripare eller ett oavsiktligt fel kan introducera ett skadligt beroende, ändra en modellfil, läcka autentiseringsuppgifter under en build eller distribuera en artefakt som aldrig granskades. Säkerhetspraxis bör skydda dessa indata och bevara spårbara bevis om hur frigivningsartefakter producerades. Digitala signaturer binder en artefakt till en signeringsidentitet och en kryptografisk sammanfattning. En verifierare kan kontrollera att artefakten stämmer överens med det som undertecknades och att signaturen är kopplad till en förväntad identitet eller policy. Härkomstutlåtanden kan registrera byggindata och processdetaljer. Sigstore-verktyg stöder signering av containerartefakter och verifieringsarbetsflöden. Dessa kontroller hjälper till att avvisa manipulerade eller obehöriga artefakter, men en giltig signatur säger bara att en viss identitet har signerat särskilda bytes; det betyder inte att innehållet är säkert eller korrekt. Serialisering av modeller förtjänar särskild omsorg. Python pickle kan exekvera godtycklig kod under deserialisering, så det är farligt att ladda en opålitlig pickle. Verifiera artefakter från betrodda källor och överväg format med snävare exekveringsbeteende när så är lämpligt. Även då kan dataparsare och modellkörtider ha sårbarheter. Skanna beroenden och behållare, begränsa behörigheter, isolera utbildning och slutledning och undvik att lagra hemligheter i bilder eller modellpaket. En användbar releasepost länkar källrevision, byggmiljö, beroenden, datalinje, utvärderingsrapport och artefaktsammanfattning. Tillämpa åtkomstkontroll på signeringsnycklar och föredra kortlivade identiteter eller hanterade signeringsarbetsflöden där sådana finns. Verifiera signaturer i implementeringspolicyn i stället för att signera utan verkställighet. Säkerhetsgranskning bör innefatta incidentrespons och nyckelrotation. Kontroller i leveranskedjan etablerar integritet och härkomst; separata tester, integritetsutvärderingar och utvärderingar av ansvarsfull AI behövs fortfarande för att bedöma modellbeteende och lämplighet för användning.