ML 供应链安全和模型签名

機器學習系統不僅僅依賴模型權重。其供應鏈包括原始程式碼、建置工具、套件相依性、基礎映像、培訓和評估資料、序列化工件和部署配置。攻擊者或意外錯誤可能會引入惡意依賴項、更改模型檔案、在建置過程中洩漏憑證或部署從未審查過的工件。安全實踐應該保護這些輸入並保留有關發布工件如何產生的可追蹤證據。數位簽章將工件與簽章身分和加密摘要綁定。驗證者可以檢查工件是否與簽署的內容相符以及簽名是否連結到預期的身份或策略。出處聲明可以記錄建置輸入和流程細節。 Sigstore 工具支援對容器工件和驗證工作流程進行簽署。這些檢查有助於拒絕被篡改或未經授權的工件，但有效簽名僅表明特定身分簽署了特定位元組；這並不意味著內容是安全或正確的。模型序列化值得特別注意。 Python pickle 可以在反序列化期間執行任意程式碼，因此載入不受信任的 pickle 是危險的。驗證來自可信任來源的工件，並在適當時考慮具有較窄執行行為的格式。即使如此，資料解析器和模型運行時也可能存在漏洞。掃描依賴項和容器，限制權限，隔離訓練和推理，並避免將機密儲存在映像或模型包中。有用的發布記錄連結來源修訂、建置環境、依賴項、資料沿襲、評估報告和工件摘要。對簽章金鑰套用存取控制，並首選短期身分或可用的託管簽章工作流程。驗證部署策略中的簽名，而不是在不強制執行的情況下進行簽名。安全審查應包括事件回應和密鑰輪換。供應鏈控制確保完整性和來源；仍需要單獨的測試、隱私和負責任的人工智慧評估來判斷模型的行為和適用性。