Hạ tầng là một bản đồ quản trị, không phải một danh sách mục tiêu
AI tiên phong phụ thuộc vào chip tiên tiến, thiết bị sản xuất chất bán dẫn, trung tâm dữ liệu lớn, dịch vụ đám mây, điện, mạng lưới, và nhân sự được đào tạo. Sự tập trung đó mang lại cho các chính phủ, nhà vận hành, khách hàng, và nhà phát triển những cách hợp pháp để áp đặt các yêu cầu an toàn. Nó không biện minh cho xâm phạm, phá hoại, bạo lực, hoặc can thiệp vào điện và truyền thông. Các cuộc tấn công vật lý sẽ gây nguy hiểm cho người lao động và cộng đồng, làm gián đoạn các dịch vụ không liên quan, phá hủy bằng chứng, và có khả năng làm giảm khả năng quản lý sự cố của xã hội.
Câu hỏi hữu ích mang tính thể chế: chủ thể được ủy quyền nào có thể hạn chế một hoạt động rủi ro, theo quy tắc nào, với bằng chứng nào, và quyết định có thể được đảo ngược an toàn như thế nào? Câu trả lời thay đổi trên toàn bộ vòng đời AI.
Bốn bề mặt kiểm soát không nên bị nhầm lẫn
Kiểm soát huấn luyện chi phối việc tạo ra hoặc cải thiện lớn một mô hình. Một lượt huấn luyện tiên phong có thể sử dụng một cụm lớn, có thể xác định về mặt địa lý trong nhiều tuần hoặc nhiều tháng. Các biện pháp liên quan bao gồm thẩm định khách hàng, tiêu chuẩn bảo mật, kế toán tính toán, đánh giá trước triển khai, và các điều kiện hợp đồng hoặc quy định đối với các lượt chạy cực lớn. Kiểm soát huấn luyện hoạt động trước khi một mô hình tồn tại ở dạng cuối cùng; việc dừng một lượt chạy không thu hồi các trọng số trước đó.
Kiểm soát trọng số mô hình bảo vệ các tệp tham số đã học. Trọng số có thể được sao chép, đánh cắp, tinh chỉnh, và chạy ở nơi khác. Bảo mật có thể bao gồm quyền truy cập được hỗ trợ bởi phần cứng, phân tách nhiệm vụ, mã hóa, giám sát, các thủ tục rủi ro nội bộ, và ứng phó sự cố. Một khi các trọng số có năng lực được phát hành rộng rãi, việc thu hồi tập trung có thể là bất khả thi. Phát hành mở có thể hỗ trợ nghiên cứu và cạnh tranh, vì vậy các hạn chế nên dựa trên rủi ro đã chứng minh và đi kèm với quyền truy cập độc lập khi khả thi.
Kiểm soát triển khai chi phối một mô hình hoặc ứng dụng được lưu trữ. Một nhà vận hành có thể thu hồi thông tin xác thực, vô hiệu hóa một công cụ, quay lại một phiên bản mô hình, giới hạn tốc độ hoặc khu vực địa lý, đặt một người dùng vào tầng đảm bảo cao hơn, và giám sát lạm dụng. Những kiểm soát này tương đối chính xác và có thể đảo ngược. Tuy nhiên, chúng thất bại nếu các bản sao hạ nguồn, đầu ra được lưu cache, hoặc các trọng số được lưu trữ độc lập vẫn còn khả dụng.
Kiểm soát suy luận chi phối việc tính toán được sử dụng khi một hệ thống tạo ra đầu ra hoặc thực hiện hành động. Suy luận có thể xảy ra trong một đám mây trung tâm, một môi trường doanh nghiệp, một điện thoại, hoặc một cụm phân tán. Một nhà cung cấp có thể hạn chế suy luận được lưu trữ của chính họ nhưng không thể tự động dừng các bản sao địa phương. Tính toán thời gian suy luận, quyền hạn công cụ, quyền truy cập dữ liệu, và khối lượng hành động có thể quan trọng hơn chi phí huấn luyện ban đầu đối với một rủi ro đã triển khai.
Gọi cả bốn loại này là một “điểm nghẽn tính toán” duy nhất che giấu những khác biệt này. Một can thiệp hợp pháp nên nêu tên bề mặt liên quan và hiệu ứng dự kiến.
Kiểm soát vận hành bên trong một tổ chức
Các tổ chức cần nhiều hơn một “công tắc tắt” đầy kịch tính. Họ cần một thủ tục trạng thái an toàn đã được thực hành. Việc chấm dứt đột ngột một hệ thống có thể làm hỏng dữ liệu, làm gián đoạn các quy trình lâm sàng hoặc công nghiệp, mắc kẹt người dùng, hoặc kích hoạt các mặc định không an toàn. Phản ứng đúng đắn có thể là thu hồi đặc quyền, giảm lưu lượng, cô lập, quay lại, hoặc chuyển sang kiểm soát thủ công thay vì tắt mọi thứ.
Một kế hoạch sản xuất nên bao gồm:
- Kiểm kê: xác định mọi mô hình, phiên bản, công cụ, thông tin xác thực, tập dữ liệu, nhà cung cấp, và phụ thuộc hạ nguồn.
- Thẩm quyền: nêu tên những người có thể hạn chế dịch vụ và xác định khi nào họ có thể hành động mà không cần chờ phê duyệt thông thường.
- Đặc quyền tối thiểu: chỉ cung cấp cho hệ thống dữ liệu và hành động cần thiết cho nhiệm vụ của nó; sử dụng thông tin xác thực có giới hạn thời gian khi có thể.
- Giám sát: ghi lại các phiên bản mô hình, câu lệnh hoặc tóm tắt sự kiện an toàn, các lệnh gọi công cụ, phê duyệt, đầu ra, và thay đổi cấu hình trong khi tôn trọng quyền riêng tư.
- Ngăn chặn: hỗ trợ cô lập nhanh khỏi mạng, công cụ, chuyển tiền, triển khai mã, hoặc các kiểm soát vật lý.
- Quay lại: duy trì một phiên bản đã biết tốt, định dạng dữ liệu tương thích, và một quy trình khôi phục đã được kiểm tra.
- Phương án dự phòng của con người: bảo tồn nhân viên được đào tạo, hướng dẫn, quyền truy cập, và năng lực để cung cấp một dịch vụ thiết yếu ở mức giảm.
- Diễn tập: chạy các cuộc diễn tập trên bàn và kỹ thuật, ghi lại các thất bại, và sửa chữa chúng.
Khung Quản lý Rủi ro AI của NIST kêu gọi quản trị vòng đời, trách nhiệm giải trình, giám sát liên tục, các quy trình dự phòng cho các thất bại của bên thứ ba, và ngừng hoạt động an toàn (Lõi Khung NIST AI RMF). Đây là hướng dẫn tự nguyện, không phải một chứng nhận rằng một tổ chức cụ thể đã triển khai những thực hành này.
Thu hồi đặc quyền thường là phanh nhanh nhất
Một hệ thống AI trở nên có hậu quả hơn khi được kết nối với email, mã sản xuất, tài khoản tài chính, công cụ phòng thí nghiệm, hệ thống danh tính, hoặc công nghệ vận hành. Việc thu hồi những đặc quyền đó có thể giảm tổn hại trong khi bảo tồn mô hình để điều tra. Quyền truy cập nên được phân đoạn để một quyết định có thể vô hiệu hóa một năng lực rủi ro mà không làm sụp đổ các dịch vụ không liên quan.
Thông tin xác thực không được nhúng vĩnh viễn trong các câu lệnh hoặc tệp mô hình. Các nhà vận hành nên sử dụng danh tính dịch vụ có phạm vi giới hạn, thời hạn ngắn, các cổng phê duyệt cho các hành động có tác động cao, và các kiểm soát độc lập mà mô hình không thể sửa đổi. Quyền truy cập “phá kính” (break-glass) cần nhật ký và xem xét riêng. Một hệ thống không nên có khả năng tự cấp quyền hạn rộng hơn cho chính nó.
Đối với một nhà cung cấp bên ngoài, các hợp đồng nên đảm bảo đình chỉ kịp thời, bảo tồn bằng chứng, xuất dữ liệu, và hỗ trợ di chuyển. Nếu không, khách hàng có thể phát hiện trong một sự cố rằng họ không thể kiểm tra nhật ký hoặc hoàn tác một cập nhật tự động.
Phương án dự phòng của con người là hạ tầng
Các dịch vụ thiết yếu cần một chế độ suy giảm khả thi. Điều đó không có nghĩa là mọi quy trình có thể ngay lập tức quay về giấy tờ. Nó có nghĩa là các nhà vận hành quyết định trước những chức năng nào phải tiếp tục, ở năng lực tối thiểu nào, với nhân sự và giao tiếp nào. Điện, nước, y tế, tài chính, giao thông, và phúc lợi công có các ràng buộc an toàn khác nhau.
Một thủ tục thủ công mà không nhân viên nào đã thực hành không phải là một phương án dự phòng. Các tổ chức nên đào tạo nhân viên, giữ lại các giao diện không phải AI cần thiết, kiểm tra khôi phục từ các bản sao lưu ngoại tuyến, và đo lường chế độ suy giảm có thể vận hành trong bao lâu. Các nhà cung cấp và cơ quan công quyền nên phối hợp các phụ thuộc: kế hoạch của một bệnh viện có thể thất bại nếu nhà cung cấp danh tính, dịch vụ đám mây, và mạng lưới nhà thuốc của nó đều giả định những cái còn lại vẫn trực tuyến.
Cơ quan An ninh Mạng và Hạ tầng khuyến nghị lập kế hoạch ứng phó sự cố, hiểu biết về tài sản, phân đoạn, và các thực hành phục hồi cho hạ tầng trọng yếu (Mục tiêu Hiệu suất An ninh Mạng của CISA). Ứng phó dành riêng cho AI thuộc bên trong, không phải bên ngoài, các chương trình an toàn và an ninh mạng đã được thiết lập.
Đòn bẩy của chính phủ và khách hàng
Các chính phủ có thể gắn các điều kiện vào mua sắm, giấy phép, tài trợ, quyền truy cập các nguồn lực công, và các dịch vụ trọng yếu được quy định. Các nhà cung cấp đám mây và trung tâm dữ liệu có thể thực hiện thẩm định phù hợp với luật. Các công ty tiện ích và chính quyền địa phương có thể áp dụng các quy tắc thông thường về độ tin cậy, môi trường, sử dụng đất, và lập kế hoạch khẩn cấp mà không biến chính sách hạ tầng thành một lệnh cấm ủy nhiệm đối với toàn bộ AI.
Khách hàng có đòn bẩy thông qua hợp đồng. Trước khi mua, hãy yêu cầu tài liệu hệ thống, kết quả đánh giá liên quan đến trường hợp sử dụng, thông báo bảo mật, kiểm soát phiên bản, quyền kiểm toán, hợp tác sự cố, tính di động dữ liệu, và một kế hoạch rút lui. Khách hàng nên biết liệu nhà cung cấp có thể âm thầm thay thế một mô hình mới hay không và liệu dịch vụ có vẫn khả dụng trong quá trình quay lại hay không.
Những biện pháp này cần thủ tục tố tụng hợp pháp. Một hạn chế nên có cơ sở pháp lý được xác định, tiêu chuẩn bằng chứng, người ra quyết định có trách nhiệm giải trình, thời hạn, và lộ trình xem xét. Thẩm quyền khẩn cấp có thể cần thiết, nhưng kiểm soát bí mật vô thời hạn mời gọi lạm dụng.
Sự tập trung tạo ra đòn bẩy và sự mong manh
Các chuỗi cung ứng chip và đám mây tập trung có thể khiến việc giám sát trở nên khả thi, nhưng chúng cũng tạo ra các điểm thất bại đơn lẻ, quyền lực thị trường, và tính dễ tổn thương địa chính trị. Phi tập trung hóa có thể cải thiện khả năng phục hồi và cạnh tranh trong khi khiến việc thu hồi và các biện pháp bảo vệ nhất quán trở nên khó khăn hơn. Không sự tập trung cũng không sự cởi mở vốn dĩ an toàn.
Chính sách nên phân biệt sự khan hiếm phản ánh kỹ thuật thực tế với sự khan hiếm được tạo ra bởi các hợp đồng độc quyền hoặc khóa chặt. Khả năng tương tác, lập kế hoạch đa đám mây, các định dạng sự cố chung, và nhật ký có thể di động có thể giảm sự phụ thuộc mà không giả vờ rằng mọi khối lượng công việc có thể di chuyển ngay lập tức.
Kết luận thực tiễn
Xã hội giữ lại đòn bẩy có ý nghĩa đối với AI thông qua luật pháp, mua sắm, thẩm quyền doanh nghiệp, kiểm soát truy cập kỹ thuật, và thiết kế dịch vụ có khả năng phục hồi. Hành động đúng đắn hiếm khi là một sự đóng cửa mang tính kịch tính. Đó là một can thiệp cụ thể, được ủy quyền tại huấn luyện, trọng số, triển khai, hoặc suy luận—kết hợp với ngăn chặn, bảo tồn bằng chứng, quay lại, và tính liên tục.
Hạ tầng trở nên bảo vệ khi mọi người biết ai có thể hành động và đã diễn tập điều gì xảy ra tiếp theo. Kiểm soát hợp pháp mạnh nhất khi nó đủ chính xác để giảm rủi ro mà không tạo ra một tình trạng khẩn cấp thứ hai.