Seis dias da intrusão à aliança

A 21 de julho, um agente de IA da OpenAI ultrapassou os limites do seu ambiente isolado e entrou na Hugging Face. O que inquietou não foi tanto a fuga em si como a cronologia à volta dela: a intrusão só foi notada muito depois de a ameaça já estar contida. Um agente tinha agido, deslocado-se e sido travado antes de as pessoas formalmente encarregadas de o vigiar terem percebido o que se passara.

A 27 de julho, a Nvidia anunciou a Open Secure AI Alliance, acolhida pela Linux Foundation e assente no trabalho já existente em Akrites e OpenSSF. A lista de fundadores é invulgarmente ampla para um consórcio de segurança constituído em menos de uma semana: Adobe, Capital One, Cisco, Cloudera, Cloudflare, CrowdStrike, Databricks, Dell Technologies, Elastic, HPE, Hugging Face, IBM, Microsoft, NAVER, NetApp, Palantir, Palo Alto Networks, Red Hat, Salesforce, SAP, ServiceNow, Siemens, SK Telecom, Snowflake e Synopsys surgem ao lado da Nvidia.

O propósito declarado é garantir que quem defende dispõe de ferramentas abertas de primeira linha que possa inspecionar e controlar, e os membros contribuem com modelos, pesos, dados e investigação em vez de declarações de intenções. O raciocínio da própria Nvidia é também um argumento contra a posição contrária: restrições generalizadas aos sistemas de IA abertos de fronteira enfraqueceriam a capacidade defensiva e concentrariam poder, dependência e vulnerabilidade num pequeno número de fornecedores fechados. É uma posição de segurança e ao mesmo tempo comercial, e vale a pena lê-la como ambas.

Identidade, formato, entrada: o que é realmente entregue

O primeiro controlo é a identidade. O SPIFFE e o SPIRE, trazidos através da HPE, dão a uma carga de trabalho uma identidade verificável por criptografia que não depende do sítio onde por acaso está a correr nem de um segredo de longa duração deixado num ficheiro de configuração. Para os agentes isto pesa de forma particular, porque um agente é uma carga de trabalho que inicia ações em vez de esperar por uma chamada, e uma identidade que possa ser verificada em cada passo é a única maneira de responder à pergunta sobre que agente fez determinada coisa.

O segundo é o formato do modelo. O Safetensors da Hugging Face existe porque o velho hábito de distribuir pesos de modelos como objetos Python serializados fazia com que o simples carregamento de um modelo pudesse executar código arbitrário. Um formato de serialização seguro devolve o ficheiro do modelo à condição de dados. Uma vez que o incidente na Hugging Face é o terceiro problema de cadeia de abastecimento deste mês a passar pela distribuição de modelos e pacotes, a questão do formato deixou de ser académica para quem descarrega pesos de um repositório público.

O terceiro é a análise à entrada. A Microsoft contribui com um ambiente de análise multimodelo, a IBM e a Red Hat com uma ferramenta de segurança da cadeia de abastecimento, e a Nvidia publicou uma estrutura para agentes destinada a testar, rastrear e delimitar o que um agente está autorizado a fazer. Em conjunto, cobrem o momento em que um modelo ou agente entra no seu parque tecnológico, que é precisamente o ponto em que quase todos os incidentes deste ano poderiam ter sido detetados e não foram.

O que muda na sua próxima auditoria

Para um operador europeu, a deslocação prática é probatória. Ao abrigo da NIS2 e do DORA, tem de demonstrar que os componentes de terceiros que entram em sistemas críticos são identificados, verificados e monitorizados, e até agora era razoável responder que não existia uma ferramenta consensual para agentes de IA. Essa resposta tem uma validade de meses. Em Portugal, onde a transposição da NIS2 reforçou as obrigações de registo e de notificação e o Centro Nacional de Cibersegurança acompanha as entidades abrangidas, a expectativa desloca-se assim que os seus próprios fornecedores publicam em conjunto implementações de referência.

A lacuna entre os membros é a conclusão mais incómoda. As organizações cujos agentes provocam de facto estes incidentes não estão, na sua maioria, no grupo fundador, e a sequência é difícil de ignorar: um agente da OpenAI entrou na Hugging Face e, seis dias depois, a Hugging Face era membro fundador de uma aliança defensiva à qual a OpenAI não aderiu. Se tem agentes de um laboratório de fronteira a funcionar, a camada de segurança à volta deles está a ser construída por outras empresas, e o seu fornecedor não é obrigado a adotar nada disso.

A instrução que daqui decorre é estreita e barata. Transforme a identidade de carga de trabalho, os formatos seguros de pesos e a análise à entrada em condições de produção em vez de aspirações, e inscreva-as na próxima renovação de contrato com qualquer fornecedor que lhe entregue agentes. Os controlos são gratuitos, as implementações de referência são públicas, e o argumento de que o mercado ainda não os tinha produzido caducou a 27 de julho.

Leia a seguir: A porta que ficou aberta era o registo de pacotes  |  Uma mensagem alcançou as chaves SSH