360AI安全研究院揭秘人工智能痛点：关键基础设施有被攻击风险

鞭牛士 8月26日消息，得以应用以来，其问题一直备受关注，日前，360 安全研究院研究员刘昭在isc 2020大会上进行了《ai关键基础设施安全风险》为演讲的主题，以某款设备能让任意人通过为例，说明不仅ai算法存在漏洞，其所依赖的关键基础设施也同样会被攻击，并进一步揭露了ai关键基础设施存在的安全风险。

刘昭提及“我们最终可以在一些设备中实现任意人员都能通过验证的效果。”

据了解，360 ai安全研究院隶属于360未来安全研究院，专注于人工智能与安全的前沿技术研究，涉及ai基础设施安全、ai算法安全、ai数据安全等方向的研究工作。在ai基础设施安全方面，目前已累计发现100多个人工智能基础软硬件漏洞。

此外，360 ai安全研究院曾联合清华、西安交大的研究人员发现ai应用中图像缩放模块存在的漏洞，提出了一种新型的数据流降维攻击方法，影响了国内外主流的ai。这一研究成果发表在领域*国际会议usenix security上。

2017年底，工业和信息化部发布的《促进新一代人工智能产业发展三年行动计划(2018-2020年)》中提出，2020年，复杂动态场景下有效检出率超过97%，正确识别率超过90%。

在isc 2020大会上，360 ai安全研究院介绍了某款设备存在的诸多安全问题，比如给终端特定的端口发送一些后门指令，终端设备在接收云端数据时存在栈溢出问题，以及在云端服务器部分存在未授权访问、目录穿越等风险。

正是通过攻击上述漏洞，最终可以在某设备中实现任意人员都能通过验证的效果。

值得关注的是，这种攻击不是针对ai算法的攻击，而是对ai算法所依赖的基础设施进行的攻击。“针对基础设施攻击，最终可能会更快达到攻击效果。”刘昭在演讲中表示，大多数研究人员偏向于对算法安全的研究，比如对抗样本攻击、后门攻击等。虽然ai基础设施安全风险巨大，其严重性却容易被忽视。

据介绍，ai基础设施主要分为三个关键部分：首先是框架，包含框架自身代码实现、第三方图象处理库、算子库等；其次是硬件相关，包含gpu驱动、安全等；最后是云平台，包含虚拟化、web平台等。

而这三个层面都面临一定安全风险。

针对深度学习框架安全风险。刘昭解释称，深度学习框架主要可以划分为云端学习框架和终端学习框架。云端框架安全风险主要来自于自身代码的实现以及第三方的依赖库问题；终端框架安全风险主要存在于模型网络参数、模型网络结构，以及模型转换过程。据了解，360 ai安全研究院已经在多个深度学习框架及其依赖组件中发现了100多个漏洞，如，hdf5，numpy等。

针对硬件相关的安全风险。据英伟达官网统计，截至今年7月，关于gpu驱动漏洞的数目达到数百个；芯片漏洞以幽灵、熔断为例，幽灵漏洞可以造成泄露敏感数据、执行特定代码，熔断漏洞导致用户态获取特权内存的数据，这些漏洞影响了intel、部分m的处理器。

针对云平台的安全风险。360 ai安全研究院表示，用于深度学习任务的节点性能强大，因此总会有一些攻击者想要非法使用这些资源进行挖矿。比如，今年6月，微软通报部分kubeflow存在未授权访问的问题，导致大量设备被非法挖矿。攻击者可以未授权访问kubeflow的控制面板，通过各种方法部署带有挖矿程序的容器。

随着ai技术的不断发展，ai系统存在的漏洞风险给安全行业带来巨大挑战，其中ai关键基础设施存在容易被忽视的安全问题，但同时，ai系统的安全问题也给安全行业带来机会。

360 ai安全研究院表示，ai关键基础设施的安全问题可以通过权限控制、访问隔离、参数过滤等措施进行缓解，针对ai关键基础设施的安全问题，需要建立多维度、一体化风险评估方法以及对应防御措施。

未来，360 ai安全研究院将聚集国内外顶尖人工智能安全创新要素，研究人工智能系统各个环节安全问题，突破人工智能安全攻防重大关键共性技术，构建安全风险评测平台，从而占领人工智能安全技术高地，形成国际领先的的人工智能安全评估和管控能力。