Apple 公司建立一個虛擬研究環境,讓公眾能夠測試其私有雲計算(Private Cloud Compute,PCC)系統的安全性。同時,Apple 發布了部分「關鍵組件」的原始碼,協助研究人員分析該架構的隱私和安全特性。
為了進一步提升系統安全性,Apple 擴大了其資安漏洞獎勵計劃。對於可能危及「PCC 基本安全和隱私保證」的漏洞,更提供高達 100 萬美元的獎勵。
私有雲計算(PCC)是一種雲端智能系統,專門用於複雜的 AI 處理用戶設備數據,同時確保隱私保護。PCC 採用端到端加密技術,確保從 Apple 設備發送的個人數據只有用戶本人可以訪問,即使 Apple 公司也無法查看。
Apple 公司在宣布 PCC 後不久,就邀請了特定的資安研究人員和稽核員進行早期測試,以驗證系統的隱私和安全承諾。
虛擬研究環境
Apple 宣布 PCC 現已向公眾開放,任何人都可以檢視其運作方式,並驗證其是否符合承諾。公司同時提供了《私有雲計算安全指南》,詳細闡述各組件的架構和技術細節。
此外,
Apple 還推出了虛擬研究環境(VRE),在本地複製雲端智能系統,讓研究人員能夠檢查、測試其安全性並尋找潛在問題。VRE 在虛擬機中運行 PCC 節點軟體,僅進行微小修改。用戶空間軟體與 PCC 節點完全一致,只在啟動過程和核心方面為適應虛擬化而做了調整。
VRE 目前可在 macOS Sequia 15.1 開發者預覽版上使用,需要配備 Apple 晶片且至少 16GB 統一記憶體的裝置。這個虛擬環境提供了多種工具,允許研究人員在隔離環境中啟動 PCC 版本、修改和除錯 PCC 軟體以進行深入檢查,以及對示範模型執行推論。
為了協助研究人員,Apple 發布了幾個實現安全和隱私要求的 PCC 關鍵組件原始碼:
- CloudAttestation 專案:負責建立和驗證 PCC 節點的證明。
- Thimble 專案:包含在用戶設備上運行的 privatecloudcomputed 守護程序,利用 CloudAttestation 來確保可驗證的透明度。
- splunkloggingd 守護程序:過濾 PCC 節點產生的日誌,以防止意外的數據洩露。
- srd_tools 專案:包含 VRE 工具,用於理解 VRE 如何啟用 PCC 代碼的運行。
此外,Apple 在其資安漏洞獎勵計劃中新增了 PCC 相關類別,包括
意外數據洩露、
來自用戶請求的外部攻擊,以及
實體或內部訪問。最高獎勵金額達 100 萬美元,適用於能夠對數據竊取進行遠端攻擊,並實現具有任意權限的遠端程式碼執行的漏洞。
Apple 表示,即使某些問題不在其漏洞獎勵計劃的預定類別內,只要對 PCC 有重大影響,公司仍會考慮給予獎勵。儘管私有雲計算被認為是目前為大規模雲端 AI 計算部署的最先進安全架構,Apple 仍期望在研究人員的協助下,進一步提升其安全性和隱私保護。
本文轉載自 BleepingComputer。