微軟與 NVIDIA 聯合發布開放權重 AI 模型風險指引，企業須自備安全控管

近日，軟體與雲端服務業者微軟（Microsoft）與 AI 運算平台供應商 NVIDIA 聯合發布文件，說明企業在自家基礎架構執行開放權重（open-weight）AI 模型時，應如何管理風險。文件指出，原本由 AI 供應商負責的安全與防護控管，如今可能得由使用者自行補上。

開放權重模型將訓練過程中學得的數值（權重）公開，任何人都能下載、檢視、修改與執行；封閉權重模型則由開發公司掌控，通常透過線上服務使用。文件作者寫道：「權重開放與否，並不單獨決定 AI 系統的風險。」風險高低取決於模型本身、使用方式與周邊防護。

微軟 Partner Security Assurance Manager Michael Scovetta 表示，開放與封閉權重模型可能面臨許多相同的底層風險，但風險如何顯現，取決於部署方式。

控管責任從供應商轉移到使用者

兩者最大的差異，在於由誰提供控管。封閉權重模型通常附帶供應商提供的護欄與資安監控；開放權重模型則多以單純的檔案形式散布。取得權重的組織可以更動甚至移除模型的安全行為，因此文件指出，由供應商執行的防護措施「不再能普遍強制執行」。

Scovetta 補充，企業必須釐清自己用模型做什麼、在該情境下可能出現什麼問題，以及管理風險需要哪些證據與控制措施。

指引將風險區分為資安、資料保護、內容、人機互動與偏見五大類，再細分為 30 種風險型態。

先確認來源，再測試行為

文件提醒，企業取得開放權重模型之前，它可能已被修改、重新封裝或再次散布，原開發者加入的防護未必還在。微調（fine-tuning）、合併或壓縮模型，都可能削弱內建的保護機制，模型在任務上的表現卻看不出差異。

因此文件建議「先確認來源，再看行為」：以密碼學簽章（cryptographic signing）核對收到的檔案，確認與原始發布的檔案一致。文件指出：「再多的行為測試，也只能得知模型如何運作，無法確認檔案本身是什麼。」對於沒有附簽章的模型，應將其完整性視為尚未解決的風險。

部署後持續監控，保留分層控制

文件強調，部署前的檢查能減少問題，但無法完全消除。微軟與 NVIDIA 建議持續留意模型的新變體、模型儲存庫的異動、新興濫用手法，以及新通報的弱點。

由於重新訓練與重新散布權重的速度，可能跟不上新出現的威脅，組織應保留可快速更新的分層控制，例如輸入過濾、輸出審查、存取限制、速率限制與人工監督。文件指出，攻擊者同樣能取得這些資訊並據此行動，企業應及時評估影響、降低風險。

這是兩家公司規劃的系列文件中的第一份，後續將涵蓋圍繞模型建構的系統與應用。風險分類架構已公開於 GitHub，任何人都可以提出修訂建議。

本文轉載自 HelpNetSecurity。