AI工厂的API防护：保障AI安全的第一步

F5生态系统 | 2024年12月19日

有句古语非常适用于AI：“千里之行，始于足下。”

AI应用和生态系统正在席卷全球，促使每个组织评估自身的准备情况。F5观察到，踏上AI之旅的组织主要分为两类：一类通过对自动驾驶汽车或大语言模型（LLM）等领域进行战略投资，开发差异化解决方案；另一类则部署和优化AI，以提高效率并推动组织创新。业务领导者希望部署生成式AI功能和应用来提高生产力，而安全和风险管理负责人则在加紧建立治理机制，以安全采用新兴AI应用，以及由基础设施、工具、模型、框架和相关服务构成且不断扩展的生态系统，从而交付、优化和保护这些应用。AI工厂正逐渐成为实施AI差异化产品和服务的蓝图。

那么，AI究竟是炒作、狂热、革命，还是一场灾难？未来如何，仍有待观察。

退一步纵观全局，有一点显而易见：API是连接AI应用的纽带。事实上，我们与全球客户讨论的一个共同主题是：“AI的世界就是API的世界。”API是我们训练和使用AI模型的接口。恶意行为者也会利用这些接口窃取模型中的数据，尝试对AI模型进行越狱和滥用，甚至通过反演窃取模型本身。此前，在云环境以及向基于微服务的现代应用转型过程中，防御人员曾忽视API可见性和安全性的重要性。如今，人们恍然意识到：如果不保护为AI模型提供服务的接口，就无法保护AI模型。

鉴于API在构建和交付AI应用方面发挥着核心作用，必须尽早将API可见性、安全和治理纳入AI开发与训练流程。在设计阶段，还必须纳入正常使用模式以及速率限制和数据清理等控制措施。采用这种方法，可以降低安全采用AI的难度。生成式AI应用尤其依赖API，因此，要保护AI应用，API安全必不可少。由此，AI之旅迈出第一步。以下4项关键论点说明了为何API安全是保障AI安全和安全采用AI工厂的必要条件。

论点1：AI应用是现代应用中前沿性突出的应用

在此前的AI工厂系列文章中，我们将AI工厂定义为一项对存储、网络和计算的大规模投资，用于满足大规模、高性能的训练和推理需求。与传统制造工厂类似，AI工厂利用预训练AI模型将原始数据转化为智能。AI应用是现代应用的前沿形态，通过API高度互联，并采用高度分布式架构。

我们的出发点是：AI应用属于现代应用，同样面临常见的交付、安全和运营挑战；AI模型将使需要交付和保护的API数量大幅增加。

这么说，任务已经完成了！我们已经胸有成竹了，对吧？我们知道如何安全交付现代应用。我们拥有成熟的应用安全最佳实践，也了解API保护的复杂性。我们还拥有可在分布式环境中提供全面保护和一致安全性的解决方案。

先别急！稳住您的GPT，我们来快速了解一下具体细节。

虽然AI应用与现代应用面临相同的风险和挑战（两者本质上都是基于API的系统），但AI应用还涉及一些特有环节，包括训练、微调、推理、检索增强生成（RAG），以及接入AI工厂的切入点。

确实，AI应用与现代应用一样，具有高度分布式的特性，会造成工具泛滥，并增加在混合和多云架构中保持一致可见性、统一执行安全策略以及全面修复威胁的难度。除了应对风险与复杂性交织而成的“火球”，防御人员还必须处理人类请求的随机性，以及AI所获取内容的高度可变性，这些因素可能导致AI做出不可预测的响应。此外，还需考虑数据规范化、分词、嵌入和向量数据库填充等问题。

将数据汇聚到AI工厂，可构建全面互联的企业生态系统，而所有这些动态组件之间的集成和接口都需要强大的API安全体系。

_{如今，企业需要在日益复杂的混合多云环境中管理数量激增的应用和API。在F5，我们将这种不断增加的风险和复杂性称为“火球”。}

论断2：AI应用通过API互联

快速现代化推动了基于API的系统兴起，导致数据中心、公有云和边缘环境中的架构日益多样化。F5年度研究持续记录了这一趋势，其中包括我们的《2024年应用策略现状报告：API安全｜API的隐秘世界》。

AI应用进一步加剧了混合云和多云架构的复杂性。各组织正在快速评估并审慎实施治理策略，以管理众多AI应用及其底层AI模型，最终选择AI-SaaS、云托管、自托管或边缘托管方式，有时还会根据具体用例和各个应用分别决定。例如，某些用例会先在数据中心完成训练，再投入生产，并在边缘执行推理。

与这些模型及相关服务的连接主要通过API实现，例如连接到常用服务以执行推理。AI应用会导致API使用量呈指数级增长，因为单个API最终可能包含数千个端点，而API调用可能深藏在业务逻辑中，超出安全团队的管控范围。这会造成难以应对的复杂性，并对风险管理产生严重影响。

“目前，38%的组织已在6种环境中部署应用。——《2024年应用策略现状报告》”

事实证明，吞噬世界的不是云，而是API。AI则将吞噬一切。正如我们的博客文章《混合多云为何成为企业新常态：六大原因》所述，高度分布式环境可为部署AI应用及相关服务提供灵活性，帮助确保性能、安全性、效率和准确性。这对于解决数据引力问题尤为重要。因此，80%的组织在公有云中运行AI应用，54%的组织在本地运行AI应用，也就不足为奇了。无论采用哪种方式，都必须保护架构的各个层面，而保护API是第一步。

““在保护AI模型的计划中，API安全是首要的安全服务。”——《关于AI应用，您应该了解的三件事》”

论断3：AI应用面临已知风险和新型风险

保护作为AI应用功能和数据交换入口的API免受安全风险至关重要。AI应用同样面临漏洞利用、业务逻辑攻击、机器人滥用和拒绝服务（DoS）等风险，但还需考虑AI工厂中新增和修改的插入点，以及在训练、微调、推理和检索增强生成（RAG）期间，通过自然语言处理（NLP）接口、插件、数据连接器和下游服务给大语言模型（LLM）带来的风险。此外，DoS等已知攻击也需要额外考量；针对大流量DDoS和L7应用DoS的缓解措施无法完全消除模型DoS风险。AI应用还存在可解释性悖论，这凸显了可追溯性的重要性，有助于降低幻觉、偏见和虚假信息带来的风险。

攻击者也没有坐以待毙。生成式AI降低了发起攻击的门槛，并提高了网络犯罪分子和国家级攻击活动的复杂程度。如今，LLM智能体可以自主攻击Web应用和API，例如，无需事先了解漏洞，即可执行盲提取数据库架构和SQL注入等复杂任务。

尽管新型AI风险引发了广泛关注，但AI工厂的API安全至关重要，而且刻不容缓。AI应用的API攻击面大幅扩大。每位CISO都需要将API安全纳入AI治理计划，因为任何CISO生存指南都应奉行一条核心准则：“看不见，就无法保护。”如果没有全面盘点AI应用背后的接口，威胁模型就不完整，安全态势也会存在缺口。

论断4：防御方必须适应变化

AI应用具有动态性、多变性和不可预测性。要安全采用AI应用，需要更加重视有效性、稳健的策略制定和自动化运维。检测技术将在安全领域发挥关键且不断演进的作用。

尤其是在AI应用和生态系统的API安全方面，除了目前已基本部署的入站安全控制措施外，组织还需要为出站API调用及相关用例构建安全机制，以应对第三方API不安全使用可能性上升的问题。随着服务间流量和东西向流量不断增加（例如来自RAG工作流的流量），Bot管理解决方案不能仅依赖“人类”或“机器”身份识别。此外，LLM应用的供应链可能存在漏洞，进而影响训练数据、模型和部署平台的完整性。这些资源通常来自第三方，并可能遭到篡改或投毒攻击。因此，需要在各个环节实施安全控制，包括数据中心、跨云环境、边缘，以及从代码、测试到生产的整个流程。

AI Gateway技术将在帮助安全和风险团队降低大型语言模型（LLM）面临的提示词注入和敏感信息泄露等风险方面发挥关键作用。不过，AI安全之旅的第一步，是将安全能力融入AI应用的整个生命周期，保护连接AI应用和AI生态系统的API。