什么是AI数据安全？

AI数据安全可保护AI系统使用的数据、模型和接口，防止其遭到滥用、泄露和攻击。

AI数据安全涵盖一系列实践、控制措施和创新技术，它们协同保护整个AI生命周期中的数据、模型和AI API，防止任何未经授权的访问、滥用、操纵或泄露。它在传统数据安全的基础上进一步关注模型安全、推理安全以及AI决策过程的保护。

AI数据安全与传统数据安全的对比

传统数据安全工具侧重于保护资产、存储环境和数据传输方式。虽然这些工具能够有效控制数据访问、阻止部分威胁，并防止未经授权的人员读取数据，但无法充分保障AI系统的安全。

AI系统具有动态性和概率性。对于生成式AI引擎，相同的提示词可能会因上下文和意图不同而产生不同的输出。传统工具无法评估这些上下文或意图，因此无法发现隐藏在提示词中的威胁、检测受损的训练数据，也无法识别操纵AI系统内部决策过程的企图。

AI数据安全通过分析上下文和意图来识别潜在的恶意操作。这些工具为AI输入和输出设置防护机制，以净化摄取的数据、审查AI系统提示词，并在必要时对输出进行脱敏处理。它们还可以为智能体设置行为边界，防止出现非预期行为。

为何AI数据安全如今至关重要

AI系统和基础设施带来了传统数据保护之外的新安全挑战。组织必须保护模型、API接口和输入/输出，防止其泄露隐私信息或欺骗系统。采取防护措施有助于提升整体安全性。

生成式AI、LLM应用和自主系统依赖大型数据集和持续的数据流，因此容易受到数据投毒、模型窃取、提示词注入和敏感信息泄露等安全威胁。随着AI嵌入面向客户的应用、工作流和决策流程，AI数据安全对于实现信任、业务连续性和合规性等关键业务目标至关重要。

AI系统会如何引入新的风险？以下是一些常见示例：

• AI系统可能会通过模型输出泄露敏感信息。
• AI API会引入新的攻击面和频率高得多的攻击模式。
• 模型可能会受到恶意提示或对抗性输入的操纵。
• 模型快照（检查点）、向量表示（嵌入）和训练数据会成为需要保护的敏感知识产权。
• 推理端点必须在延迟、规模和策略方面的严格约束下运行。

缓解影子AI和数据暴露风险

内部人员使用AI带来的风险给数据保护带来了重大挑战。员工使用未经授权且缺乏防护机制的AI工具时，可能会无意中泄露数据。例如，员工可能会将客户详细信息、机密知识产权或源代码粘贴到AI系统中，却未意识到这些数据可能被用于训练AI公司的模型。此外，将敏感数据输入生成式AI引擎或AI驱动的软件开发工具，也可能使这些数据暴露于外部威胁。

贯穿整个生命周期的AI数据安全

AI数据安全必须贯穿AI生命周期的每个阶段，始终覆盖数据和模型。传统的单一边界防护方法无法奏效，因为AI资产会跨环境流动，并与用户、应用和其他模型动态交互。安全防护必须持续开展、嵌入各环节，并能感知模型。

• 数据收集和准备：AI安全始于训练之前。数据摄取、标注和特征工程可能使敏感信息面临被盗、未经授权访问和数据投毒的风险。数据投毒是指攻击者注入经过操纵的数据，使模型产生偏差或降低模型性能。在数据进入AI管道之前，必须实施严格的治理、验证和访问控制。
• 训练和微调：训练数据、模型检查点、嵌入和梯度包含敏感信息。训练和调优期间遭到入侵可能导致模型篡改、知识产权损失、受监管数据泄露和对抗性操纵，从而永久改变模型行为。
• 部署和推理：推理API是提示词注入、输出操纵、模型提取、数据收集和过载攻击的主要目标。必须对访问进行身份验证和严格控制，并检查输入中是否存在对抗性载荷行为。
• 监控与持续改进：需要持续监控、记录和监督模型漂移、偏差、有害行为及未经授权的使用。运营人员必须检测异常情况、访问模式以及安全与合规问题

为什么仅依靠边界安全无法管理此环境

AI工作负载横跨数据湖、集群、注册表、网关、边缘节点和端点，因此不能仅依赖单一边界来保障安全。保护措施必须贯穿数据和模型的整个生命周期，在与用户、应用或服务交互的所有节点实施一致的身份验证、检查和策略。

AI数据安全的核心原则和控制措施

有效的AI数据安全需要综合运用安全、隐私和运营控制措施：

• 数据治理和影响评估：在将数据用于AI开发之前，验证其合法性、数据质量、沿袭关系和隐私影响。
• 零信任和最小权限：在每个边界强制执行身份验证和授权，包括数据存储库、模型工件和推理API。
• 数据最小化和匿名化：减少敏感信息暴露，并为数据集添加敏感度标签，以便在下游实施管控。
• 模型级保护：保护检查点、嵌入、训练工件和加速器环境。
• 输入和输出的运行时检查：检测提示词注入、恶意载荷、有害内容或意外泄露。
• 持续监控和人工监督：对于高风险AI决策和受监管行业而言，这是必需的。
• API和流量治理：确保只有经过验证的请求才能到达推理端点。

虽然治理决策在网络之外制定，但F5会在实际环境中执行这些决策，确保只有获批的数据源、身份和服务才能访问AI系统。F5 Distributed Cloud Services和F5 BIG-IP采用基于策略的访问控制、可感知数据分类的路由，并将API加入允许列表，确保训练和推理数据流符合获批的治理规则。

保护传输中和静态的AI数据

AI管道依赖数据从摄取环节持续流向特征存储和推理端点。保护这些数据流需要：

• 对传输中和静态数据进行加密。
• 对所有API访问进行身份验证和授权。
• 采用架构验证、速率限制和威胁检测的安全API设计。
• 将Web应用防火墙（WAF）、分布式拒绝服务（DDoS）攻击防护和机器人防护作为第一层执行机制。
• 通过环境分段隔离训练数据、推理端点和模型工件。
• 流量检查，用于检测加密通道中的异常或隐藏威胁。

F5通过在网关和模型端点之前添加内联策略执行层来保护AI数据管道。F5 Distributed Cloud Web App and API Protection（WAAP）、F5 Distributed Cloud API Security、F5 BIG-IP Advanced WAF、F5 BIG-IP Access Policy Manager (APM)、F5 BIG-IP SSL Orchestrator和F5 NGINX App Protect等解决方案可管理传输层安全协议（TLS）、身份验证、有效性验证、速率限制、WAF、DDoS攻击防护、机器人防御和加密流量检查，确保只有经过验证的请求才能到达AI模型。这有助于保护AI数据管道免受恶意载荷、未经授权的访问、异常活动和数据泄露的影响。

在推理阶段以及更广泛的AI环境中，F5将基础设施控制与AI专用控制相结合，保护模型、应用、智能体和用户之间的交互。F5 NGINX Ingress Controller、F5 Distributed Cloud Mesh和F5 BIG-IP Next Kubernetes可帮助隔离租户、划分环境，并对推理工作负载实施流量和访问策略。F5 AI Guardrails为提示词、响应、智能体操作和工具使用提供AI专用的运行时检查和策略实施。F5 AI Gateway管控对模型、智能体和工具的访问，F5 AI Red Team则对模型、应用和智能体开展对抗性测试，以识别薄弱环节。F5 Workforce AI Security为获准和未经批准的AI使用提供可见性和治理。

高级隐私控制和数据保护

多种高级策略有助于组织在模型训练和实时推理期间保护敏感数据的隐私和安全。

在模型训练期间，组织必须确保原始训练数据始终保密，并确保模型之后无法通过逆向工程重构敏感数据。这可能包括：

• 数据掩码和合成数据：使用计算机生成的数据集训练模型，这些数据集可模拟真实数据，而无需使用真实的客户记录。
• 基于数学方法的隐私保护（差分隐私）：在训练过程中注入经过精确校准的数学噪声，以降低日后从模型中推断出单条记录敏感信息的风险
• 联邦学习：将真实数据安全地保留在本地服务器中，仅向中央服务器发送模型参数更新。

为保护实时推理过程中的数据，组织应采取措施，限制未加密信息可能暴露的范围。这些措施包括：

• 实时数据脱敏：在用户提示词到达AI系统之前，自动清除其中的敏感信息，并在返回答案时在本地还原这些信息。
• 硬件保险库：在采用硬件加密的芯片内处理AI查询，防止未经授权的实体访问查询内容。
• 高级加密技术：支持AI模型仅分析完全加密的数据，并在不解密底层文件的情况下提供答案。

保护模型、输入和输出

AI模型带来了独特的安全要求，例如模型安全、输出安全，以及通过上下文理解安全性。

模型安全包括保护检查点、嵌入和模型权重（学习得到的数值），防止其遭到窃取、篡改或未经授权的复制。采用AI防火墙的输入安全机制必须过滤并检查输入提示词和有效载荷，以识别提示词注入威胁、对抗性输入、恶意代码输入，以及旨在使系统过载并崩溃的超大或格式错误的输入。

输出安全是指防止AI输出泄露敏感数据、知识产权或有害内容。

传统安全解决方案无法识别AI特有的威胁，因此应采用AI安全态势管理（AI-SPM）等实践，持续监控多云和混合环境中的配置、策略及运行时行为，以发现配置漂移或错误配置。

F5提供分层控制，帮助保护AI模型、输入、输出及其周边的应用和API基础设施。BIG-IP Advanced WAF、Distributed Cloud WAAP、Distributed Cloud API Security和NGINX App Protect可部署在AI网关和推理端点前端，用于验证调用方身份、检查流量，并对AI工作负载实施应用和API安全策略。F5 AI Guardrails针对提示、响应、智能体操作和工具使用，增加AI专用的运行时检查和策略实施功能；F5 AI Gateway管控对模型、智能体和工具的访问；F5 AI Red Team对模型、应用和智能体进行对抗性测试，以识别薄弱环节；F5 Workforce AI Security则为获准和未经批准的AI使用提供可见性和治理。

AI Guardrails和Workforce AI Security增加了针对AI的检查和策略执行功能，有助于阻止提示词注入、敏感数据泄露、有害内容及其他高风险活动。Workforce AI Security还将可见性和治理扩展到经批准和未经批准的AI使用场景，帮助组织了解正在使用哪些AI工具、如何使用这些工具，以及哪些环节可能存在敏感数据泄露或违反策略的情况。

推动AI数据安全落地

企业必须将AI安全融入现有流程：

• DevSecOps与MLOps集成：将安全关卡嵌入训练和部署流水线。这种方法可确保及早发现漏洞、错误配置和高风险数据流，防止其进入生产环境中的AI系统。
• 明确的内部政策：指导安全使用内部和外部AI工具。这些政策设定防护措施，有助于尽量减少意外数据泄露，并防止滥用生成式AI或第三方AI服务。
• 法规一致性：包括确保遵守《通用数据保护条例》（GDPR）、《健康保险流通与责任法案》（HIPAA）、《加州消费者隐私法案》（CCPA）、行业特定规则以及新兴的AI法规。企业需要定期跟踪AI数据流和模型行为，以满足这些法规要求，从而避免罚款、运营风险和合规偏差。
• 共同责任模型：保障AI安全需要网络、数据、应用安全和AI平台团队协同合作。有效防护依赖协调一致的责任分工，以免任何单一团队成为AI管道中的瓶颈或盲区。
• 员工培训：确保团队熟悉安全的提示词技巧、数据处理规范和模型使用指南。对员工进行适当培训对于尽量减少人为错误至关重要，而人为错误是导致AI相关数据泄露和滥用的主要原因之一。

总结

要在整个组织内稳步扩大AI应用，AI数据安全不可或缺。保护驱动AI系统的数据、模型和接口，需要在AI应用全流程的每个环节持续实施控制、智能检查和稳健治理。通过将智能安全和流量管理直接集成到AI网关和推理端点，F5可帮助组织实施零信任、防止数据泄露、阻止恶意输入，并确保AI在混合云和多云环境中顺畅、合规地运行。

常见问题

AI数据安全与传统数据安全有何不同？

AI数据安全与传统数据安全的不同之处在于，它采用适合上下文感知型AI系统的动态方法。传统数据安全保护静态资产、数据存储和数据传输方式。这些解决方案无法分析上下文和意图，而这些信息对于识别AI系统中的威胁至关重要。AI数据安全会分析这些内容和意图，为AI输入和输出设置防护机制，并为AI智能体设定边界。

什么是数据投毒？企业如何在AI训练期间防范数据投毒？

数据投毒是指试图篡改AI模型的训练数据，使模型在推理过程中产生不准确或有偏差的结果。为防止数据投毒，企业应在训练前分析数据、控制训练数据的访问权限、跟踪数据变更，并采用相应解决方案保护训练基础设施和传输中的数据。

内联AI防火墙如何保护LLM免受提示词注入和数据泄露的威胁？

内联AI防火墙部署在大语言模型（LLM）前端，充当反向代理，防范提示词注入和数据泄露。它们通过筛查输入意图、限制AI系统可执行的操作并检查响应，防范提示词注入。同样，它们通过掩蔽输入数据、将检索范围限制在已授权文件内，并检查输出中是否包含敏感信息，防范数据泄露。

什么是AI物料清单（AI-BOM），它为何对企业安全至关重要？

AI物料清单（AI-BOM）列出了AI系统中的所有要素。它不仅应包含模型和数据集的信息，还应包含依赖关系、嵌入、提示词和数据检索源。AI-BOM可提高AI供应链的可见性，帮助组织发现并解决潜在的安全漏洞。

F5如何帮助保护向量数据库和检索增强生成（RAG）架构？

F5使用F5 Distributed Cloud在整个AI管道中提供内联保护，从而保护向量数据库和RAG架构。组织无需依赖数据库或RAG环境内置的访问控制，而是可以使用F5在数据库和架构周边的入口点、API网关及网络层实施安全防护、流量管理和身份强制执行。

F5的哪些功能可支持企业AI安全？

F5 AI Security Platform整合了AI Guardrails、Workforce AI Security、AI Gateway和AI Red Team，帮助组织治理、测试和保护AI系统。

AI Guardrails有助于实施运行时策略，并防范提示词注入、敏感数据泄露、有害内容和不安全的智能体操作等风险。Workforce AI Security可为获准和未经批准的AI使用提供可见性和治理，并可检查AI交互及对其实施策略。AI Gateway提供集中式控制点，用于管理对模型、智能体和工具的访问；AI Red Team则通过对抗性测试，识别模型、应用和智能体中的漏洞与薄弱环节。

为了在应用、API和分布式环境中提供更广泛的保护，F5 Application Delivery and Security Platform (ADSP) 提供多项功能，包括Web应用和API保护、机器人管理、DDoS缓解以及应用交付。