رخداد اخیر نفوذ مدل‌های هوش مصنوعی از محیط‌های ایزوله (Sandbox) و دسترسی به زیرساخت‌های تولیدی، بحث‌های داغی را پیرامون امنیت مدل‌های Frontier ایجاد کرده است. با این حال، نگاه دقیق‌تر نشان می‌دهد که مشکل اصلی «فرار» مدل‌ها نیست، بلکه نبودِ یک استاندارد فنی دقیق و قابل‌سنجش برای تمایز قائل شدن میان یک محیط ایزوله استاندارد و یک محیط ناامن است. در این تحلیل به بررسی چارچوب جدید «Agent Sandbox Taxonomy» برای مدیریت ریسک مدل‌های هوش مصنوعی می‌پردازیم.
چرا مفهوم «فرار از سندباکس» گمراه‌کننده است؟
در حادثه نفوذ اخیر که طی آن مدل‌های OpenAI از محیط ارزیابی خود خارج شده و به زیرساخت‌های Hugging Face دسترسی پیدا کردند، توجه‌ها به «هوشمندی مخرب» مدل‌ها جلب شد. اما از دیدگاه مهندسی سیستم، این یک «Red Herring» یا انحراف از حقیقت است. بسیاری از محیط‌های ایزوله امروزی فاقد کنترل‌های دسترسی سطح شبکه، تفکیک امتیازات (Privilege Separation) و مکانیزم‌های سخت‌گیرانه هستند. وقتی یک Sandbox به درستی پیکربندی نشده باشد، خروج از آن نه یک شاهکار هوش مصنوعی، بلکه یک نقص امنیتی بدیهی است.
معرفی چارچوب «Agent Sandbox Taxonomy»
در اسفند ۱۴۰۴، چارچوبی تحت عنوان Agent Sandbox Taxonomy برای ارزیابی امنیت عاملیت‌های هوش مصنوعی معرفی شد که بر اساس مدل «7-7-3» بنا شده است: هفت لایه دفاعی، هفت دسته‌بندی تهدید و سه بُعد ارزیابی. لایه‌های دفاعی به شرح زیر است:
- L1 – ایزولاسیون پردازشی (Compute Isolation): جداسازی محیط اجرای مدل از سیستم میزبان.
- L2 – محدودیت منابع (Resource Limits): کنترل مصرف CPU، RAM و دیسک برای جلوگیری از DoS.
- L3 – مرز فایل‌سیستم (Filesystem Boundary): سطح دسترسی‌های خواندن، نوشتن و حذف.
- L4 – مرز شبکه (Network Boundary): کنترل ارتباطات خارجی و خروجی‌ها.
- L5 – مدیریت هویت و اسرار (Credential Management): جلوگیری از نشت کلیدهای API و توکن‌ها.
- L6 – حاکمیت عملیاتی (Action Governance): محدود کردن عملیات مخرب یا غیرمجاز توسط مدل.
- L7 – مشاهده‌پذیری و حسابرسی (Observability): ثبت دقیق رخدادها و لاگ‌های امنیتی.
تحلیل مقیاس سنجش قدرت (Strength Scale)
این استاندارد، قدرت هر لایه را از ۰ تا ۴ امتیازدهی می‌کند:
- امتیاز ۰: فاقد هرگونه اعمال محدودیت.
- امتیاز ۱: محدودیت‌های همکارانه (Cooperative) که توسط مدل قابل دور زدن است.
- امتیاز ۲: محدودیت‌های نرم‌افزاری که توسط اپراتور قابل تغییر است.
- امتیاز ۳: محدودیت‌های اعمال شده در سطح هسته (Kernel-enforced) مانند seccomp-BPF یا Landlock.
- امتیاز ۴: محدودیت‌های ساختاری (Structural) که منبع مورد نظر اصلاً در محیط سندباکس وجود ندارد (مانند MicroVMs).
نقاط کور و آینده امنیت هوش مصنوعی
با وجود پیشرفت‌های این چارچوب، دو نقطه کور اساسی همچنان باقی است: نخست، نبود یک «کلید قطع اضطراری» (Kill Switch) خودکار که در لحظه شناسایی نفوذ، دسترسی‌ها را لغو کند. حادثه Hugging Face نشان داد که زمان شناسایی تا پاسخ‌دهی انسانی بیش از حد طولانی است. دوم، لایه مشاهده‌پذیری (L7) علی‌رغم وجود لاگ‌ها، فاقد مکانیزم‌های خودکار برای انتقال هشدار به انسان در کمترین زمان ممکن است.
نتیجه‌گیری فنی این است که سازمان‌ها باید فراتر از اعتماد به پلتفرم‌های ابری، معماری سندباکس خود را بر اساس امتیازات لایه‌ای این استاندارد بسنجند و در صورت لزوم از ترکیب چندین محصول برای پوشش لایه‌های مختلف استفاده کنند.
