- GPUHammer показује да је могуће снизити тачност вештачке интелигенције на бескорисне нивое искоришћавањем физичких рањивости у меморији графичког процесора.
- Безбедност вештачке интелигенције обухвата хардвер, податке, моделе и инфраструктуру, и укључује одбрану од противниковских напада и социјалног инжењеринга покретаног вештачком интелигенцијом.
- АИ радна оптерећења захтевају специфичне стратегије заштите, укључујући употребу ECC-а, изолацију GPU-а, континуирано праћење и контроле над животним циклусом модела.
- Вештачка интелигенција је мач са две оштрице у сајбер безбедности: она побољшава и одбрамбене и офанзивне способности, тако да предност лежи у стратегији и управљању.
Безбедност вештачке интелигенције престала је да буде искључиво академска тема и постала је веома стваран проблем за компаније, истраживаче и јавне администрације. Не говоримо само о злонамерном софтверу или традиционалном фишингу: сада постоје напади који могу потпуно да деградирају тачност модела вештачке интелигенције , искоришћавају рањивости физичког хардвера, па чак и манипулишу људском перцепцијом путем дипфејкова и аутоматизованих дезинформативних кампања.
Унутар овог новог пејзажа, истиче се GPUHammer, напад који смањује тачност вештачке интелигенције на смешно ниске нивое искоришћавајући рањивости у меморији GPU-а. Али то није једина претња: постоје и напади противника на податке, друштвени инжењеринг покретан вештачком интелигенцијом, алгоритамске пристрасности са друштвеним утицајем и инфраструктура вештачке интелигенције која, у многим случајевима, није дизајнирана имајући безбедност на уму. Хајде да то разложимо мирно, али са техничком дубином коју захтева.
Шта је GPUHammer и зашто може да уништи тачност вештачке интелигенције (AI) модела?
GPUHammer је врста Rowhammer напада , технике која искоришћава физички недостатак у меморијским ћелијама. Док су се класични Rowhammer напади фокусирали на DRAM који користе процесори (CPU), GPUHammer помера фокус на GPU меморију , која је у сржи обуке и закључивања за модерне моделе вештачке интелигенције.
Напад функционише тако што више пута и на контролисан начин приступа одређеним редовима меморије графичког процесора. Ове интензивне и пажљиво синхронизоване операције изазивају цурење електричног набоја које узрокује промену вредности оближњих битова. 0 постаје 1 или обрнуто, а да систем то не детектује као очигледан квар, јер се манифестује као тихе грешке у подацима.
У контексту вештачке интелигенције модела, ови измењени битови могу утицати и на параметре модела и на међуактивације или улазне податке које обрађује графички процесор (GPU). Оштећењем кључних тежина или тензора, математичке операције постају непоуздане, а квалитет предвиђања нагло опада. Највише забрињава то што систем наставља да функционише наизглед нормално, али тачност модела драстично опада.
Истраживачи који су демонстрирали GPUHammer објашњавају да вектор напада може да искористи рачунарска окружења попут CUDA за убризгавање специфичних приступа меморији и контролу обрасца напада. Коришћењем високог паралелног капацитета извршавања модерних графичких процесора (GPU), број приступа се може максимизирати за веома кратко време, повећавајући вероватноћу добијања корисних промена битова за нападача.
Највећи изазов за оне који су осмишљавали ове нападе била је непрозирност безбедносних имплементација у GDDR меморији , интерна мапирања адреса и различита латенција у поређењу са CPU DRAM меморијом. Реверзним инжењерингом ових мапирања, синхронизацијом са прозорима за ажурирање меморије и оптимизацијом паралелизма, успели су да превазиђу ове теоријске баријере.
Утицај GPUHammer-а: са 80% тачности на 0,1%
Најупечатљивији случај који су истраживачи документовали јесте случај NVIDIA A6000 , врхунског акцелератора који се обично користи за професионална AI оптерећења. Модел који је обично постизао око 80% тачности у свом задатку, смањен је на безначајних 0,1% након примене GPUHammer напада.
Говоримо о паду перформанси због којег GPU, који кошта неколико хиљада евра, кошта мало више од луксузног преса за папир када су у питању задаци вештачке интелигенције. Модел са тачношћу од 0,1% је, у пракси, бескористан за било какву озбиљну примену: медицинске дијагнозе, системи за откривање превара, финансијско прогнозирање или класификација слика прелазе из алата за подршку одлучивању у пуке генераторе буке.
У пословним окружењима, то значи да модели могу доносити масовно погрешне одлуке, а да разлог није одмах очигледан. Систем бодовања кредита може одобрити неподобне кандидате или одбити кредитно способне клијенте; систем сајбер безбедности заснован на вештачкој интелигенцији може пропустити стварне претње и генерисати лажно позитивне резултате свуда. Утицај се претвара у финансијске губитке, штету по репутацију , па чак и потенцијалне правне последице ако се докаже немар у заштити инфраструктуре.
Занимљиво је да се напад не понаша исто на свим картицама. Експерименти показују успех на графичким процесорима попут NVIDIA A6000 са GDDR6 меморијом , али не и на моделима попут RTX 3080. Хипотеза је да, коришћењем меморије различитих произвођача, са различитим механизмима за ублажавање и мапирањем , одрживост напада варира. Ово сугерише да одређени дизајни меморије могу бити инхерентно отпорнији.
Да би тестирали и документовали напад, истраживачи су објавили техничке детаље на званичној веб страници пројекта, где објашњавају процес, тренутна ограничења и могућа будућа проширења, наглашавајући да ова врста напада на графичке процесоре представља нову границу у безбедности хардвера усмереног ка вештачкој интелигенцији.
Еволуција Rowhammer напада: од ZenHammer-а до GPUHammer-а
GPUHammer се није појавио ниоткуда; он је део еволутивне линије Rowhammer напада који годинама брину безбедносну заједницу. Године 2024, откривен је ZenHammer, напад дизајниран да искористи рањивости у AMD Ryzen и EPYC процесорима, демонстрирајући да унутрашња структура DRAM меморије омогућава покретање замене битова ударањем у суседне редове.
Накнадна истраживања су открила сличне проблеме у класичној DRAM меморији и у новијим генерацијама као што је DDR5 од одређених произвођача. Из године у годину, откривани су нови вектори или варијације истог принципа: физичко присиљавање меморије да се понаша неправилно под веома специфичним обрасцима приступа.
Кључна разлика је у томе што се до сада већина студија првенствено фокусирала на главну меморију процесора. Са GPUHammer-ом, фокус се значајно помера на меморију графичке картице , кључни елемент за масивну паралелну обраду потребну за дубоко учење. То значи да је цела инфраструктура вештачке интелигенције заснована на GPU-у – од сервера дата центара до радних станица и врхунских потрошачких графичких картица – сада директно на радару ових претњи.
Овај напредак јасно показује да трка између произвођача хардвера и истраживача безбедности неће престати. Свака нова генерација меморије (GDDR6, GDDR7, HBM3, итд.) додаје могућности перформанси, али и нове потенцијалне површине за нападе које морају бити процењене од фазе пројектовања, а не само закрпљене накнадно.
Тренутна ублажавања: ECC, нове меморије и њихови трошкови
Прва линија одбране од напада типа GPUHammer је омогућавање меморије за исправљање грешака (ECC) кад год је доступна. ECC додаје додатне битове подацима како би открио и, у многим случајевима, исправио једнобитне или вишебитне грешке у реалном времену, неутралишући ефекат многих преокрета изазваних нападом.
Проблем је што омогућавање ECC-а не долази без цене: студије показују губитак перформанси од приближно 10% на неким графичким процесорима када је ова функција омогућена. За организације опседнуте исцеђивањем сваке капи перформанси из сваког терафлоп-а, ова казна може бити незгодна, али је то цена коју треба платити за значајно побољшање интегритета података.
У новијим генерацијама меморије као што су GDDR7 и HBM3 , многи произвођачи већ интегришу ECC механизме директно у меморијске чипове, смањујући рањивост на Rowhammer нападе и њихове варијанте. Ове технологије су дизајниране са разумевањем да радна оптерећења вештачке интелигенције захтевају не само брзину већ и отпорност на тихе грешке , без обзира на то да ли потичу од физичких кварова или злонамерних напада.
Истраживачи који су представили GPUHammer указују да настављају да раде на новим техникама како би покушали да заобиђу чак и ове заштите , тражећи алтернативне путеве где корекција грешака није довољна или где је могуће форсирати екстремне услове који превазилазе ECC механизме.
Са своје стране, произвођачи попут NVIDIA-е су унапред обавештени о рањивости (у овом случају, око јануара) и експлицитно препоручују омогућавање ECC-а у осетљивим окружењима, као и примену добрих пракси изолације радног оптерећења приликом дељења GPU ресурса између клијената или апликација.
Безбедност вештачке интелигенције: више од хардвера и GPUHammer-а
Иако GPUHammer привлачи многе наслове, безбедност вештачке интелигенције обухвата много шири спектар од напада на физичку меморију. Оптерећења вештачке интелигенције уводе површине напада које традиционалне стратегије сајбер безбедности нису у потпуности покривале: податке за обуку, моделе, инференцне цевоводе, сервисне API-је и саму инфраструктуру GPU-а и акцелератора.
Безбедност вештачке интелигенције фокусира се на заштиту ових радних оптерећења од злонамерне употребе или манипулације, осигуравајући да модели раде како је предвиђено и без спољних сметњи. То подразумева заштиту интегритета података за обуку, проверу порекла модела (знање ко га је тренирао, како и чиме) и успостављање механизама изолације за графичке процесоре (GPU ) и друге акцелераторе на платформама на којима се хостују.
Већина корпоративних безбедносних стратегија је дизајнирана да заштити традиционалне апликације: веб сервере, базе података, радне станице. Насупрот томе, вештачка интелигенција (AI) решење је више као „стамбена зграда на другој планети“ : вишеструки модели, хетерогени извори података, екстерни API-ји, MLOps цевоводи, дељени GPU-ови у облаку... и велики број улазних тачака које можда нису сматране векторима напада.
Да би вештачка интелигенција била поуздана на нивоу предузећа, потребна је специфична безбедносна стратегија која се интегрише са постојећим контролама: сегментацијом мреже, управљањем идентитетом, усклађеношћу са прописима, континуираним праћењем и реаговањем на инциденте. Само додавање још једног заштитног зида није довољно; неопходно је разумети како подаци теку од извора до закључка и где се могу манипулисати.
Инфраструктура вештачке интелигенције: нове рањивости и захтеви за заштиту
Када размишљамо о вештачкој интелигенцији (AI) инфраструктури, не говоримо само о моћним серверима: говоримо о комплетном екосистему који укључује графичке процесоре (GPU), високоперформансно складиштење података, мреже са ниском латенцијом, платформе за оркестрацију контејнера, услуге у облаку и MLOps алате. Сваки слој додаје функционалност, али и нове могућности за нападаче.
Једно од критичних питања је недостатак јаке изолације на многим графичким процесорима (GPU) . Историјски гледано, графичке картице нису биле дизајниране са истим нивоом компартментализације и безбедносних механизама као процесори (CPU), што их чини атрактивним метама. Напади попут GPUHammer-а искоришћавају управо ову реалност: лоше логове, ограничену видљивост приступа меморији и привилеговану површину која лако може остати непримећена.
Штавише, у многим организацијама, GPU ресурси се деле између различитих тимова, пројеката или чак клијената (у окружењима са више закупаца). Без јасне сегментације и строгих контрола приступа , злонамерно радно оптерећење би потенцијално могло утицати на моделе високе вредности који раде на истој физичкој машини.
Добро испланирана стратегија безбедности вештачке интелигенције не само да штити осетљиве податке од цурења, већ и примењује превентивне мере против напада на моделе, јача усклађеност са прописима (нпр. Закон ЕУ о вештачкој интелигенцији) и интегрише могућности праћења како би се откриле аномалије у извршавању радних оптерећења вештачке интелигенције.
На крају крајева, што боље разумете основну технологију – како се вештачка интелигенција обучава, примењује и скалира – лакше је идентификовати и затворити та додатна „врата и прозоре“ која не постоје у традиционалној ИТ инфраструктури.
Супарнички напади: манипулисање подацима како би се збунила вештачка интелигенција
Поред хардвера, вештачка интелигенција је посебно рањива на нападе противника , који се фокусирају на манипулисање улазима модела (слике, звук, текст, табеларни подаци) путем веома малих, али пажљиво осмишљених пертурбација како би изазвали грешке у класификацији или погрешне одлуке.
У пракси, нападач може унети промене неприметне људском оку у слику панде и навести модел да је означи као потпуно другу животињу. Исто се може десити са саобраћајним сигналима у аутономним возилима , медицинским сликама у рачунарски потпомогнутој дијагностици или документима које користе системи за откривање превара.
Ови напади искоришћавају чињеницу да модели дубоког учења заснивају свој рад на високодимензионалним статистичким обрасцима, а не на „разумевању“ контекста као што је то случај са особом. Технике као што су метода брзог градијентног знака (FGSM) , пројектовани градијентни спуст (PGD) или напад Карлинија и Вагнера израчунавају пертурбације које, уз минималну промену пиксела или улазних вектора, максимизирају вероватноћу да модел направи грешку.
Ризици су јасни: у здравственом окружењу, манипулација магнетном резонанцом од стране противника може довести до погрешних дијагноза ; у сајбер безбедности, посебно дизајнирани примери могу дозволити да детектори засновани на вештачкој интелигенцији не открију злонамерни софтвер; у препознавању лица, мале измене слике могу лажно представљати идентитете или избећи контроле.
У ствари, праве демонстрације већ постоје: напади на класификаторе слика од стране главних технолошких добављача, гласовне команде скривене у наизглед безопасном звуку за дигиталне асистенте или имејлови благо модификовани да би се избегли филтери за спам засновани на машинском учењу.
Одбрана од непријатељских напада: робусност и детекција
Заштита вештачке интелигенције од супарничких напада захтева вишеслојни приступ. Једна од најпроучаванијих тактика је супарничко тренирање , које подразумева укључивање неповољних примера током тренирања модела како би модели научили да препознају и одоле овим врстама поремећаја. Иако ово значајно побољшава робусност, такође повећава рачунарске трошкове и не гарантује покривеност свих могућих вектора напада.
Још једна линија одбране је претходна обрада и валидација уноса . Операције као што су филтрирање, изглађивање слике и смањење шума могу ублажити поремећаје, али се морају пажљиво примењивати како би се избегло смањење тачности модела у легитимним случајевима. Поред тога, технике откривања аномалија и статистичка анализа се користе за идентификацију сумњивих образаца уноса.
Истраживања се такође спроводе на суштински робуснијим архитектурама, као што су дефанзивна дестилација или ансамблски приступи (комбиновање неколико модела и поређење њихових резултата), што отежава предвиђање како ће систем тачно реаговати на мале пертурбације. Циљ је смањити осетљивост модела на ове микроскопске промене.
Упркос томе, одбрана од непријатељских напада је игра мачке и миша: сваки одбрамбени напредак обично прате нове технике напада које покушавају да га заобиђу. Стога је, поред побољшања модела, важно успоставити контроле контекста: ко може да шаље коју врсту података, на ком каналу, под којом аутентификацијом и како се прате аномални резултати.
Гледајући у будућност, објашњива вештачка интелигенција (XAI) добија на значају, помажући у разумевању зашто модел доноси одређене одлуке и откривању необичних образаца понашања који би могли бити повезани са још увек непознатим нападом противника.
Није све у битовима и математичким моделима; значајан део претње долази од социјалног инжењеринга побољшаног вештачком интелигенцијом . Нападачи користе језичке моделе, системе за анализу података и алате за генерисање садржаја како би дизајнирали много персонализованије, уверљивије и теже за откривање преваре.
Оно што је некада захтевало време, психолошке вештине и добро писање – истраживање жртве, разумевање њеног контекста и креирање убедљиве поруке – сада може бити аутоматизовано. Вештачка интелигенција омогућава прикупљање јавних информација са друштвених медија, корпоративних веб страница и цурења информација, профилисање мета и генерисање имејлова, порука и сценарија позива за неколико секунди са тоном прилагођеним свакој земљи, сектору или култури.
Стручњаци за сајбер безбедност истичу да су језичке и културне баријере практично нестале за нападаче. Криминалац може да замоли асистента за ћаскање са вештачком интелигенцијом да напише веродостојан имејл запосленима у компанији у Шпанији, са тачним референцама из индустрије и уверљивим корпоративним тоном, без потребе да течно говори језик.
Истраживачи претњи истичу да се ова могућност већ искоришћава за масовне фишинг кампање, преваре и дистрибуцију злонамерног софтвера , где је најзначајније побољшање управо у квалитету писања и одсуству типичних црвених заставица (грешке у писању, необични изрази итд.). Фишинг странице такође имају користи од углађенијег дизајна, са мање визуелних трагова преваре.
У овом контексту, напади престају да буду случајни пуцњи и постају високо префињене кампање , са нивоом персонализације који чини да прималац поруку доживљава као природни део своје дигиталне рутине.
Унутар овог екосистема, истиче се неколико врста напада које је појачала вештачка интелигенција:
С једне стране, постоји персонализовани фишинг коришћењем језичких модела , где вештачка интелигенција анализира јавне податке и генерише кохерентне, добро написане поруке усклађене са улогом и контекстом жртве. Основне грешке нестају, а имејлови изгледају као легитимна интерна комуникација о безбедносним прегледима, ХР процесима или техничким проблемима.
Још циљанији је аутоматизовани фишинг , који се фокусира на веома специфичне појединце или групе унутар организације (финансијски менаџмент, системски администратори, средњи менаџмент). Вештачка интелигенција укршта друштвене профиле, корпоративне хијерархије и односе поверења како би креирала поруке које су у складу са стварним пројектима и познатом интерном динамиком.
У области гласовне технологије, вишинг са клонирањем гласа представља значајан корак напред. Модели вештачке интелигенције могу да реплицирају тембар и интонацију стварне особе користећи само неколико секунди звука. Позив који изгледа као да долази од генералног директора, кључног добављача или службеника обезбеђења може да изврши притисак на жртву да изврши трансфере или промени акредитиве без верификације путем других канала.
Још један фронт је паметни смишинг (фишинг путем СМС-а или инстант порука), где вештачка интелигенција анализира навике коришћења мобилних телефона и бира најбоље време, тон и садржај поруке како би преварила жртву да кликне на линк, преузме злонамерну апликацију или преда акредитиве. Поруке су маскиране као обавештења о испоруци пакета, банкарска обавештења или комуникације од редовних служби.
Коначно, коришћење дипфејкова за лажно представљање руководиоца умножава ризик у окружењима са честим видео позивима. Наизглед стваран видео руководиоца који захтева хитну акцију ствара визуелни и звучни утисак аутентичности који превазилази многе препреке верификације ако нису успостављени јасни протоколи.
Злонамерни четботови, крађа идентитета и дезинформације
Конверзациона вештачка интелигенција је такође постала оружје за нападаче. Злонамерни четботови са обрадом природног језика могу се лажно представљати као службе за подршку, интерни асистенти или званични канали компаније. Они одржавају флуидне разговоре, брзо реагују и воде жртву док не преузме злонамерну датотеку или не унесе акредитиве на лажној веб страници.
Суптилнији ниво је крађа идентитета заснована на комуникацијским обрасцима . Овде вештачка интелигенција учи како стварна особа пише из својих претходних имејлова и порука: речник, структуру, кључне речи и тон. Резултат су поруке које звуче тачно као та особа, драстично смањујући сумњу примаоца, посебно ако је то неко на позицији ауторитета унутар компаније.
На колективном нивоу, аутоматизоване кампање дезинформација користе моделе генерисања текста и анализе емоција како би произвеле и шириле лажни садржај у масовним размерама. Координисани ботови појачавају поруке, подстичу поларизацију и манипулишу јавном перцепцијом о политичким, здравственим или економским питањима, циљајући да утичу на друштвене одлуке, а не да једноставно краду конкретне податке.
Такође је било случајева дигиталног дотеривања уз помоћ семантичке анализе , где вештачка интелигенција помаже у идентификацији рањивих профила (на пример, малолетника на друштвеним мрежама) и прилагођавању дискурса нападача како би се изградио прогресиван однос поверења и манипулације, са посебно високим ризиком јер се развија споро и тихо.
Коначно, паметно мамљење користи садржај генерисан вештачком интелигенцијом (документе, наводне извештаје, ексклузивне ресурсе) прилагођен интересовањима жртве како би је преварило да преузме датотеку или приступи злонамерном сајту, верујући да искоришћава професионалну или личну прилику.
Поред намерних напада, вештачка интелигенција може проузроковати штету и кроз пристрасности и разлике у својим подацима и моделима. Када су одређене популације недовољно заступљене или погрешно означене у подацима за обуку, резултујући системи имају тенденцију да производе лошије резултате за те групе, стварајући суптилну, али веома стварну дискриминацију.
На пример, у здравству је примећено да су компјутеризовани дијагностички системи мање тачни код афроамеричких пацијената него код белих пацијената због недостатка уравнотежених података. То може довести до одложених или нетачних дијагноза за одређене групе.
На радном месту, алати вештачке интелигенције који се користе у процесима регрутације могу појачати стереотипе. Нешто наизглед безопасно попут коришћења речи „нинџа“ у огласу за посао може привући углавном мушкарце, мењајући групу кандидата чак и без икакве експлицитне намере да се било ко дискриминише.
Студије о моделима генерисања слика показују да многи алати производе јасно пристрасан свет: менаџери су скоро увек бели мушкарци , жене су ретко представљене као лекари или судије, тамнопути мушкарци се повезују са криминалом, а тамнопуте жене са несигурним пословима. Чак и када се траже неутралне слике професионалаца, резултати репродукују родне и расне улоге наслеђене из података.
У систему кривичног правосуђа, алати за предиктивно полицијско деловање засновани на вештачкој интелигенцији често се ослањају на историјске податке о хапшењима и патролирањима. Ако ти подаци већ садрже расне или географске предрасуде, модели имају тенденцију да више пута циљају иста подручја и заједнице, појачавајући обрасце несразмерног полицијског деловања и продужавајући неједнакост.
Вештачка интелигенција у сајбер безбедности: мач са две оштрице
У чисто одбрамбеном смислу, вештачка интелигенција је такође постала кључна компонента модерне сајбер безбедности . Од 2025. и почетка 2026. године, етаблирала се као основни алат за анализу великих количина догађаја, откривање аномалног понашања које је тешко видети људским оком, давање приоритета упозорењима и смањење времена реаговања на инциденте.
Системи засновани на вештачкој интелигенцији вам омогућавају да повежете логове из више извора, моделирате нормално понашање корисника и уређаја и покрећете упозорења скоро у реалном времену када се открију одступања, што је посебно корисно у облачним и хибридним окружењима са хиљадама крајњих тачака.
Међутим, дефанзивна вештачка интелигенција не замењује људско расуђивање нити потребу за зрелим процесима. Без јасне стратегије, сталног праћења и обучених тимова , аутоматизација може створити лажни осећај сигурности или, обрнуто, преплавити аналитичаре неприоритетним упозорењима.
Последњих година, нападачи су такође почели да интегришу вештачку интелигенцију у свој арсенал: побољшане фишинг кампање, веродостојне имперсонације, аутоматизовано препознавање мета, генерисање полиморфног малвера и динамичка прилагођавања нападима на основу одбране са којом се сусрећу. Резултат је окружење у којем и нападачи и браниоци користе исти технолошки алат , а разлика лежи у стратегији и прилагодљивости.
Гледајући у будућност, конкурентска предност неће бити само у коришћењу вештачке интелигенције, већ у њеној интеграцији у целокупну безбедносну архитектуру , са сталним тестирањем, ажурираним моделима, континуираним праћењем и добрим управљањем ризицима.
Читава ова слика – од физичких напада попут GPUHammer-а који чине графички процесор бескорисним за вештачку интелигенцију, до суптилне манипулације подацима, хиперперсонализованих кампања социјалног инжењеринга и структурних предрасуда са друштвеним утицајем – јасно показује да безбедност вештачке интелигенције више није опционална; то је основни захтев да се настави поверење у системе који, на овај или онај начин, почињу да утичу на скоро све релевантне одлуке у нашим дигиталним животима, а све више и у стварном животу.
