构建生成式AI创新安全体系，亚马逊首席安全官教你三招
作者：王聪彬
亚马逊云科技在全球拥有数百万客户，每天追踪的事件达数十亿条，这让亚马逊云科技能检测到更多的安全威胁。
在2019年亚马逊云科技首席安全官Steve Schmidt正式宣布推出首个聚焦云安全问题的会议亚马逊云科技re:Inforce，现在大会已经举办五届，成为云安全的风向标。
Steve Schmidt在2010年加入亚马逊，并在亚马逊云科技首席信息安全官任职长达12年，2022年起就任亚马逊首席安全官至今。最近他接受了《华尔街日报》关于生成式AI时代下的企业安全的访谈。
Steve Schmidt说，安全团队的工作是帮助企业了解生成式AI等创新技术的好处和风险，以及如何利用它来提升企业的安全效率。
亚马逊云科技首席安全官Steve Schmidt
生成式AI安全，企业要问三个问题
生成式AI在融入业务的同时也在融入企业的安全当中，Steve Schmidt认为任何企业在谈及使用生成式AI的安全问题时，都必须问自己三个问题：
第一，数据在哪里？
企业需要知道用数据训练模型的整个工作流程中，这些数据来自哪里，以及是如何被处理和保护。
第二，我的查询和任何相关数据会发生什么？
训练数据并不是企业需要关注的唯一敏感数据集，当企业及其用户开始使用生成式AI和大型语言模型时,他们很快就会掌握如何让查询更有效。之后会在查询中添加更多细节和具体要求，从而获得更好的结果。企业使用生成式AI进行查询需要清楚知道生成式AI会如何处理输入进模型的数据以及查询结果。企业查询本身也是敏感的，应该成为数据保护计划的一部分。
第三，生成式AI模型的输出是否足够准确？
从安全角度来看，生成式AI的使用场景定义了风险，不同的场景对准确度的要求是不同的。如果你正在使用大型语言模型来生成定制代码，那么你就必须要确认这个代码是否写得足够好，是否遵循了你的最佳实践等等。
在了解了使用生成式AI的安全问题之后，Steve Smith还给出了利用生成式AI进行创新的三条安全建议：
第一，安全团队说“不”很容易，但不是正确的做法。培训内部员工了解公司关于使用人工智能的政策帮助安全地使用。指导员工使用符合公司人工智能使用政策的方式。对于安全团队来说，说“不”很容易，但对于所有业务团队、开发人员等来说，绕过安全团队也同样容易。
第二，可见性。企业需要通过可见性的工具来了解员工如何使用数据，限制在工作需求之外的数据访问，会监控他们如何使用外部服务访问这些数据。如果发现有不符合政策的情况发生，例如在涉及到非工作需求之外的敏感数据访问，会停止这种行为。在其他情况下，如果员工使用的数据不太敏感，但是可能会违反政策，会主动联系员工去了解真实目的并寻求解决之道。
第三，通过机制解决问题。机制是可重复使用的工具，允许企业随着时间的流失精确地驱动特定的行为。例如，当员工违规操作时，系统会通过如弹窗来提示员工，并建议使用特定的内部工具，并就相关问题进行报告。
为安全服务提供生成式AI能力
安全一直是亚马逊云科技的最高优先级，Steve Schmidt也是亚马逊安全文化的践行者和倡导者之一。
“安全团队要利用开箱即用的生成式AI应用，从代码阶段推动安全行业升级，对任何企业包括亚马逊都是如此。”这是Steve Schmidt对生成式AI提出的建议。
因为利用生成式AI提升安全代码的编写工作能够有效地推动整个行业进入更高级别的安全领域。
Amazon CodeWhisperer代码助手以及新型生成式AI助手Amazon Q，都可以帮助企业生成更好的代码或在软件工程师编写代码时直接提供建议。
Amazon CodeWhisperer是具有内置安全扫描功能的AI编码助手，能够帮助开发者基于注释生成代码，追踪开源参考，扫描查找漏洞，同时对个人开发者免费。它还提供定制化功能，允许企业安全地将CodeWhisperer连接到企业内部代码存储，以提升CodeWhisperer的效果，加快开发任务的完成速度。
Amazon Q可以在Amazon CodeWhisperer中回答开发人员的各种代码相关的问题并附上可一键实施的代码，并提供代码转换功能，以帮助开发者大幅减少应用程序维护和升级所需的繁琐工作，将所需的时间从几天缩短至几分钟。
同时，亚马逊云科技2023 re:Invent全球大会上，亚马逊云科技也推出了具有生成式AI能力的安全服务能力。
Amazon Inspector的Amazon Lambda函数代码扫描功能现在能够利用生成式AI和自动推理实现代码修复。此前的扫描功能能够突出显示问题代码的位置、潜在影响并提供建议，现在生成式AI同能够为多种类别的漏洞创建与情境相关的代码补丁。开发者可以快速进行验证和代码替换等操作，从而快速有效地解决问题。
Amazon Detective现在能够使用生成式AI提供调查发现组摘要，生成式AI可以自动分析调查发现组并以自然语言提供洞察，加快进行安全调查。Amazon Detective服务的目的是让用户更轻松地分析、调查和快速确定潜在安全问题或可疑活动的根本原因。新的生成式AI能力能够为特定用户提供更广泛的安全视角和更多的安全知识。
最近，亚马逊云科技与英伟达最新联合发布中也谈到，GB200将受益于Amazon Nitro系统增强的安全性，在客户端和云端全程保护客户的代码和数据在处理过程中的安全。
Steve Schmidt说，问题不在于安全团队自身想要做什么，而在于确保我们始终帮助我们的客户团队、内部团队，朝着他们的目标向前迈进。