வாங்குவதற்கு முன் AI முகவர் வழங்குநரின் செயல் கட்டுப்பாடுகளை ஒப்பிடவும்

இணைக்கப்பட்ட கணக்குகளில் செயல்படும் AI முகவர் தரவை மாற்றவோ வணிகச் செயல்முறைகளைத் தொடங்கவோ முடியும். வழங்குநரைத் தேர்வதற்கு முன் வணிகப் பொறுப்பாளரும் பாதுகாப்பு ஆய்வாளரும் ஒரு முன்மொழியப்பட்ட பணிப்பாய்வின் கட்டுப்பாடுகளை நிறுவனத்தின் எழுத்துப்பூர்வத் தேவைகளுடன் ஒப்பிடலாம். விளைவு தேதியிட்ட சான்றுப் பதிவு. விடையில்லாத கேள்வி தீர்க்கப்படாததாகவே இருக்கும்; தயாரிப்பின் கூற்று மட்டும் ஒரு செயல் தடுக்கப்படும் என்பதை நிரூபிக்காது. இந்த முறை NIST AI Risk Management Framework Playbook மற்றும் OWASP இன் AI Agent Security Cheat Sheet ஆகியவற்றை அடிப்படையாகக் கொண்டது. இவற்றில் எதுவும் பரிசீலனையிலுள்ள வழங்குநரை மதிப்பிடவில்லை.

முக்கிய மாற்றம்

• என்ன மாறியது: முகவரை வாங்குவதில் வணிக அமைப்புகளில் செயல்களை ஒப்படைப்பதும் அடங்கலாம். யார் முகவரைச் செயல்பட வைக்கலாம், எதன் மீது, யாருடைய ஒப்புதலுடன் என்பதை வாங்குபவர் அறிய வேண்டும்.
• ஏன் இது முக்கியம்: ஒவ்வொரு முன்மொழியப்பட்ட செயலையும் பெயரிடப்பட்ட கட்டுப்பாட்டுடனும் அதன் சான்றுகளுடனும் வாங்குபவர் இணைக்கலாம். அணுகலைக் கட்டுப்படுத்தவோ கொள்முதலை நிறுத்திவைக்கவோ வணிகப் பொறுப்பாளருக்கும் பாதுகாப்பு ஆய்வாளருக்கும் இது உறுதியான அடிப்படையைத் தருகிறது.
• கவனிக்க வேண்டியவை: முடிவு துல்லியமான தயாரிப்புப் பதிப்பு மற்றும் பணிப்பாய்வுக்கான சான்றுகளைச் சார்ந்தது. ஆவணத்தில் காட்டிய கட்டுப்பாட்டை உத்தேசித்த பயன்பாட்டிற்கு ஆய்வாளர் ஏற்கும் முன் மேற்பார்வையிலான செயல்விளக்கம் தேவைப்படலாம்.

நான்கு அடிப்படைத் தகவல்களைத் திரட்டவும்

நிறுவனம் ஒப்புதல் அளித்த, ஏற்கெனவே உள்ள எழுத்துப்பூர்வ இடர் விவரத்தைப் பயன்படுத்தவும். அதில் வணிகப் பொறுப்பாளர், நோக்கிய விளைவு, அனுமதித்த தரவு மற்றும் இலக்குகள், அனுமதித்த செயல்கள், ஒப்புதல் அதிகாரம், ஏற்க முடியாத விளைவுகள், நிறுத்த நிபந்தனைகள் இருக்க வேண்டும். அது இல்லையெனில் வழங்குநரை மதிப்பிடுவதற்கு முன் பொறுப்பாளர்களிடம் அதை வரையறுக்கச் சொல்லவும். அவர்களுக்குப் பதிலாக நிறுவனத்தின் இடர் சகிப்புத்தன்மையை இந்த வழிகாட்டி நிர்ணயிக்க முடியாது.

NIST இன் MANAGE 3.1 வழிகாட்டுதல் நிறுவனத்தின் இடர் சகிப்புத்தன்மையை மூன்றாம் தரப்பு AI அமைப்புகளுக்குப் பயன்படுத்தி அவற்றின் கட்டுப்பாடுகளை ஆவணப்படுத்தக் கோருகிறது. Playbook விருப்பத்தின் பேரில் ஏற்கும் ஆலோசனைகளைத் தருகிறது; அனைவருக்கும் பொருந்தும் கொள்முதல் பட்டியல் அல்ல. கீழே உள்ள செயல் கட்டுப்பாட்டுக் கேள்விகள் OWASP இன் முகவர் சார்ந்த பாதுகாப்பு வழிகாட்டுதலையும் பின்பற்றுகின்றன. இந்தச் சட்டகங்கள் பயனுள்ள கேள்விகளைச் சுட்டுகின்றன; வழங்குநரின் சொந்தச் சான்றுகளே பதில் தர வேண்டும்.

ஒரு வழங்குநரையும் பரிசீலிக்கும் துல்லியமான தயாரிப்பு மற்றும் நிறுவல் பதிப்பையும் குறிப்பிடவும். தற்போதைய தயாரிப்பு ஆவணங்களையும் வழங்குநர் பகிர அதிகாரமுள்ள சான்றுகளையும் பெறவும். பாதுகாப்பு ஆய்வாளருக்கும் கொள்முதல் பொறுப்பாளருக்கும் ஒப்பீட்டுப் பதிவை அணுக அனுமதிக்கவும். உணர்வுப்பூர்வக் கட்டமைப்பு அல்லது சான்றுக் கோப்புகளை ஒப்புதல் பெற்ற தனிப்பட்ட இடத்தில் வைக்கவும். அட்டவணையில் ரகசியங்களை நகலெடுக்காமல் இணைப்புகளை வைக்கலாம்.

1. பணிப்பாய்வைத் தேவைகளாக மாற்றவும்

முகவரின் ஒவ்வொரு முன்மொழியப்பட்ட செயல், இலக்கு அமைப்பு, படிக்க அல்லது மாற்ற வேண்டிய தரவைப் பட்டியலிடவும். படித்தல், எழுதுதல், வெளியில் தெரியும் அல்லது மீட்டெடுக்க முடியாத செயல்களைப் பிரிக்கவும். ஒவ்வொன்றிற்கும் இடர் விவரத்திலிருந்து தொடர்புடைய எழுத்துப்பூர்வத் தேவையை எடுக்கவும்: அனுமதித்த அடையாளம், கருவி மற்றும் இலக்கு வரம்பு, ஒப்புதல், பதிவு, தரவு கையாளுதல், இடைநிறுத்தம், மீட்பு. விவரத்தின் பொறுப்பாளரையும் தேதியையும் பதிவு செய்யவும்.

ஒவ்வொரு தேவைக்கும் தனி வரிசை அமைக்கவும். தெரியாதவை வழங்குநரின் ஒட்டுமொத்த மதிப்பெண்ணில் மறையாமல் தெளிவாகும். ஒரு குறிப்பிட்ட கணக்கை முகவர் ஒருபோதும் அணுகக்கூடாது என்ற தேவைக்கும் அனுமதித்த செயல்போலவே தனி வரிசை தேவை.

2. யார் செய்கிறார், எதை இயக்க முடியும் எனத் தொடரவும்

எந்த மனிதர், சேவைக் கணக்கு அல்லது முகவர் அடையாளம் ஒவ்வொரு செயலையும் தொடங்குகிறது, அணுகல் சான்றுகள் எங்கே உள்ளன, ஒரு முகவர் மற்றொன்றிடம் கோரிக்கையை அனுப்ப முடியுமா என்று கேட்கவும். செயல்படுத்தும்போது அனுமதியைச் சரிபார்க்கும் கூறைக் கண்டறியவும். வழங்குநரின் உண்மையான கருவி அனுமதிகளை விவரத்தில் அனுமதித்த கருவிகள், செயல்பாடுகள், கணக்குகள், இலக்குகளுடன் ஒப்பிடவும். இந்தப் பதிப்பிற்குப் பொருந்தும் அமைப்பு அல்லது கட்டமைப்புச் சான்றுகளைக் கேட்கவும். அறிவுறுத்தலில் உள்ள கூற்று வலியுறுத்தப்படும் எல்லைக்கான பலவீனமான சான்று மட்டுமே.

ஒப்புதல் தேவைப்படும் செயல்களுக்கு, இயக்கத்திற்கு முன் ஆய்வாளர் என்ன பார்க்கிறார், ஒப்புதல் செய்பவர், துல்லியமான கருவி அழைப்பு, இலக்கு, அளவுருக்களுடன் எப்படி இணைகிறது என்று கேட்கவும். ஒப்புதல் காலாவதியானால், மறுக்கப்பட்டால், இருமுறை பயன்படுத்தப்பட்டால் அல்லது கோரிய செயல் மாறினால் என்ன ஆகும் என்பதை அறியவும். அணுகலைத் திரும்பப் பெறுவது எப்படி, நடக்கும் இயக்கத்தை யார் நிறுத்தலாம் எனப் பதிவு செய்யவும். ஒப்புதல் திரையும் செயல்படுத்தும்போதான சோதனையும் வெவ்வேறு கேள்விகளுக்குப் பதிலளிக்கின்றன. விவரம் இரண்டையும் கோரினால் இரண்டிற்கும் சான்று கேட்கவும்.

3. தரவையும் செயல் பதிவையும் பின்தொடரவும்

உள்ளீட்டிலிருந்து மாதிரி, கருவிகள், வெளிப்புறப் பெறுநர்கள், சேமித்த நகல்கள், பதிவுகள் வரையிலான உத்தேசப் பாதையை வரையவும். ஒவ்வொரு கூறும் பெறும் தரவு, யார் மீட்டெடுக்கலாம், சேமித்தலும் நீக்குதலும் எப்படி இயங்குகின்றன என்று கேட்கவும். விவரத்திற்குப் பொருத்தமான துணைச் செயலாக்குநர்கள் அல்லது அமைப்புகளுக்கிடையிலான இடமாற்றங்களைச் சேர்க்கவும். இலக்கு அல்லது சேமிப்புக் காலம் பற்றிய விடையற்ற கேள்வியை தெரியாது எனக் குறிக்கவும். பொதுவான கொள்கை அறிக்கையிலிருந்து தனியுரிமைப் பாதுகாப்பை ஊகிக்க வேண்டாம்.

சம்பந்தப்பட்ட பதிப்பின் செயல்படுத்தல் பதிவைக் கேட்கவும். செயல்படுத்துபவர் மற்றும் கொள்கைப் பதிப்பை முன்மொழிந்த கருவி அழைப்பு, ஒப்புதல் அல்லது மறுப்பு, துல்லியமான இலக்கு, விளைவுடன் ஆய்வாளர் இணைக்க முடியுமா? கொடுத்த பதிவு முடிவை மட்டுமா, உண்மையான இயக்கத்தையா, இரண்டையுமா காட்டுகிறது எனப் பார்க்கவும். திரைப்பிடிப்பு, அமைப்பு ஏற்றுமதி, முழு நிகழ்வுத் தடம் வெவ்வேறு விஷயங்களை நிரூபிக்கின்றன. ஒப்பீட்டைத் தடுக்கும் மறைப்புகளைக் குறிப்பிடவும். அணுகல் சான்றுகளையும் தனிப்பட்ட தரவையும் அட்டவணையில் வைக்க வேண்டாம்.

4. தோல்விக்கான சான்றுகளைக் கேட்கவும்

அனுமதித்த செயல் மற்றும் இடர் விவரம் கோரும் தோல்விப் பாதைகளுக்குப் பதிப்புடன் இணைந்த சான்றுகளைக் கேட்கவும்: மறுத்த அல்லது காலாவதியான ஒப்புதல், வரம்புக்கு வெளியேயுள்ள கருவி அல்லது இலக்கு, இடைமறித்த இயக்கம், பொருந்தும் இடத்தில் பதிவு அல்லது கொள்கைச் சோதனைத் தோல்வி. எதை எப்போது எந்தக் கொள்கை, கருவி அமைப்பில் சோதித்தனர், எதிர்பார்த்த மற்றும் பார்த்த விளைவு என்ன என்று பதிவு செய்யவும். சோதனைத் திட்டம் சான்றுக் கோரிக்கை; பார்த்த விளைவு அல்ல.

பொறுப்புள்ள பாதுகாப்பு ஆய்வாளர் மேற்பார்வையிலான செயல்விளக்கம் தேவையா என முடிவு செய்து அதன் வரம்பை அனுமதிக்கிறார். அனுமதித்த, நேரடி இயக்கத்திற்குப் பயன்படாத உள்ளீடுகளையும் கணக்குகளையும் பயன்படுத்தவும். கொள்முதல் அட்டவணையை நிரப்புவதற்காக மட்டும் நேரடி அமைப்புகளை இணைக்க வேண்டாம். வழங்குநரால் சான்று தர முடியாவிட்டால் சோதனை விளைவை கற்பனை செய்யாமல் குறைபாடையும் அடுத்த கோரிக்கையையும் பதிவு செய்யவும்.

5. முடிவையும் நிலுவைப் பணியையும் பதிவு செய்யவும்

ஒவ்வொரு வரிசையிலும் பொருந்தும் என்பதை இந்தப் பதிப்பு, பணிப்பாய்வின் எழுத்துப்பூர்வத் தேவைக்குக் கொடுத்த சான்று பதிலளிக்கும்போது மட்டுமே குறிக்கவும். முரண்பட்டால் குறைபாடு என்றும், சான்று இல்லையெனில் அல்லது மிகப் பலவீனமாக இருந்தால் தெரியாது என்றும் குறிக்கவும். முரண்பட்ட பதிவுகளையும் தீர்க்க வேண்டியவரையும் பதிவு செய்யவும். பின்னர் வணிகப் பொறுப்பாளரும் பொறுப்புள்ள பாதுகாப்பு ஆய்வாளரும் உண்மையான முடிவை எழுதுகின்றனர்: கூடுதல் சான்று கோருதல், வரம்புள்ள முன்னோட்டச் சோதனைக்கு ஒப்புதல் கோருதல், தள்ளிவைத்தல் அல்லது மறுத்தல். பொருந்தும் என்ற பதிவு சான்றின் மதிப்பீடு; அமைப்பு பாதுகாப்பானது என்ற உத்தரவாதமோ நிறுவனக் கொள்முதல் நடைமுறைக்கு மாற்றோ அல்ல.

பதிவுக்குத் தேதி இடவும். பணிப்பாய்வு, தயாரிப்புப் பதிப்பு, கொள்கை, இணைத்த கணக்குகள் அல்லது தரவு இலக்குகள் மாறினால் பாதித்த வரிசைகளை மீண்டும் பார்க்கவும். பிந்தைய முன்னோட்டச் சோதனைக்கு தனி அனுமதி, வரம்புகள், ஆய்வு தேவை.

பதிவின் தலைப்பு: பணிப்பாய்வும் பொறுப்பாளரும்; இடர் விவரப் பதிப்பும் ஒப்புதல் தேதியும்; பரிசீலிக்கும் தயாரிப்பும் நிறுவல் பதிப்பும்; ஆய்வுத் தேதி; பாதுகாப்பு ஆய்வாளர்; கொள்முதல் பொறுப்பாளர்; அணுகல் கட்டுப்பட்ட சான்றுகளின் இருப்பிடம். முடிவுப் பதிவு: முடிவு, தீர்க்காத வரிசைகள், ஏற்ற வரம்புகள் அல்லது ஈடுசெய்யும் கட்டுப்பாடுகள், பொறுப்பான ஒப்புதல் அளிப்பவர், அடுத்த ஆய்வைத் தூண்டும் நிலை. பொறுப்பாளர்கள் உண்மையில் ஆய்வு செய்யும் வரை புலங்களைக் காலியாக விடவும்.

இந்தக் கேள்விகளை உருவாக்கப் பயன்படுத்திய பொது வழிகாட்டுதலை இலவசமாகப் பெறலாம். ஒப்பீடு தயாரிக்கப் பணியாளர்கள், ஆய்வாளர்களின் நேரம் தேவை. வழங்குநரின் சான்று, ரகசிய அணுகல், அனுமதித்த செயல்விளக்கம் செலவைக் கூட்டலாம் அல்லது சரிபார்க்கக்கூடியதை வரையறுக்கலாம். வழங்குநரிடம் உண்மையான நிபந்தனைகளைப் பெறவும். இந்த ஆவணப் பயிற்சி வழங்குநரைச் சோதிக்காது; சட்ட இணக்கத்தையோ அனைவருக்கும் பொருந்தும் கொள்முதல் அளவுகோலையோ நிறுவாது.

மூலங்களும் கூடுதல் வாசிப்பும்

1. NIST AI RMF Playbook, Manage நிறுவனத்தின் சொந்த இடர் சகிப்புத்தன்மையை மூன்றாம் தரப்பு AI வளங்களுக்குப் பயன்படுத்தி, கட்டுப்பாடுகளை ஆவணப்படுத்தி மதிப்பிடுவதை ஆதரிக்கிறது. AI RMF 1.0 புதுப்பிக்கப்படுவதாகவும் பின்னர் Playbook புதுப்பிக்கப்படும் என்றும் இணையப்பக்கம் சொல்கிறது. பக்கத் திருத்தத் தேதி இல்லை. இது இந்த வழங்குநரை மதிப்பிடுவதில்லை.
2. NIST AI RMF Playbook அறிமுகம் ஆலோசனைகள் விருப்பத்திற்குரியவை என்றும் Playbook முழுவதையும் பட்டியலாகப் பின்பற்ற வேண்டியதில்லை என்றும் சொல்கிறது. இங்கே அட்டவணை வாசகரின் குறிப்பிட்ட பணிக்காக BIG CHANGE தொகுத்தது.
3. OWASP AI Agent Security Cheat Sheet வரம்புள்ள கருவிகள், செயல்படுத்தும் இடத்தில் அனுமதி, செயலுடன் இணைந்த ஒப்புதல்கள், பதிவுகள், தரவுப் பாதுகாப்பு, பதிப்புடன் இணைந்த சரிபார்ப்புச் சான்றுகளை உள்ளடக்குகிறது. தற்போதைய பக்கத்தில் பதிப்பு அல்லது வெளியீட்டுத் தேதி இல்லை. பரிந்துரைகள் சான்றுகளின் வகைகள்; வழங்குநர் அவற்றைச் செயல்படுத்துவதற்கான நிரூபணம் அல்ல.