OpenAI verlangt ab 20. Nov. eine Genehmigung für KI-Gateways

Ein KI-Assistent bei der Arbeit mag wie eine direkte Verbindung zu GPT aussehen, doch ein anderes Unternehmen könnte die Anfragen im Hintergrund verarbeiten. Beschäftigte sehen die Antworten, aber nur selten den Dienst, der den Zugriff auf das Modell bereitstellt.

Ab dem 20. Nov. verlangt OpenAI von KI-Modellroutern und -Gateways, die Dritten direkten Zugriff auf seine Modelle ermöglichen, eine vorherige Genehmigung. Die Änderung führt eine neue Aufsicht für Dienste ein, die Unternehmen über einen Vermittler mit KI-Technologie verbinden.

Für Unternehmen, die solche Vermittler nutzen, wirft die Änderung zwei Fragen auf: Ist ihr Anbieter berechtigt, OpenAI-Modelle anzubieten, und wie sicher geht er mit Unternehmensdaten und Zugangsdaten um?

OpenAI will einheitliche Schutzmaßnahmen bei Modellanbietern

In seiner Ankündigung vom 21. Okt. erläuterte OpenAI, wie Sicherheitsvorkehrungen gelten sollten, wenn Kunden direkt oder über Hosting-Partner und Wiederverkäufer auf seine Modelle zugreifen. Von den teilnehmenden Diensten wird erwartet, dass sie vergleichbare Standards einhalten, damit Nutzer nicht einfach den Anbieter wechseln können, um Beschränkungen zu umgehen.

Der Ansatz umfasst mehrere Maßnahmen in verschiedenen Phasen des Modellzugriffs:

• Vor der Bereitstellung. Modelle werden einer Risikobewertung unterzogen und darauf getestet, ob sich Schutzmaßnahmen umgehen lassen. Programme für vertrauenswürdigen Zugriff legen außerdem Zulassungsvoraussetzungen für einige fortgeschrittene Funktionen fest.
• Während der Nutzung. Die Überwachung erkennt potenziellen Missbrauch. Von Partnern wird erwartet, verdächtige Aktivitäten zu untersuchen und bei Verstößen Maßnahmen zu ergreifen.
• Nach der Durchsetzung. Beschränkungen können neu bewertet werden, wenn Kunden die zugrunde liegenden Probleme beheben. Die derzeit in Entwicklung befindlichen SafetyIDs könnten zudem dabei helfen, einzelne Endnutzer während Untersuchungen zu unterscheiden, ohne ihre Identität gegenüber dem Modellentwickler offenzulegen.

Auch der Datenschutz spielt eine Rolle. OpenAI nannte Private Safety Processing als Möglichkeit, potenziellen Missbrauch über zusammenhängende Interaktionen hinweg zu erkennen, ohne die zugrunde liegenden Kundeninhalte gegenüber OpenAI-Mitarbeitern offenzulegen. Ein Update vom 22. Sept. teilte mit, dass der Zugang für API-Kunden schrittweise freigeschaltet werde.

Genehmigungsregeln unterscheiden Gateways von gewöhnlichen KI-Apps

Die überarbeiteten Nutzungsrichtlinien gelten für Plattformen, die Dritten direkten Zugriff auf OpenAI-Modelle ermöglichen. KI-Gateways können Anfragen über eine gemeinsame Verbindung weiterleiten, sodass Unternehmen mit verschiedenen KI-Systemen arbeiten können, ohne jede Modellintegration separat zu verwalten. Dienste, die diesen vermittelten Zugriff anbieten, müssen eine vorherige Genehmigung einholen.

Anwendungen, die GPT in ihre eigenen Produkte integrieren, werden anders behandelt. Ein Assistent für den Kundensupport oder ein Tool zur Dokumentenerstellung benötigt beispielsweise nicht allein wegen der Nutzung dieser Technologie eine Genehmigung. Bestehende vertragliche Berechtigungen bleiben gültig, und frühere Richtlinien bleiben bis zum 20. Nov. in Kraft.

Die Ankündigung enthält weder eine Liste genehmigter Gateways noch eine Erklärung dazu, wie bestehende Vermittler vor dem 20. Nov. eine Prüfung beantragen sollen.

Was eWeek herausgefunden hat: Gateway-Angriffe zeigen Risiken auf, die eine Genehmigung möglicherweise nicht verhindert

Um zu untersuchen, wie die geplante Aufsicht von OpenAI helfen könnte, wenn ein KI-Vermittler kompromittiert wird, untersuchte eWeek ein aktuelles Beispiel aus der Praxis im Zusammenhang mit LiteLLM und prüfte dessen Sicherheitsmitteilung vom März, nachfolgende Sicherheitsverbesserungen sowie den Vorfallbericht vom 21. Okt.. Die Untersuchung ergab eine wiederkehrende Sicherheitslücke in der Software, der Kunden vertrauen, um eine Verbindung zu KI-Modellen herzustellen.

Die während des Vorfalls im Oktober verbreitete Malware konnte Zugangsdaten stehlen und die Ausführung von Code aus der Ferne ermöglichen. Besonders bedenklich: Das legitime GitHub-Quell-Tag von LiteLLM enthielt keine Schadsoftware, da die Angreifer die infizierten Releases aus einem separaten, von ihnen kontrollierten Repository erstellt hatten. Betroffene Kunden wurden angewiesen, alle erreichbaren Geheimnisse als kompromittiert zu behandeln, obwohl der private Enterprise-Release des Projekts nicht betroffen war.

Der Plan von OpenAI könnte helfen, wenn gestohlene Zugangsdaten eines Anbieters anschließend für verdächtige Modellanfragen verwendet würden. Die Zusammenarbeit mit genehmigten Vermittlern könnte Untersuchungen und die Durchsetzung von Maßnahmen über die teilnehmenden Dienste hinweg unterstützen, während SafetyIDs dabei helfen könnten, legitime Nutzer zu unterscheiden, wenn diese Kennungen die Anfragen begleiten. Keine der beiden Maßnahmen würde jedoch unabhängig die Integrität heruntergeladener Gateway-Software überprüfen. Der Unterschied ist auch bei OpenAIs Offenlegungen zu KI-Verhalten, das beabsichtigte Grenzen überschritten hat relevant: Informationen, die bei der Untersuchung eines Problems helfen, verhindern das Problem nicht selbst.

Die Vorfälle bei LiteLLM stehen nachweislich in keinem Zusammenhang mit der Genehmigungsentscheidung, zeigen aber, warum eine Autorisierung allein keine Gateway-Sicherheit garantieren kann. 

Vor dem 20. Nov. sollten Unternehmen ihre Gateway-Anbieter fragen, ob die Genehmigungspflicht für ihren Dienst gilt, welche Autorisierung sie besitzen und ob die Prüfung den weiteren Zugang zu OpenAI-Modellen beeinträchtigen könnte. Die Ankündigung lässt diese anbieterspezifischen Fragen unbeantwortet.

Sicherheitsteams sollten außerdem klären, auf welche Zugangsdaten ihre Gateways zugreifen können, wer Software-Releases autorisieren darf und wie sie nach einer Kompromittierung den Zugriff widerrufen und eine vertrauenswürdige Bereitstellung wiederherstellen würden. Die Ergebnisse von Bewertungen der Cloud- und Identitätssicherheit unterstreichen, warum übermäßige Berechtigungen und offengelegte Zugangsdaten neben dem ursprünglichen Eindringen überprüft werden müssen.

Für Beschaffungsteams besteht die praktische Konsequenz in einer umfassenderen Anbieterprüfung: Die Auswahl eines KI-Modells bedeutet auch, den Vermittler zu bewerten, der es bereitstellt. Für die Autorisierung des Anbieters, die Kontrollen bei Software-Releases und die Reaktion auf Vorfälle sollte jeweils ein Nachweis vorliegen.

Weitere Nachrichten: Nvidia bringt KI-gestützte Überwachung in GPU-Cluster, wobei Minerva Infrastrukturprobleme erkennen soll, bevor sie Workloads unterbrechen.