هوش مصنوعی محرمانه: حفاظت از پرامپت‌ها و وزن‌های LLM با انکلاو و VPN

به‌کارگیری گسترده مدل‌های بزرگ زبان (LLM) در پزشکی، تحلیل‌های مالی، صنایع دفاعی و توسعه نرم‌افزارهای تجاری با یک تناقض بنیادین در امنیت داده‌ها مواجه است. سازمان‌ها برای استنتاج مدل‌های چند ده میلیارد پارامتری به خوشه‌های محاسباتی پرقدرت ابری با شتاب‌دهنده‌های پیشرفته نیاز دارند. اما انتقال کدهای محرمانه یا اطلاعات هویتی و پزشکی کاربران به زیرساخت‌های متفرقه ابری، اصل اعتماد صفر (Zero-Trust) را نقض می‌کند.

رمزنگاری مرسوم در لایه انتقال تنها ارتباط میان کلاینت و ورودی ابر را امن می‌سازد. به محض رسیدن بسته‌ها به سرورهای ابری، عملیات رمزگشایی پروتکل TLS محتوای خام را در حافظه اصلی، بافرهای سیستم‌عامل میزبان و فضای اجرایی هایپروایزر در دسترس قرار می‌دهد.

برای برطرف ساختن این رخنه، سامانه‌های مدرن دو لایه حفاظتی مستقل را ترکیب می‌کنند: محیط‌های اجرای مورد اعتماد سخت‌افزاری (Confidential Computing TEE) و شبکه‌های خصوصی مجازی لایه ۳ متصل به درون انکلاو. با پایان دادن به تونل‌های رمزنگاری در دل میکرو ماشین‌های مجازی ایزوله، پرامپت‌های حساس کاربران، تانسورهای محاسباتی و وزن‌های مدل از دسترس هایپروایزر و اپراتورهای سرور دور می‌مانند.

معمای حریم خصوصی در هوش مصنوعی: ناکارآمدی TLS استاندارد در مرزهای ابری

پروتکل TLS 1.3 استاندارد پایه‌ای برای رمزگذاری داده‌ها در بستر شبکه است. در معماری‌های رایج ابری، کلاینت سازمانی درخواست‌های HTTPS را به درگاه‌های واسط یا پروکسی‌های معکوس ارسال می‌کند.

گرچه TLS مانع از استراق سمع در طول مسیر شبکه می‌شود، اما حفاظت آن در نقطه رمزگشایی پایان می‌یابد. در سرورهای اشتراکی چندکاربره، ارتباط ورودی روی لودبالانسر یا هسته سیستم‌عامل میزبان فیزیکی رمزگشایی می‌شود. در همین لحظه، چندین آسیب‌پذیری حیاتی بروز می‌یابد:

1. دامپ حافظه سرور (RAM Dumps): فرآیندهای دارای دسترسی ریشه یا هایپروایزرهای نفوذپذیر (KVM، Xen، Hyper-V) می‌توانند از حافظه رم نسخه کپی بردارند و متن پرامپت‌ها را مستقیما از صف سوکت‌ها استخراج کنند.
2. افشای کش Key-Value: در حین تولید کلمات جدید، مدل تانسورهای کلید و مقدار را در رم ذخیره می‌کند تا سرعت محاسبات افزایش یابد. این داده‌های رمزنشده امکان بازسازی مکالمات کاربران را فراهم می‌سازند.
3. سرقت وزن‌های مدل: وزن‌های اختصاصی مدل که در رم سرور ذخیره شده یا از طریق گذرگاه PCIe بدون رمزنگاری منتقل می‌شوند، توسط پرسنل زیرساخت قابل استخراج هستند.

توافق‌های قراردادی جایگزین تمهیدات فنی نیستند. امنیت جریان داده باید از طریق رمزنگاری سخت‌افزاری تضمین شود.

کالبدشناسی ماشین‌های مجازی محرمانه: AMD SEV-SNP، Intel TDX و انکلاوهای NVIDIA

رایانش محرمانه (Confidential Computing) با استفاده از ماشین‌های مجازی محرمانه (CVM)، داده‌ها را حین پردازش امن نگه می‌دارد. ساختارهای سیلیکونی پیشرو در این حوزه عبارتند از:

• فناوری AMD SEV-SNP: ماشین‌های مجازی مهمان را از طریق رمزنگاری سخت‌افزاری حافظه از هایپروایزر مجزا می‌سازد. صفحات حافظه با شناسه‌های یکتای VMID برچسب‌گذاری شده و توسط موتورهای AES در کنترلر رم به صورت آنی رمزگذاری می‌شوند تا امکان خواندن و تزریق کد مسدود شود.
• فناوری Intel TDX: محیط مهمان را در حوزه‌های اعتماد (Trust Domains) ایزوله می‌کند. یک ماژول سخت‌افزاری درون پردازنده، سیاست‌های دسترسی میان هایپروایزر و حافظه رم را بررسی و اعمال می‌نماید.
• رایانش محرمانه NVIDIA در معماری Hopper (H100/H200): ایزولاسیون سخت‌افزاری را مستقیما به پردازنده‌های گرافیکی تعمیم می‌دهد. فایروال‌های مجتمع روی چیپ از حافظه با پهنای باند بالا (HBM3) محافظت می‌کنند و ترافیک گذرگاه PCIe با الگوریتم سخت‌افزاری AES-GCM-256 رمزگذاری می‌شود.

سطوح آسیب‌پذیری: استخراج حافظه توسط هایپروایزر و افشای کش KV

اجرای موتور استنتاج درون یک CVM مانع خواندن مستقیم تراشه‌های رم می‌شود، اما مسیر ترافیک شبکه ورودی را به خودی خود ایمن نمی‌سازد. هایپروایزر همچنان بر شبیه‌سازی کارت‌های شبکه، جداول صفحات رم و وقفه‌های سخت‌افزاری نظارت دارد.

بدون یک تونل احراز هویت شده، هایپروایزر کارت‌های شبکه مجازی (virtio-net) را مدیریت می‌کند. چنانچه رمزگشایی در خارج از انکلاو صورت پذیرد، داده‌ها پیش از ورود به محیط امن به صورت متن ساده در دسترس خواهند بود.

افزون بر این، دسترسی مکرر به کش KV در پردازش‌های طولانی خطرات کانال‌های جانبی را پدید می‌آورد. تغییرات زمانی محسوس در گذرگاه رم به مهاجم روی همان پردازنده فیزیکی اجازه می‌دهد طول متن و الگوی پرامپت‌ها را حدس بزند.

موتورهای رمزنگاری سخت‌افزاری رم و معماری تصدیق اعتبار تراشه

کنترلرهای حافظه مدرن مجهز به موتورهای سخت‌افزاری رمزنگاری AES با حالت XTS (AES-XTS-256) هستند. هر عملیات نوشتن از کش CPU به حافظه رم فورا رمزگذاری شده و هر عملیات خواندن با اعتبارسنجی دقیق همراه است.

جدول Reverse Map Table در فناوری AMD از حملات بازپخش داده‌های رمزنگاری شده قبلی جلوگیری می‌کند. در صورت عدم تطابق داده‌ها، پردازنده وقفه سخت‌افزاری ایجاد کرده و پردازش را در کسری از ثانیه متوقف می‌سازد.

اتصال کلاینت‌ها به انکلاو: چالش ارتباط شبکه روی میزبان نامطمئن

گره اصلی معماری در استنتاج امن هوش مصنوعی، برقراری ارتباط رمزگذاری‌شده مستقیم از کلاینت به نرم‌افزار درون انکلاو بدون نیاز به اعتماد به هایپروایزر است.

در سازوکار استاندارد ابری:

1. بسته‌ها وارد هسته لینوکس سرور میزبان می‌شوند.
2. پل‌های شبکه بسته را به رابط مجازی tap هدایت می‌کنند.
3. هایپروایزر بسته را از طریق بافرهای اشتراکی virtio-net به ماشین مهمان می‌رساند.

رمزگشایی در سطح سیستم‌عامل میزبان، محرمانگی را نابود می‌کند. راهکار اصولی، برقراری یک شبکه هم‌پوشان رمزنگاری شده سرتاسری است که انتهای آن درون هسته انکلاو قرار دارد.

+-----------------------------------------------------------------------+
| کلاینت سازمانی =====(تونل رمزنگاری‌شده RiceGuard / WireGuard)=========> |
|   v                                                                   |
| کارت شبکه میزبان --> عبور مستقیم virtio-net (بسته‌های مبهم UDP)       |
|   v                                                                   |
| [ مرز سخت‌افزاری TEE انکلاو: AMD SEV-SNP / Intel TDX ]                |
|   v                                                                   |
| کارت شبکه TUN درون انکلاو (`wg0`) --> سوکت محلی --> موتور vLLM        |
+-----------------------------------------------------------------------+

معماری شبکه با اعتماد صفر: ایجاد مش‌های VPN لایه ۳ برای جریان‌های هوش مصنوعی

برای دستیابی به ایزولاسیون کامل، تیم‌های مهندسی از پروتکل‌های رمزنگاری در لایه هسته CVM بهره می‌گیرند. پروتکل WireGuard که بر مبنای چارچوب محاسباتی Noise توسعه یافته، بستری بسیار کارآمد و مطمئن است.

با قرارگیری مستقیم در پشته شبکه هسته لینوکس و ارائه رابط (tun / wg0)، تمامی ترافیک ورودی در هنگام عبور از حافظه هایپروایزر کاملا رمزنگاری‌شده باقی می‌ماند و سیستم میزبان صرفا بسته‌های تصادفی UDP را رصد می‌کند.

خاتمه مستقیم تونل‌های رمزنگاری در دل میکرو ماشین‌های مجازی انکلاو

با به‌کارگیری هایپروایزرهای سبک میکرو وی‌ام (مانند Cloud Hypervisor یا QEMU-SNP) در کنار CVM، حجم سیستم‌عامل به کمترین حد کاهش می‌یابد.

درون میکرو وی‌ام:

• هسته لینوکس با قابلیت CONFIG_WIREGUARD (فعال) و بدون ماژول‌های اضافی کامپایل می‌شود.
• رابط WireGuard مستقیما با کارت مجازی virtio-net همگام می‌گردد.
• کلیدهای رمزنگاری صرفا در صفحات امن رم انکلاو تولید و نگهداری می‌شوند.
• موتور هوش مصنوعی (مانند vLLM) تنها روی آدرس محلی یا آی‌پی شبکه اختصاصی WireGuard به شماره (10.100.0.2) گوش فرا می‌دهد و اتصالات ناشناس را پس می‌زند.

تصدیق اصالت سخت‌افزاری از راه دور: احراز هویت انکلاو از طریق شبکه پوششی

رمزنگاری کانال ارتباطی مانع استراق سمع می‌شود، اما ماهیت کد در حال اجرا در سمت سرور را اثبات نمی‌کند. اپراتور سرور نامطمئن می‌تواند یک ماشین مجازی عادی با آدرس آی‌پی و کلید عمومی مشابه ایجاد کند.

برای جلوگیری از این فریب، از رویکرد تصدیق هویت سخت‌افزاری از راه دور (Remote Attestation) استفاده می‌شود:

1. محاسبه مقادیر هش: در زمان بوت، پردازنده امنیتی مقادیر هش سیستم‌عامل، کرنل و تنظیمات اجرایی را در رجیسترهای PCR ثبت می‌کند.
2. گزارش تصدیق سخت‌افزاری: سیستم مهمان گزارشی با امضای کلید کارخانه‌ای تعبیه‌شده در پردازنده از سازنده دریافت می‌کند.
3. استفاده از Nonce: کلاینت یک رشته تصادفی یک‌بارمصرف ارسال می‌کند تا از حملات تکرار جلوگیری شود.
4. تلفیق کلید عمومی WireGuard: کلید عمومی کارت شبکه WireGuard درون فیلد داده‌های کاربر (USER_DATA) در گزارش سخت‌افزاری درج می‌گردد.

با تایید زنجیره گواهی دیجیتال توسط کلاینت در برابر گواهی سازنده تراشه، اصالت محیط امن و مالکیت کلید شبکه بدون هیچ تردیدی به اثبات می‌رسد.

+-----------------------------------------------------------------------+
| کلاینت ---> ۱. ارسال درخواست اتصال به همراه رشته تصادفی ---> انکلاو    |
| کلاینت <--- ۲. دریافت گزارش سخت‌افزاری امضا شده <--- [امضای کارخانه]  |
| [اعتبارسنجی امضای سیلیکون، تطبیق مقادیر PCR و کلید عمومی WG]          |
| کلاینت ===> ۳. برقراری تونل رمزنگاری‌شده RiceGuard ===> [کارت شبکه]   |
| کلاینت ===> ۴. ارسال پرامپت‌ها و داده‌های خصوصی AI ===> [موتور LLM]   |
+-----------------------------------------------------------------------+

فناوری تونل‌سازی RiceGuard: دفاع لایه‌ای برای بارهای پردازشی هوش مصنوعی

سرویس VPNRice این چارچوب‌های فنی را در موتور تونل‌سازی اختصاصی خود موسوم به RiceGuard پیاده‌سازی کرده است. این فناوری با تمرکز بر توان عملیاتی بسیار بالا و حداقل تاخیر برای ارتباط مستقیم با انکلاوها بهینه‌سازی شده است:

• پردازش سریع در لایه کرنل: رابط لایه ۳ اختصاصی RiceGuard ترافیک داده را با سرعت خط و بدون تاخیرهای ناشی از جابجایی کانتکست پردازش می‌کند.
• احراز هویت دوطرفه با اعتماد صفر: تمامی بسته‌ها در بیرونی‌ترین لایه با کلیدهای نامتقارن ارزیابی شده و بسته‌های غیرمجاز حذف می‌گردند.
• پوشش جریان‌های داده در کانال‌های جانبی: برای جلوگیری از حدس زدن اندازه پرامپت‌ها در هنگام ارسال توکن‌های متوالی، RiceGuard از الگوریتم‌های منظم‌سازی ارسال و افزودن بیت‌های پدینگ بهره می‌برد.

اتصال پایدار RiceGuard میان ایستگاه‌های کاری شرکت و انکلاوهای پردازش هوش مصنوعی در ابر، هرگونه نفوذ و نشت اطلاعات را ناممکن می‌سازد.

سنجش تاخیر استنتاج: هزینه‌های عملکردی رمزنگاری رم و کپسوله‌سازی شبکه

آزمایش‌های میدانی روی سرورهای مجهز به ۸ پردازنده گرافیکی NVIDIA H100 SXM5 و پردازنده‌های AMD EPYC 9654 نشان می‌دهد رمزنگاری رم و سربار شبکه تاثیری ناچیز بر فرآیند محاسبات دارد:

از آنجا که سرعت پردازش مدل‌های هوش مصنوعی اساسا تحت تاثیر پهنای باند حافظه گرافیکی HBM3 و واحدهای ضرب تانسوری است، رمزنگاری در رم پردازنده کمتر از ۳ درصد بر خروجی کل تاثیر می‌گذارد. بازگشایی بسته‌های شبکه درون انکلاو نیز در کمتر از یک میلی‌ثانیه صورت می‌گیرد و عملکرد بلادرنگ حفظ می‌شود.

مقایسه معماری: ورودی سنتی ابر در برابر شبکه مش امن انکلاو با VPN

تفاوت بنیادین در نقاط پایان اعتماد میان رویکرد مرسوم و معماری انکلاو در جدول زیر تبیین شده است:

+----------------------------------------------------------------------------------------+
| مولفه فنی                 | اتصال سنتی به ابر           | شبکه مش انکلاو با تونل VPN   |
+---------------------------+-----------------------------+------------------------------+
| محل رمزگشایی ترافیک ورودی | پروکسی معکوس روی سیستم میزبان| درون هسته ماشین مجازی انکلاو |
| حفاظت سخت‌افزاری از رم     | غیرفعال (متن ساده در رم)    | فعال (رمزنگاری AES-XTS-256)  |
| ایزولاسیون پردازنده گرافیک| درایورهای اشتراکی میزبان     | انکلاو سخت‌افزاری H100       |
| گواهی اصالت سامانه        | گواهینامه‌های معمول TLS     | امضای کارخانه‌ای روی سیلیکون |
| مدل اعتماد به عوامل میزبان| اعتماد کامل به زیرساخت ابر  | اعتماد صفر و اثبات ریاضی     |
+----------------------------------------------------------------------------------------+

دستورالعمل مهندسی: پیاده‌سازی زیرساخت استنتاج خصوصی و مقاوم

برای استقرار سامانه‌های امن استنتاج سازمانی، تیم‌های زیرساخت باید این قواعد را رعایت کنند:

1. فعال‌سازی قابلیت‌های CVM در هایپروایزر: پارامترهای پشتیبانی از AMD SEV-SNP یا Intel TDX را فعال نموده و صفحات حافظه رمزگذاری‌شده را به ماشین استنتاج اختصاص دهید.
2. حذف پروکسی‌های میانی میزبان: ترافیک بسته‌های UDP ورودی را مستقیما به رابط‌های شبکه میکرو وی‌ام ارسال کنید و از رمزگشایی در فضای میزبان بپرهیزید.
3. تولید کلیدهای امن درون انکلاو: کلیدهای اختصاصی WireGuard را پس از بوت و فقط در حافظه رم رمزنگاری‌شده بسازید تا هرگز روی حافظه ذخیره‌سازی میزبان ذخیره نشوند.
4. الزام اعتبارسنجی با رشته تصادفی: فرآیند بررسی گواهی سخت‌افزاری را در سمت کلاینت اجباری کنید تا در صورت هرگونه مغایرت در مقادیر رجیسترهای PCR، اتصال فورا قطع شود.
5. بهینه‌سازی حداقلی سیستم‌عامل: ایمیج‌های مهمان را بر مبنای توزیع‌های سبک با حذف سرویس‌های غیرضروری مانند SSH پیکربندی نمایید.
6. تنظیم فایروال انکلاو در لایه ۳: فایروال داخلی را طوری تنظیم کنید که تنها بسته‌های دریافتی از تونل تاییدشده مجاز به ورود باشند.

ترکیب انکلاوهای امن سخت‌افزاری با شبکه‌های رمزگذاری‌شده مستقیم، این امکان را فراهم می‌آورد تا بدون به خطر افتادن حریم خصوصی و امنیت داده‌های محرمانه، از قدرت پردازش ابری هوش مصنوعی بهره‌مند شد.