Microsoft、エッジAI向け「証拠ゲート」を提案：実行環境とモデルのサプライチェーンを同時に検証

Microsoftは、顧客が所有するエッジ環境を対象としたAIセキュリティアーキテクチャを公開した。その中核は、セキュリティモデルをもう一つ追加することではなく、機密資産を提供する前に「証拠ゲート」を設けることにある。エッジ推論では、モデルの重み、検索データ、エージェント定義、ツールの認証情報、物理デバイスの制御権が、ベンダーが直接管理できない場所へ移される。攻撃者がファームウェア、ドライバー、モデルファイル、入力コンテンツに同時にアクセスする可能性があるため、アプリケーションバイナリへの署名だけでは、信頼できる状態を十分に表現できない。

このアーキテクチャでは、検証を二つのチェーンに分ける。第一は実行環境のアテステーションだ。ハードウェアルートオブトラストがevidenceを生成し、verifierがポリシーに従ってファームウェア、オペレーティングシステム、ドライバー、アクセラレーターが承認済みベースラインに適合しているかを判定したうえで、復号鍵やID認証情報を提供するかどうかを決める。これは、IETF RFC 9334のAttester、Verifier、Relying Partyモデルに対応する。第二は成果物の来歴だ。モデルの重み、プロンプト、ツール記述、エージェント設定、検索インデックスには、ビルド元と入力の完全性に関する情報を付与すべきである。SLSA provenanceを使用すれば、成果物を生成したビルド定義、依存関係、builderを記述できる。

Microsoftはまた、モデルの出力はアクションを「提案」するだけにとどめるべきだと主張している。モデルの外部にある決定論的なmediatorが、許可リスト、パラメーター範囲、レート制限、オンデマンドの認証情報提供に基づいて認可を行う。不可逆な操作や重大な影響を及ぼす操作には、引き続き人間による承認または安全インターロックが必要となる。アテステーションも一度限りの通行証にしてはならず、有効期限付きのリースとして扱い、デバイスの状態が変化した後には再検証する必要がある。

この記事が提示するのは設計パターンであり、ダウンロード可能な製品、リファレンス実装、性能研究ではない。リモートアテステーションが証明できるのも、測定値がポリシーに適合していることだけであり、モデル、検索ドキュメント、許可済みアクション自体の安全性を証明するものではない。GPU／NPUドライバー、DMAパス、物理攻撃によって、Trusted Computing Base（TCB）はさらに拡大する。エンジニアリングチームが次に注目すべきなのは、CPU、アクセラレーター、モデル成果物を横断する共通の証拠形式と、オフラインのデバイスでベースラインを更新し、信頼を失効させ、fail-closedを維持する方法である。