OWASP发布《AI大模型应用网络安全治理检查清单》
内容提要
全球开源安全组织OWASP发布了《AI大模型应用网络安全治理检查清单（V1.0）》，提供了AI大模型部署应用时的安全原则、部署策略和检查对照表。该清单包括了部署前的准备步骤、部署策略选择、安全检查要点等内容，旨在帮助组织在应用AI大模型时考虑安全问题。
延伸解读
从风险清单到治理清单：OWASP的补充意图
OWASP在2023年6月已发布LLM应用10大风险清单，但许多组织对AI使用事项和起点仍感困惑。本次《检查清单》是对风险清单的完善和补充，旨在提供更全面的关键领域和任务清单，帮助组织在制定大模型战略时增加信任并持续改进。
部署策略的灵活性：便利与可控的平衡
《检查清单》概述了5种大模型部署方式，涵盖从公共消费者应用到私有数据训练专有模型。Dunn指出，充分了解用例敏感性、所需功能和可用资源，有助于组织在便利性与可控制性之间实现正确平衡，从而选择适合自身需求的部署策略。
法律合规的模糊性与跨部门协作
AI大模型应用的法律法规仍不明确，但违规代价高昂。IT、安全和合规部门需紧密合作，确认安全责任、审查用户许可协议和知识产权风险，并更新最终用户协议以防止抄袭、偏见传播或知识产权侵权等法律责任。
技术优化与红队测试：提升安全性的关键实践
微调和检索增强生成（RAG）是优化大模型应用的有效方法，其中RAG被视为更有效、更透明的方式。AI红队测试作为对抗性攻击模拟，应纳入标准测试流程，但需与其他测试形式结合，以全面验证AI系统的安全性。
Q&A
OWASP发布的《AI大模型应用网络安全治理检查清单》主要目的是什么？
该清单旨在帮助组织在应用AI大模型时考虑安全问题，提供安全原则、部署策略和检查对照表，以增加对大模型安全应用的信任，并鼓励持续改进和应用创新。
企业在部署AI大模型之前需要做哪些准备工作？
部署前需要审查网络弹性和安全培训策略，与管理层讨论如何将人工智能纳入工作流程的实施计划，并遵循现有法律法规如GDPR等。
OWASP检查清单中提到了哪些大模型部署策略？
清单概述了5种灵活选择的大模型工具部署方式，组织可根据实际应用需求选择，以在便利性与可控制性之间实现平衡。
在AI大模型应用中，如何管理对抗性风险？
需要仔细研究竞争对手如何投资人工智能，调查对当前安全控制措施的影响，并更新大模型增强攻击的事件响应计划和行动手册。
AI资产盘点应包括哪些内容？
对现有AI服务、工具和所有者进行编目，在资产管理中指定标签，将AI组件列入SBOM，设定数据敏感性，确定测试需求，并创建人员入职流程。
法律合规方面，组织需要关注哪些AI相关风险？
需确认安全责任，审查用户许可协议和知识产权风险，更新条款和条件，审查保险范围，并确保不未经同意收集或共享敏感信息。
什么是AI红队测试，为什么它很重要？
AI红队测试是对AI系统的对抗性攻击模拟，以验证漏洞。它是监管机构建议的做法，应纳入标准测试流程，但不能单独验证所有危害，需结合其他测试形式。
