Um framework prático para identificar e priorizar os principais riscos de segurança na infraestrutura de datacenters de IA, abrangendo hardware, redes, planos de gerenciamento e cadeia de suprimentos, com estratégias de mitigação para provedores e clientes.
FORGE - Reforce o metal sob o modelo.
🌐 Website: https://forge-framework.io
Os datacenters de IA estão sendo construídos mais rápido do que estão sendo protegidos.
A rápida expansão de datacenters, nuvens de GPU e ambientes de computação especializados introduziu riscos de segurança em hardware, rede, armazenamento, orquestração, identidade, planos de gerenciamento e operações físicas. Muitos desses riscos se assemelham a problemas tradicionais de segurança de datacenters ou nuvem, mas os datacenters modernos e a infraestrutura de IA alteram sua gravidade: sistemas originalmente projetados para operadores confiáveis agora suportam cargas de trabalho de alto valor e multi-inquilinos de clientes não relacionados.
Os 10 Principais Riscos de Segurança em Datacenters e Infraestrutura de IA fornece uma estrutura prática para identificar, priorizar e reduzir os riscos de segurança mais importantes na camada de infraestrutura que alimenta a IA. A estrutura define os modos de falha mais críticos na infraestrutura de IA e ajuda a traduzi-los em requisitos de segurança concretos.
Esta estrutura concentra-se na segurança da infraestrutura de IA e dos datacenters que a abrigam: o hardware físico, as malhas de rede, os planos de gerenciamento, os sistemas de orquestração, os sistemas de armazenamento e os ambientes operacionais nos quais as cargas de trabalho de IA são executadas.
Ela não se concentra nos próprios modelos de IA nem em riscos da camada de aplicação, como injeção de prompt, comportamento inseguro de agentes, abuso de modelos ou avaliação em nível de modelo. Esses riscos são abordados por estruturas focadas em outras partes da pilha de IA, incluindo o OWASP Top 10 para Aplicações LLM, o MITRE ATLAS, a Estrutura de Gerenciamento de Riscos de IA do NIST e a ISO/IEC 42001. Juntos, esses recursos oferecem aos profissionais uma visão mais completa da segurança de IA, desde a governança e os riscos da camada de aplicação até a infraestrutura de computação subjacente.
Alguns riscos neste documento também existem em ambientes tradicionais de datacenter e nuvem. Eles estão incluídos aqui porque a infraestrutura de IA os torna materialmente mais graves: computação compartilhada de alto valor, clusters de aceleradores complexos, camadas de gerenciamento densas e operações multi-inquilinos podem transformar fraquezas comuns de infraestrutura em riscos de segurança mais severos, pois a probabilidade e o impacto de qualquer incidente são muito maiores do que em implantações tradicionais de software e serviços em nível empresarial.
Provedores de neo-nuvem podem se beneficiar da estrutura como um guia prático para o panorama de ameaças da infraestrutura de IA, revisão da superfície de ataque, endurecimento do ambiente, priorização de segurança e demonstração de maturidade.
Clientes de infraestrutura de IA podem se beneficiar da estrutura como um guia prático para aquisição, revisões de segurança, requisitos contratuais, comparação de provedores e avaliação de resiliência contra comprometimento realista de inquilino para infraestrutura.
Equipes de segurança de nuvem híbrida podem se beneficiar desta estrutura como um guia prático para configurar, manter e proteger sua infraestrutura local contra ataques modernos, que podem alternar rapidamente entre ambientes.
Construída para evoluir com o campo e mantida aberta para que toda a comunidade de IA e segurança possa usá-la, desafiá-la e melhorá-la.
Gostaríamos de agradecer e reconhecer todos os especialistas que participaram da revisão e validação deste documento.
Tem feedback ou quer contribuir? [email protected]
Os domínios FORGE definem a lente de avaliação: as áreas de infraestrutura onde o risco de segurança de IA reside. A Matriz de Riscos abaixo mapeia os riscos individuais nesses domínios.
| Domínio | Nome | Descrição |
|---|---|---|
| F | Integridade da frota | Confiança no hardware, firmware, artefatos de software, imagens, dependências e caminhos de fornecimento que compõem a frota de infraestrutura de IA. |
| O | Operações e planos de gerenciamento | Sistemas privilegiados usados para controlar, automatizar e administrar a infraestrutura de IA, incluindo BMCs, agendadores, orquestração, automação e ferramentas de administração. |
| R | Isolamento de recursos | As fronteiras que separam inquilinos, cargas de trabalho, ambientes de execução e infraestrutura reutilizada em sistemas de IA compartilhados. |
| G | Grade | As malhas de rede e os sistemas de instalação que conectam os clusters de IA e os mantêm alimentados, resfriados e operacionais. |
| E | Evidência e gerenciamento de exposição | As evidências que os clientes precisam para entender a maturidade de segurança do provedor, o escopo arquitetônico, os serviços expostos e a velocidade de correção. |
Os IDs FORGE são ordenados por gravidade, do mais alto ao mais baixo. A matriz agrupa cada risco por domínio e mostra sua probabilidade, impacto e dificuldade de detecção.
| ID | Domínio | Risco | Nível de Risco | Probabilidade | Impacto | Dificuldade de Detecção |
|---|---|---|---|---|---|---|
| FORGE-01 | F | Comprometimento da Integridade de Hardware e Firmware | Crítico | Médio | Grave | Alta |
| FORGE-02 | G | Vulnerabilidades de Rede e Interconexão | Crítico | Médio | Grave | Alta |
| FORGE-03 | R | Isolamento Multi-Inquilino Inseguro e Reutilização de Recursos | Crítico | Baixo | Grave | Muito Alta |
| FORGE-04 | O | Plano de Gerenciamento Fora de Banda Inseguro | Crítico | Médio | Alto | Muito Alta |
| FORGE-05 | F | Comprometimento da Cadeia de Suprimentos da Infraestrutura de IA | Crítico | Alto | Alto | Alta |
| FORGE-06 | G | Sistemas de Gerenciamento de Instalações e Datacenters Inseguros | Alto | Baixo | Alto | Muito Alta |
| FORGE-07 | R | Manuseio Inseguro de Dados e Artefatos | Alto | Alto | Alto | Médio |
| FORGE-08 |
Cada risco segue uma estrutura consistente: Definição, Descrição, Impacto e Modos de Falha, Estratégias de Prevenção e Mitigação (para provedores e para clientes), Cenários de Ataque e Referências.
A velocidade com que o datacenter moderno e a infraestrutura de IA estão sendo construídos está superando em muito a capacidade de protegê-los. Quando essa infraestrutura, clusters de GPU, pipelines de treinamento, redes de alto desempenho e endpoints de inferência, é comprometida, o raio de explosão é diferente da computação convencional. Os atacantes obtêm acesso a modelos proprietários que representam centenas de milhões de dólares, o poder de envenenar dados de treinamento fundamentais e pontos de apoio persistentes nos ambientes mais altamente privilegiados disponíveis.
Essa dinâmica é reforçada por um desequilíbrio estrutural de mercado: a escassez de GPUs dá aos provedores uma alavancagem desproporcional. Quando a demanda por computação acelerada supera em muito a oferta, os clientes muitas vezes não podem escolher seu provedor com base na postura de segurança – eles aceitam o que está disponível. Os provedores enfrentam pouca pressão do mercado para investir em maturidade de segurança, e os clientes aceitam riscos que não tolerariam na nuvem convencional. Esse desequilíbrio é o pano de fundo contra o qual cada risco neste documento deve ser lido. Essa pressão de mercado está se tornando mais perigosa à medida que a pesquisa de segurança habilitada por IA e as capacidades de exploração comprimem o cronograma para os defensores. Fraquezas que antes poderiam permanecer obscuras por anos agora podem ser descobertas, encadeadas e operacionalizadas muito mais rapidamente.
Ao mesmo tempo, a pesquisa de segurança habilitada por IA e as capacidades de exploração estão comprimindo o cronograma para os defensores: fraquezas que antes poderiam permanecer obscuras por anos agora podem ser descobertas, encadeadas e operacionalizadas muito mais rapidamente.
A infraestrutura de IA fica na interseção da computação em nuvem, da computação de alto desempenho e das operações físicas de datacenter. Ela usa componentes familiares, como servidores, armazenamento, redes, agendadores, planos de gerenciamento e sistemas de identidade, mas os combina de maneiras que alteram o modelo de segurança.
Os ambientes tradicionais de HPC eram frequentemente projetados para usuários confiáveis, comunidades de pesquisa ou operadores internos. A infraestrutura moderna de IA suporta cada vez mais cargas de trabalho comerciais, de alto valor e multi-inquilinos de clientes não relacionados. Como resultado, suposições que eram aceitáveis em ambientes confiáveis ou de organização única podem se tornar sérios riscos de segurança quando aplicadas à infraestrutura de IA compartilhada.
Proteger a infraestrutura de IA e os datacenters exigirá colaboração entre provedores de nuvem, fornecedores de hardware e rede, empresas de segurança, integradores de sistemas e clientes. Isso é especialmente importante em áreas como redes de alto desempenho, visibilidade leste-oeste, segmentação, proteção do plano de gerenciamento e controles de segurança de infraestrutura.
Os atacantes já começaram a visar a infraestrutura, as cadeias de suprimentos e os ecossistemas de datacenter que suportam cargas de trabalho avançadas de IA e HPC. Em alguns casos, o objetivo é o roubo direto de pesquisa sensível, modelos ou dados de engenharia; em outros, é espionagem, pré-posicionamento ou a capacidade de interromper ambientes de computação estrategicamente importantes. Relatórios recentes ilustram ambos os padrões:
Estes são exemplos iniciais. A superfície de ataque provavelmente se expandirá à medida que a pilha amadurece, e este documento evoluirá junto com ela.
O risco é melhor compreendido observando os potenciais atacantes. O modelo de ameaça abrange muito mais do que o clássico "atacante externo", e os controles neste documento são calibrados contra o conjunto completo:
Os riscos nesta estrutura concentram-se em modos de falha específicos da infraestrutura de IA ou amplificados por ela. Eles não substituem a necessidade de controles fortes de segurança empresarial. Na prática, muitos ataques contra a infraestrutura de IA podem começar por caminhos familiares de comprometimento empresarial, incluindo MFA fraco ou ausente, phishing, roubo de credenciais, comprometimento de SaaS e controles de identidade fracos.
Esses caminhos devem ser tratados como vetores de acesso inicial transversais. Uma identidade, endpoint, conta SaaS, sistema CI/CD ou credencial administrativa comprometida pode fornecer o ponto de apoio necessário para alcançar vários dos riscos descritos nesta estrutura. Estas seções, portanto, concentram-se no que pode acontecer uma vez que um atacante alcança, ou pode influenciar, o próprio ambiente de infraestrutura de IA.
Os riscos candidatos foram extraídos de:
Cada candidato foi avaliado em quatro dimensões: Probabilidade, Impacto, Explorabilidade e Dificuldade de Detecção, com os riscos de maior pontuação selecionados para inclusão.
Este é um documento vivo. A infraestrutura de IA está evoluindo rapidamente, e os ataques contra ela também. Revisões futuras adicionarão novos riscos, refinarão os existentes e incorporarão lições aprendidas no campo. Feedback e adições propostas por profissionais são bem-vindos e serão creditados na publicação da nova versão.
O conteúdo deste repositório é licenciado sob CC BY-NC-SA 4.0.
| E |
| Lacunas de Certificação e Falhas de Transparência do Provedor |
| Alto |
| Médio |
| Alto |
| Médio |
| FORGE-09 | O | Serviços de Infraestrutura Operacional Inseguros | Alto | Alto | Médio | Médio |
| FORGE-10 | E | Lacunas de Embargo do Fornecedor e Falhas na Velocidade de Correção | Médio | Médio | Médio | Baixa |
