AI Secure SDLC
Bezpieczny cykl życia oprogramowania dla systemów AI — od pomysłu, przez dane i model, po wdrożenie i wycofanie.
AI sSDLC rozszerza klasyczny secure SDLC o etapy specyficzne dla danych i modeli oraz o kontrole bezpieczeństwa AI (OWASP Top 10 for LLM, MITRE ATLAS).
Powoduje to, że z jednej strony zabezpieczamy samo użycie AI w procesie wytwórczym (rezultatem procesu nie musi być np. model czy system AI), a z drugiej dodajemy dodatkowe "checkpointy" dla rozwiązań stricte AI.
Etapy
Nie ma jednej "dobrej" drogi. Każda organizacja może nieco inaczej układać swoje procesy i rozkładać je na etapy.
Ja lubię dzielić to na 7 etapów, które są zasadniczo zgodne z NIST AI Risk Management Framework:
- Ideacja połączona z planowaniem i projektowaniem,
- Obsługa dostępności i jakości danych,
- Proces wytwórczy - to tutaj właśnie pojawia się AI sSDLC,
- Weryfikacja i walidacja rozwiązania,
- Wdrożenie,
- Monitoring - ML/AIOps,
- Decommissioning, czyli zamknięcie projektu
Przykładowo może to wyglądać tak:
W ramach tego wyodrębniamy proces wytwórczy, który jest określany mianem SDLC - Software Development Life Cycle. Proces taki zazwyczaj ma swój "dokument", w którym określamy kroki i osoby odpowiedzialne za konkretne elementy procesu.
Zazwyczaj obejmuje on następujące etapy (wybaczcie posługiwanie się genAI, ale to coś wygenerowane na mojej bazie wiedzy i z moimi wskazówkami):
Z kolei podejście skoncentrowane już na AI wygląda mniej więcej tak:
Kluczowe jest przy tym zapewnienie tzw. AI checkpoints...
Te AI Checkpoints to nic innego jak pewne dodatkowe kroki, które musimy podjąć, aby dobrze ogarnąć projekt AI (także danowy, bo wcale tak wielkiej różnicy nie ma). Często tego elementu nam jednak brakuje i dlatego w ramach AI Governance przykładamy do tego wagę i tworzymy takie "specyficzne" podejście.
Mogą one wyglądać tak:
W rezultacie pokrywamy odpowiednie ryzyka i zapewniamy, że w przyszłości wszystko będzie odpowiednio zaaopiekowane. Do tematu jeszcze z pewnością wrócimy.
Operacjonalizacja: AI SSDLC
Bezpieczny cykl wytwarzania systemów AI (Secure SDLC dla AI): bramki kontroli, testy adwersarialne i przegląd modelu przed wdrożeniem produkcyjnym.
Aktualizacja: