导读

在亚马逊云科技，保护客户工作负载的安全性和机密性是首要任务。亚马逊云科技 Artificial Intelligence（AI）基础设施和服务具有内置的安全和隐私功能，让客户能够控制自己的数据。参加本次会议，了解亚马逊云科技如何在生成式AI技术栈的三个层面考虑安全问题，从底层基础设施，到中间层（提供对所有模型的便捷访问以及客户构建和扩展生成式AI应用所需的工具），再到顶层（包括利用LLM和其他FM来简化工作的应用）。

演讲精华

以下是小编为您整理的本次演讲的精华。

在2024年的亚马逊云科技 re:Invent大会上，有一场关于亚马逊云科技确保生成式人工智能(AI)安全的深入探讨。亚马逊云科技的首席安全专家解决方案架构师Jason Garmin在公司工作了大约两年半时间，他上台阐述了公司应对这项新兴技术所带来的风险和挑战的策略。

Garmin首先介绍了亚马逊云科技用于定义负责任AI的八个维度。他承认这些维度的广泛性，因此提出了一种务实的方法，将负责任AI分解为两个总括性类别，以便于理解。

会议的一大部分专门阐述了Nitro系统，这是亚马逊云科技安全虚拟化和硬件基础设施的基础组件。Garmin追溯了Nitro系统的演变历程，强调它与传统的软件虚拟化EC2实例模型(直到2012年仍普遍存在)的分离。Nitro系统代表了一种范式转变，其中绝大部分之前运行在与客户实例相同硬件上的亚马逊云科技软件和功能已被迁移到精心设计用于特定用途的专用硬件设备上，例如提供VPC服务、EBS存储和实例存储。

这一架构重塑最终导致了Nitro hypervisor的诞生，这是一种极其轻量级的类固件hypervisor，用于为虚拟机分配内存和CPU资源，同时将自身占用空间最小化。Nitro系统的三个核心组件——Nitro卡、Nitro安全芯片和Nitro hypervisor——共同建立了坚不可摧的硬件根信任，使亚马逊云科技能够确定在其全球设施的每台服务器上运行的确切软件。

Garmin强调了Nitro系统在支持亚马逊云科技加速实例类型方面的关键作用，这对客户的生成式AI应用程序至关重要。这包括由亚马逊云科技自身设计的加速器，如Inferentia、Trinium和Trinium 2，以及来自合作伙伴的GPU，如NVIDIA和英特尔的Gouté加速器。一份详细阐述Nitro系统安全设计的深入白皮书已经发布，并经过第三方机构NCC集团的验证，进一步巩固了亚马逊云科技对透明度和安全性的承诺。

在Nitro系统的显著安全功能中，Garmin重点介绍了Nitro TPM，这是一种可供EC2实例使用的标准TPM 2.0设备，支持对实例状态进行加密认证、安全存储和生成加密数据，以及远程身份验证。此外，Nitro Enclaves可在EC2实例边界内建立隔离的计算环境，并具有认证功能和与Amazon Key Management Service (KMS)的集成。

Garmin提供了一个Nitro Enclaves在生成式AI领域的令人信服的用例，说明它们如何能够在EC2实例内保护高度敏感的数据。通过将通用软件领域与负责处理敏感数据的特定代码分离开来，Nitro Enclaves引入了额外的隔离和安全层。它们的默认配置禁止存储、远程访问和直接基于IP的网络连接，确保唯一的通信渠道是与父EC2实例的安全本地连接。

此外，Garmin阐述了保密推理的概念，客户可以构建一个可信、强化和受约束的环境，用于加载和执行封闭的计算环境。这些实例可以访问ML加速器和Nitro TPM，从而能够加密证明其身份是一个安全、保密和受约束的环境。这种能力有助于对代码行为和提供敏感信息进行推理时的相关保证做出假设。亚马逊云科技已宣布计划将Nitro系统的端到端保护扩展到ML加速器，使客户能够使用自己的密钥加密敏感AI数据，将数据存储在自选位置，并安全地将加密数据传输到隔离的保密计算环境中，对其最敏感的数据进行推理。这一规划支持将适用于即将推出的基于NVIDIA GPC200 NVL 72的平台以及Trinium 2。

转向生成式AI工具层，Garmin重点介绍了Amazon Bedrock，这是亚马逊云科技提供大规模基础模型访问的旗舰服务。Bedrock加速了生成式AI应用程序的开发，无需管理基础设施，提供简单的API和来自各种来源(包括第一和第三方提供商)的基础模型选择。本周，亚马逊云科技宣布在Amazon Nova品牌下推出了几种新模型，包括用于视频和文本的多模态模型，以及来自Anthropic和Meta的模型。

Bedrock设计的一个基石是对数据安全、隐私和安全的坚定承诺。Garmin明确表示，客户数据绝不会用于训练底层基础模型，也不会与第三方或亚马逊云科技本身共享。客户数据在传输过程中使用TLS 1.2作为最低标准进行加密，在静态时利用Amazon Key Management Service (KMS)进行加密。此外，Bedrock还支持通过VPC端点进行私有访问，进一步增强了数据隐私。

Garmin深入探讨了Bedrock的架构细节，说明了数据流和职责分离。客户数据永远不会与基础模型交互;相反，它由一个编排层处理，根据所选模型确定适当的计算堆栈。一个单向箭头确保只有基础模型工件被加载到计算实例中，防止任何客户数据影响模型。

Bedrock与第三方模型(如Meta的LLaMA和Anthropic的Claude)的集成遵循严格的安全实践。模型提供商被分配专用的亚马逊云科技账户，用于将其模型工件上传到S3，并在升级到生产环境时，这些工件被复制到模型部署账户，确保职责分离和最小特权访问。

Bedrock的安全功能得到了亚马逊云科技基础安全服务的补充，包括CloudTrail用于审计API调用、CloudWatch用于可选地记录提示和完成情况(使用客户管理的KMS密钥进行加密)、IAM用于访问控制，以及GuardDuty用于检测异常活动模式。

Garmin强调了治理和可审计性的重要性，重点介绍了Bedrock通过CloudTrail监控API活动、使用CloudWatch跟踪使用情况指标以及支持合规性标准的能力。然而，他警告说，确保生成式AI的安全性不仅仅局限于基础模型，真正的价值在于将这些模型与敏感的企业数据相集成。

会议讨论了三种将生成式AI与企业数据安全集成的主要模式:检索增强生成、AI代理和模型定制。检索增强生成涉及搜索现有知识语料库以获取相关信息来增强用户提示，而AI代理可能会根据用户查询进行外部API调用或采取行动。模型定制则是通过新数据来增强基础模型，从而创建一个全新的模型工件，具有不同的模型权重。

Garmin倡导采用零信任策略，并在生成式AI应用程序生命周期的各个阶段实现无处不在的授权，从用户输入到最终响应。这种方法确保了身份被跟踪，并在管道的每个阶段应用确定性的、可审计的安全控制。

为了说明这一概念，Garmin展示了一个简化的生成式AI应用程序架构图。用户与编排引擎或代理交互，后者利用用户身份信息在访问数据或进行API调用时做出授权决策。当数据进入基础模型时，只有用户被授权访问的信息和操作被包含在内，从而降低了模型本身做出安全决策的权力。

除了传统的安全控制之外，Garmin还介绍了Bedrock Guardrails，这是一项旨在增强AI安全性的服务。无论使用何种基础模型，Bedrock Guardrails都可以根据可配置的规则和阈值评估提示和模型响应。这些规则可以过滤有害内容、越狱尝试、提示注入攻击、不允许的主题、个人身份信息，甚至通过评估相关性和可信度来检测虚构内容。Guardrails提供了六种不同的过滤和内容审核功能，如演示幻灯片中心所示。

转向亚马逊云科技的企业级解决方案，Garmin展示了Amazon Q Business，这是一个预构建的系统，可以安全、私密地为企业问题提供快速、准确和相关的答复。Q Business可以连接40多种流行的企业应用程序和文档存储库，允许用户使用生成式AI查询现有的数据库。

Q Business融入了健全的安全和安全机制，如内容过滤防护栏、企业内容限制和通过VPC端点的私有访问。与Amazon Identity Center的集成确保身份是应用程序的核心，与之前倡导的零信任原则保持一致。

Garmin强调了Q Business在数据隐私和治理方面的承诺，强调客户数据绝不会被亚马逊云科技用于训练、微调或改进机器学习模型。客户数据在传输和静态时保持加密状态，并可选择使用客户管理的KMS密钥以获得更多控制。

值得注意的是，Q Business 能够为生成的响应提供可追溯性和透明度。在向用户呈现查询答案时，Q Business 会在响应文本中使用上标链接，并在“来源”框中列出用于构建答案的原始数据源。这一功能增强了响应准确性的可信度，让用户能够对照原始来源验证信息。

此外，Q Business 提供自定义插件，可与企业数据源集成(如果预置连接器无法覆盖)或通过外部 API 实现用户操作。这些插件利用 OIDC 身份验证，确保用户只能访问和执行其身份所授权的数据和操作。

总之，Garmin 重申了 亚马逊云科技 在生成式人工智能安全性方面采取的深度防御方法，利用公司全面的安全、身份、合规、基础设施和运营可观测服务套件。无论客户是在 亚马逊云科技 基础设施上构建自己的生成式人工智能应用程序、利用 Bedrock 或 SageMaker 等工具，还是在更高层次的应用服务级别(如 Q Business)运行，亚马逊云科技 广泛的服务生态系统为安全合规的生成式人工智能实施提供了坚实的基础。

Garmin 强调，将应用程序安全性、数据保护、威胁检测、身份和访问管理、网络保护以及政策执行等行业既有最佳实践应用于生成式人工智能所带来的独特挑战的重要性。通过将这些经过时间考验的原则与 亚马逊云科技 创新的服务和以安全为中心的架构设计相结合，客户可以自信地拥抱生成式人工智能的变革潜力，同时降低相关风险并保持最高标准的数据隐私和安全性。

我们正处在 Agentic AI 爆发前夜。 2025 亚马逊云科技中国峰会提出，企业要从 " 成本优化 " 转向 " 创新驱动 " ，通过完善的数据战略和 AI 云服务，把握全球化机遇。亚马逊将投入 1000 亿美元在 AI 算力、云基础设施等领域，通过领先的技术实力和帮助“中国企业出海“和”服务中国客户创新“的丰富经验，助力企业在 AI 时代突破。