新美国安全中心发布：《安全、可治理的芯片——利用片上机制管理AI和先进计算带来的国家安全风险》

2024年1月8日，新美国安全中心（CNAS）发布名为《安全、可治理的芯片——利用片上机制管理人工智能和先进计算带来的国家安全风险》（Secure, Governable Chips：Using On-Chip Mechanisms to Manage National Security Risks from AI & Advanced Computing）的研究报告，报告详细介绍了AI芯片上的安全物理机制如何在保护用户隐私的同时，帮助减轻因开发军民两用AI系统而带来的国家安全风险，并提出一系列相关建议。元战略编译报告重要内容，为探究AI系统的有效治理提供参考。

一

前 言

利用专用芯片构建和部署AI系统正在成为经济增长和科学进步的引擎。与此同时，这些AI系统也可能被不负责任的行为者用来大规模监控、网络攻击和设计新型生物武器。因此，确保和管理AI芯片供应链对于降低国家安全风险非常重要。AI治理的独特挑战和现代安全技术带来的机遇表明，替代方法既有必要，也有可能。如果有关AI芯片的政策可以直接在芯片上实施呢？本报告提出“片上治理机制（简称片上机制）”（on-chip governance mechanisms）的概念：可以直接内置在芯片或相关硬件中的安全物理机制，从而为自适应治理提供一个平台。

二

主要结论

1

片上机制有助于保障AI和超级计算系统的开发和部署。片上机制能够执行未来国际协议的条款或其他管理AI模型大规模训练和部署的法规，该机制可通过提供可信的验证平台来拓宽可能的协议和政策空间。例如，片上机制可以让AI开发人员信任地报告超过特定计算阈值的“训练运行”，并为AI系统提供灵活高效的国际治理制度，让政策制定者超越国际原子能机构（IAEA）等组织制定相关政策缓慢而复杂所带来的限制。

2

片上机制所需的大部分功能已经广泛部署在各种芯片上，包括最先进的AI芯片。由AMD、苹果、英特尔和英伟达等公司销售的芯片具备了实现上述政策所需的许多功能。这些功能如今已广泛应用于各种应用中，例如苹果使用片上机制确保未经授权的应用程序无法安装在iPhone上；谷歌使用片上机制远程验证在其数据中心运行的芯片未被入侵。此外，多人视频游戏会使用一种名为“可信平台模块”的硬件设备来防止游戏中的作弊行为。在AI领域，这些功能越来越多地用于在不同设备和用户之间的分配训练，同时保护代码和数据的隐私

3

片上机制不需要对用户进行秘密监控，也不需要在硬件上设置不安全的“后门程序”，通过对数据中心使用的AI芯片进行保护隐私的“验证”和“操作许可”，可以更好地实施片上机制。“验证”是指芯片用户就其使用芯片所做的事情可由另一方验证。例如，验证特定训练运行中使用的计算量或数据集。这种安全的芯片验证由“可信执行环境”（TEE）实现。由于TEE的安全特性，验证者可以相信从TEE收到的信息没有被“欺骗”，而芯片用户无需泄露敏感数据。“操作许可证”提供了一种执行机制，操作许可证最好使用专用的“安全模块”，将芯片的功能与制造商（或监管机构）定期更新的许可证密钥联系起来，这与解锁专利软件所需的产品许可证并无二致，并且这种硬件操作许可证已在某些商业环境中使用。

4

现有技术需要经过加固，才能在执法等环境中使用。现有技术的商业版本在设计上通常无法抵御资源充足且可实际访问硬件的攻击者。要使片上机制在这执法等环境中可靠运行，就必须在硬件和软件安全方面进行投资。如果要充分保障片上机制的安全，所需的具体防御措施取决于部署片上机制的环境。

5

为数据中心的AI芯片开发和推广片上机制的分阶段方法是可行的。在短期内，可以向出口的AI芯片部署固件更新，实施与出口许可证条款相关联的硬件操作许可证的早期版本。对于后几代AI芯片，硬件安全功能可以进一步加强，努力实现完全“防篡改”，从而减少物理检查的必要性。

三

片上机制的AI芯片架构示例

为了推动对片上机制的进一步研究，本报告展示了一个数据中心AI芯片架构示例（见下图），该架构可为动态实施不同的治理机制提供一个灵活的平台。该机制的核心是在所有高性能数据中心的AI芯片上都包含一个加固的安全模块，它可以确保芯片具有有效的最新固件和软件，并在适用的情况下具有最新的操作许可证。如果不符合这些条件，它将阻止芯片运行。

这种有效、最新的固件和软件有助于对这些芯片的使用进行限制，并提供复杂的“远程认证”功能（远程认证，以安全地验证芯片及其运行软件的所需属性）。安全模块可确保在发现固件/软件漏洞时，用户只能更新到已修复漏洞的补丁版本。安全模块还可配置为要求最新的芯片专用操作许可证。目前的AI芯片已经具备这种架构的某些组件，但并非全部。这些差距很可能通过适度的开发工作来弥补，作为已有功能的扩展。主要的技术挑战将是实现足够的硬件安全，特别是篡改证据和防篡改。本报告估计，领先的公司只需投入18个月的技术努力（最多4年）即可实现这一目标。

四

新美国安全中心

对美国政府提出的6条建议

（一）建立政府协调机制

要使片上治理达到商业规模，需要政府和产业界的长期合作。要想快速取得进展，行政命令可以起到适当的强制作用。美国国家标准与技术研究院（NIST）将是这项工作的合适牵头机构。还应从美国能源部、美国国防部、美国国土安全部、美国国家科学基金会和美国情报界抽调专家和工作人员。工作组还应从产业界和学术界抽调人员组成技术小组，帮助指导技术标准和研究工作

（二）建立商业激励机制

鉴于芯片上的治理机制需要在商用芯片上实施，许多必要的研发工作需要在行业环境中进行。为了激励这项工作，美国国防部应考虑对美国芯片公司未来进入出口市场做出承诺，条件是这些公司在受控产品上实施一套特定的安全功能。出口市场承诺可以包括不将出口管制扩大到新的辖区，放宽向特定地区低风险客户出口芯片的“拒绝批准推定”（presumption of denial）许可政策，或转向更严格的最终用途管制或基于最终用户的管制。美国商务部应与美国情报界和国土安全部协调，通过分析不同出口环境下的特定攻击者威胁模型，开发出所需的功能集。

（三）加快安全研发

虽然大部分研发工作都需要由大规模制造和销售AI芯片的公司来完成，但有些工作可能会在这些公司之外进行，特别是那些将受益于整个行业标准化的技术。NIST应与半导体研究公司、美国国防部高级研究计划局（DARPA）相关项目经理以及其他相关政府资助机构协调，确定由学术和/或商业合作伙伴进行的有用研发的范围和资金。例如，针对高端芯片的专用防篡改外壳（芯片的物理外壳，可防止芯片被修改而不影响其运行）的工作有可能外包给学术和商业硬件安全实验室。为支持这些项目，NIST应为芯片治理机制制定技术标准和参考实施方案，以便业界广泛采用。

（四）计划分阶段推出，

并为广泛的红队测试提供资金

在更具对抗性的环境中利用片上机制之前，需要进行大量测试。为促进分阶段推出机制，使其在更具挑战性的操作环境中得到依赖，美国商务部应根据出口设备的安全功能，灵活地为不同地区发放许可证。与此同时，美国国土安全部网络安全和基础设施安全局应建立红队测试和漏洞赏金计划，帮助发现和修补任何软件和硬件的安全漏洞。

（五）与盟友相协调

与许多其他形式的技术治理一样，如果没有国际社会的支持，片上机制的效果将是有限的。美国国务院和美国商务部应在与在尖端AI芯片供应链中占据重要地位的国家的外交讨论中，纳入片上机制的潜在作用，包括潜在的多边控制制度。除出口控制协调外，利用片上机制促进AI治理合作（如关于计算使用报告的国际协议），将受益于与英国和欧盟等志同道合的盟国。

（六）鼓励AI芯片企业及早行动

开发和部署片上机制需要时间（最乐观的情况是几个月，最可能的情况是几年）。如果AI系统的能力和国家安全风险持续增长，那么对高度有效控制的需求可能在几年后变得非常迫切。这表明，关注这一问题的政策制定者现在就应开始制定政策并鼓励开发适当的技术。一旦在最强大的AI芯片中规定了相关的安全功能，就能够允许AI芯片在安装后快速灵活地应对新的威胁。

免责声明：本文转自元战略，原作者Zoie Y. Lee。文章内容系原作者个人观点，本公众号编译/转载仅为分享、传达不同观点，如有任何异议，欢迎联系我们！

转自丨元战略

作者丨Zoie Y. Lee

研究所简介

国际技术经济研究所（IITE）成立于1985年11月，是隶属于国务院发展研究中心的非营利性研究机构，主要职能是研究我国经济、科技社会发展中的重大政策性、战略性、前瞻性问题，跟踪和分析世界科技、经济发展态势，为中央和有关部委提供决策咨询服务。“全球技术地图”为国际技术经济研究所官方微信账号，致力于向公众传递前沿技术资讯和科技创新洞见。

地址：北京市海淀区小南庄20号楼A座

电话：010-82635522

微信：iite_er