Pendahuluan

Perkembangan kecerdasan buatan (AI) yang pesat telah membawa manfaat besar di berbagai sektor, namun juga membuka celah keamanan baru. Model AI, yang merupakan kumpulan bobot dan parameter yang kompleks, menjadi aset berharga sekaligus target empuk bagi penyerang. Digital signature muncul sebagai solusi fundamental untuk melindungi integritas dan keaslian model AI, memastikan bahwa model yang digunakan adalah persis model yang dibuat oleh pengembang .

Ancaman dalam Rantai Pasok Model AI

Rantai pasok pengembangan model AI terdiri dari beberapa tahap yang sering ditangani oleh tim atau perusahaan berbeda:

  1. Pelatihan model fondasi pada dataset besar

  2. Fine-tuning untuk tugas spesifik

  3. Pengemasan dan distribusi melalui model hub seperti Hugging Face atau Kaggle 

Setiap tahap ini menciptakan peluang bagi penyerang untuk merusak model. Ancaman yang teridentifikasi meliputi:

  • Model dan data poisoning: Penyisipan data berbahaya saat pelatihan

  • Serangan pada serialisasi: Eksploitasi format serialisasi untuk eksekusi kode arbitrer

  • Pencurian model: Ekstraksi model melalui API prediksi

  • Degradasi model diam-diam: Penggantian model dengan versi berkemampuan lebih rendah 

Pada Februari 2024, peneliti JFrog menemukan lebih dari 100 model berbahaya di repositori Hugging Face, di mana deserialisasi file-file tersebut menyebabkan eksekusi kode arbitrer .

Konsep Digital Signature untuk Model AI

Digital signature untuk model AI mengadaptasi konsep penandatanganan kode (code signing) dari pengembangan perangkat lunak tradisional. Seperti halnya tanda tangan digital pada perangkat lunak, model signing memungkinkan pengguna untuk:

  1. Memverifikasi integritas: Memastikan model tidak dimodifikasi sejak pembuatan

  2. Memverifikasi asal-usul (provenance): Mengetahui siapa yang membuat model

  3. Mencegah pemalsuan: Menjamin bahwa model berasal dari sumber yang terpercaya 

Sigstore: Standar Baru untuk Model Signing

Google, bekerja sama dengan NVIDIA dan HiddenLayer serta Open Source Security Foundation, telah meluncurkan pustaka model signing versi stabil pertama yang mendukung Sigstore . Sigstore menawarkan pendekatan inovatif dengan:

  • Tanpa manajemen kunci jangka panjang: Menggunakan OpenID Connect (OIDC) untuk otentikasi

  • Transparansi publik: Semua peristiwa penandatanganan dicatat dalam log transparansi yang tidak dapat diubah

  • Verifikasi terdesentralisasi: Siapa pun dapat memverifikasi tanda tangan menggunakan identitas yang diketahui 

Arsitektur Teknis

Pustaka model signing bekerja dengan alur:

  1. Hashing: Menghasilkan daftar hash untuk setiap komponen model

  2. Signing: Menandatangani manifest (daftar hash) menggunakan kunci privat

  3. Verifikasi: Memverifikasi tanda tangan dan membandingkan hash 

Pendekatan ini dirancang khusus untuk menangani model AI yang berukuran besar—jauh lebih besar dari komponen perangkat lunak tradisional—dan mendukung penandatanganan model yang direpresentasikan sebagai struktur direktori .

Tingkat Kematangan Implementasi

Coalition for Secure AI (CoSAI) mengidentifikasi tiga tingkat kematangan implementasi model signing :

Level 1: Integritas Artefak Dasar

Model diperlakukan sebagai artefak biner yang dilindungi kriptografis. Tingkat ini membangun jaminan keaslian dan integritas melalui tanda tangan digital.

Level 2: Rantai Tanda Tangan dan Lineage

Pelacakan lanjutan hubungan antara model dan dependensinya, menciptakan jejak provenance komprehensif untuk visibilitas rantai pasok yang lebih baik.

Level 3: Atestasi Terstruktur dan Integrasi Kebijakan

Integrasi penuh dengan kerangka tata kelola AI, memungkinkan evaluasi kebijakan otomatis dan pelaporan kepatuhan komprehensif.

Sertifikasi Konten untuk Output AI

Selain melindungi model itu sendiri, digital signature juga diterapkan pada output yang dihasilkan AI. Azure OpenAI, misalnya, menyematkan Content Credentials pada setiap gambar yang dihasilkan, berdasarkan standar C2PA (Coalition for Content Provenance and Authenticity) .

Manifes yang ditandatangani secara kriptografis berisi informasi seperti:

  • Deskripsi yang membuktikan sifat konten yang dihasilkan AI

  • Agen perangkat lunak yang digunakan

  • Cap waktu pembuatan 

Ini memungkinkan pengguna memverifikasi bahwa konten memang dihasilkan oleh model AI tertentu dan belum dimanipulasi.

Pendekatan Lanjutan: Atestasi Siklus Hidup Penuh

Dokumen IETF yang sedang dikembangkan mengusulkan kerangka atestasi kriptografis untuk seluruh siklus hidup model AI—dari data pelatihan hingga output inferensi :

  1. Atestasi Data Pelatihan: Tanda tangan atas akar Merkle yang mencakup hash semua dokumen dalam korpus pelatihan

  2. Tanda Tangan Bobot Model: Tanda tangan ECDSA P-256 atas hash tensor bobot model

  3. Atestasi Kuantisasi: Rekaman yang mengikat model terkuantisasi dengan model presisi penuh

  4. Atestasi Deployment: Rekaman yang mengikat kunci penandatanganan inferensi ke deployment spesifik

  5. Tanda Tangan Inferensi: Tanda tangan atas output inferensi yang terikat pada metadata identitas model

Pendekatan ini menciptakan rantai bukti kriptografis yang tidak terputus, memungkinkan verifikasi end-to-end .

Manfaat bagi Perusahaan dan Pengembang

Implementasi model signing memberikan nilai signifikan :

  • Mitigasi Risiko: Organisasi dapat menerapkan kebijakan otomatis untuk menolak model dari sumber tidak terpercaya

  • Jaminan Kepatuhan: Di industri yang diatur, model signing menyediakan bukti audit tentang provenance dan properti model

  • Efisiensi Operasional: Verifikasi otomatis menghilangkan tinjauan keamanan manual

  • Perlindungan Kekayaan Intelektual: Produsen model dapat menegaskan kepemilikan dan mendeteksi distribusi tidak sah

Implementasi Praktis dengan Pustaka Model Signing

Pustaka model signing yang tersedia di PyPI menyediakan alat praktis untuk :

Penandatanganan dengan Sigstore

bash
model_signing sign bert-base-uncased

Perintah ini membuka aliran OIDC untuk mendapatkan token sertifikat sementara.

Penandatanganan dengan Kunci Privat

bash
# Generate key pair
openssl ecparam -name prime256v1 -genkey -noout -out key.priv
openssl ec -in key.priv -pubout > key.pub

# Sign model
model_signing sign key bert-base-uncased --private-key key.priv

# Verify
model_signing verify key bert-base-uncased \
    --signature model.sig --public-key key.pub

API untuk Integrasi

Pustaka juga menyediakan API yang dapat diintegrasikan ke dalam pipeline ML dan model hub:

python
import model_signing

# Sign with Sigstore
model_signing.signing.sign("bert-base-uncased", "model.sig")

# Verify with Sigstore
model_signing.verifying.Config().use_sigstore_verifier(
    identity=identity, oidc_issuer=oidc_provider
).verify("bert-base-uncased", "model.sig")

Tantangan dan Arah Masa Depan

Meskipun menjanjikan, beberapa tantangan tetap ada:

  1. Skalabilitas: Model AI berukuran sangat besar memerlukan pendekatan hashing dan penandatanganan yang dioptimalkan 

  2. Standardisasi: Diperlukan standar industri yang lebih luas 

  3. Integrasi dengan Model Hub: Pustaka signing perlu diintegrasikan langsung ke alur unggah model hub 

  4. Kesiapan Infrastruktur: Organisasi perlu membangun infrastruktur kunci dan kebijakan yang sesuai

Ke depan, pendekatan ini diharapkan diperluas untuk mencakup dataset dan artefak terkait AI lainnya, serta menuju metadata tahan-rusak yang dapat dibaca oleh manusia dan mesin .

Kesimpulan

Digital signature untuk model AI adalah langkah fundamental dalam membangun kepercayaan pada ekosistem kecerdasan buatan. Dengan memungkinkan verifikasi kriptografis terhadap integritas dan asal-usul model, organisasi dapat melindungi diri dari serangan rantai pasok, memastikan kepatuhan, dan membangun fondasi keamanan yang kokoh untuk aplikasi AI mereka.

Seiring dengan meningkatnya adopsi AI di berbagai sektor kritis, model signing akan menjadi komponen esensial dari keamanan AI—seperti halnya sertifikat SSL/TLS yang menjadi tulang punggung keamanan web modern. Inisiatif seperti Sigstore, pustaka model signing dari OpenSSF, dan standar C2PA menunjukkan bahwa industri bergerak menuju masa depan di mana kepercayaan pada AI dapat diverifikasi secara kriptografis.

Related Posts: