Mastyf Guard 1.5B: Cognitive Harvard Architectures for Sub-Millisecond AI Agent Perimeter Defense and Capability-Based Access Control

Stellen Sie sich eine Welt vor, in der Computer die Fähigkeit erhalten, eigenständig zu handeln, nicht nur um Fragen zu beantworten, sondern um Aufgaben wie das Versenden von E-Mails, das Verwalten von Datenbanken oder das Steuern von Smart-Home-Geräten auszuführen. Diese autonomen Agenten sind leistungsstark, stehen aber vor einem grundlegenden Sicherheitsproblem, das in ihrer Bauweise verwurzelt ist. Seit Jahrzehnten arbeiten Computersysteme nach einem Design, bei dem die Anweisungen, die der Maschine sagen, was sie tun soll, und die Daten, die die Maschine verarbeitet, im selben Speicherbereich liegen. Diese Anordnung, obwohl flexibel, schafft eine Schwachstelle: Wenn ein böswilliger Akteur es schafft, eine versteckte Anweisung in den Datenstrom einzuschleusen, könnte der Computer diese Daten fälschlicherweise für einen Befehl halten und ihnen gehorchen. Im Bereich der künstlichen Intelligenz ist dieser Fehler in einer neuen Form zurückgekehrt. Da diese KI-Agenten ihre eigenen Anweisungen und die unvertrauenswürdigen Informationen, die sie aus dem Internet sammeln, gleichzeitig lesen, können sie getäuscht werden. Ein Angreifer kann einen Befehl in einer harmlos erscheinenden Produktrezension oder einer E-Mail verstecken, und die KI, die nicht zwischen den sicheren Daten und dem versteckten Befehl unterscheiden kann, könnte diesen Befehl befolgen und Aktionen ausführen, die sie nie vorgesehen waren, wie etwa das Löschen von Dateien oder das Stehlen von Passwörtern.

Ein Forscher am Mastyf AI Research Laboratory in Kolkata, Indien, hat einen Lösungsvorschlag für genau dieses Problem vorgeschlagen, den er die „Cognitive Harvard Architecture“ nennt. Seine Arbeit, die in einer Studie mit dem Titel „Mastyf Guard 1.5B“ detailliert beschrieben wird, führt eine neue Art ein, diese autonomen Agenten zu schützen. Anstatt der KI zu erlauben, ihre Anweisungen und Daten frei zu vermischen, entwarf der Forscher ein System, das die beiden physisch voneinander trennt. In diesem neuen Aufbau darf die KI zwar unvertrauenswürdige Informationen lesen und darüber nachdenken, was zu tun ist, sie kann jedoch keine Aktion auf eigene Faust ausführen. Bevor die KI eine Aufgabe ausführen kann, wie etwa das Öffnen einer Datei oder das Senden einer Nachricht, muss ihre Anfrage einen strengen Sicherheitskontrollpunkt passieren. Dieser Kontrollpunkt fungiert als Gatekeeper, der die Berechtigungen des Agenten gegen eine spezifische Liste erlaubter Aktionen prüft. Wenn die Anfrage von einer vertrauenswürdigen Quelle kommt und mit den Berechtigungen übereinstimmt, wird sie durchgelassen. Wenn die Anfrage versucht, etwas außerhalb ihres Rahmens zu tun, oder wenn sie wie ein versteckter Befehl wirkt, der als Daten getarnt ist, stoppt der Gatekeeper sie sofort. Dieser Ansatz basiert auf einem älteren Konzept aus der Computerhardware, bei dem Instruktionsspeicher und Datenspeicher an getrennten physischen Orten aufbewahrt werden, um genau diese Art von Verwechslung zu verhindern.

Der Forscher baute ein Softwarewerkzeug namens Mastyf Guard, um diese Idee zu testen. Er trainierte ein spezialisiertes KI-Modell, das relativ klein und effizient ist, um als dieser Sicherheits-Gatekeeper zu fungieren. Um zu sehen, ob es funktionierte, unterzog er es einem strengen Test, der fünfzigtausend verschiedene Szenarien umfasste. Die Hälfte dieser Szenarien bestand aus realen Beispielen sicherer Entwicklerbefehle, wie etwa der Aktualisierung einer Datenbank oder dem Zusammenführen von Code. Die andere Hälfte bestand aus sorgfältig gestalteten Angriffen, die darauf abzielen, eine KI zu manipulieren, etwas Schädliches zu tun. Diese Angriffe beinhalteten versteckte Anweisungen, die in Texten eingebettet waren, Versuche, Sicherheitsfilter zu umgehen, und Anfragen zum Stehlen sensibler Informationen. Die Ergebnisse waren beeindruckend. Das Mastyf-Guard-System identifizierte und blockierte 99,33 % der bösartigen Versuche erfolgreich. Im Gegensatz dazu versagten andere führende Sicherheitswerkzeuge zum damaligen Zeitpunkt bei mehr als der Hälfte dieser Angriffe. Das neue System war nicht nur genauer, sondern auch unglaublich schnell. Es konnte eine Sicherheitsentscheidung in weniger als fünf Mikrosekunden treffen, eine Geschwindigkeit, die es ermöglichte, auf Standard-Computerprozessoren zu laufen, ohne teure, spezialisierte Grafikhardware zu benötigen.

Die Studie hob auch hervor, warum bisherige Methoden zum Schutz von KI gescheitert waren. Viele bestehende Sicherheitswerkzeuge wurden entwickelt, um offensichtliche Bedrohungen wie Hassrede oder Gewalt in Chat-Gesprächen zu erkennen. Sie waren nicht darauf ausgelegt, zu erkennen, wenn ein höflich klingender Satz einen versteckten Befehl enthielt, einen Server zu löschen oder eine Tür zu entriegeln. Da diese älteren Werkzeuge eher nach „schlechten Wörtern“ als nach gefährlichen Aktionen suchten, ließen sie raffinierte Angriffe einfach passieren. Das Mastyf-Guard-System hingegen sucht nicht nur nach schlechten Wörtern; es prüft den Kontext und die Berechtigungen. Es versteht, dass selbst ein perfekt höflicher Satz gefährlich sein kann, wenn er versucht, ein Werkzeug zu benutzen, auf das der Agent keinen Zugriff hat. Durch die Durchsetzung einer strengen Regel, dass ein Agent nur Werkzeuge nutzen darf, für die er eine explizite Berechtigung hat, verhindert das System, dass die KI als „Confused Deputy“ (ein Begriff für ein vertrauenswürdiges Programm, das von einem Angreifer dazu verführt wird, etwas Schädliches zu tun) missbraucht wird.

Trotz seines Erfolgs war der Forscher sorgfältig darin, die Grenzen seiner Arbeit aufzuzeigen. Das System ist äußerst effektiv darin, Angriffe zu stoppen, die versuchen, den Agenten dazu zu bringen, Werkzeuge zu nutzen, auf die er keinen Zugriff haben sollte. Wenn ein Angreifer es jedoch schafft, den Agenten dazu zu bringen, die Details eines Werkzeugs zu ändern, das er bereits benutzen darf, verlässt sich das System auf die Fähigkeit der KI, den subtilen Bedeutungsunterschied zu erkennen. In diesen spezifischen Fällen fing das System etwa 78,5 % der Bedrohungen ab, was immer noch stark, aber nicht perfekt ist. Der Forscher betonte auch, dass seine Lösung darauf ausgelegt ist, leichtgewichtig und erschwinglich zu sein. Da sie effizient auf Standard-Computerspeicher läuft, benötigt sie nicht die massiven Mengen an Elektrizität und teurer Hardware, die größere KI-Modelle benötigen. Dies macht es Unternehmen möglich, ihre autonomen Agenten zu sichern, ohne eine enorme finanzielle Belastung zu tragen.

Die Ergebnisse legen nahe, dass sich die Art und Weise, wie wir sichere KI-Systeme bauen, ändern muss. Anstatt sich darauf zu verlassen, dass die KI klug genug ist, um zu wissen, was sicher ist, muss die Architektur selbst die Sicherheit erzwingen. Indem er den Denkteil der KI vom Aktionsteil trennt und einen strengen, berechtigungsbasierten Gate zwischen sie stellt, hat der Forscher ein System geschaffen, das sowohl schneller als auch sicherer als aktuelle Alternativen ist. Die Studie bietet einen klaren Weg nach vorn für den Bau autonomer Agenten, die in der realen Welt operieren können, ohne ständig das Risiko einer Katastrophe einzugehen. Sie zeigt, dass es möglich ist, durch die Anwendung grundlegender Prinzipien der Computerarchitektur auf die neuen Herausforderungen der künstlichen Intelligenz eine Verteidigung zu schaffen, die sowohl mathematisch fundiert als auch praktisch effektiv ist. Die Arbeit stellt einen bedeutenden Schritt dar, um autonome Agenten zu einem sicheren und zuverlässigen Bestandteil unserer digitalen Infrastruktur zu machen, und beweist, dass Sicherheit nicht auf Kosten von Geschwindigkeit oder Effizienz gehen muss.