Snowflake Cortex AI: Безпека та Суверенітет Даних для ШІ-Інференсу

Виклики безпеки ШІ для підприємств

З інтеграцією штучного інтелекту в регульовані робочі процеси, команди безпеки та відповідності висувають питання щодо того, куди надходять дані при виклику ШІ-функції, чи можуть вони залишати регіон або хмарного провайдера, а також чи зберігаються або кешуються. Ці питання є ключовими для впровадження ШІ у фінансових послугах, охороні здоров'я, державному секторі та організаціях, що підпадають під дію GDPR, NIS2, DORA або галузевих вимог щодо резидентності даних.

Snowflake Cortex AI пропонує архітектурно обґрунтовану модель безпеки, яка охоплює обробку інференсу, міжрегіональні взаємодії, класифікацію та захист вихідних даних ШІ за допомогою ключів шифрування, а також надійний рівень управління через Snowflake Horizon Catalog. Ця модель безпеки також застосовується до Cortex Code, помічника з кодування на базі ШІ від Snowflake.

Архітектура Snowflake Cortex AI

Інференс Snowflake Cortex працює за трьома архітектурними схемами, які визначають основи для обговорення резидентності даних. Визначаються два типи моделей:

• Самохостингові моделі: Відкриті моделі, що працюють на GPU Snowflake, такі як Mistral, DeepSeek, Llama та моделі Snowflake.
• Передові моделі (STOM): Моделі, що надаються OpenAI, Anthropic та Gemini, які працюють на інфраструктурі постачальника хмарних послуг (CSP).

Snowflake Cortex AI підтримує широкий портфель як самохостингових моделей з відкритим кодом, так і передових моделей, доступних через єдиний уніфікований API. Це дозволяє клієнтам безперешкодно перемикатися між моделями у каталозі без зміни коду програми або конвеєрів даних, усуваючи залежність від конкретного постачальника ШІ на інфраструктурному рівні.

Інференс в межах одного регіону (самохостингові моделі)

У цьому сценарії обліковий запис Snowflake та кластер GPU, що розміщує модель, знаходяться в одному регіоні CSP. Ключові властивості безпеки:

• Snowflake не використовує дані клієнтів для навчання, перенавчання або тонкого налаштування будь-яких моделей.
• Snowflake не використовує метадані або дані використання для навчання будь-яких моделей, доступних іншим сторонам.
• Самохостингові моделі працюють на GPU Snowflake в тому ж регіоні в межах клієнта Snowflake CSP; дані інференсу не залишають хмарного провайдера.
• Усе ШІ-зв'язок використовує TLS в межах внутрішньої мережі Snowflake.
• Немає прямого доступу до мережі інференсу ззовні мережі Snowflake.
• Вхідні дані, вихідні дані та журнали клієнтів зберігаються зашифрованими в стані спокою.
• Ідентифікація користувача та безпека відображаються наскрізно для всіх можливостей Cortex.
• На кластері GPU не виконується код, контрольований клієнтом.

Міжрегіональний інференс (самохостингові моделі)

Якщо модель недоступна в локальному регіоні, а міжрегіональний інференс увімкнено, запити надсилаються з вихідного регіону Snowflake до цільового регіону Snowflake. Ключові властивості безпеки:

• Клієнти можуть явно контролювати міжрегіональний інференс.
• Трафік інференсу між регіонами шифрується за допомогою mTLS (взаємний TLS), що забезпечує двосторонню автентифікацію.
• Якщо регіони знаходяться в одному CSP, трафік залишається в приватній магістральній мережі CSP.
• Якщо регіони знаходяться в різних CSP, трафік передається через інтернет, але шифрується наскрізно за допомогою mTLS.
• Цільовий регіон інференсу не дозволяє прямого доступу; весь доступ оркеструється через багаторівневі засоби захисту Snowflake.
• Ідентифікація користувача та безпека відображаються наскрізно між регіонами.
• Вхідні дані, вихідні дані та журнали клієнтів зберігаються зашифрованими в стані спокою без постійного кешування в регіоні інференсу.

Доступ до передових моделей (STOM)

Для закритих моделей (наприклад, Claude, GPT, Gemini) архітектура використовує той самий потік проксі, що завершується на кінцевій точці передової моделі, розміщеної CSP, замість кластера GPU Snowflake. Ключові властивості безпеки:

• Ні Snowflake, ні постачальники передових моделей не використовують дані клієнтів для навчання моделей.
• Клієнти можуть явно контролювати міжрегіональний інференс.
• Трафік інференсу між регіонами шифрується за допомогою mTLS.
• Аналогічно самохостинговим моделям, трафік залишається в межах CSP або шифрується наскрізно через інтернет.
• Цільовий регіон інференсу не дозволяє прямого доступу; весь доступ оркеструється через рівні безпеки Snowflake.
• Ідентифікація користувача та безпека відображаються наскрізно між регіонами.
• Вхідні дані, вихідні дані та журнали клієнтів зберігаються зашифрованими в стані спокою.

Класифікація та захист даних ШІ

У Snowflake AI існують три окремі категорії даних:

• Дані клієнтів: Таблиці, файли та структуровані записи клієнтів. Вихідні дані ШІ зазвичай класифікуються як дані клієнтів, завжди шифруються в стані спокою та під час передачі. Snowflake не використовує дані клієнтів для навчання, перенавчання або тонкого налаштування моделей.
• Дані використання: Метрики, телеметрія, дані використання та операцій, пов'язані з використанням Snowflake клієнтом. Не використовуються для навчання, перенавчання або тонкого налаштування моделей Cortex AI.
• Дані ШІ: Будь-які вхідні або вихідні дані ШІ, які не є даними клієнтів (наприклад, пропозиції SQL-запитів, згенеровані Cortex Analyst). Не використовуються для навчання, перенавчання або тонкого налаштування моделей Cortex AI.

Вихідні дані ШІ, що зберігаються в обліковому записі Snowflake, захищені повною системою шифрування клієнта, включаючи ієрархію ключів шифрування, та регулюються політиками RBAC.

Ізоляція на рівні GPU

Snowflake досягає ізоляції багатокористувацьких GPU на програмному рівні. Ключові властивості ізоляції:

• На вузлах GPU не виконується код, контрольований клієнтом.
• Вхідні та вихідні дані різних клієнтів існують як різні рядки, зашифровані в стані спокою окремими ключами, і не взаємодіють між собою.
• Система забезпечує ізоляцію за завданням, користувачем, роллю, обліковим записом Snowflake та іншими ідентифікаторами контексту, які не є доступними або читабельними між клієнтами.

Управління ШІ за допомогою Snowflake Horizon Catalog

Snowflake Horizon Catalog вирішує проблему роздробленості управління, коли дані передаються на зовнішні ШІ-платформи.

Контроль до надходження даних до моделі

Рівень управління Snowflake виконується до того, як будь-які дані досягнуть моделі ШІ. Потік включає:

1. Виклик функції Cortex або ШІ-агента користувачем.
2. Вирішення контролю доступу на основі ролей (RBAC).
3. Застосування політик маскування стовпців.
4. Застосування політик доступу до рядків.
5. Перевірка дозволеного списку моделей.
6. Перевірка міжрегіональної політики.

Лише після цього оброблені, керовані дані досягають рівня інференсу. Цей процес гарантує, що модель ШІ ніколи не бачить даних, до яких користувач не має дозволу.

Аудит та моніторинг

Snowflake Horizon забезпечує можливість аудиту всіх взаємодій ШІ, включаючи виклики функцій Cortex, згенеровані запити Cortex Analyst та повну спостережуваність ШІ, включаючи вхідні/вихідні дані.

Cortex Code: Єдина модель довіри

Cortex Code, помічник з кодування та інженерії даних на базі ШІ від Snowflake, побудований на основі Cortex Agents. Це означає, що всі описані вище принципи безпеки та управління застосовуються до нього. Потоки Cortex (для постійної історії розмов) можуть бути налаштовані для зберігання повідомлень, зашифрованих ключем, керованим клієнтом, за допомогою Tri-Secret Secure (TSS).

Клієнтські засоби контролю

Snowflake надає клієнтам засоби контролю на рівні облікового запису, моделі, функції, даних та з деталізованим контролем доступу.

Загальні елементи керування

• SNOWFLAKE.CORTEX_USER: Основна роль для всіх функцій ШІ Cortex. За замовчуванням надається PUBLIC, але рекомендується використовувати більш специфічні ролі.

Елементи керування на рівні облікового запису

• CORTEX_ENABLED_CROSS_REGION: Керує маршрутизацією міжрегіонального інференсу для всіх функцій ШІ Cortex. Може бути встановлено на DISABLED, ANY_REGION або конкретні регіони.
• CORTEX_MODELS_ALLOWLIST: Параметр на рівні облікового запису, що контролює доступні моделі LLM. За замовчуванням All, але може бути обмежений до певних моделей.
• Guardrails: Налаштування для виявлення ін'єкцій підказок та запобігання "jailbreak" у Cortex Code. За замовчуванням вимкнено.
• Observability: Контролює видимість невідредагованого вмісту в таблиці AI_OBSERVABILITY_EVENTS.

Деталізовані елементи керування

• USE AI FUNCTIONS / USE AI FUNCTION <name>: Дозволи для виклику функцій ШІ Cortex, як загальні, так і для конкретних функцій.
• ENABLE_CORTEX_ANALYST: Керує доступністю функціоналу Cortex Analyst. За замовчуванням увімкнено.
• SNOWFLAKE.COPILOT_USER: Необхідний для доступу до Cortex Code в Snowsight та CLI.
• CORTEX-MODEL-ROLE-ALL / CORTEX-MODEL-ROLE-<MODEL>: Ролі для доступу до всіх або конкретних базових моделей Cortex.
• SNOWFLAKE.CORTEX_ANALYST_USER, SNOWFLAKE.AI_FUNCTIONS_USER, SNOWFLAKE.CORTEX_EMBED_USER, SNOWFLAKE.CORTEX_REST_API_USER, SNOWFLAKE.CORTEX_AGENT_USER: Специфічні ролі для доступу до різних компонентів Cortex AI.

Висновок

Ключовим аспектом для регульованих клієнтів є те, що засоби контролю безпеки та управління Snowflake виконуються до того, як дані досягнуть моделі ШІ. Модель не бачить даних, до яких користувач не має доступу. Міжрегіональний шлях шифрується за допомогою mTLS, а Horizon Catalog забезпечує єдину, уніфіковану площину управління. Це є архітектурним зобов'язанням, підкріпленим перевіркою безпеки Snowflake, договірними зобов'язаннями з CSP та дизайном платформи, де межа довіри завжди була: код Snowflake плюс постачальник хмарних послуг.

Що це означає для розробників

Розробники отримують єдиний API для доступу до широкого портфоліо моделей, що дозволяє легко перемикатися між ними без зміни коду. Це усуває залежність від конкретного постачальника ШІ на інфраструктурному рівні та забезпечує високий рівень безпеки та контролю над даними.

Ключові факти

• Snowflake Cortex AI підтримує як самохостингові, так і передові моделі через єдиний API, усуваючи залежність від постачальника.

• Дані клієнтів не використовуються для навчання, перенавчання або тонкого налаштування будь-яких моделей Snowflake.

• Snowflake Horizon Catalog забезпечує управління ШІ, застосовуючи контролі (RBAC, маскування) до того, як дані досягнуть моделі.

• Міжрегіональний трафік інференсу шифрується за допомогою mTLS, забезпечуючи двосторонню автентифікацію та запобігаючи несанкціонованому доступу.

• Клієнти мають деталізовані засоби контролю на рівні облікового запису та функцій для керування доступом, міжрегіональним інференсом та дозволеними моделями.

Джерела

• Cross-Region AI Inference, Data Residency and Sovereignty: How Snowflake Is Designed to Earn Your Trust