Einleitung

Unternehmen nutzen zunehmend Amazon Bedrock um ihre Anwendungen für generative KI (GenAI) zu betreiben. Amazon Bedrock bietet Zugriff auf verschiedene Basismodelle (Foundation Models, FMs) führender KI-Unternehmen, darunter AI21 Labs, Anthropic, Cohere, Meta, Mistral AI, Stability AI und Amazon. Bedrock setzt verschiedene KI-Techniken ein, wie z. B. Fine-Tuning und RAG, damit Unternehmen innovative GenAI-Anwendungen entwickeln können, ohne komplexe KI-Prozesse durchlaufen zu müssen. Zudem ist Bedrock serverlos, was die Benutzer von der Orchestrierung und Wartung der Infrastruktur entlastet. Ein fundiertes Verständnis des Modells der geteilten Verantwortung und dessen spezifischer Anwendung auf Bedrock ist jedoch unerlässlich, um eine solide Cloud-Sicherheitslage aufrechtzuerhalten. Die Risiken, die Bedrock durch die Verwendung von AWS S3 in der Knowledge-Base-Komponente mit sich bringt, sind für dieses Verständnis von zentraler Bedeutung. Diese kritische Bedrock-Komponente verwaltet den Datenabruf und die Verarbeitung innerhalb der Kernkomponenten von Amazon Bedrock. Die entscheidende Rolle von S3 als Datenquelle ist die Achillesferse von Bedrock; sie eröffnet verschiedene Angriffsvektoren, darunter Datenvergiftung, Denial-of-Service, Datenlecks und S3-Ransomware. Dieser Blogbeitrag befasst sich mit diesen Angriffsvektoren, den absehbaren Auswirkungen, Erkennungsmöglichkeiten und Abhilfemaßnahmen.

Amazon Bedrock – Das Genie der generativen künstlichen Intelligenz

Amazon Bedrock wurde mit einem einzigen Ziel gestartet: das Genie der GenAI zu sein! Diesem Anspruch folgend bietet Bedrock einfachen Zugriff auf verschiedene Basismodelle (FMs), die von führenden KI-Unternehmen, einschließlich Amazon, entwickelt wurden. Mit wenigen Klicks können Sie auf FMs von AI21 Labs, Anthropic, Cohere, Meta, Mistral AI, Stability AI usw. zugreifen. Ausgestattet mit diesen FMs können Unternehmen innovative GenAI-Anwendungen erstellen, neuartige Dienste anbieten und sich Wettbewerbsvorteile verschaffen. Amazon Bedrock ist ein serverloser Dienst; Unternehmen müssen sich nicht um die Infrastruktur kümmern, die erforderlich ist, um ihre GenAI-Träume zu verwirklichen.

Darüber hinaus erleichtert Bedrock das Fine-Tuning von FMs und bietet nahtlosen Zugriff auf die Untersuchung von Retrieval Augmented Generation (RAG)-Techniken. Letztendlich abstrahiert Bedrock die Komplexität von GenAI, sodass Entwickler mit geringen oder keinen GenAI-Kenntnissen schnell Anwendungen erstellen können. Lassen Sie uns kurz RAG betrachten, eine leistungsstarke Technik, die von Amazon Bedrock genutzt wird.

Bedrocks Magie – Retrieval Augmented Generation

Retrieval Augmented Generation (RAG) ist eine fortschrittliche Technik der natürlichen Sprachverarbeitung (NLP), die die Fähigkeiten von abruf- und generierungsbasierten Modellen kombiniert. Anstatt sich ausschließlich auf vortrainierte Modelle zu verlassen, verbessert RAG die Antworten, indem relevante Informationen aus externen Datenquellen wie Datenbanken, Dokumenten oder Webseiten abgerufen und in den generierten Text integriert werden. Dieser Ansatz verbessert die Genauigkeit, Relevanz und Informationsdichte der von Large Language Models (LLMs) bereitgestellten Antworten erheblich. 

Amazon Bedrock integriert RAG um überlegene GenAI-Funktionen bereitzustellen und so die leistungsstarken Fähigkeiten von LLMs auf spezifische Bereiche wie interne Wissensdatenbanken von Unternehmen, spezialisierte Chatbots und digitale Assistenten auszudehnen. Die Implementierung von RAG durch Bedrock umfasst die folgenden Schritte:

• Abfrageverarbeitung: Sobald eine Anfrage eingeht, verarbeitet Bedrock diese mithilfe vortrainierter LLMs.
• Datenabruf: Basierend auf dem Kontext der Anfrage ruft das System relevante Informationen aus verschiedenen Datenquellen ab, wie etwa S3-Buckets, Amazon Kendra und Amazon OpenSearch.
• Antwortgenerierung: Die abgerufenen Daten werden anschließend genutzt, um die vom LLM generierte Antwort zu ergänzen und so sicherzustellen, dass sie sowohl kontextbezogen präzise als auch informativ ist.
• Endergebnis: Das Endergebnis ist eine synthetisierte Antwort, die die generativen Fähigkeiten des LLMs mit den abgerufenen Informationen kombiniert und dem Nutzer qualitativ hochwertige Antworten liefert.

‍

Die RAG-Architektur von Bedrock – eine kurze Einführung

Die Architektur von Amazon Bedrock stützt sich maßgeblich auf S3 zum Speichern und Abrufen von Dokumenten, die von LLMs verwendet werden und auf die Bedrock Knowledge Base sowie Bedrock Agents zugreifen und diese verarbeiten.

Bedrock Agents: Bedrock Agents interagieren mit der Knowledge Base und rufen die erforderlichen Informationen aus S3 ab. Wenn eine Anfrage eingeht, identifiziert ein Agent die relevanten Datenquellen innerhalb der Knowledge Base, greift auf die entsprechenden Dokumente in S3 zu und stellt die Daten dem LLM für die Antwortgenerierung bereit. Somit fungieren Agents als Vermittler, die die Lücke zwischen der reinen Datenspeicherung und einer intelligenten Anfragebearbeitung schließen.

Bedrock Knowledge Base: Knowledge Bases für Amazon Bedrock ist eine Komponente von Amazon Bedrock, die die Daten verwaltet und organisiert, die erforderlich sind, um Foundation Models mit aktuellen, proprietären Informationen auszustatten. Sie indiziert und kategorisiert die Informationen, sodass sie für die LLMs während der Anfrageverarbeitung leicht abrufbar sind. Diese strukturierte Organisation ist entscheidend für einen effizienten Datenabruf und eine präzise Antwortgenerierung.

Datenquellen: Die Knowledge Bases für Amazon Bedrock benötigen Datenquellen, um Dokumente zu speichern, die später für den Embedding-Prozess verwendet werden. AWS S3 dient hierbei als Datenquelle, da es Dokumente in verschiedenen Formaten speichern kann, darunter Datensätze, Bilder und Videos. Diese Dokumente können interne Unternehmensdaten, öffentliche Datensätze und andere Informationsressourcen enthalten, die für die LLMs notwendig sind, um genaue und kontextrelevante Antworten zu liefern.

VektordatenbankenBedrock lässt sich in Vektordatenbanken wie Amazon OpenSearch und Amazon Kendra integrieren, um die Datenabfrage und -verarbeitung zu verbessern. Diese Datenbanken indizieren die aus S3 abgerufenen Daten, was einen effizienten und schnellen Zugriff ermöglicht. Dieser Indizierungsprozess stellt sicher, dass die Informationen so organisiert sind, dass Such- und Abfragevorgänge optimiert werden. Dadurch kann Bedrock leichter auf die Daten zugreifen und diese verarbeiten, die für die Generierung präziser und relevanter Antworten erforderlich sind.

Angriffsvektoren von Bedrock: Ausnutzung von S3-Datenquellen 

Amazon Bedrock nutzt S3 als Datenquelle für die Speicherung von Dokumenten, die für RAG benötigt werden, um kontextbezogene, aktuelle und präzise Antworten zu liefern. S3 ermöglicht das einfache Hochladen von Dokumenten für RAG; dieser Komfort ist jedoch ein zweischneidiges Schwert. Gemäß dem Modell der geteilten Verantwortung sind Unternehmen für die Sicherheit von S3 verantwortlich – eine Aufgabe, die sich über die Jahre als herausfordernd erwiesen hat. Umgekehrt gelten alle bestehenden S3-Risiken auch für Bedrock, jedoch mit noch schwerwiegenderen Auswirkungen. Dies führt zu zwei Risikokategorien: S3-spezifische und Bedrock-spezifische Risiken. S3-spezifische Risiken sind hinlänglich bekannt, daher konzentrieren wir uns auf die Bedrock-spezifischen Risiken. Da diese Risiken bereits im MITRE ATLASdokumentiert sind, werden die relevanten Angriffstechniken im Rahmen dessen erläutert. 

Vergiftung von Trainingsdaten

Bedrohungsszenario (MITRE ATLAS AML.T0020): Angreifer könnten Datenvergiftungsangriffe durchführen, nachdem sie Zugriff auf S3-Buckets mit Bedrock-RAG-Dokumenten erlangt haben. Es gibt verschiedene Arten von Datenvergiftungsangriffen: bei Vortrainingsdaten, Feinabstimmungsdaten und Einbettungsdaten. Der hier relevante Angriff betrifft Letzteres: Einbettungsdaten, da die Dokumente in S3 dazu verwendet werden, kategoriale Daten in numerische Repräsentationen umzuwandeln, die dann genutzt werden, um Bedrock-Agenten kontextbezogene Antworten zu ermöglichen. Datenvergiftungsangriffe schleusen bösartige oder unsinnige Daten in den Trainingsdatensatz ein, korrumpieren das LLM und beeinträchtigen die Qualität der Ausgabe. 

Auswirkungen: Bedrock-Agenten könnten ungenaue oder schädliche Antworten liefern, was den Geschäftsbetrieb und das Vertrauen der Nutzer beeinträchtigt. Die OWASP LLM03 (Training Data Poisoning) liefert ein anschauliches Beispiel:
‍

Ein böswilliger Akteur oder Konkurrent erstellt absichtlich ungenaue oder schädliche Dokumente, die auf die Trainingsdaten eines Modells abzielen, und trainiert das Modell gleichzeitig auf Basis dieser Eingaben. Das betroffene Modell trainiert mit diesen gefälschten Informationen, was sich in den Ausgaben der generativen KI-Prompts für die Endnutzer widerspiegelt.

Daten aus Informationsspeichern

Bedrohungsszenario (MITRE ATLAS AML.T0036): Angreifer können sich die Informationen zunutze machen, die sie durch unbefugten Zugriff auf S3-Buckets erlangen. Da diese Buckets sensible Informationen wie geistiges Eigentum, interne Unternehmensdaten oder anderes vertrauliches Material enthalten können, ist ein solcher Zugriff für Angreifer von Vorteil. Dieser Angriff entspricht den OWASP Top 10 für LLMs – LLM06.

Auswirkungen: Die Offenlegung kritischer Daten kann zu Diebstahl von geistigem Eigentum, Wettbewerbsnachteilen oder schwerwiegenden Reputationsschäden führen.

Verweigerung des ML-Dienstes

Bedrohungsszenario (MITRE ATLAS AML.T0029): Angreifer können einen GenAI-Dienst stören, indem sie Angriffe wie Ransomware oder Ressourcenerschöpfung starten und den Dienst so unbrauchbar machen. Das Potenzial für S3-Ransomware ist hinlänglich bekannt, wie ein dokumentierter Vorfall zur Reaktion auf Sicherheitsvorfälle durch Invictusbelegt. Die Motivation für S3-Ransomware-Angriffe wird jedoch durch die Einbindung von GenAI-Workloads weiter steigen. Angreifer können diese Dokumente auch löschen und den rechtmäßigen Zugriff verweigern (Bucket-Übernahme). Diese Aktionen führen zu einer Dienstverweigerung, die ebenfalls in den OWASP Top 10 für LLMs aufgeführt ist – (LLM04).

Auswirkungen: Der Zugriff auf einen S3-Bucket mit Embedding-Daten kann zu Dienstausfällen und in der Folge zu Geschäftsunterbrechungen, Vertrauensverlust bei Kunden, finanziellen Einbußen, rechtlichen Problemen usw. führen.

Angriffserkennung und -abwehr

Die Mitigant Cloud Attack Emulation wurde genutzt, um verschiedene Angriffe gegen Amazon Bedrock durchzuführen. Es war äußerst aufschlussreich zu sehen, dass die meisten Bedrohungserkennungssysteme (XDRs, CDRs) diese Angriffe nicht identifizieren konnten. Wir bezeichnen dieses Szenario als „Zero-Day-Erkennungslücke“. Ähnlich wie bei Zero-Day-Schwachstellen beschreibt dies einen Zustand, in dem Erkennungssysteme aufgrund fehlender entsprechender Logik keine Angriffe feststellen können. Sicherheitsteams müssen daher eigene Mechanismen entwickeln, um diese Lücke zu schließen. Zudem helfen die in den folgenden Abschnitten beschriebenen Ansätze dabei, die aufgezeigten Sicherheitsprobleme von Bedrock zu entschärfen.

Regelmäßige Audits und Überwachung: Führen Sie häufige Audits der S3-Bucket-Konfigurationen und Zugriffsrichtlinien durch, um sicherzustellen, dass keine Fehlkonfigurationen vorliegen. Sicherheitstools wie CSPMs und ITDRs können hierbei hilfreich sein.

Bedrohungserkennung: Die kontinuierliche Erfassung und Analyse von CloudTrail-Ereignissen ist für die Bedrohungserkennung und Reaktion auf Vorfälle von großem Nutzen. Wichtige CloudTrail-Ereignisse wie ListDataSources, ListAgents, GetDatasource, GetKnowledgeBase, ListFoundationModels und GetAgent sollten erfasst und analysiert werden, um bei Identifizierung spezifischer Ereignisse umgehend Warnmeldungen auszulösen.

Datenverschlüsselung: Die Verschlüsselung von Daten im Ruhezustand und bei der Übertragung verhindert unbefugten Zugriff und gewährleistet die Datenintegrität. Die für Bedrocks RAG benötigten Dokumente können sowohl im Ruhezustand als auch während der Übertragung verschlüsselt werden; dies muss jedoch in den Datenabruf- und Analyseprozess integriert werden. Folglich ist ein effizientes Schlüsselmanagement erforderlich, beispielsweise durch die Nutzung von Geheimnisverwaltungssystemen wie dem AWS Secret Manager.

Zugriffskontrollen: Strenge Zugriffskontrollen sind entscheidend für die Sicherheit von Bedrock. Die Umsetzung des Prinzips der geringsten Rechte (Least Privilege) stellt sicher, dass Benutzer und Anwendungen nur über die Berechtigungen verfügen, die sie für ihre Aufgaben benötigen. Strenge Zugriffskontrollen sind zudem unerlässlich, um unbefugten Zugriff auf die konfigurierten S3-Buckets zu verhindern.

Angriffsemulation & Red Teaming: Kompromittierte Bedrock-Komponenten könnten die GenAI-Infrastruktur eines Unternehmens schwerwiegend beeinträchtigen und zu Kostensteigerungen, rechtlichen Problemen sowie Reputationsschäden führen. Angesichts des Mangels an proaktiven Tools müssen Unternehmen Ansätze der Angriffsemulation nutzen, um die Sicherheitslage ihrer GenAI-Umgebungen zu validieren.

‍

Sicherheit für GenAI-Workloads mit der Mitigant Cloud Security Platform

Die Mitigant Cloud Security Platform steht an der Spitze der Technologien zum Schutz von GenAI-Cloud-Workloads vor böswilligen Angreifern. Mitigant Cloud Attack Emulation bietet zahlreiche Angriffe, die von Sicherheitsteams genutzt werden können, um schnell Übungen zur Adversary-Emulation, Red/Purple-Teaming-Einsätze und Übungen zur Reaktion auf Sicherheitsvorfälle. Diese Funktionen sind hochaktuell, und nur sehr wenige Sicherheitsanbieter verfügen über diese Möglichkeiten. Darüber hinaus bietet das Mitigant CSPM überprüft GenAI-Workloads auf falsch konfigurierte Ressourcen und Änderungen, die auf böswillige Aktivitäten hindeuten könnten. Diese Änderungen werden durch einen innovativen Cloud-Drift-Management-Mechanismus zur schnellen Angriffserkennung identifiziert. 

‍

Melden Sie sich noch heute für eine kostenlose Testversion an und sichern Sie Ihre GenAI-Workloads in der Cloud - https://mitigant.io/sign-up

‍

‍

Fazit

Amazon Bedrock bietet Unternehmen einen einfachen Zugang zur Entwicklung und Bereitstellung von GenAI-Anwendungen, die verschiedene LLMs nutzen. Unternehmen können diese LLMs durch RAG nahtlos an spezifische Anwendungsfälle anpassen. Die innovative RAG-Architektur von Bedrock hat die Eintrittsbarrieren drastisch gesenkt und ermöglicht so große Innovationen. Im Zentrum dieser Funktionen steht jedoch AWS S3, ein Dienst, der als allgegenwärtig gilt und dessen Absicherung aufgrund von Fehlern und Fehlkonfigurationen eine Herausforderung darstellt. Dieser Artikel zeigt die Gefahren bei der Nutzung von S3 in Bedrock auf und verdeutlicht, wie Angreifer diese Lücke nutzen könnten, um GenAI-Anwendungen zu kompromittieren. Wir geben zudem empfohlene Gegenmaßnahmen zur Erkennung und Behebung dieser Angriffsvektoren an die Hand. 

‍