腾讯云安全中心：一键检测大模型本地化部署安全风险

大模型本地化部署的安全挑战

随着DeepSeek等大模型的快速发展，本地化部署已成为企业机构的首选方案。然而这种部署方式在云端环境中暗藏了风险：由于云端公网IP的容易获取，当安全组配置不当导致AI工具暴露于公网时，可能引发数据泄露、知识库污染、算力劫持乃至设备接管等严重威胁。腾讯朱雀实验室近期就发现多个主流AI工具存在高危漏洞，这些安全隐患一旦被利用将造成严重后果。

主要风险描述

数据泄露：通过API接口漏洞、未加密传输或权限配置缺陷，窃取模型训练数据、用户隐私信息及模型参数等敏感资产。

知识库污染：当知识库管理接口存在未授权上传权限时，攻击者可实施定向内容投毒攻击，导致合规风险。

算力劫持：非法占用GPU/TPU集群资源进行加密货币挖矿、DDoS攻击或竞品模型训练。

设备接管：使用RCE漏洞，接管控制服务器，如Ollama远程代码执行漏洞CVE-2024-37032漏洞。

针对上述风险，本文将介绍腾讯云安全中心体检能力，如何高效的解决了AI工具的安全问题，为AI系统构建起主动防御体系。

云上解决方案：云安全中心一键体检

为了帮助企业及时发现并应对这些风险，云安全中心依托强大的测绘能力自动发现AI风险。云安全中心支持一键同步云上资产，支持云外资产添加，按次/定期对资产进行全端口扫描，服务识别，指纹测绘，漏洞扫描，暴露路径管理（CLB、安全组等配置识别）。

主要功能包括：

1. 全面资产扫描：支持对云上和云外的所有资产进行全面扫描，全端口扫描。
2. 漏洞/风险检测：集成多款漏扫引擎，风险指纹识别，实时发现并报告潜在的暴露面和漏洞风险。
3. 云资源风险检查：支持对 CVM、CLB、容器镜像、COS等云数据库，共10类云资产的配置风险检查及统一安全管理。
4. 体检报告生产：自动生成详细的报告，根据扫描结果，提供针对性的安全防护建议和解决方案。

如何使用腾讯云安全中心

使用云安全中心的体检能力非常简单，只需以下几个步骤：

1. 登录腾讯云控制台：访问腾讯云官网，登录您的账户。
2. 进入云安全中心：在控制台中找到并进入云安全中心模块。
3. 启动体检任务：在资产中心—点击资产更新后，选择漏洞与风险中心—安全体检—标准体检，选择全部资产。
4. 查看报告：扫描完成后，系统会自动生成详细的报告，您可以在控制台中直接查看。

暴露面扫描配置示意图

5.测绘结果查看：在漏洞与风险中心-风险服务暴露页面查看大模型应用等对外暴露的风险服务

风险服务对外暴露-高危提示

漏扫结果

此外主机安全（云镜）支持检测大模型当前版本是否存在漏洞（根据版本号匹配）

扫描配置界面

漏洞检测结果

大模型本地化部署在云端环境中带来了诸多便利，但也伴随着显著的安全风险。腾讯云安全中心的一键体检能力，为企业提供了强有力的安全保障，帮助企业及时发现并应对潜在的安全威胁。通过使用这一先进的安全工具，企业可以更好地保护自身数据和算力资源，确保业务的稳定运行。