GuardDuty AI Protection 調查結果類型

當您啟用 AI 保護時，GuardDuty 會分析來自 Amazon Bedrock 和 Amazon SageMaker AI 的 AWS CloudTrail 管理事件和資料事件。GuardDuty 使用此資料來偵測以 AI 工作負載為目標的潛在可疑活動。當 GuardDuty 偵測到潛在威脅時，會產生下列其中一個問題清單類型。這些調查結果Resource type的 是 AccessKey，而調查結果會識別叫用模型的 IAM 身分。

每個調查結果也包含調查結果resource物件中受影響 AI 資源的詳細資訊。Impact:IAMUser/AnomalousModelInvocation 和 Impact:IAMUser/CostHarvesting調查結果包含識別調用 Amazon Bedrock 或 Amazon SageMaker AI 模型的resource.modelDetails清單。Impact:IAMUser/PromptInjection.Direct 調查結果包含描述介入之 Amazon Bedrock Guardrail 的resource.bedrockGuardrailDetails物件。您可以在 GuardDuty 主控台或調查結果 JSON 中檢視這些詳細資訊。

Impact:IAMUser/AnomalousModelInvocation 和 Impact:IAMUser/CostHarvesting調查結果類型同時適用於 Amazon Bedrock 和 Amazon SageMaker AI 模型調用。Impact:IAMUser/PromptInjection.Direct 調查結果類型適用於使用 Amazon Bedrock Guardrails 的 Amazon Bedrock 工作負載。

Impact:IAMUser/AnomalousModelInvocation

IAM 身分已透過偏離身分或帳戶既定基準的方式，調用 Amazon Bedrock 或 Amazon SageMaker AI 模型。

預設嚴重性：低

• 功能：AI 保護

此調查結果會通知您，IAM 身分已透過偏離身分或帳戶歷史活動的方式，調用 Amazon Bedrock 或 Amazon SageMaker AI 模型。此活動可能表示威脅行為者正在使用遭入侵的登入資料來存取您帳戶中的基礎模型。例如，演員可能會探測模型、製作對手輸入，或執行自動化請求。

GuardDuty 會為每個 IAM 身分建立正常模型叫用活動的基準 AWS 帳戶 ，並叫用 Amazon Bedrock 或 Amazon SageMaker AI。GuardDuty 描述調用活動的特徵，包括下列項目：

• 身分呼叫的模型調用 API

• 身分調用的模型

• 來源 IP 地址及其相關聯的自治系統編號 (ASN) 組織

• 提出請求的使用者代理

當 GuardDuty 觀察到明顯偏離此基準的活動時，會產生此調查結果。範例包括從先前看不見的 IP 地址叫用、先前看不見的使用者代理程式，或身分從未叫用的模型。調查結果包含識別可疑活動所涉及模型的resource.modelDetails清單。每個項目都包含modelId代表 Amazon Bedrock 基礎模型、推論設定檔、佈建、自訂或匯入模型 ARN、Amazon Bedrock Marketplace 端點、提示資源或 Amazon SageMaker AI 端點名稱的 。

此調查結果映射至 MITRE ATLAS 網站上的 MITRE ATLAS 技術 AML.T0040 - AI 模型推論 API 存取。

修復建議：

如果此活動為非預期活動，即代表您的憑證可能已遭入侵。如需詳細資訊，請參閱修復可能遭到入侵的 AWS 登入資料。

為了降低未經授權的模型調用風險，請限制哪些身分可以調用模型。將下列模型調用 APIs存取權範圍限定為僅需要它們的委託人和模型：

• bedrock:InvokeModel

• bedrock:InvokeModelWithResponseStream

• bedrock:Converse

• bedrock:ConverseStream

• bedrock-mantle:CreateInference

• sagemaker:InvokeEndpoint

• sagemaker:InvokeEndpointAsync

• sagemaker:InvokeEndpointWithResponseStream

若要拒絕不需要模型推論的整個組織，您可以使用服務控制政策 (SCP)。如需詳細資訊，請參閱《Amazon Bedrock 使用者指南》中的 Amazon Bedrock 身分型政策範例，以及《Amazon SageMaker AI 開發人員指南》中的 Amazon SageMaker AI 身分型政策範例。 Amazon SageMaker

Impact:IAMUser/CostHarvesting

IAM 身分已使用異常字符數量調用 Amazon Bedrock 或 Amazon SageMaker AI 模型，這可能表示成本收割攻擊。

預設嚴重性：低

• 功能：AI 保護

此調查結果會通知您，IAM 身分調用 Amazon Bedrock 或 Amazon SageMaker AI 模型時，其輸入或輸出字符數量明顯偏離身分或帳戶的基準。在成本收割攻擊中，威脅行為者會將運算成本高昂的輸入傳送至模型，以增加 AI 工作負載的營運成本，而未必會外洩資料。這些輸入可能包含過長或刻意使用錯誤格式的提示。

GuardDuty 會為每個叫用 Amazon Bedrock 或 Amazon SageMaker AI 模型的 IAM 身分和帳戶建立平均輸入字符量和平均輸出字符量的基準。當 GuardDuty 觀察到字符計數超過此基準的調用，並將磁碟區異常與其他異常訊號相關聯時，GuardDuty 會產生此調查結果。調查結果會報告service.detection物件中的異常活動，包括觀察到的調用和偏離基準的字符磁碟區。它還包含識別目標模型的resource.modelDetails清單。每個項目都包含modelId代表 Amazon Bedrock 基礎模型、推論設定檔、佈建、自訂或匯入模型 ARN、Amazon Bedrock Marketplace 端點、提示資源或 Amazon SageMaker AI 端點名稱的 。

此調查結果映射至 MITRE ATLAS 網站上的 MITRE ATLAS 技術 AML.T0034 - 成本收集。

修復建議：

如果此活動對相關聯的身分非預期，則登入資料可能已遭入侵，並用於提高 AI 工作負載的成本。如需詳細資訊，請參閱修復可能遭到入侵的 AWS 登入資料。檢閱與身分相關聯的模型調用，並將對下列模型調用 APIs存取範圍限定為僅需要它們的主體，以限制對受影響模型的存取：

• bedrock:InvokeModel

• bedrock:InvokeModelWithResponseStream

• bedrock:Converse

• bedrock:ConverseStream

• bedrock-mantle:CreateInference

• sagemaker:InvokeEndpoint

• sagemaker:InvokeEndpointAsync

• sagemaker:InvokeEndpointWithResponseStream

若要偵測和包含異常支出，您可以使用 AWS Budgets，包括在超過預算閾值時套用限制性 IAM 政策的預算動作，以及AWS 成本異常偵測。若要將 Amazon Bedrock 成本歸因於特定工作負載，您可以將成本分配標籤連接至應用程式推論設定檔。

Impact:IAMUser/PromptInjection.Direct

Amazon Bedrock 防護機制在 IAM 身分發出的調用中偵測到直接提示注入嘗試。

預設嚴重性：低

• 功能：AI 保護

此調查結果會通知您，針對帳戶中的 Amazon Bedrock 工作負載設定的 Amazon Bedrock 防護機制偵測到直接提示注入嘗試。在直接提示注入攻擊中，威脅行為者製作惡意提示做為基礎模型的輸入。提示會讓模型忽略其原始指示，並改為遵循攻擊者的指示。提示注入可讓攻擊者取得初始存取權限，以對 AI 應用程式執行其他步驟，例如外洩資料、呼叫未經授權的工具或繞過安全控制。

當 Amazon Bedrock 防護機制因為偵測到具備高可信度的提示攻擊，在調用時介入時，GuardDuty 便會產生此調查結果。若要讓 GuardDuty 偵測直接提示注入，請使用提示攻擊內容篩選條件來設定 Amazon Bedrock Guardrail。為了確保護欄評估整個環境的調用，請廣泛強制執行它，而不是依賴個別應用程式將其連接到每個請求。您可以使用 中的 Amazon Bedrock 政策，對帳戶中或整個組織中的所有 Amazon Bedrock 模型調用強制執行護欄 AWS Organizations。如需詳細資訊，請參閱《Amazon Bedrock 使用者指南》中的使用 Amazon Bedrock Guardrails 強制執行套用跨帳戶防護。 當護欄評估調用時，Amazon Bedrock 會在 AWS CloudTrail 資料事件中記錄評估，GuardDuty 會分析以產生此調查結果。如果護欄在評估調用時也套用了敏感資訊篩選條件，則調查結果會包含偵測到的敏感資訊類型的詳細資訊。

此調查結果包含 resource.bedrockGuardrailDetails 物件，此物件會描述已介入的防護機制。下表說明此物件中的欄位。

欄位	說明
guardrails	評估調用的護欄清單。每個項目都包含護欄version的 Amazon Resource Name (arn) 和 。當帳戶強制執行或組織強制執行的護欄和請求層級護欄評估相同的調用時，可能會出現多個護欄。
guardrailAction	護欄採取的動作。當值為 時，GuardDuty 會產生此調查結果GUARDRAIL_INTERVENED。
guardrailSource	護欄評估的內容。 INPUT指出傳送至模型的提示，並OUTPUT指出來自模型的回應。
contentPolicyFilters	套用護欄的內容政策篩選條件清單。對於此調查結果類型，項目具有 type的 PROMPT_ATTACK和 confidence的 HIGH。如果actionBLOCKED護欄封鎖內容，或者NONE護欄偵測到提示攻擊，但設定為僅報告。
sensitiveInformationFilters	敏感資訊會篩選護欄在評估調用時套用的敏感資訊。每個項目都有 type，可識別護欄偵測到的敏感資訊類型，例如 AWS_SECRET_KEY或 PASSWORD，以及actionBLOCKED如果護欄封鎖內容、ANONYMIZED如果護欄遮罩內容，或NONE如果護欄偵測到內容，但設定為僅報告內容，則為 。調查結果會記錄偵測到的資訊類型，絕不記錄內容本身。

此調查結果映射至 MITRE ATLAS 網站上的 MITRE ATLAS 技術 AML.T0051 - LLM Prompt Injection。

修復建議：

檢閱觸發護欄介入的提示，以及提交提示的 IAM 身分。如果關聯身分的活動未預期，則登入資料可能已遭到入侵。如需詳細資訊，請參閱修復可能遭到入侵的 AWS 登入資料。如果護欄偵測到提示攻擊，但未封鎖提示攻擊，請考慮將提示攻擊內容篩選條件的動作設定為封鎖，而不是 Detect，以便護欄封鎖內容。如需詳細資訊，請參閱《Amazon Bedrock 使用者指南》中的處理 Amazon Bedrock Guardrails 偵測到之有害內容的選項。 您也可以限制對受影響身分的 Amazon Bedrock 調用 APIs的存取。