Trust am Intelligent Edge Sicherheit für Edge AI neu denken

Anbieter zum Thema

NXP Semiconductors Germany GmbH

MicroConsult Academy GmbH

ISH Ingenieursozietät GmbH

congatec GmbH

Mit wachsender Autonomie von Edge-AI-Systemen wird Security zur Voraussetzung für Safety. Durchgängige Vertrauensketten sind notwendig, um Modelle, Daten und Laufzeitumgebungen effizient zu schützen.

Künstliche Intelligenz verlagert sich zunehmend von zentralisierten Rechenzentren auf Edge-Geräte, bei denen die Verarbeitung direkt auf lokaler Hardware statt auf entfernten Servern erfolgt. Diese Edge-First-KI-Systeme, wie beispielsweise Prozessoren (CPUs) in Fahrzeugen und Elektroautos oder neuronale Prozessoren (NPUs) in IP-Kameras und Drohnen, werden immer häufiger eingesetzt, um Entscheidungen und Aktionen in Echtzeit und sicherheitskritisch im Betrieb auszuführen.

Ob auf dem Fabriksgelände, im Fahrzeug oder im Operationssaal: Sicherheit für KI ist entscheidend, um die Integrität und Resilienz der Entscheidungen dieser automatisierten Systeme sicherzustellen. Mit zunehmender Autonomie von Edge-AI-Systemen wird deutlich, dass Security eine Voraussetzung für Safety ist: Ein System kann nicht als sicher gelten, wenn es nicht gleichzeitig gegen Angriffe geschützt ist. Ein KI-Agent mit realen Handlungsmöglichkeiten kann andernfalls zu einem gefährlichen und unkontrollierbaren Gegner werden.

Gleichzeitig entsteht ein Spannungsfeld zwischen der schnellen Verbreitung von KI und dem Reifegrad verfügbarer Sicherheitslösungen. KI wird bereits heute allgegenwärtig, selbst in sehr ressourcenbeschränkten Embedded-Systemen wie Hörgeräten eingesetzt. Dennoch sind viele dieser KI-Anwendungen nicht nach „secure by design“ Prinzipien entwickelt. Diese Herausforderung verschärft sich durch den Aufstieg von KI-Agenten und physischer KI-Systeme, die mit wachsender Autonomie, Geschwindigkeit und Skalierung agieren.

Wenn Security, Safety und Datenschutz jetzt nicht Schritt halten, drohen unsichere Implementierungen dauerhaft in der Gesellschaft verankert zu werden. Damit entsteht ein Altlastenproblem, das künftig nur schwer oder gar nicht mehr zu beheben sein wird.

Eine sich schnell verändernde Bedrohungslandschaft

Edge AI ermöglicht Inferenz und Datenverarbeitung nahe an der Datenquelle und dem Endnutzer. Dadurch werden Reaktionszeiten verkürzt, Entscheidungen in Echtzeit ermöglicht und die Abhängigkeit von zentralen Rechenzentren reduziert. Gleichzeitig verbessert dies den Datenschutz, da sensible Daten auf dem Gerät verbleiben und nicht oder nur in geringem Umfang an die Cloud übertragen werden müssen. Allerdings entstehen dadurch auch neue Sicherheitsrisiken.

Traditionelle Cybersicherheit konzentriert sich vor allem auf den Schutz von Daten in Netzwerken und Servern. Mit KI geraten zusätzlich die Modelle selbst, die Ausführungsumgebung, die eingebetteten Geräte sowie die Daten ins Visier von Angreifern.

Dadurch erweitert sich die Bedrohungslandschaft deutlich über klassische IT-Risiken hinaus.

Bei Edge AI verändert sich die Lage erneut. Geräte sind für den Angreifer physisch zugänglich und damit anfälliger für Manipulationen. Gleichzeitig sind sie stärker gekapselt. Während Cloud-basierte KI-Applikationen Training, Speicherung und Zugriff auf große Datenmengen zentralisiert verwalten und dadurch besonders attraktive Angriffsziele schaffen, sind Edge-Systeme anders gelagert.

Vereinfacht gesagt haben Angriffe auf einzelne Edge-Systeme meist eine begrenztere Reichweite, während erfolgreiche Cloud-Angriffe erheblich größere Gesamtschäden verursachen können. Aus Sicherheitsgründen bleibt daher eine lokal betriebene und konsequent von externen Netzwerken isolierte Edge-AI-Infrastruktur oder eine Architektur mit streng kontrollierten Gateways eine attraktive Option. Dennoch bestehen weiterhin Risiken.

Die Sicherheitsbedrohungen für KI-Systeme lassen sich in zwei große Kategorien einteilen. Erstens klassische IT-Angriffe, die es auf wertvolle Daten (wie das KI-Modell) abgesehen haben oder die einen Service lahmlegen wollen. Diese Bedrohungen sind meist gut verstanden. Zweitens gibt es KI-spezifische Angriffe, darunter Prompt Injection, Model Distillation und Model Inversion, Membership Inference, Hintertüren in den Trainingsdaten sowie manipulierte Eingabedaten, die Fehlklassifikationen oder falsche Entscheidungen erzwingen können. Diese Angriffe nutzen spezifische Eigenschaften von KI-Systemen aus und erfordern neue, spezialisierte Schutzmaßnahmen.

Da proprietäre KI-Modelle oft Trainingsdaten und Fachwissen im Wert von Millionenbeträgen verkörpern, können erfolgreiche Angriffe Wettbewerbsvorteile zerstören, die Sicherheit gefährden und das Vertrauen in das System untergraben. Besonders kritisch wird es, wenn Angreifer das Verhalten eines Modells im Feld gezielt verändern können. Deshalb ist es bei KI-Systemen unerlässlich, dem Prinzip „Security by Design“ zu folgen und geeignete Schutzmechanismen von Anfang an zu integrieren.

Hierzu gehören Maßnahmen zur Wahrung der Geräteintegrität, beispielsweise die Sicherstellung, dass nur autorisierte Software oder autorisierte KI-Modelle ausgeführt werden, Updates vertrauenswürdig sind und KI-Systeme regulatorischen Anforderungen wie dem EU AI Act oder dem Cyber Resilience Act (CRA) entsprechen.

Ebenso wichtig ist der Schutz des Datenzugriffs. Legitimer Zugriff für KI-Anwendungen muss ermöglicht werden, ohne neue Schwachstellen zu schaffen. Eine sichere Implementierung beginnt mit einer durchgängigen Vertrauenskette, bestehend aus sicherem Boot-Code, verifizierter Firmware und Laufzeitisolation. Darüber hinaus wird Post-Quantum-Kryptographie (PQC) zunehmend zu einem zentralen Element moderner Cybersicherheit, da wir uns bereits heute auf eine Zukunft vorbereiten müssen, in der Quantencomputer traditionelle Public-Key-Verfahren brechen können.

Bausteine für eine durchgängige Vertrauenskette

Eine robuste Verteidigungsarchitektur implementiert Schutzmechanismen auf allen Ebenen des Systems, also in Hardware, Firmware und Software, und beginnt bereits bei sicherer Provisionierung und Speicherung. Das KI-Modell bleibt während der Speicherung verschlüsselt und wird erst dann entschlüsselt, wenn es ausgeführt werden muss. Dabei schützen Echtzeit-Speicherverschlüsselungsmechanismen den Arbeitsspeicher.

Ebenso wichtig ist die Isolation während der Laufzeit. Resource Domain Controller, TrustZone-Partitionen und sichere Subsysteme trennen Verarbeitungsbereiche voneinander, sodass Schadsoftware weder interne Aktivierungen ausspionieren noch Berechnungen manipulieren kann. Gemeinsam stellen diese Mechanismen sicher, dass das richtige Modell auf authentischer Hardware ausgeführt wird und die Ergebnisse unverändert bleiben.

Modellintegrität ist jedoch nur ein Teil der Gesamtaufgabe. Edge AI verarbeitet häufig persönliche und hochsensible Daten, darunter medizinische Informationen oder vertrauliche Unternehmens- und Regierungsdaten. Technologien wie Fully Homomorphic Encryption (FHE) und Secure Multi-Party Computation (MPC) ermöglichen es, KI-Verarbeitung auf externe Infrastrukturen wie die Cloud auszulagern, ohne die zugrunde liegenden Daten offenzulegen. Dadurch können Modelle auf deutlich größeren Mengen datenschutzsensibler Informationen trainiert und eingesetzt werden, was sowohl die Modellqualität verbessert als auch neue Anwendungsfälle erschließt.

Hohe KI-Qualität ohne Kompromisse bei der Sicherheit

Edge AI muss lokal unter strikten Ressourcenbeschränkungen arbeiten, von Wearables und Sensoren bis hin zu Robotern und Fahrzeugen. Rechenleistung, Speicher und Konnektivität sind dabei häufig begrenzt.

Mit der zunehmenden Verbreitung von Neural Processing Units (NPUs) benötigen auch diese Edge-Knoten spezialisierte Sicherheitsmaßnahmen. Hier können Erfahrungen aus der Absicherung kryptographischer Beschleuniger genutzt werden, etwa durch randomisierte Ausführung oder Integritätsprüfungen von SRAM-Speichern.

Dieser Ansatz steht im Einklang mit regulatorischen und industriellen Rahmenwerken wie dem EU AI Act, dem NIST AI Risk Management Framework (AI RMF) sowie Richtlinien aus dem Medizin- und Automobilbereich. Systeme mit potenziell sicherheitskritischen Auswirkungen müssen nachweisbar sicher und resilient sein, insbesondere wenn sie sensible Daten verarbeiten.

Um dieses Ziel schneller zu erreichen, sollten Halbleiterhersteller, Tool-Anbieter, Modellentwickler, Regulierungsbehörden und Systemintegratoren gemeinsame Best Practices, Referenzarchitekturen und Zertifizierungsprofile entwickeln. Ein ähnlicher kollaborativer Ansatz hat bereits die funktionale Sicherheit im Automobilbereich beschleunigt, Auditaufwände reduziert und die Markteinführung neuer Produkte beschleunigt. Für Edge-AI-Produkte ist die “Time-to-Solution" ein entscheidender Erfolgsfaktor. Deshalb muss „Security by Design“ mit der Geschwindigkeit der KI-Entwicklung Schritt halten, vom ersten Demonstrator bis zur großflächigen Umsetzung.

Das Ziel: Robuste, sichere und leistungsfähige Autonomie

Die lokale Datenverarbeitung durch Edge-AI-Inferenz reduziert Latenzen, Bandbreitenkosten und potenzielle Angriffspunkte. Tatsächlich könnte lokale Verarbeitung der einzige Weg sein, um künftig die enorme Datenmenge zu bewältigen: Bis 2028 werden Edge-Systeme voraussichtlich rund 394 Zettabytes an Daten pro Jahr erzeugen. Ein einziges Zettabyte entspricht ungefähr einer Milliarde Festplatten mit jeweils 1 TByte Speicherkapazität.

Edge AI stellt den größten Architekturwandel seit dem Aufkommen des Cloud Computing dar. Trust ist dabei jedoch keine Option, sondern eine Grundvoraussetzung für den Erfolg. Von sicheren Boot-ROMs über verschlüsselte und sicher provisionierte Modelle bis hin zu Post-Quantum-Schlüsseln stehen die erforderlichen Technologien bereits heute zur Verfügung, um Modelle, Code und Daten durchgängig zu schützen, unabhängig davon, ob es sich um Vision-, Sprach-KI, Large Language Models oder autonome Agenten handelt.

Die Herausforderung liegt nun in der breiten Umsetzung: Edge-Systeme müssen von Anfang an für Sicherheit, Datenschutz und Safety ausgelegt werden. Gleichzeitig braucht es gemeinsame Standards und ein Ökosystem, in dem jeder Beteiligte nachprüfen kann, dass alle Komponenten wie vorgesehen funktionieren.  (sg)

* Joppe Bos ist Kryptograph und Technical Director bei NXP Semiconductors

* Davis Sawyer ist AI Product Marketing Manager bei NXP Semiconductors

(ID:50946781)