Segurança da Cadeia de Suprimentos de Modelos

Proteja modelos e componentes de inferência contra adulteração, comprometimento de dependências e promoção de artefatos não confiáveis.

Quando Usar Esta Habilidade

Use esta habilidade quando:

• Baixar modelos pré-treinados de registros públicos (Hugging Face, TensorFlow Hub)
• Criar contêineres de serviço de modelos para implantação em produção
• Estabelecer políticas de confiança para promoção de artefatos de ML entre ambientes
• Responder a incidentes na cadeia de suprimentos que afetam dependências de ML
• Atender aos requisitos de conformidade SLSA ou SOC2 para sistemas de IA

Pré-requisitos

• cosign v2+ instalado para assinatura e verificação
• syft para geração de SBOM de imagens de serviço de modelos
• crane ou skopeo para inspeção de imagens OCI
• Registro de contêiner com suporte a assinatura (GHCR, ECR, ACR, Artifact Registry)
• Pipeline de CI/CD com capacidade de geração de proveniência

Ameaças

• Pesos pré-treinados ou adaptadores envenenados
• Ferramentas ou carregadores de conversão de modelos maliciosos
• Pipelines de build e registros comprometidos
• Imagens de runtime inseguras com CVEs críticos
• Typosquatting em registros de modelos
• Ataques de desserialização via pickle ou carregadores personalizados

Objetivos de Controle

• Verificar a integridade dos artefatos de ponta a ponta
• Provar a proveniência de cada modelo promovido
• Detectar dependências vulneráveis antes da implantação
• Restringir a execução a artefatos assinados confiáveis

Assinatura de Modelos com Cosign

Assinar um Artefato de Modelo

# Generate a keypair (store private key securely)
cosign generate-key-pair

# Sign an OCI-packaged model image
cosign sign --key cosign.key ghcr.io/acme/ml-models/sentiment:v2.1.0

# Keyless signing with Sigstore (uses OIDC identity)
cosign sign ghcr.io/acme/ml-models/sentiment:v2.1.0

# Verify the signature
cosign verify --key cosign.pub ghcr.io/acme/ml-models/sentiment:v2.1.0

# Keyless verification (requires certificate identity)
cosign verify \
  --certificate-identity=ci-bot@acme.iam.gserviceaccount.com \
  --certificate-oidc-issuer=https://accounts.google.com \
  ghcr.io/acme/ml-models/sentiment:v2.1.0

Assinar Arquivos de Pesos de Modelo Diretamente

# For model files stored as blobs (not OCI images)
# Compute digest and sign
sha256sum model-weights.safetensors > model-weights.sha256
cosign sign-blob --key cosign.key model-weights.safetensors \
  --output-signature model-weights.sig \
  --output-certificate model-weights.crt

# Verify blob signature
cosign verify-blob --key cosign.pub \
  --signature model-weights.sig \
  model-weights.safetensors

SLSA para Pipelines de ML

Requisitos de Nível SLSA para Builds de Modelos

# slsa-requirements.yaml
slsa_levels:
  level_1:
    - Build process is scripted (not manual)
    - Provenance document generated automatically
  level_2:
    - Build runs on hosted CI service
    - Provenance is authenticated (signed)
    - Source is version controlled
  level_3:
    - Build environment is ephemeral and isolated
    - Provenance is non-falsifiable (hardened builder)
    - Source integrity verified (two-person review)

Gerar Proveniência SLSA para Treinamento de Modelos

# .github/workflows/model-build-slsa.yml
name: Model Build with SLSA Provenance
on:
  push:
    tags: ['model-v*']

jobs:
  train-and-package:
    runs-on: ubuntu-latest
    permissions:
      id-token: write
      contents: read
      packages: write
    steps:
      - uses: actions/checkout@v4

      - name: Train model
        run: python train.py --config configs/production.yaml

      - name: Package model as OCI artifact
        run: |
          oras push ghcr.io/acme/ml-models/sentiment:${{ github.ref_name }} \
            model-weights.safetensors:application/vnd.acme.model.safetensors \
            model-config.json:application/json

      - name: Generate SBOM for training environment
        run: |
          syft dir:. -o cyclonedx-json > training-sbom.json

      - name: Sign and attest
        run: |
          cosign sign ghcr.io/acme/ml-models/sentiment:${{ github.ref_name }}
          cosign attest --predicate training-sbom.json \
            --type cyclonedx \
            ghcr.io/acme/ml-models/sentiment:${{ github.ref_name }}

      - name: Generate provenance
        uses: slsa-framework/slsa-github-generator/.github/workflows/generator_container_slsa3.yml@v2.0.0
        with:
          image: ghcr.io/acme/ml-models/sentiment
          digest: ${{ steps.push.outputs.digest }}

Model Cards para Proveniência

# model-card.yaml
model_details:
  name: "sentiment-classifier-v2.1.0"

…