Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

GuardDuty AI 保护发现类型

启用 AI 保护后， GuardDuty 会分析来自 Amazon Bedrock 和 Amazon A SageMaker I 的 Amazon CloudTrail 管理事件和数据事件。 GuardDuty 使用这些数据来检测针对您的 AI 工作负载的潜在可疑活动。当 GuardDuty 检测到潜在威胁时，它会生成以下发现类型之一。这些发现是AccessKey，该发现标识了调用该模型的 IAM 身份。Resource type

每项发现还包括有关发现resource对象中受影响的 AI 资源的详细信息。Impact:IAMUser/AnomalousModelInvocation和Impact:IAMUser/CostHarvesting发现包括一份resource.modelDetails清单，用于识别所调用的亚马逊 Bedrock 或 Amazon A SageMaker I 模型。该Impact:IAMUser/PromptInjection.Direct发现包括一个描述介入的Amazon Bedrock Guardrail的resource.bedrockGuardrailDetails物体。您可以在 GuardDuty 控制台或查找 JSON 中查看这些详细信息。

Impact:IAMUser/AnomalousModelInvocation和Impact:IAMUser/CostHarvesting查找类型适用于 Amazon Bedrock 和 Amazon A SageMaker I 模型调用。Impact:IAMUser/PromptInjection.Direct查找类型适用于使用 Amazon Bedrock Guardrails 的 Amazon Bedrock 工作负载。

Impact:IAMUser/AnomalousModelInvocation

IAM 身份调用 Amazon Bedrock 或 SageMaker Amazon AI 模型的方式偏离了该身份或账户的既定基准。

默认严重级别：低

这一发现告诉您，IAM 身份调用 Amazon Bedrock 或 SageMaker Amazon AI 模型的方式与该身份或账户的历史活动有所不同。此活动可能表明威胁行为者正在使用泄露的凭据来访问您账户中的基础模型。例如，参与者可能会探测模型、制作对抗性输入或运行自动请求。

GuardDuty 为调用 Amazon Bedrock 或 SageMaker Amazon AI 的每个 IAM 身份建立正常模型调用活动的基准。 Amazon Web Services 账户 GuardDuty 概述了调用活动的功能，包括以下内容：

当 GuardDuty 观察到明显偏离该基线的活动时，它会得出这样的发现。示例包括来自以前看不见的 IP 地址、以前看不见的用户代理或身份从未调用的模型的调用。调查结果包括一份resource.modelDetails清单，列出了参与可疑活动的模特。每个条目都包含一个modelId代表 Amazon Bedrock 基础模型、推理配置文件、预配置、自定义或导入的模型 ARN、Amazon Bedrock Marketplace 终端节点、提示资源或亚马逊 AI 终端节点名称。 SageMaker

这一发现与 MITRE ATLAS 网站上的 MITRE ATLAS 技术 AML.T0040 ——人工智能模型推理 API 访问相吻合。

修复建议：

如果此活动是意外活动，则您的凭证可能已泄露。有关更多信息，请参阅 修复可能受损的漏洞 Amazon 凭证。

要降低未经授权调用模型的风险，请限制哪些身份可以调用模型。将对以下模型调用 API 的访问权限仅限于需要它们的委托人和模型：

要拒绝整个组织中不需要模型推断的地方，可以使用服务控制策略 (SCP)。有关更多信息，请参阅《亚马逊 B edrock 用户指南》中的 Amazon Bedrock Identity-based 策略示例和《亚马逊 A SageMaker I 开发者指南》中的 Amazon AI 基于身份的策略示例。 SageMaker

Impact:IAMUser/CostHarvesting

IAM 身份调用了具有异常代币量的 Amazon Bedrock 或 SageMaker Amazon AI 模型，这可能表明存在成本收集攻击。

默认严重级别：低

这一发现告诉您，IAM 身份调用了 Amazon Bedrock 或 Amazon SageMaker AI 模型，其输入或输出令牌量与身份或账户的基准明显偏差。在成本收集攻击中，威胁行为者向模型发送计算成本高昂的输入，以夸大人工智能工作负载的运营成本，而不必泄露数据。这些输入可能包括过长或故意格式错误的提示。

GuardDuty 为调用 Amazon Bedrock 或 Amazon AI 模型的每个 IAM 身份和账户建立平均输入令牌量和平均输出令牌量的基准。 SageMaker 当 GuardDuty 观察到代币数量超过该基线的调用，并将交易量异常与其他异常信号关联起来时，就会生成此发现。 GuardDuty 该发现报告了service.detection对象中的异常活动，包括观测到的调用和偏离基线的代币量。它还包括一个标识目标模型的resource.modelDetails列表。每个条目都包含一个modelId代表 Amazon Bedrock 基础模型、推理配置文件、预配置、自定义或导入的模型 ARN、Amazon Bedrock Marketplace 终端节点、提示资源或亚马逊 AI 终端节点名称。 SageMaker

这一发现与 MITRE ATLAS 网站上的 MITRE ATLAS 技术 AML.T0034 ——成本收获相吻合。

修复建议：

如果关联身份出现意外情况，则证书可能已被泄露并被用来推高 AI 工作负载的成本。有关更多信息，请参阅 修复可能受损的漏洞 Amazon 凭证。查看与身份关联的模型调用，并通过将对以下模型调用 API 的访问权限范围限定为仅需要它们的委托人，从而限制对受影响模型的访问权限：

要检测和控制异常支出，您可以使用Amazon 预算，包括在超过预算阈值时应用限制性的 IAM 政策的预算操作，以及Amazon 成本异常检测。要将 Amazon Bedrock 成本归因于特定工作负载，您可以将成本分配标签附加到应用程序推理配置文件。

Impact:IAMUser/PromptInjection.Direct

Amazon Bedrock Guardrail 在 IAM 身份发起的调用中检测到直接提示注入尝试。

默认严重级别：低

这一发现告诉您，在您的账户中为亚马逊 Bedrock 工作负载配置的 Amazon Bedrock Guardrail 检测到了直接提示注入的尝试。在直接提示注入攻击中，威胁行为者制作恶意提示作为基础模型的输入。该提示使模型忽略其原始指令，改为遵循攻击者的指示。提示注入可以让攻击者获得对 AI 应用程序执行额外步骤的初始访问权限，例如泄露数据、调用未经授权的工具或绕过安全控制。

GuardDuty 当 Amazon Bedrock Guardrail 因高度可信地检测到即时攻击而干预调用时，就会生成此发现。 GuardDuty 要启用检测直接提示注入，请使用提示攻击内容过滤器配置 Amazon Bedrock Guardrail。为确保护栏能够评估整个环境中的调用，请广泛强制执行，而不是依赖单个应用程序将其附加到每个请求中。您可以使用中的 Amazon Bedrock 政策，对账户中或整个组织中的所有 Amazon Bedrock 模型调用实施防护。 Amazon Organizations有关更多信息，请参阅《亚马逊 Bedrock 用户指南》中的使用亚马逊 Bedrock Guardrails 强制措施应用跨账户保护措施。当护栏评估调用时，Amazon Bedrock 会将评估结果记录 Amazon CloudTrail 在数据事件中，然后通过分析得出 GuardDuty 这一结果。

该发现包括一个描述介入护栏的resource.bedrockGuardrailDetails物体。下表描述了此对象中的字段。

这一发现与 MITRE ATLAS 网站上的 MITRE ATLAS 技术 AML.T0051 ——LLM Prompt Inj ection 相吻合。

修复建议：

查看触发护栏干预的提示以及提交该提示的 IAM 身份。如果关联身份的活动出乎意料，则证书可能已被泄露。有关更多信息，请参阅 修复可能受损的漏洞 Amazon 凭证。如果护栏检测到但未阻止提示攻击，请考虑将提示攻击内容过滤器的操作设置为 “阻止” 而不是 “检测”，这样护栏就会屏蔽内容。有关更多信息，请参阅亚马逊 Bedrock 用户指南中的处理亚马逊 Bedrock Guardrails 检测到的有害内容的选项。您还可以限制受影响的身份访问 Amazon Bedrock 调用 API。