Securitatea AI-ului local și funcționarea fără internet

Securitatea unui AI local se proiectează pentru toate componentele care citesc, păstrează și transmit date. Modelul poate rula pe calculatorul firmei, în timp ce interfața folosește servicii externe pentru căutare, documente sau autentificare. Un proiect controlat identifică aceste trasee, aplică accesul și verifică funcționarea în condițiile de conectivitate stabilite.

Desenează circuitul datelor înainte de configurare

Inventarul începe cu dispozitivele utilizatorilor, interfața, motorul modelului și stocarea documentelor. Adaugă OCR, embeddings, index, procesare audio, instrumente și loguri. Pentru fiecare notează locul de execuție, datele citite și conexiunile necesare. Această hartă stabilește ce trebuie instalat local pentru funcțiile alese de firmă.

Definește și condiția de funcționare: serviciu intern cu acces controlat la internet sau mediu fără conexiuni externe. În al doilea caz, pregătește anticipat modelele, pachetele, imaginile de containere și mecanismul de autentificare. O funcție care depinde de un furnizor extern trebuie înlocuită, configurată local sau eliminată din profilul offline.

Limitează accesul la rețea și la porturi

Când motorul și aplicația sunt pe aceeași stație, motorul poate fi ascultat numai pe interfața locală. Aplicația este expusă controlat, cu HTTPS, autentificare și reguli de rețea. Accesul din afara biroului poate trece printr-un VPN administrat. Firewall-ul permite numai traseele prevăzute, cu o evidență a regulilor și a persoanei responsabile.

Nu transforma un port de dezvoltare într-o adresă publică doar pentru comoditatea conectării. Verifică cine poate ajunge la motor, la interfață și la administrare. Testează din conturi și dispozitive diferite, inclusiv dintr-o rețea nepermisă. Interfața afișată în browser și API-ul din spatele ei trebuie să respecte aceeași politică de acces.

Configurează explicit componentele locale

Ollama documentează dezactivarea funcțiilor cloud prin OLLAMA_NO_CLOUD=1 sau prin configurația corespunzătoare, urmată de restart. Modelul ales trebuie să fie descărcat și identificat ca local. Verifică setarea efectivă și logul serviciului, apoi execută proba cu aplicația și contul care vor fi folosite în lucru.

În Open WebUI, OFFLINE_MODE=true controlează descărcări și verificări automate ale aplicației. Documentația precizează separat că această setare nu blochează conexiunile externe configurate, precum API-uri, căutare sau servicii de autentificare. Izolarea rețelei se aplică prin controlul conexiunilor, iar fiecare furnizor selectat în interfață este verificat.

Pregătește documentele și modelele înainte de deconectare

Descarcă modelul conversațional, embeddings, componentele OCR și modelele audio necesare. Păstrează cache-urile și directoarele în volume persistente, cu permisiuni potrivite serviciului. Testează o pornire după restart înainte de eliminarea conectivității. Descărcarea automată a unui model lipsă trebuie identificată în proba de pregătire.

Docling și interfețele de documente oferă opțiuni pentru folosirea artefactelor pregătite local. Verifică traseul efectiv pentru import, extragere, căutare și răspuns. Un chat cu text simplu poate funcționa în timp ce OCR-ul sau embeddings încă depind de o descărcare. Recepția include fiecare funcție selectată pentru mediul offline.

Separă utilizatorii, documentele și instrumentele

Folosește conturi individuale și roluri cu drepturi minime. Accesul la documente se verifică înainte de introducerea pasajelor în context. Păstrează regulile și pentru fragmentele indexate, previzualizări și exporturi. La revocarea unui cont, verifică sesiunile și cheile asociate, nu numai dispariția numelui din lista utilizatorilor.

Instrumentele care pot citi fișiere, executa comenzi sau modifica aplicații au permisiuni explicite și aprobări separate. Textul unui document este tratat ca informație de intrare. Instrucțiunile găsite în el nu pot schimba drepturile aplicației sau lista instrumentelor. Testează această separare cu documente demonstrative care conțin solicitări nepermise.

Protejează stocarea, logurile și copiile de siguranță

Stabilește ce se păstrează: fișiere originale, conversații, rezultate, indexuri și date operaționale. Limitează accesul și folosește criptarea disponibilă în infrastructura aleasă, cu cheile administrate separat de copii. Un backup care poate fi restaurat numai de o persoană fără înlocuitor reprezintă o problemă de operare care trebuie rezolvată înaintea predării.

Logurile pot păstra identificatori, stări și durate fără a include automat toate documentele și prompturile. Când este necesară o evidență de conținut, scopul, accesul și retenția sunt definite. Ștergerea urmărește componentele relevante, iar restaurarea are reguli care păstrează retragerile documentelor și revocările de acces.

Actualizările și testele au o procedură proprie

Fixează versiunile motorului, interfeței și dependențelor. O actualizare se testează pe un mediu separat, cu posibilitate de revenire. Într-un mediu izolat, pachetele intră printr-un proces aprobat și sunt verificate înainte de instalare. Se păstrează sursa artefactelor și identificatorii necesari recunoașterii lor.

Recepția include acces autorizat și refuzat, import de fișiere, regăsire, funcții audio, restart și restaurare. Pentru profilul fără internet, verifică și tentativele de conexiune externă din logurile și controalele rețelei. Rezultatul trebuie să descrie funcțiile și configurația testate, cu data și versiunile lor, astfel încât verificarea să poată fi repetată.

O probă de restart în mediul izolat

După pregătirea componentelor, aplică profilul de rețea și repornește serviciile. Autentifică un utilizator obișnuit, importă un document demonstrativ nou și cere o informație cunoscută din el. Această probă verifică și extragerea, embeddings și scrierea indexului, nu numai citirea unei conversații deja păstrate. Urmărește dacă vreuna dintre componente cere resurse externe.

Revocă apoi accesul contului de probă și verifică din nou interfața, API-ul și documentul. Restaurează o copie într-un mediu separat și controlează drepturile refăcute. Rezultatele se păstrează împreună cu regulile de rețea și versiunile instalate. Orice funcție nouă, precum un conector sau un instrument, intră în același inventar și primește o probă înainte de activare în profilul izolat.

WebHat folosește un sistem AI local personalizat și oferă consultanță pentru configurarea accesului și a circuitului datelor. Cerințele se pot integra într-o aplicație custom cu AI, împreună cu evaluarea de securitate web relevantă interfeței și serviciilor expuse. Responsabilitățile și verificările sunt stabilite pentru configurația concretă a firmei.

Întrebări despre securitate și offline

O interfață instalată pe PC înseamnă că toate datele rămân local?

Se verifică furnizorii și conexiunile fiecărei funcții: model, documente, căutare, autentificare și instrumente. Locul instalării interfeței descrie doar una dintre componente.

Este suficientă setarea OFFLINE_MODE?

Setarea controlează funcții ale aplicației. Pentru izolarea efectivă sunt necesare reguli de rețea și verificarea serviciilor externe configurate.

Cum verificăm drepturile asupra documentelor?

Cu conturi având roluri diferite, testând fișierul, pasajele regăsite, previzualizarea și exportul. Verificarea se repetă după schimbarea permisiunilor.

Ce trebuie păstrat pentru actualizări?

Versiunile, configurațiile, artefactele, testele de referință și procedura de revenire. În mediile izolate se adaugă procesul de introducere controlată a pachetelor.