حماية وقت التشغيل من Onyx أصبحت الآن متاحة على بوابة TrueFoundry للذكاء الاصطناعي: حواجز حماية للسياسات لكل استدعاء لنماذج اللغة الكبيرة (LLM)

إذا كان فريقك يوجه حركة مرور نماذج اللغة الكبيرة (LLM) عبر بوابة ذكاء اصطناعي، فإن كل طلب وكل استجابة يمثلان نقطة ضعف محتملة. توفر بوابة TrueFoundry للذكاء الاصطناعي وصولاً موحداً إلى أكثر من 1000 نموذج لغة كبير عبر واجهة برمجة تطبيقات واحدة متوافقة مع OpenAI. أصبح Onyx الآن متاحاً كحاجز حماية مخصص على تلك البوابة، مما يتيح لعملاء TrueFoundry إضافة حماية وقت التشغيل دون الحاجة إلى تغيير كود التطبيق.

يجب أن تكون حماية وقت التشغيل عند نقطة التنفيذ، وليس داخل كل تطبيق على حدة. يقوم Onyx بإجراء نفس الفحوصات على كل طلب واستجابة تعبر تلك الحدود. تحصل تطبيقاتك على دفاع Onyx ضد حقن الأوامر، واكتشاف محاولات كسر الحماية، وفحوصات تسريب البيانات، وتقييم سياسات المحتوى قبل أن يرى النموذج أو المستخدم المخرجات.

الإعداد يعتمد على التهيئة فقط. لا توجد أغلفة (wrappers) للنشر ولا حاجة لتغيير أي كود في التطبيق.

المتطلبات الأساسية

• بوابة TrueFoundry للذكاء الاصطناعي مع مزود نموذج واحد على الأقل تم إعداده، بحيث يدعم verdict: false عند استجابة HTTP 200.
• سياسة Onyx AI Guard ورمز الحماية (Guard Token) الخاص بها، مع قاعدة حظر واحدة على الأقل تقوم بمسح اتجاه الإدخال و/أو الإخراج الذي ترغب في فرضه.
• اتصال HTTPS صادر من بوابة TrueFoundry الخاصة بك إلى مضيف مستأجر Onyx الخاص بك.
• صلاحية إضافة وربط مجموعات حواجز الحماية في لوحة تحكم TrueFoundry.

خطوات التكامل

يوفر Onyx نقطة نهاية للتقييم متوافقة أصلاً مع TrueFoundry، والتي تتحدث مباشرة مع عقد حواجز الحماية المخصصة للبوابة. تستدعي TrueFoundry نظام Onyx، فيقوم Onyx بإرجاع النتيجة. لا توجد أغلفة أو محولات وسيطة.

الخطوة 1: احصل على رمز الحماية (Guard Token) وقم ببناء الرابط (URL)

يحدد رمز الحماية الموجود في رابط سياسة AI Guard الخاصة بك السياسة المراد تقييمها، وهو بمثابة وسيلة المصادقة للطلب. إنه ليس مفتاح واجهة برمجة تطبيقات أو رمز بوابة MCP. في Onyx، انتقل إلى Policies، ثم Runtime Policies، ثم علامة التبويب AI Guard، وافتح رابط AI Guard الخاص بالسياسة، ثم انسخ رمز الحماية واسم مضيف المستأجر الخاص بك.

قم ببناء رابط حاجز الحماية:

https://<routing-id>.ai-guard.onyx.security/guard/evaluate/v1/<guard-token>/truefoundry

استخدم مضيف المستأجر الخاص بك. الرابط المجرد https://ai-guard.onyx.security لا يوجه إلى مستأجر وسيعيد خطأ 404.

الخطوة 2: تسجيل إعدادات حاجز الحماية المخصص

في لوحة تحكم TrueFoundry، انتقل إلى AI Gateway، ثم Guardrails، ثم New Guardrails Group. اختر Custom وقم بتسميتها onyx-security. أضف إعدادين، واحداً لكل اتجاه، وكلاهما يشير إلى نفس رابط Onyx.

بالنسبة لإعداد الإدخال، اضبط الاسم على onyx-input، والعملية على Validate، والهدف على Request. الصق رابط حاجز الحماية الذي أنشأته في الخطوة 1، واترك Auth Data كـ None، واضبط Config على {}، واختر Enforce But Ignore On Error كاستراتيجية تنفيذ.

بالنسبة لإعداد الإخراج، اضبط الاسم على onyx-output، والعملية على Validate، والهدف على Response. استخدم نفس رابط حاجز الحماية، واترك Auth Data كـ None، واضبط Config على {}، واختر Enforce But Ignore On Error كاستراتيجية تنفيذ.

الاختلافات الوحيدة بين الإعدادين هي الاسم والهدف. اترك Auth Data فارغاً. رمز الحماية الموجود في مسار الرابط هو وسيلة المصادقة، لذا لا يلزم وجود رمز Bearer.

الخطوة 3: ربط حاجز الحماية (Guardrail) بحركة المرور

يمكنك ربط المجموعة بنموذج في إعدادات حاجز الحماية الخاصة به، أو تطبيقها عبر البوابة من خلال السياسات ثم حواجز الحماية، أو اختيارها لكل طلب باستخدام ترويسة (header) لتتمكن من الاختبار دون الحاجة إلى تغيير النموذج:

{

  "llm_input_guardrails": ["onyx-security/onyx-input"],

  "llm_output_guardrails": ["onyx-security/onyx-output"]

}

أرسل مطالبة (prompt) سليمة وسوف تمر إلى النموذج. أما إذا أرسلت مطالبة تنتهك إحدى قواعد Onyx، فستقوم البوابة بحظرها وإرجاع رسالة السياسة بدلاً من إجابة النموذج، مع رمز الحالة HTTP 400 وخطأ من نوع guardrail_checks_failed. لحماية الاستجابات، اضبط "stream" على false؛ حيث لا تعمل حواجز حماية المخرجات على الاستجابات المتدفقة.

ما الذي ستحصل عليه

التحقق من المدخلات والمخرجات. يقوم حاجز حماية المدخلات بفحص المطالبات قبل تشغيل النموذج. بينما يقوم حاجز حماية المخرجات بفحص الاستجابات قبل وصولها إلى المستخدم في الطلبات غير المتدفقة. تقوم Onyx بتقييم كل منها مقابل قواعد اتجاه المدخلات واتجاه المخرجات في سياستك.

الحظر القائم على السياسات. تحمل عمليات الحظر الرسالة التي قمت بتكوينها في Onyx، بحيث يرى المتصل صياغتك الخاصة بدلاً من رسالة خطأ عامة. يمكنك تغيير إجراءات التنفيذ عن طريق تعديل السياسة في وحدة تحكم Onyx، دون الحاجة إلى إجراء أي تغييرات من جانب TrueFoundry.

سياسة واحدة لجميع التطبيقات. نظرًا لأن عملية التحقق تتم عند البوابة، فإن كل فريق وكل تطبيق يمر عبرها يرث نفس حواجز الحماية. لا توجد عمليات تكامل لكل تطبيق تحتاج إلى صيانة، ولا توجد فجوات في التغطية عند إطلاق خدمة جديدة.

قابلية المراقبة في مكان واحد. يتم تتبع قرارات حاجز الحماية جنبًا إلى جنب مع بقية الطلب. البوابة متوافقة مع OpenTelemetry، لذا يمكنك معرفة الطلبات التي تم حظرها وسبب ذلك في نفس النظام الذي تستخدمه بالفعل لمراقبة زمن الاستجابة والتكلفة.

الأسئلة الشائعة

ما هي حواجز حماية النماذج اللغوية الكبيرة (LLM) على بوابة الذكاء الاصطناعي؟

حواجز الحماية هي عمليات فحص تجريها البوابة على المطالبات والاستجابات قبل وصولها إلى النموذج أو المستخدم. على بوابة TrueFoundry للذكاء الاصطناعي، تعمل هذه الحواجز كسياسات قابلة للتكوين، مما يتيح لك حظر حقن المطالبات، أو محاولات كسر الحماية، أو تسريب البيانات بشكل مركزي بدلاً من القيام بذلك في كل تطبيق على حدة.

هل أحتاج إلى نشر أي شيء لإضافة حاجز حماية Onyx؟

لا. تقوم TrueFoundry باستدعاء نقطة نهاية التقييم في Onyx مباشرةً. أنت تقوم بتسجيل تكوينين لحواجز الحماية (guardrail configs) يشيران إلى رابط Onyx الخاص بك. لا توجد حاجة لاستضافة أي غلاف أو محول.

هل تعمل حواجز حماية Onyx على كل من المطالبات (prompts) والاستجابات؟

نعم. يقوم التكامل بتسجيل حاجزين، أحدهما للطلب والآخر للاستجابة. يعتمد حظر عبارة ما في المخرجات على وجود قاعدة "توجيه المخرجات" في سياسة Onyx الخاصة بك؛ يتم تكوين المدخلات والمخرجات بشكل منفصل في Onyx، وتتطلب حماية المخرجات طلبات غير متدفقة (non-streaming).

هل يجب عليّ تغيير كود التطبيق الخاص بي لإضافة حواجز الحماية؟

لا. تعمل حواجز الحماية عند البوابة (gateway). يمكنك إرفاقها بنموذج أو تمرير ترويسة (header) في الطلب، وسيستمر كود التطبيق الخاص بك في العمل دون أي تعديل.

لماذا يعيد طلبي خطأ في التحقق؟

تتطلب نقطة النهاية /truefoundry وجود context.user.subjectSlug في الطلب. توفر البوابة هذا المعامل في حركة المرور العادية؛ إذا كنت تستدعي نقطة النهاية مباشرة للاختبار، فتأكد من تضمين subjectSlug، وإلا ستعيد Onyx قرار حظر مع رسالة "تعذر التحقق من الطلب".

هل يمكنني تشغيل بوابة TrueFoundry للذكاء الاصطناعي داخل سحابة VPC الخاصة بي؟

نعم. تدعم TrueFoundry النشر داخل VPC، والأنظمة المحلية (on-prem)، والبيئات المعزولة (air-gapped)، وإعدادات السحابة المتعددة، مع ضمان عدم خروج أي بيانات من نطاقك الخاص.

هل يتكامل النظام مع حزمة المراقبة (observability stack) الحالية لدي؟

نعم. البوابة متوافقة مع OpenTelemetry وتتصل بـ Grafana أو Datadog أو Prometheus، مما يتيح تتبع كل طلب من المطالبة وحتى النموذج، بما في ذلك قرارات حواجز الحماية.

تعاونت Onyx وTrueFoundry في هذا التكامل. تواصل مع ممثل TrueFoundry أو Onyx الخاص بك للبدء.