הפעלת הגנה מוגברת על המודל ב-Gemini Notebook Enterprise

תצוגה מקדימה

השימוש בתכונה הזו כפוף לתנאי השימוש במוצרים בשלב טרום-GA, בחלק "תנאים כלליים לשירות" של התנאים הספציפיים לשירות. השימוש בתכונות בגרסת טרום-GA הוא "כפי שהן" (As is), ויכול להיות שהתמיכה בהן תהיה מוגבלת. אתם יכולים לקרוא מידע נוסף בקטע תיאור שלבי ההשקה.

במאמר הזה מוסבר איך להפעיל את Model Armor ב-Gemini Notebook Enterprise. הגנה מוגברת על המודל הוא Google Cloud שירות המשפר את האבטחה והבטיחות של יישומי AI שלך על ידי סינון יזום של הפרומפטים והתגובות הניתנות באמצעות Gemini Notebook Enterprise. כך אנחנו יכולים להגן מפני סיכונים שונים ולפעול לפי שיטות לפיתוח אחראי של AI. התכונה "הגנה מוגברת על המודל" נתמכת ב-Gemini Notebook Enterprise ללא עלות נוספת.

התכונה "הגנה מוגברת על המודל" לא מסירה או משנה פרטים אישיים מזהים (PII) ולא מסתירה נתונים רגישים. עם זאת, Gemini Notebook Enterprise חוסם כל תשובה שמפעילה את הגלאים של Sensitive Data Protection.

הערה: הפעלת Model Armor ב-Gemini Notebook Enterprise יכולה להגדיל את זמן האחזור.

התגובה של Model Armor לבעיות פוטנציאליות בשאילתות של משתמשים או בתשובות מ-Gemini Notebook Enterprise כפופה לסוג האכיפה של התבנית.

• אם סוג האכיפה הוא בדיקה וחסימה, Gemini Notebook Enterprise חוסם את הבקשה ומציג הודעת שגיאה. זהו סוג האכיפה שמוגדר כברירת מחדל כשיוצרים תבנית של "הגנה מוגברת על המודל" באמצעות המסוף.

• אם סוג האכיפה הוא בדיקה בלבד, Gemini Notebook Enterprise לא חוסם את הבקשות או התשובות.

מידע נוסף זמין במאמר הגדרת סוג האכיפה.

לפני שמתחילים

מוודאים שהתפקידים הנדרשים הוקצו לכם ולחשבון השירות:

• כדי להפעיל את Model Armor ב-Gemini Notebook Enterprise, צריך את התפקיד אדמין ב-Gemini Enterprise (roles/discoveryengine.agentspaceAdmin).

• כדי ליצור את התבניות של Model Armor, צריך את התפקיד אדמין של Model Armor ‏ (roles/modelarmor.admin).

• כדי לשלוח קריאות ל-Model Armor API, צריך את התפקיד משתמש ב-Model Armor ‏ (roles/modelarmor.user).

• אם התבנית של Model Armor נמצאת בפרויקט אחר מה-notebook ב-Gemini Notebook Enterprise, צריך להקצות בפרויקט של התבנית את התפקיד Model Armor User‏ (roles/modelarmor.user) לחשבון השירות של ה-notebook. מזהה חשבון השירות הוא [e-mail], כאשר PROJECT_NUMBER הוא מספר הפרויקט של המכונה של Gemini Notebook Enterprise.

יצירת תבנית של Model Armor

אתם יכולים ליצור תבנית אחת של Model Armor ולהשתמש בה גם להנחיות של המשתמשים וגם לתשובות של העוזר הדיגיטלי, או ליצור שתי תבניות נפרדות. מידע נוסף זמין במאמר יצירה וניהול של תבניות Model Armor.

כשיוצרים תבנית של Model Armor ל-Gemini Notebook Enterprise, כדאי להביא בחשבון את ההגדרות הבאות:

• אתם יכולים ליצור תבניות של Model Armor באופן מרוכז בפרויקט אחד, ולהשתמש בהן שוב בפרויקטים שונים. אם אתם משתמשים בתבנית חוצת-פרויקטים, ודאו שההרשאות חוצות-הפרויקטים מוגדרות כמו שמתואר בקטע לפני שמתחילים.

• בשדה Regions, בוחרים באפשרות Multi-region. בטבלה הבאה מוסבר איך למפות את האזורים של תבניות Model Armor לאזורים של Gemini Notebook Enterprise:

  הערה: אחרי שיוצרים תבנית של Model Armor ו-Gemini Notebook Enterprise, אי אפשר לשנות את האזורים.

  ‫Gemini Notebook Enterprise במספר אזורים	הגנה מוגברת על המודל במספר אזורים
  עולמי	ארה"ב (מספר אזורים בארצות הברית) EU (מספר אזורים באיחוד האירופי)
  ארה"ב (מספר אזורים בארצות הברית)	ארה"ב (מספר אזורים בארצות הברית)
  EU (מספר אזורים באיחוד האירופי)	EU (מספר אזורים באיחוד האירופי)

• אנחנו לא ממליצים להגדיר את Cloud Logging בתבנית של Model Armor ל-Gemini Notebook Enterprise. ההגדרה הזו יכולה לחשוף מידע אישי רגיש למשתמשים עם התפקיד "צפייה ביומנים פרטיים" (roles/logging.privateLogViewer) ב-IAM. במקום זאת, כדאי לשקול את האפשרויות הבאות:

  • אם אתם צריכים לתעד את הנתונים שעוברים דרך התבנית של Model Armor, אתם יכולים לנתב מחדש את היומנים לאחסון מאובטח כמו BigQuery, שמציע בקרת גישה מחמירה יותר. מידע נוסף מופיע במאמר ניתוב יומנים ליעדים נתמכים.

  • אתם יכולים להגדיר יומני ביקורת של גישה לנתונים כדי לנתח ולדווח על החלטות הסינון של הבקשות והתשובות שנוצרו על ידי Model Armor. למידע נוסף, ראו הגדרת יומני ביקורת.

הגדרת Gemini Notebook Enterprise עם התבניות של Model Armor

כך מוסיפים את התבניות של Model Armor ל-Gemini Notebook Enterprise:

REST

כדי להוסיף את התבניות של Model Armor ל-Gemini Notebook Enterprise, מריצים את הפקודה הבאה :

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "X-Goog-User-Project: PROJECT_ID" \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1alpha/projects/PROJECT_NUMBER?update_mask=customerProvidedConfig" \
-d '{
  "customerProvidedConfig": {
    "notebooklmConfig": {
      "modelArmorConfig": {
        "userPromptTemplate": "QUERY_PROMPT_TEMPLATE",
        "responseTemplate": "RESPONSE_PROMPT_TEMPLATE"
      }
    }
  }
}'

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט.
• ‫PROJECT_NUMBER: מספר הפרויקט ב- Google Cloud .
• ‫ENDPOINT_LOCATION: האזור המרובה לבקשת ה-API. מציינים אחד מהערכים הבאים:
  • ‫us לאזור הגיאוגרפי שכולל מספר אזורים בארה"ב
  • ‫eu למספר אזורים באיחוד האירופי
  • ‫global למיקום הגלובלי
  מידע נוסף זמין במאמר הגדרת מספר אזורים למאגר הנתונים.

• ‫QUERY_PROMPT_TEMPLATE: שם המשאב של התבניות שיצרתם ב-Model Armor.

  כדי לקבל את שם המשאב, פועלים לפי השלבים במסמך הצגת תבנית של Model Armor ומעתיקים את הערך של שם המשאב.

  הערה: אתם יכולים להשתמש בתבניות של Model Armor שנוצרו באותו פרויקט כמו ה-notebook ב-Gemini Notebook Enterprise, או להשתמש בתבניות של Model Armor מפרויקט אחר. אם אתם משתמשים בתבנית מפרויקט אחר, ודאו שההרשאות בין הפרויקטים מוגדרות כמו שמתואר בקטע לפני שמתחילים.

• ‫RESPONSE_PROMPT_TEMPLATE: שם המשאב של התבניות שיצרתם ב-Model Armor. אפשר להשתמש בתבניות של Model Armor שנוצרו באותו פרויקט או בפרויקט אחר.

דוגמה לפקודה ולתוצאה

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "X-Goog-User-Project: my-project-123" \
"https://discoveryengine.googleapis.com/v1/projects/123456?update_mask=customerProvidedConfig" \
-d '{
  "customerProvidedConfig": {
    "notebooklmConfig": {
      "modelArmorConfig": {
        "userPromptTemplate": "projects/my-project-123/locations/us/templates/model-armor-template",
        "responseTemplate": "projects/my-project-123/locations/us/templates/model-armor-template"
      }
    }
  }
}'

{
  "name": "projects/123456",
  "createTime": "2025-04-18T19:38:23.299346527Z",
  "provisionCompletionTime": "2025-04-18T19:38:23.299346527Z",
  "customerProvidedConfig": {
    "notebooklmConfig": {
      "modelArmorConfig": {
        "userPromptTemplate": "projects/my-project-123/locations/us/templates/model-armor-template",
        "responseTemplate": "projects/my-project-123/locations/us/templates/model-armor-template"
      }
    }
  }
}

הערה: התבניות של Model Armor נכנסות לתוקף תוך 10 דקות או יותר.

בדיקה אם התבנית של Model Armor מופעלת

אחרי שמגדירים את התבנית של Model Armor, בודקים אם Gemini Notebook Enterprise מסנן וחוסם באופן יזום את ההנחיות והתשובות של המשתמשים בהתאם לרמות הסמך שהוגדרו במסננים של Model Armor.

כשתבנית Model Armor מוגדרת לבדיקה וחסימה של בקשות שמפירות את המדיניות, מוצגת הודעת הפרת המדיניות הבאה:

המסוף

לדוגמה, אם מופיעה הודעה על הפרת מדיניות:

הודעה על הפרת מדיניות של Model Armor

REST

תגובת JSON שכוללת את הפרטים הבאים:

לדוגמה: json "answer.state": "SKIPPED", "answer.assist_skipped_reasons": "CUSTOMER_POLICY_VIOLATION_REASON"

הסרת התבניות של Model Armor מ-Gemini Notebook Enterprise

כדי להסיר את התבניות של Model Armor מ-Gemini Notebook Enterprise, מריצים את הפקודה הבאה:

REST

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "X-Goog-User-Project: PROJECT_ID" \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1alpha/projects/PROJECT_NUMBER?update_mask=customerProvidedConfig" \
-d '{
  "customerProvidedConfig": {
    "notebooklmConfig": {
      "modelArmorConfig": {}
    }
  }
}'

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט.
• ‫PROJECT_NUMBER: מספר הפרויקט ב- Google Cloud .
• ‫ENDPOINT_LOCATION: האזור המרובה לבקשת ה-API. מציינים אחד מהערכים הבאים:
  • ‫us לאזור הגיאוגרפי שכולל מספר אזורים בארה"ב
  • ‫eu למספר אזורים באיחוד האירופי
  • ‫global למיקום הגלובלי
  מידע נוסף זמין במאמר הגדרת מספר אזורים למאגר הנתונים.

דוגמה לפקודה ולתוצאה

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "X-Goog-User-Project: my-project-123" \
"https://discoveryengine.googleapis.com/v1/projects/123456?update_mask=customerProvidedConfig" \
-d '{
  "customerProvidedConfig": {
    "notebooklmConfig": {
    }
  }
}'

{
  "name": "projects/123456",
  "createTime": "2025-04-18T19:38:23.299346527Z",
  "provisionCompletionTime": "2025-04-18T19:38:23.299346527Z",
  "customerProvidedConfig": {
    "notebooklmConfig": {}
  }
}

שיקולים לשימוש ב-Model Armor

כשמשתמשים ב-Model Armor עם Gemini Notebook Enterprise, חשוב לזכור את הנקודות הבאות:

הסרת פרטי הזיהוי ואנונימיזציה	כש-Model Armor משתמש ב-Sensitive Data Protection כתבנית לסריקת פרומפטים או תגובות, Model Armor בודק אם התוכן תואם לקריטריונים של הגלאי שהוגדרו בתבנית. למרות ש-Sensitive Data Protection תומך בהסרת פרטי הזיהוי על סמך הגדרת התבנית, Model Armor לא מעביר נתונים מוסתרים או נתונים שהוסרו מהם פרטי הזיהוי בחזרה אל Gemini Notebook Enterprise. אם התוכן מפעיל גלאים כלשהם של Sensitive Data Protection וסוג האכיפה הוא INSPECT_AND_BLOCK, ‏Gemini Notebook Enterprise חוסם את הבקשה או את התשובה במקום להסיר פרטי זיהוי.
מגבלות ומכסות של טוקנים	למרות שאין מגבלות ישירות על טוקנים כשמשתמשים ב"הגנה מוגברת על המודל" עם Gemini Notebook Enterprise, קצב העיבוד הכולל של הערכות "הגנה מוגברת על המודל" עדיין נשלט באופן עקיף על ידי מכסות המערכת של Gemini Enterprise ומגבלות הקצב של Model Armor API.
הסכם רמת שירות (SLA)	‫Gemini Notebook Enterprise מספק הסכם רמת שירות (SLA). כש-Gemini Notebook Enterprise מוגדר להשתמש ב-Model Armor, שאילתות חסומות לא נחשבות להפרות של הסכם ה-SLA, גם אם משתמשים במצב המשך פעילות במקרה שגיאה וגם אם משתמשים במצב סגירה במקרה שגיאה.
עמידה בדרישות	‫Gemini Notebook Enterprise וגם Model Armor מציעים אישורי תאימות שונים. כשמשתמשים בשני המוצרים יחד, אישורי התאימות בפועל הם קבוצת המשנה המשותפת לשניהם. כדאי לבדוק את אישורי התאימות של שני המוצרים כדי לוודא שהם עומדים בדרישות הרגולטוריות שלכם.
בדיקת מסמכים	אם תבנית של Model Armor מוגדרת לסנן הנחיות או תשובות של משתמשים, טקסט של מסמכים שחולץ ממקורות מסונן כשהוא נשלח בבקשות. עם זאת, תמונות שמוטמעות במסמכים לא נסרקות. לרשימה של סוגי המסמכים הנתמכים, ראו סינון מסמכים.

הגדרת יומני ביקורת

השירות "הגנה מוגברת על המודל" מתעד יומני בקרת הרשאות גישה לנתונים, שבהם אתם יכולים להשתמש כדי לנתח את החלטות הסינון של הבקשות והתשובות. היומנים האלה לא מכילים את השאילתות של המשתמשים או את התשובות מ-Gemini Notebook Enterprise, ולכן אפשר להשתמש בהם בבטחה לדיווח ולניתוח. מידע נוסף זמין במאמר יומני ביקורת של Model Armor.

כדי לגשת ליומנים האלה, צריך את התפקיד צפייה ביומנים פרטיים (roles/logging.privateLogViewer) ב-IAM.

הפעלת יומני ביקורת של גישה לנתונים

כדי להפעיל את יומני בקרת הרשאות גישה לנתונים, בצע את השלבים הבאים:

1. במסוף Google Cloud , נכנסים לדף IAM & Admin ‏> יומני ביקורת.

2. בוחרים באפשרות Model Armor API.

3. בקטע Permission type, בוחרים את סוג ההרשאה Data read.

4. לוחצים על Save.

בדיקת יומני הביקורת של בקרת הרשאות גישה לנתונים

כדי לבדוק את יומני הביקורת של הגישה לנתונים, פועלים לפי השלבים הבאים:

1. במסוף Google Cloud , נכנסים לדף Logs Explorer.

2. מחפשים ביומנים את שמות השיטות הבאים:

   • google.cloud.modelarmor.v1.ModelArmor.SanitizeUserPrompt כדי לראות את בקשות המשתמשים שסוננו.

   • google.cloud.modelarmor.v1.ModelArmor.SanitizeModelResponse כדי לראות את התשובות שסוננו.