Confidential AI

L’IA confidenziale consiste nell’eseguire l’addestramento e l’inferenza di apprendimento automatico all’interno di ambienti di esecuzione fidati basati su hardware (TEE), affinché dati, prompt e pesi del modello restino protetti anche dal fornitore cloud, dagli amministratori di sistema e dal sistema operativo host. La crittografia protegge da tempo i dati inattivi su disco e quelli in transito sulle reti. L’IA confidenziale colma il divario rimanente, cioè i dati in uso, che i sistemi tradizionali decifrano nella memoria di CPU e GPU mentre il modello li elabora. Applica l’elaborazione confidenziale, un settore promosso dal Confidential Computing Consortium della Linux Foundation dal 2019, ai carichi di lavoro dell’IA.

Come funziona l’IA confidenziale#

Tre meccanismi hardware rendono possibile questa garanzia:

• Esecuzione isolata: le tecnologie per CPU come Intel TDX e AMD SEV-SNP eseguono un'intera macchina virtuale in memoria cifrata con chiavi invisibili all'hypervisor, mentre Intel SGX isola enclave più piccole all'interno di una singola applicazione. A partire dalla generazione Hopper, NVIDIA ha aggiunto una modalità di confidential computing alle GPU per data center: cifra i dati trasferiti tra CPU e GPU e impedisce all'host di leggere la memoria della GPU.
• Attestazione remota: prima di ricevere segreti, il TEE produce un rapporto firmato, basato su chiavi fuse nel chip, che elenca l'hardware, il firmware e il software esatti in esecuzione. Il proprietario dei dati o il servizio di gestione delle chiavi confronta il rapporto con i valori attesi.
• Rilascio delle chiavi con attestazione: Le chiavi di decrittazione per i dataset o i pesi del modello vengono inviate soltanto agli ambienti che superano l’attestazione, così le risorse protette sono leggibili esclusivamente all’interno del carico di lavoro verificato.

Il costo in termini di prestazioni si concentra sul trasferimento dei dati. La cifratura della memoria e dei trasferimenti da CPU a GPU aggiunge overhead, mentre i calcoli eseguiti all’interno della GPU procedono alla massima velocità; perciò, i lavori ad alta intensità di calcolo, come l’inferenza di modelli linguistici di grandi dimensioni, registrano solo incrementi modesti della latenza di inferenza.

Da quali minacce protegge#

Il modello di minaccia riguarda un’infrastruttura compromessa o curiosa: un insider malevolo presso il fornitore di cloud computing, un hypervisor violato o un altro tenant sullo stesso server fisico. La protezione opera in entrambe le direzioni. I proprietari dei dati possono inviare record sensibili a un modello che non controllano; i proprietari dei modelli possono distribuire pesi proprietari nel data center di un partner o in un sito edge senza esporli. Poiché l’attestazione consente al cliente di verificare chi può leggere i suoi dati, l’elaborazione confidenziale è anche un elemento fondamentale delle offerte di IA sovrana eseguite su hardware di proprietà straniera.

L'IA confidenziale protegge l'ambiente di esecuzione e si affianca a controlli che coprono il resto della pipeline. Gli output del modello possono comunque rivelare dati di addestramento tramite attacchi di inferenza dell'appartenenza, un rischio limitato dall'addestramento con la privacy differenziale; inoltre, il codice applicativo nell'enclave deve comunque seguire le pratiche standard di sicurezza dei dati, come il controllo degli accessi e l'applicazione delle patch.

Tecniche di protezione della privacy correlate#

• Apprendimento federato mantiene i dati grezzi sul dispositivo o sul server di ogni partecipante e condivide solo gli aggiornamenti del modello. Eseguire il server di aggregazione in un TEE protegge ulteriormente questi aggiornamenti.
• Crittografia omomorfica esegue calcoli direttamente sui dati cifrati senza hardware fidato, ma nel deep learning resta di diversi ordini di grandezza più lenta dei TEE, quindi è riservata a modelli piccoli e operazioni semplici.
• IA edge evita il problema elaborando i dati sul dispositivo che li ha acquisiti: una soluzione praticabile quando il modello è abbastanza piccolo da essere eseguito sul dispositivo.

Applicazioni dell'IA confidenziale#

Gli assistenti cloud privati sono le implementazioni più visibili. Private Cloud Compute di Apple, introdotto nel 2024, gestisce le richieste di Apple Intelligence troppo grandi per il dispositivo su server con chip Apple che non conservano i dati degli utenti dopo una richiesta, non concedono al personale accessi privilegiati e pubblicano le proprie immagini software affinché i ricercatori indipendenti possano verificare cosa viene eseguito. Private AI Compute di Google, annunciato nel novembre 2025, applica lo stesso progetto ai modelli Gemini sui propri TPU; i dispositivi verificano l’attestazione prima di inviare i dati.

Anche la collaborazione in ambito sanitario è un’applicazione. Gli ospedali che non possono condividere le cartelle cliniche possono consentire a uno sviluppatore esterno di convalidare o addestrare un modello per l’analisi di immagini mediche sui loro dati all’interno di un TEE. L’ospedale non vede mai i pesi del modello e lo sviluppatore non vede mai le scansioni dei pazienti: uno schema supportato dai fornitori cloud con servizi di IA confidenziale su Azure e altrove.

Anche i sistemi di visione elaborano dati personali: le fotocamere di negozi, cliniche e luoghi di lavoro acquisiscono volti e altre informazioni tutelate dalle leggi sulla privacy dei dati. Poiché le macchine virtuali confidenziali eseguono applicazioni non modificate, un modello Ultralytics YOLO26 esportato in ONNX o TensorRT viene distribuito al loro interno come su qualsiasi server GPU, mantenendo cifrato ogni fotogramma per l’operatore cloud durante l’analisi.