Confidential AI

コンフィデンシャルAIとは、ハードウェアベースの信頼実行環境（TEE）内で機械学習の学習と推論を実行し、データ、プロンプト、モデルの重みをクラウドプロバイダー、システム管理者、ホストOSからも保護する取り組みです。従来、暗号化はディスク上の保存データとネットワークで転送中のデータを保護してきました。コンフィデンシャルAIは、従来のシステムがモデルの処理中に復号してCPUやGPUのメモリに置く、使用中のデータという残された課題に対処します。Linux FoundationのConfidential Computing Consortiumが2019年から推進する分野であるコンフィデンシャルコンピューティングを、AIワークロードに適用します。

機密AIの仕組み#

この保証を可能にするハードウェアの仕組みは3つあります。

• 隔離実行: Intel TDXやAMD SEV-SNPなどのCPUテクノロジーは、ハイパーバイザーからは見えない鍵でメモリを暗号化し、仮想マシン全体を実行します。一方、Intel SGXは単一アプリケーション内の小規模なエンクレーブを隔離します。NVIDIAはHopper世代以降のデータセンターGPUにコンフィデンシャルコンピューティングモードを追加しました。このモードではCPUとGPU間を移動するデータを暗号化し、ホストがGPUメモリを読み取ることを防ぎます。
• リモートアテステーション: 秘密情報を受け取る前に、TEEはチップに組み込まれた鍵を信頼の起点とする署名付きレポートを生成し、実行中のハードウェア、ファームウェア、ソフトウェアの正確な情報を示します。データ所有者または鍵管理サービスは、そのレポートを期待値と照合します。
• アテステーションに基づく鍵の提供： データセットやモデルの重みを復号する鍵は、アテステーションに合格した環境にのみ提供されます。そのため、保護対象の資産を読み取れるのは、検証済みのワークロード内に限られます。

性能への影響は、主にデータ移動に集中します。メモリとCPUからGPUへの転送を暗号化するとオーバーヘッドが発生しますが、GPU内の計算はフルスピードで実行されます。そのため、大規模言語モデルの推論など、計算負荷の高いジョブで増加する推論レイテンシはわずかです。

保護の対象#

脅威モデルが想定するのは、侵害されたインフラ層や、好奇心を持つインフラ担当者です。たとえば、クラウドコンピューティングプロバイダーの悪意ある内部関係者、侵害されたハイパーバイザー、同じ物理サーバーを使う別のテナントが該当します。保護は双方向に機能します。データ所有者は、管理権限を持たないモデルに機微なレコードを送信できます。モデル所有者は、プロプライエタリな重みをパートナーのデータセンターやエッジ拠点にデプロイし、重みを相手に公開せずに済みます。アテステーションによって、データを読み取れる主体を顧客が検証できるため、コンフィデンシャルコンピューティングは、外国所有のハードウェア上で動作するソブリンAIサービスを支える基盤にもなります。

コンフィデンシャルAIは実行環境を保護し、パイプラインの残りの部分を対象とする制御と組み合わせて利用できます。モデルの出力からはメンバーシップ推論攻撃によって学習データが漏れる可能性がありますが、差分プライバシーを使った学習でそのリスクを抑えられます。また、エンクレーブ内のアプリケーションコードにも、アクセス制御やパッチ適用などの標準的なデータセキュリティ対策が必要です。

関連するプライバシー技術#

• フェデレーテッドラーニングでは、生データを各参加者のデバイスまたはサーバーに残し、モデルの更新情報だけを共有します。集約サーバーをTEE内で実行すると、これらの更新情報をさらに保護できます。
• 準同型暗号では、信頼できるハードウェアをまったく使わず、暗号化データ上で直接計算します。ただし、ディープラーニングではTEEより桁違いに遅いため、小規模なモデルや単純な処理に限って使われます。
• エッジAIでは、データを取得したデバイス上で処理することで問題を回避します。モデルをそのデバイス上で実行できるサイズであれば利用できます。

コンフィデンシャルAIの活用分野#

プライベートクラウドアシスタントは、最もよく知られた導入例です。Appleが2024年に導入したPrivate Cloud Computeは、デバイス上では処理できないApple IntelligenceのリクエストをAppleシリコン搭載サーバーで処理します。このサーバーはリクエスト後にユーザーデータを保持せず、スタッフに特権アクセス権を与えません。また、実行内容を独立した研究者が検証できるよう、ソフトウェアイメージを公開しています。Googleが2025年11月に発表したPrivate AI Computeは、同社のTPU上でGeminiモデルに同じ設計を適用します。デバイスはデータを送信する前にアテステーションを確認します。

医療分野での連携も用途の一つです。患者記録を共有できない病院でも、外部の開発者がTEE内のデータを使って医療画像解析モデルを検証または学習できます。病院はモデルの重みを一切見ることがなく、開発者も患者のスキャン画像を見ることはありません。クラウドプロバイダーは、Azure上のコンフィデンシャルAIなどのサービスを通じて、この方式を支援しています。

ビジョンシステムも個人データを処理します。店舗、診療所、職場のカメラは、顔やデータプライバシー法の対象となるその他の情報を撮影します。コンフィデンシャル仮想マシンではアプリケーションを変更せずに実行できるため、ONNXまたはTensorRTにエクスポートしたUltralytics YOLO26モデルは、他のGPUサーバーと同じようにその中にデプロイできます。各フレームを解析している間、フレームをクラウド運用者から見えないよう暗号化しておけます。