Confidential AI

A IA confidencial consiste em executar o treino e a inferência de aprendizagem automática dentro de ambientes de execução fidedignos (TEEs) baseados em hardware, para que os dados, os prompts e os pesos do modelo permaneçam protegidos até do fornecedor de serviços em nuvem, dos administradores de sistemas e do sistema operativo anfitrião. A encriptação protege há muito os dados armazenados em disco e os dados em trânsito pelas redes. A IA confidencial protege o que faltava: os dados em utilização, que os sistemas convencionais desencriptam na memória da CPU e da GPU enquanto o modelo os processa. Aplica a computação confidencial, um domínio promovido desde 2019 pelo Consórcio de Computação Confidencial da Linux Foundation, às cargas de trabalho de IA.

Como funciona a IA confidencial#

Três mecanismos de hardware tornam esta garantia possível:

• Execução isolada: Tecnologias de CPU como Intel TDX e AMD SEV-SNP executam uma máquina virtual inteira em memória encriptada com chaves que o hipervisor nunca vê; Intel SGX, por sua vez, isola enclaves mais pequenos dentro de uma única aplicação. A NVIDIA adicionou um modo de computação confidencial às suas GPU de centro de dados a partir da geração Hopper: esse modo encripta os dados transferidos entre CPU e GPU e impede que o anfitrião leia a memória da GPU.
• Atestação remota: Antes de receber qualquer segredo, o TEE produz um relatório assinado, baseado em chaves incorporadas no chip, que indica exatamente o hardware, o firmware e o software em execução. O proprietário dos dados ou um serviço de gestão de chaves compara esse relatório com os valores esperados.
• Libertação de chaves com atestação: As chaves de desencriptação de conjuntos de dados ou pesos de modelos só são disponibilizadas a ambientes cuja atestação seja aprovada; assim, os recursos protegidos só podem ser lidos dentro da carga de trabalho verificada.

O custo de desempenho concentra-se na movimentação de dados. A encriptação da memória e das transferências entre CPU e GPU acrescenta sobrecarga, enquanto a computação dentro da GPU decorre à velocidade máxima; por isso, tarefas com uso intensivo de computação, como a inferência de grandes modelos de linguagem, registam apenas aumentos modestos na latência de inferência.

Contra o que protege#

O modelo de ameaças abrange uma camada de infraestrutura comprometida ou curiosa: um funcionário malicioso do fornecedor de computação em nuvem, um hipervisor pirateado ou outro inquilino no mesmo servidor físico. A proteção funciona nos dois sentidos. Os proprietários dos dados podem enviar registos sensíveis para um modelo que não controlam, e os proprietários dos modelos podem implementar pesos proprietários no centro de dados de um parceiro ou num local de computação periférica sem os expor. Como a atestação permite ao cliente verificar quem pode ler os seus dados, a computação confidencial também é um elemento fundamental das ofertas de IA soberana, executadas em hardware pertencente a entidades estrangeiras.

A IA confidencial protege o ambiente de execução e complementa os controlos que abrangem o resto do fluxo de trabalho. As saídas do modelo ainda podem revelar dados de treino através de ataques de inferência de pertença, cujo alcance é limitado pelo treino com privacidade diferencial; além disso, o código da aplicação dentro do enclave continua a precisar de práticas padrão de segurança de dados, como o controlo de acesso e a aplicação de correções.

Técnicas de privacidade relacionadas#

• Aprendizagem federada mantém os dados em bruto no dispositivo ou servidor de cada participante e partilha apenas as atualizações do modelo. Executar o servidor de agregação num TEE acrescenta proteção para essas atualizações.
• Encriptação homomórfica permite fazer cálculos diretamente sobre dados encriptados, sem qualquer hardware fidedigno, mas continua a ser várias ordens de grandeza mais lenta do que os TEE para aprendizagem profunda, pelo que é reservada a modelos pequenos e operações simples.
• IA de periferia evita a questão ao processar os dados no dispositivo que os captou, uma solução que funciona sempre que o modelo é suficientemente pequeno para ser executado nesse dispositivo.

Onde se utiliza a IA confidencial#

Os assistentes privados na nuvem são as implementações mais visíveis. O Private Cloud Compute da Apple, lançado em 2024, processa pedidos do Apple Intelligence demasiado grandes para o dispositivo em servidores com Apple silicon que não retêm dados dos utilizadores após um pedido, não concedem acesso privilegiado aos funcionários e publicam as suas imagens de software para que investigadores independentes possam verificar o que executam. O Private AI Compute da Google, anunciado em novembro de 2025, aplica o mesmo conceito aos modelos Gemini nos seus próprios TPUs, e os dispositivos verificam a atestação antes de enviar dados.

A colaboração na área da saúde é outra aplicação. Os hospitais que não podem partilhar registos de pacientes podem permitir que um programador externo valide ou treine um modelo de análise de imagens médicas com os seus dados dentro de um TEE. O hospital nunca vê os pesos do modelo, e o programador nunca vê os exames dos pacientes; os fornecedores de serviços em nuvem suportam este modelo com serviços de IA confidencial no Azure e noutros locais.

Os sistemas de visão também processam dados pessoais: as câmaras em lojas, clínicas e locais de trabalho captam rostos e outras informações abrangidas pelas leis de privacidade dos dados. Como as máquinas virtuais confidenciais executam aplicações sem modificações, um modelo Ultralytics YOLO26 exportado para ONNX ou TensorRT é implementado dentro de uma máquina virtual da mesma forma que num servidor GPU qualquer, mantendo cada fotograma encriptado para o operador da nuvem enquanto é analisado.