Confidential AI

Конфиденциальный ИИ — это запуск обучения и инференса машинного обучения в аппаратно защищенных доверенных средах выполнения (TEE), где данные, запросы и веса модели остаются защищенными даже от облачного провайдера, системных администраторов и хостовой операционной системы. Шифрование давно защищает данные на диске и при передаче по сети. Конфиденциальный ИИ закрывает оставшийся пробел — защиту данных в использовании, которые обычные системы расшифровывают в памяти CPU и GPU во время обработки моделью. Он применяет конфиденциальные вычисления — область, которую Консорциум конфиденциальных вычислений при Linux Foundation развивает с 2019 года, — к рабочим нагрузкам ИИ.

Как работает конфиденциальный ИИ#

Эту гарантию обеспечивают три аппаратных механизма:

• Изолированное выполнение: Технологии CPU, такие как Intel TDX и AMD SEV-SNP, запускают виртуальную машину целиком в памяти, зашифрованной ключами, к которым гипервизор не имеет доступа. Intel SGX изолирует меньшие анклавы внутри одного приложения. В поколении Hopper NVIDIA добавила режим конфиденциальных вычислений для серверных GPU. Он шифрует данные при передаче между CPU и GPU и не позволяет хосту читать память GPU.
• Удалённая аттестация: прежде чем получить секретные данные, TEE формирует подписанный отчёт, опирающийся на ключи, встроенные в микросхему. В отчёте перечислены точные сведения об аппаратном обеспечении, прошивке и программном обеспечении среды. Владелец данных или служба управления ключами сверяет отчёт с ожидаемыми значениями.
• Выдача ключа после аттестации: Ключи расшифрования наборов данных или весов модели выдаются только средам, успешно прошедшим аттестацию, поэтому защищенные активы доступны для чтения лишь внутри проверенной рабочей нагрузки.

Основные потери производительности связаны с перемещением данных. Шифрование памяти и передачи данных между CPU и GPU создает накладные расходы, тогда как вычисления на GPU выполняются на полной скорости; поэтому задачи с высокой вычислительной нагрузкой, например инференс больших языковых моделей, лишь незначительно увеличивают задержку инференса.

От чего защищает конфиденциальный ИИ#

Модель угроз предполагает, что инфраструктурный уровень скомпрометирован или используется из любопытства: например, злоумышленником оказался сотрудник облачного провайдера, взломан гипервизор или на том же физическом сервере работает другой клиент. Защита действует в обоих направлениях. Владельцы данных могут передавать конфиденциальные записи модели, которой они не управляют, а владельцы моделей — развертывать проприетарные веса в дата-центре партнера или на периферийном узле, не раскрывая их. Поскольку аттестация позволяет клиенту проверять, кто может читать его данные, конфиденциальные вычисления также служат основой для решений в области суверенного ИИ, работающих на оборудовании, принадлежащем иностранным компаниям.

Конфиденциальный ИИ защищает среду выполнения и сочетается с мерами контроля, охватывающими остальную часть конвейера. Результаты модели всё ещё могут раскрывать обучающие данные через атаки с выводом о принадлежности, риск которых снижается при обучении с помощью дифференциальной приватности. Кроме того, к коду приложения внутри анклава всё равно нужно применять стандартные практики защиты данных, например управление доступом и установку обновлений безопасности.

Связанные методы защиты конфиденциальности#

• Федеративное обучение оставляет исходные данные на устройстве или сервере каждого участника и передаёт только обновления модели. Выполнение агрегации на сервере в TEE дополнительно защищает эти обновления.
• Гомоморфное шифрование выполняет вычисления непосредственно над зашифрованными данными, без доверенного оборудования, но в задачах глубокого обучения оно на несколько порядков медленнее TEE, поэтому применяется для небольших моделей и простых операций.
• Периферийный ИИ позволяет не решать эту задачу, обрабатывая данные на устройстве, которое их получило. Этот подход работает, если модель достаточно мала, чтобы выполняться на таком устройстве.

Где применяют конфиденциальный ИИ#

Наиболее заметный вариант применения — частные облачные помощники. Представленная в 2024 году система Private Cloud Compute от Apple обрабатывает запросы Apple Intelligence, слишком сложные для устройства, на серверах с чипами Apple; после выполнения запроса серверы не сохраняют пользовательские данные, сотрудники не получают привилегированного доступа, а образы программного обеспечения публикуются, чтобы независимые исследователи могли проверить, что именно запускается. Анонсированная в ноябре 2025 года система Private AI Compute от Google использует ту же архитектуру для моделей Gemini на собственных TPU компании; устройства проверяют аттестацию перед отправкой данных.

Еще один вариант — сотрудничество в здравоохранении. Больницы, которым нельзя передавать записи пациентов, могут разрешить внешнему разработчику проверять или обучать модель для анализа медицинских изображений на своих данных внутри TEE. Больница не видит веса модели, а разработчик — снимки пациентов; такую схему облачные провайдеры поддерживают сервисами конфиденциального ИИ в Azure и других платформах.

Системы компьютерного зрения тоже обрабатывают персональные данные: камеры в магазинах, клиниках и на рабочих местах фиксируют лица и другую информацию, охраняемую законами о конфиденциальности данных. Поскольку конфиденциальные виртуальные машины запускают приложения без изменений, модель Ultralytics YOLO26, экспортированная в ONNX или TensorRT, развертывается в такой машине так же, как на любом GPU-сервере, и каждый кадр остается зашифрованным от оператора облака во время анализа.