Confidential AI

AI bảo mật là phương pháp chạy huấn luyện và suy luận học máy bên trong các môi trường thực thi tin cậy (TEE) dựa trên phần cứng, nhờ đó dữ liệu, prompt và trọng số model vẫn được bảo vệ ngay cả trước nhà cung cấp đám mây, quản trị viên hệ thống và hệ điều hành máy chủ. Từ lâu, mã hóa đã bảo vệ dữ liệu lưu trên ổ đĩa và truyền qua mạng. AI bảo mật khép lại khoảng trống còn lại: dữ liệu đang được sử dụng, vốn được hệ thống thông thường giải mã vào bộ nhớ CPU và GPU khi model xử lý. Phương pháp này áp dụng điện toán bảo mật—lĩnh vực được Liên minh Điện toán Bảo mật của Linux Foundation thúc đẩy từ năm 2019—cho các workload AI.

Cách thức hoạt động của AI bảo mật#

Ba cơ chế phần cứng giúp hiện thực hóa bảo đảm này:

• Thực thi cô lập: Các công nghệ CPU như Intel TDX và AMD SEV-SNP chạy toàn bộ máy ảo trong vùng nhớ được mã hóa bằng khóa mà hypervisor không bao giờ thấy; Intel SGX cô lập các enclave nhỏ hơn bên trong một ứng dụng. NVIDIA bổ sung chế độ điện toán bảo mật cho GPU trung tâm dữ liệu bắt đầu từ thế hệ Hopper; chế độ này mã hóa dữ liệu truyền giữa CPU và GPU, đồng thời ngăn máy chủ đọc bộ nhớ GPU.
• Attestation từ xa: Trước khi nhận bất kỳ bí mật nào, TEE tạo một báo cáo có chữ ký, bắt nguồn từ các khóa được tích hợp vào chip, liệt kê chính xác phần cứng, firmware và phần mềm đang chạy. Chủ sở hữu dữ liệu hoặc dịch vụ quản lý khóa sẽ so sánh báo cáo đó với các giá trị mong đợi.
• Chỉ cấp khóa sau khi chứng thực: Khóa giải mã dataset hoặc trọng số model chỉ được cấp cho các môi trường vượt qua bước chứng thực, vì vậy tài sản được bảo vệ chỉ có thể đọc bên trong workload đã xác minh.

Chi phí hiệu năng chủ yếu phát sinh từ việc di chuyển dữ liệu. Mã hóa bộ nhớ và truyền dữ liệu từ CPU sang GPU làm tăng overhead, trong khi tính toán bên trong GPU vẫn chạy hết tốc độ; vì vậy, các tác vụ nặng về tính toán như suy luận mô hình ngôn ngữ lớn chỉ làm độ trễ suy luận tăng ở mức vừa phải.

Phạm vi bảo vệ#

Mô hình đe dọa tập trung vào lớp hạ tầng bị xâm phạm hoặc tò mò: nhân viên nội bộ có ý đồ xấu tại nhà cung cấp điện toán đám mây, hypervisor bị xâm nhập hoặc một tenant khác trên cùng máy chủ vật lý. Cơ chế bảo vệ hoạt động theo cả hai chiều. Chủ sở hữu dữ liệu có thể gửi các bản ghi nhạy cảm đến một model họ không kiểm soát; chủ sở hữu model có thể triển khai trọng số độc quyền đến trung tâm dữ liệu của đối tác hoặc địa điểm biên mà không để lộ trọng số. Vì chứng thực cho phép khách hàng xác minh ai có thể đọc dữ liệu của mình, điện toán bảo mật cũng là nền tảng cho các dịch vụ AI có chủ quyền chạy trên phần cứng thuộc sở hữu nước ngoài.

AI bảo mật bảo vệ môi trường thực thi và kết hợp với các biện pháp kiểm soát bao phủ phần còn lại của pipeline. Đầu ra của model vẫn có thể làm lộ dữ liệu huấn luyện qua các cuộc tấn công suy luận tư cách thành viên; huấn luyện bằng quyền riêng tư vi sai giúp hạn chế nguy cơ này. Mã ứng dụng bên trong enclave vẫn cần áp dụng các biện pháp bảo mật dữ liệu tiêu chuẩn như kiểm soát truy cập và cài bản vá.

Các kỹ thuật bảo vệ quyền riêng tư liên quan#

• Học liên kết giữ dữ liệu thô trên thiết bị hoặc máy chủ của từng bên tham gia và chỉ chia sẻ các bản cập nhật model. Chạy máy chủ tổng hợp trong TEE giúp bảo vệ thêm các bản cập nhật đó.
• Mã hóa đồng cấu thực hiện tính toán trực tiếp trên dữ liệu đã mã hóa mà không cần phần cứng đáng tin cậy, nhưng với deep learning, phương pháp này vẫn chậm hơn TEE nhiều bậc độ lớn nên chỉ phù hợp với model nhỏ và thao tác đơn giản.
• AI biên tránh vấn đề này bằng cách xử lý dữ liệu ngay trên thiết bị thu nhận dữ liệu, phù hợp khi model đủ nhỏ để chạy trên thiết bị đó.

Ứng dụng của AI bảo mật#

Trợ lý đám mây riêng tư là các ứng dụng dễ nhận thấy nhất. Private Cloud Compute của Apple, ra mắt năm 2024, xử lý các yêu cầu Apple Intelligence quá lớn đối với thiết bị trên máy chủ Apple silicon; máy chủ không lưu dữ liệu người dùng sau yêu cầu, không cấp quyền truy cập đặc biệt cho nhân viên và công bố ảnh phần mềm để các nhà nghiên cứu độc lập xác minh những gì đang chạy. Private AI Compute của Google, công bố tháng 11 năm 2025, áp dụng thiết kế tương tự cho các model Gemini trên TPU của hãng, với thiết bị kiểm tra chứng thực trước khi gửi dữ liệu.

Hợp tác trong lĩnh vực y tế là một ứng dụng khác. Các bệnh viện không thể chia sẻ hồ sơ bệnh nhân có thể cho phép nhà phát triển bên ngoài xác thực hoặc huấn luyện model phân tích ảnh y tế trên dữ liệu của họ bên trong TEE. Bệnh viện không bao giờ thấy trọng số model, còn nhà phát triển không bao giờ thấy ảnh chụp của bệnh nhân; các nhà cung cấp đám mây hỗ trợ mô hình này bằng những dịch vụ như AI bảo mật trên Azure và các nền tảng khác.

Các hệ thống thị giác cũng xử lý dữ liệu cá nhân: camera tại cửa hàng, phòng khám và nơi làm việc ghi lại khuôn mặt cùng thông tin khác thuộc phạm vi điều chỉnh của luật về quyền riêng tư dữ liệu. Vì máy ảo bảo mật chạy các ứng dụng không cần sửa đổi, model Ultralytics YOLO26 được xuất sang ONNX hoặc TensorRT có thể triển khai bên trong máy ảo đó như trên bất kỳ máy chủ GPU nào, giữ mã hóa từng khung hình trước nhà vận hành đám mây trong khi phân tích.