長年の苦戦を経て、人工知能は企業による機密コンピューティング導入を後押ししています。しかしAIエージェントは、現行技術では対応しきれない新たなセキュリティ課題を生み出しています。
この状況を受け、機密コンピューティングの推進派は原点に立ち返らざるを得なくなっています。先月サンフランシスコで開催されたLinux Foundationの「Confidential Computing Summit」でも、こうした推進派たちは全く新しいパラダイムの必要性を訴えました。
AIは、データやAI資産を保護する機密コンピューティングシステムの企業導入を押し上げました。設計者たちはコスト・速度・複雑性という課題を解決したと考えていましたが、AIエージェントの規模拡大と広がりが、新たなシステム上の課題を突きつけています。
「まだやるべきことはあります。ですがどうか歩みを止めないでください」と、Google Cloudで機密コンピューティングおよび暗号化担当のプロダクトマネジメントディレクターを務めるネリー・ポーター氏は述べています。「私たちはAIの『心』を守るためにここにいるのです」
機密コンピューティングは、保存時・転送時・利用時にデータが盗まれないよう保護する安全な境界を確立する技術です。暗号化されたデータは安全な保管領域に格納され、相互認証(mutual attestation)と専用ハードウェアによって保護されます。
機密コンピューティングの導入を長らく妨げてきた速度・コスト・ワークロードの複雑性という中核課題は、すでに解決されているとMicrosoft Azureの最高技術責任者(CTO)兼副最高情報セキュリティ責任者(deputy CISO)を務めるマーク・ルシノビッチ氏は述べています。
サミットの場でルシノビッチ氏は、機密コンピューティングの本格普及を何年も予想し続けては外してきたと認めた上で、「しかし今年こそは当たるかもしれません」と語りました。
「その進展は段階的に訪れました。例えばGoogleは当初、単一のGPU上でしか機密コンピューティングをサポートしていませんでしたが、その後Nvidiaの新しいBlackwellチップ全体に対応を拡大し、これまで技術の足かせとなっていた性能面のギャップを埋めました」とルシノビッチ氏は述べています。
しかし企業がこぞってAI導入を急ぐ中、社内に大量に展開されるエージェント群は、機密コンピューティングが本来想定していなかった新たな脅威モデルを生み出しているとGoogleのポーター氏は指摘します。エージェントは物事を「忘れない」ため、AIモデルが学習しプロンプトを実行する過程で、企業の最も機密性の高い秘密情報を保持し続けてしまう可能性があると同氏は述べています。
「エージェント型[モデル]の問題は、たとえ読み取りアクセス権を持っただけであっても、一度見たデータを忘れられないという点にあります」とポーター氏は述べています。「すべてはコンテキストウィンドウの問題であり、実行中のアクティブな状態の問題なのです」
ポーター氏は、AIエージェントが企業買収の候補先を評価する際に、機密性の高い財務情報や事業詳細を取り込んでしまう例を挙げました。もし買収案件が破談になったとしても、エージェントがそれらの詳細を自動的に忘却したり、メモリから削除したりするとは限らないというのです。
ポーター氏が示した解決策は、各エージェントに専用の暗号鍵を割り当て、短期・長期のメモリや、エージェントが保持・蒸留するデータを保護するというものです。データを削除する際は、データそのものではなく暗号鍵を無効化する「クリプトシュレディング(crypto-shredding)」という手法で対応できます。
「必要なレゴブロックはすべて揃っていますし、それを実現する能力も私たちにはあります」とポーター氏は述べています。
Nvidiaで高性能computingおよびAIファクトリーソリューション担当シニアディレクターを務めるディオン・ハリス氏はDark Readingの取材に対し、Nvidiaのハードウェアはエージェント型AIの機密コンピューティングに対応する準備が整っていると述べました。
新たな機会、新たなリスク
エージェントをめぐる課題はあるものの、Microsoftのルシノビッチ氏によれば、機密コンピューティングは、自社のモデルやデータ、エージェントを誰にも見られないという保証を企業や国家に提供できる段階まで進化しているといいます。
「AIの導入によって、機会という面でも、そしてリスクという面でも、新たな領域が生まれています」とルシノビッチ氏は述べています。
Appleは5月、これまでで最も注目を集める機密コンピューティング導入事例を発表しました。同社のPrivate Compute Cloudインフラにこの技術を実装し、数十億台に及ぶ自社デバイス全体でAIアクセスを保護するというものです。Appleは2024年にPCCを華々しく発表していましたが、Siriの展開の遅れや未解決のセキュリティ保証、ハードウェア面の課題により、実装は先送りされていました。
Appleは社内ツールを用いて技術を構築してきた歴史を持ちますが、機密コンピューティングに関してはその伝統を破らざるを得なかったと、Greyhound ResearchのCEOであるサンチット・ヴィル・ゴギア氏はDark Readingに語っています。
Appleは当初、PCCのセキュリティをApple製シリコン上に構築していました。新体制ではGoogle Cloud、NvidiaのBlackwell製グラフィックス処理装置(GPU)上の機密コンピューティング機能、トラストドメイン拡張(TDX)を備えたIntel製中央処理装置(CPU)、そしてGoogleのTitanセキュリティチップが組み合わされています。この新しい実装には、少なくとも2つの独立したセキュアハードウェア・ルートオブトラストが存在します。
「機密AIとは、ハードウェア、クラウド、アクセラレータ、認証(attestation)、モデル提供にまたがる多層アーキテクチャです。今やプライバシーは、ワークロードとともに移動しなければならないものになっています」とゴギア氏は述べています。
例えば、iPhoneは機密データを送信するサーバーとの間に信頼境界を確立します。NvidiaのGPUは自身を安全な環境として証明し、機密データを受け取って復号・処理を行った後、再び暗号化してiPhoneへ送り返します。
「Appleは、性能と効率性を確保しながら、同時にユーザーデータのプライバシーも維持するという、両方の良さを兼ね備えた仕組みを作り出しています」とNvidiaのハリス氏は述べています。そしてこれは始まりに過ぎず、2030年までに機密コンピューティングの利用市場は約1,600億ドル規模に達すると同氏は予測しています。
「これはAI導入にとって、そしてハイパースケーラーに限らず世界中の企業へAIサービスを普及させていく上で、極めて重要な領域です」とハリス氏は述べています。
技術への信頼を築く
ServiceNowでは、9,000人の営業担当者が予測や収入といった歩合給関連の問い合わせに迅速に回答を得られるよう、機密コンピューティングを活用していると、最高デジタル情報責任者(CDIO)のケリー・ロマック氏は述べています。こうした問い合わせには通常、報酬額や個人を特定できる情報、成約済み案件に関する顧客データといった保護対象情報が含まれます。
以前は、営業担当者は報酬・財務部門にチケットを提出する必要があり、この手作業のプロセスには4日間を要していました。新システムでは、セキュアエンクレーブを用いて機密データを即座に分析し、8秒以内に回答を生成します。この技術は、NvidiaのH100 GPU、Opaque Systemsの機密AIコンピューティングフレームワーク、そしてMicrosoftのAzure Cloud上で稼働しています。
「この仕組みは技術への信頼を生み出しました」とロマック氏は述べています。このシステムによって「財務・人事チームの負担が軽減され……営業担当者たちも肩の荷が下り、安心して顧客対応に専念できるようになりました」と同氏は語っています。
機密コンピューティング、特にGPUの利用にはコストがかかりますが、「もちろん私はこれを選びます。情報漏えいは絶対に許容できないからです」とロマック氏は述べています。
