Soukromá a suverénní AI přetváří hranici důvěry při nasazování modelů

Většinu posledního desetiletí znamenalo provozování výkonného AI modelu odeslání vašich dat na infrastrukturu někoho jiného a doufání, že tato infrastruktura bude fungovat. Tento model se však rozpadá, protože mezi vlastníky modelů, vlastníky dat a poskytovateli infrastruktury roste důvěrové dilema. Organizace ve finančnictví, zdravotnictví, státní správě i obranném sektoru stále častěji chtějí spouštět model uvnitř svých vlastních zdí, pod vlastní kontrolou, aniž by ztratily přístup k tomu, co modelu původně poskytlo sílu.

To je to, co poskytuje soukromá a suverénní AI, a již to není okrajová poptávka. Ve skutečnosti více než 95 % dotázaných organizací uvedlo, že soukromá a suverénní AI jsou pro jejich strategii důležité, i když jen přibližně tři z deseti v současnosti tuto práci upřednostňují konkrétním, krátkodobým způsobem, podle NTT DATA’s 2026 Global AI Report. Podobný trend popisuje i McKinsey’s research on sovereign AI ecosystems. Plány podniků na rok 2026 uvádějí suverenitu téměř ve všech případech, ale jen málo z nich má skutečný plán, který jasně vymezuje úrovně zátěže.

Tato mezera mezi ambicemi a realizací odráží skutečné, nevyřešené napětí, kdy podniky chtějí modely, které mohou běžet v prostředích, nad nimiž poskytovatel nemá kontrolu, ale poskytovatelé modelů postavili celé své podnikání na tvorbě, trénování a dolaďování modelů sami.

Why the Old Security Model Doesn’t Transfer

Tradiční bezpečnost softwaru předpokládá poměrně čisté oddělení bezpečnostních kontrol. Dodavatel zabezpečí svůj kód před jeho odesláním; zákazník zabezpečí prostředí, ve kterém běží. Smlouvy, přístupová práva a síťové perimetry pak řeší zbytek.

Proprietární AI modely do tohoto modelu čistě nepasují. „Produkt“ není statický binární soubor; je to sada vah, v některých případech stovky miliard parametrů, představujících měsíce investic do tréninku a jádro duševního vlastnictví poskytovatele. Jakmile jsou tyto váhy nasazeny v prostředí pod kontrolou zákazníka, poskytovatel v podstatě předává IP a doufá, že okolní kontroly vydrží.

Smluvní podmínky a přístupové politiky neposkytují velkou ochranu proti administrátorovi zákazníka, špatně nakonfigurovanému klastru nebo napadenému hostiteli. A jakmile poskytovatel modelu rozšíří nasazení do datacentra nebo cloudové instance někoho jiného, mnoho obvyklých technických opatření již neplatí.

The Real Exposure Is in Memory

Nejvíce podceňovanou částí tohoto problému je to, co se stane s modelem, jakmile skutečně běží. Šifrování dat v klidu nebo během přenosu je široce nasazeno. Mezera se objeví během používání dat, v okamžiku, kdy jsou váhy dešifrovány a načteny do GPU nebo systémové paměti, aby mohla proběhnout inference.

Výzkumníci již prokázali útoky založené na extrakci z paměti proti nasazeným neuronovým sítím. A widely cited academic study ukázala, že techniky postranního kanálu proti hardwaru paměti lze použít k rekonstrukci vah modelu, aniž by se kdykoli dotkly původních souborů poskytovatele. Útočná plocha není soubor modelu ležící na disku; je to živý běžící proces, což je stav, ve kterém musí být model, aby byl užitečný.

Ale k extrakci vah modelu z paměti nemusíte ani potřebovat postranní kanál. Zneužitím jádra a získáním vyšších oprávnění může útočník získat práva správce systému a dumpovat váhy z paměti.

Pro poskytovatele modelu to znamená, že okamžik největšího obchodního rizika – kdy infrastruktura někoho jiného aktivně běží na vašem IP – je zároveň okamžik, kdy jsou konvenční ochrany nejslabší. To je jádro problému, který musí řešit nasazení soukromé a suverénní AI. Kdo nebo co může technicky vidět model během jeho běhu?

Confidential Computing Offers a Path, With Real Limits

Nejvíce slibnou odpovědí na tento problém jsou v současnosti důvěrné výpočty – hardwarově založená důvěryhodná výpočetní prostředí (TEE), která udržují data i váhy modelu šifrované i během aktivního zpracování. Confidential Computing Consortium, otevřená komunita pod Linux Foundation, definuje to jako ochranu dat v použití uvnitř ověřeného TEE, což znamená, že prostředí může kryptograficky prokázat, co spouští, ještě před tím, než mu bude předáno jakékoli citlivé zatížení.

Ověření (attestation) je tím, co ve skutečnosti vytváří důvěru mezi poskytovatelem modelu a infrastrukturou zákazníka. Umožňuje modelu poskytovatele zkontrolovat kryptografický otisk prostředí, ve kterém se chystá běžet, a odmítnout uvolnit své váhy, pokud prostředí neodpovídá tomu, co bylo autorizováno. Hlavní poskytovatelé cloudu již tuto funkci začlenili přímo do své AI infrastruktury; Google Cloud’s recent confidential computing updates například rozšiřují ověření napříč CPU i GPU hardwarem, takže inference pracovní zátěže jsou ověřeny end-to-end před uvolněním jakýchkoli dešifrovacích klíčů.

Bylo by chybou však považovat ověření za vyřešený problém. Jakákoli bezpečnostní technologie je silná jen tehdy, když je implementována správně a bezpečně.

To však neznamená, že důvěrné výpočty jsou falešnou slibností. Znamená to, že disciplína je stále mladá, nástroje se ještě vyvíjejí a podniky hodnotící dodavatele by se měly ptát na konkrétní otázky ohledně implementace ověření, nikoli jen na to, zda se objevuje v technickém listu.

Secure, Flexible Deployment Is Becoming a Precondition, Not a Feature

Obchodní případ pro řešení tohoto problému se jen posiluje.Deloitte’s global enterprise research uvádí, že očekávané investice do suverénních AI výpočtů dosáhnou v roce 2026 téměř 100 miliard dolarů, což je poháněno převážně regulovanými odvětvími, která nemají jinou cestu k širšímu přijetí AI. Tento sázka odráží realitu, že pravidla o rezidenci dat, sektorově specifické režimy souladu a geopolitický tlak jsou nyní zakotveny v tom, jak velké organizace plánují svou AI infrastrukturu roky dopředu.

Pro poskytovatele modelů to mění celé hřiště. Schopnost spustit model bezpečně v prostředí zákazníka, aniž by se ztratila kontrola nad vahami, přechází z diferenciátoru na nutnost. Poskytovatelé, kteří tuto možnost nenabízejí, se ocitnou vyloučeni z regulovaných, vysoce hodnotných odvětví, která v současnosti pohánějí výdaje podnikových AI.

Nic z toho neodstraňuje základní napětí mezi přístupností modelu a ochranou duševního vlastnictví. Pravděpodobně se to nikdy zcela nevyřeší. Ale směr je jasný: podniky nasazující AI ve velkém už nechtějí přijímat „důvěřujte nám“ jako odpověď a ti, kteří dokážou odpovědět kryptografickým důkazem, budou ti, kteří budou soutěžit o tento trh a vyhrát ho.