Aaron Fulkerson, administrerende direktør for OPAQUE – interviewserie

Aaron Fulkerson, administrerende direktør for OPAQUE, er en erfaren iværksætter inden for virksomhedssoftware og en pioner inden for open source. I mere end to årtier har han opbygget og skaleret teknologiplatforme med fokus på tillid, data og digital transformation. Før han kom til OPAQUE i 2023, grundlagde han MindTouch og var med til at udvikle det til en udbredt vidensplatform for virksomheder, inden det blev opkøbt af NICE Systems. Senere stod han i spidsen for lanceringen af ServiceNow Impact, en af de hurtigst voksende forretningsenheder i ServiceNows historie. Gennem sin karriere har Fulkerson arbejdet i krydsfeltet mellem nye teknologier, virksomhedssoftware og åbne økosystemer og samtidig rådgivet flere teknologiske opstartsvirksomheder og organisationer. På det seneste er han blevet en fremtrædende fortaler for fortrolig AI (Confidential AI). Han mener, at privatlivsbeskyttelse, styring og verificerbar tillid bliver grundlæggende krav, når AI-systemer indgår i virksomheders kritiske arbejdsgange.

OPAQUE er en virksomhed inden for fortrolig AI med udspring i det anerkendte RISELab ved UC Berkeley, det samme forskningsmiljø, som bidrog til at skabe teknologier som Apache Spark og Databricks. Virksomheden har udviklet en platform, som lader virksomheder køre AI-modeller, agenter og arbejdsgange på meget følsomme data med kryptografisk verificerbare garantier for privatlivsbeskyttelse og regeloverholdelse. I stedet for at tvinge organisationer til at vælge mellem AI-innovation og datasikkerhed bruger OPAQUE fortrolig databehandling, krypterede kørselsmiljøer og hardwareattesteret kørsel til at beskytte følsomme oplysninger før, under og efter AI-behandlingen. Teknologien er udviklet til strengt regulerede brancher som finans, forsikring, sundhed og højteknologi. Kunder og partnere omfatter ServiceNow (NOW ), Anthropic, Accenture og andre virksomheder, som vil flytte AI-projekter fra pilotfasen til produktion uden at eksponere proprietære eller regulerede data.

Du har opbygget og skaleret flere virksomhedsplatforme gennem din karriere. Hvad fik dig til at blive administrerende direktør for OPAQUE og vie næste kapitel til tillid, privatlivsbeskyttelse og AI-styring?

Jeg har brugt næsten to årtier på at opbygge virksomhedsplatforme, først hos MindTouch, som stadig bruges af en milliard brugere årligt, og derefter hos ServiceNow, hvor jeg skabte virksomhedens hurtigst voksende produkt. Begge lærte mig det samme: Selv den mest kraftfulde teknologi vinder kun, når folk stoler på den.

Da jeg mødte OPAQUEs medstiftere Raluca Ada Popa, Ion Stoica og Rishabh Poddar, så jeg en sjælden kombination af talent og vision. Raluca er en af verdens førende forskere inden for privatlivsbeskyttelse og sikkerhed. Ion var med til at stifte Databricks. Rishabh byggede de centrale kryptografiske systemer, der blev grundlaget for OPAQUE.

Ved RISELab på UC Berkeley havde de skabt noget, jeg straks genkendte som et gennembrud med betydning for en hel generation: kryptografisk bevis for, at data forbliver private gennem enhver AI-arbejdsgang. Ikke løfter. Ikke politikker. Bevis.

Jeg så, hvor AI var på vej hen: agenter, der handlede autonomt på tværs af virksomhedssystemer i maskintempo. Og jeg så det samme hul, som Vint Cerf har advaret om i 30 år: manglen på et tillidslag. Internettet overlevede uden et sådant lag, fordi mennesker fungerede som sikkerhedsnet. Et agentdrevet internet vil ikke have den luksus. Det var det, der tiltrak mig.

MCP (Model Context Protocol, en standard, som giver AI-agenter sikker adgang til værktøjer, applikationer og data) er ved at blive et fælles grundlag. Hvordan tror du, at det vil ændre den måde, virksomheder tager agentbaseret AI i brug og skalerer den på?

MCP er et vigtigt skridt i den måde, virksomheder tager agentbaseret AI i brug og skalerer den på. Tænk på det som en universel forbindelse til AI-arbejdsgange. Protokollen standardiserer, hvordan agenter kobles til værktøjer, applikationer og data, fjerner konkrete hindringer og gør det hurtigere at eksperimentere.

Men standardiseret adgang alene gør ikke agentbaseret AI sikker eller skalerbar. Når forbindelserne bliver flere, med flere agenter, værktøjer og datakilder, vokser også den flade, hvorfra data kan lække, med hver ny integration. Ethvert forbindelsespunkt uden håndhævelse under kørsel er en potentiel eksponeringsvej. Når AI-agenter arbejder med følsomme systemer og proprietær logik, er kryptering af lagrede data og netværkskontroller ikke nok. Sikkerhedsgrænsen er flyttet til selve kørslen, og det bliver mere presserende, efterhånden som økosystemet skalerer.

Verificerbarhed ved disse centrale forbindelsespunkter bliver afgørende for virksomhederne. De kan skalere agentbaseret AI, når adgang af MCP-typen kombineres med kryptografisk bevis for, hvilken kode der blev kørt, hvor den blev kørt, og hvilken politik den var underlagt – før, under og efter kørsel. Adgang plus verificerbarhed. Det er den kombination, der åbner for produktionsbrug.

Når MCP standardiserer agenters adgang, hvor ser du så de største mangler i dag, når det gælder sikkerhed, håndhævelse af politikker og tillid til agentdrevne systemer?

Vi har afsluttet vores AI Leak Surface-undersøgelse for 2026 og offentliggjort et resumé af resultaterne, »Et dusin måder, din AI-stak lækker data på«, som berører dette. Vi identificerede 46 eksponeringsveje fordelt på 8 kategorier, der dækker hele AI-systemets tillidsgrænse: beregning, kontrol, applikation og overdragelserne mellem dem. Og det er uden at medregne ondsindede aktører. Det er situationer, hvor intet er gået i stykker, logfilerne ser fine ud, og systemet alligevel lækker data.

De største mangler handler ikke om tilslutning; det er det, MCP løser. Manglerne ligger i, hvad der sker, efter at en agent er tilsluttet. De fleste organisationer kan ikke besvare tre grundlæggende spørgsmål: Hvordan opfører vores AI sig faktisk? Hvem kontrollerer den? Og hvordan beviser vi, at politikkerne blev håndhævet?

Vores undersøgelse viste, at grænser konfigureres, men aldrig håndhæves. En politik findes i et dokument, en konfigurationsfil eller en indstilling fra udrulningen, men begrænser ikke det kørende system. En AI-assistent for ledelsen lægger væsentlige, ikke-offentlige oplysninger i en kalenderinvitation. En RAG-assistent giver en junioranalytiker økonomiske oplysninger beregnet for bestyrelsen. En leverandørs SDK fører ubemærket 10 millioner forespørgsler ud af systemet over 12 måneder. I alle tilfælde var adgangskontrollerne på plads. Dataene lækkede alligevel.

Indtil virksomheder lukker hullet mellem konfigurerede og håndhævede politikker, standardiserer MCP hoveddøren. Men huset er stadig ubevogtet.

Når AI-agenter får adgang til følsomme systemer og proprietære data, hvilke nye risici for privatlivsbeskyttelse og regeloverholdelse opstår der så, som virksomheder ofte ikke er forberedt på?

De fleste virksomheder tænker på privatlivsbeskyttelse i forhold til lagrede data eller data under overførsel. Den model bryder sammen i agentbaserede arbejdsgange, fordi den største risiko er eksponering af data, mens de bruges.

Her er, hvad jeg mener. En producent af sportsvogne bruger AI langs sit samlebånd. Rådataene virker harmløse: sensoraflæsninger, tidssekvenser og kvalitetskontroller. Men en stor sprogmodel kan nu rekonstruere proprietære fremstillingsprocesser ud fra de dataspor, driften efterlader. Det, der var støj for fem år siden, er nu en opskrift for en konkurrent.

Vores AI Leak Surface-undersøgelse dokumenterer dette mønster i snesevis af scenarier. Værktøjer til driftstelemetri registrerer som standard det fulde AI-dataindhold. Hos en europæisk bank strømmede 2,1 millioner prompts med personidentificerbare oplysninger til en amerikansk SaaS-instans, fordi ingen ændrede standardindstillingerne for applikationsovervågning (APM). Agenters hukommelse lækker kontekst mellem sessioner. Spor af tankekæder eksponerer komplette undersøgelsesoplysninger på observabilitetsplatforme, som eksterne leverandører har adgang til. Traditionelle rammer for regeloverholdelse var ikke udviklet til at opdage denne form for lækage. De forudsatte, at mennesker flyttede data i menneskeligt tempo.

Hvorfor bliver fortrolig AI et nødvendigt supplement til MCP, og hvordan løser den udfordringer, som adgangsstandarder alene ikke kan løse?

MCP løser, hvem der kan få adgang til hvad og hvordan, mens fortrolig AI løser, hvad der sker, efter at adgangen er givet. De to lag supplerer hinanden.

Adgangsstandarder alene kan ikke forhindre, at sikkerheden kompromitteres under kørsel, at politikker gradvist afviger fra det tilsigtede, eller at data bruges uden tilladelse. Tænk på det sådan: MCP giver dig en standardiseret måde at forbinde agenter med dine systemer på. Fortrolig AI giver dig kryptografiske garantier for, at agenterne, når de er tilsluttet, kun kan gøre det, de har tilladelse til – og at du kan bevise det.

Fortrolig AI giver disse garantier under kørsel for data, identitet, kode og kommunikation. Den leverer verificerbare beviser for kørslen og sikrer, at privatlivsbeskyttelse og håndhævelse af politikker ikke stopper ved adgangsgrænsen, men fortsætter, mens AI aktivt ræsonnerer, genererer og handler. Uden dette er MCP et solidt fundament. Men et fundament alene gør ikke en bygning sikker.

Hvordan ser verificerbar tillid ud i praksis for en virksomhed, der bruger autonome AI-agenter i kritiske arbejdsgange?

Verificerbar tillid betyder, at jeg kan bevise, hvilken kode der blev kørt, hvor den blev kørt, hvilke politikker den var underlagt, hvilke data den tilgik, og hvordan systemet opførte sig over tid.

Tag for eksempel et forsikringsselskab, der bruger AI-agenter til at behandle breve med erstatningskrav. Før kørsel verificerer hardwareattestering agentens identitet og miljøets integritet. Under kørsel sikrer kryptografisk binding til politikkerne i et hardwarebeskyttet, betroet kørselsmiljø (Trusted Execution Environment, TEE), at dataene forbliver beskyttet, og at politikkerne håndhæves. Efter kørsel dokumenterer et manipulationssikkert revisionsspor præcis, hvad der skete.

Risikoen i agentbaserede arbejdsgange er ikke, at en agent løber løbsk. Den reelle risiko er, at du ikke kan dokumentere, om en politik blev håndhævet, eller følsomme data blev beskyttet, mens agenterne var i drift – før, under og efter. Det er det, verificerbar tillid indebærer.

Når agentbaserede systemer arbejder i maskintempo, hvorfor svigter traditionelt menneskeligt tilsyn så, og hvordan bør organisationer gentænke styring i dette nye miljø?

I årtier havde internettet et usynligt sikkerhedsnet: os. Mennesker læser indhold, klikker bevidst og handler ikke ubemærket på tværs af hundrede systemer samtidig.

Agentbaseret AI sætter disse antagelser ud af kraft fra den ene dag til den anden. Agenter arbejder kontinuerligt, træffer beslutninger i maskintempo og kan manipuleres gennem miljøer, som er udviklet til mennesker, men kan udnyttes af maskiner. En ondsindet webside behøver ikke at narre en AI på samme måde som et menneske; den kan ganske enkelt give den instruktioner.

Med blot 1 % risiko pr. agent har et netværk med 100 agenter 63 % sandsynlighed for et sikkerhedsbrud. Skalerer du til tusind, er sandsynligheden 99,99 %. Styring, hvor et menneske skal indgå i processen, kan ikke holde trit med de tal. Tilsynet må gå fra reaktiv gennemgang til garantier under kørsel. Det betyder nultillidsbaserede arbejdsgange, håndhævelse af politikker som standard og verificerbar kørsel, der ikke afhænger af, at et menneske opdager fejlen bagefter.

Hvilke sikkerhedssvigt ser du oftest, når virksomheder eksperimenterer med agentbaseret AI uden et indbygget tillidslag?

Det mønster, jeg oftest ser, er, at virksomheder lader agenter handle og koordinere uden nogen kryptografiske garantier for deres adfærd. De behandler følsom immateriel ejendom og håber, at det går godt.

Det følgende er forudsigeligt, og vi har dokumenteret de konkrete mønstre i vores AI Leak Surface-undersøgelse. Når sikkerheden kompromitteres under kørsel, omgås traditionel perimeterbeskyttelse, fordi agenten allerede er inde i netværket. Autonome agentkæder skaber kaskader af fejl. Én udnyttet agent udløser en dominoeffekt på tværs af forbundne systemer. Proprietær logik lækker gennem dataspor, som ingen havde tænkt på at overvåge. Agenter mister evnen til at skelne mellem virksomhedens hensigt og ondsindet input, fordi der ikke findes nogen verificerbar identitet eller binding til politikker under kørsel.

Det er ikke hypotetisk. Vi kortlagde 46 veje, hvor data slipper uden for de tilsigtede kontroller, selv når intet ser ud til at være i stykker. AI-agenter genererer og deler data i maskintempo. Uden verificerbare sikkerhedsforanstaltninger under kørsel, indbygget i arbejdsgangen, spreder fejl sig hurtigere, end noget sikkerhedsteam kan opdage dem eller reagere.

Hvordan balancerer førende organisationer behovet for at tage avancerede AI-funktioner i brug med beskyttelsen af deres mest følsomme data?

De organisationer, der lykkes, behandler privatlivsbeskyttelse og styring som drivkræfter, ikke bremser. Det er den centrale indsigt.

Det, jeg ser i praksis, er, at førende virksomheder kombinerer avancerede AI-funktioner med platforme til fortrolig AI, som leverer verificerbare garantier, ikke blot tjeklister for regeloverholdelse. De åbner for at bruge følsomme data til AI-innovation, samtidig med at proprietære oplysninger forbliver beskyttet, selv når arbejdsgangene kører autonomt.

Tidligere blev det fremstillet som et valg mellem funktionalitet og sikkerhed. De organisationer, der bevæger sig hurtigst, har helt afvist den afvejning. De bygger verificerbar tillid ind i fundamentet for deres AI-strategi og kan dermed tage deres mest værdifulde data i brug. Samtidig sidder konkurrenterne stadig fast i pilotfasen og kører AI på rensede datasæt, som ikke giver nævneværdige resultater.

Ud fra det, du ser i dag, hvordan forventer du så, at virksomheders modeller for AI-styring udvikler sig de næste par år, når agentbaserede systemer går fra pilotfasen til fuld produktion?

Styring vil gå fra papirarbejde til beviser. Det er den enkleste måde, jeg kan sige det på. Tidlige styringsmodeller var udviklet til software i menneskeligt tempo: politikker på papir, godkendelser før udrulning og gennemgange, efter at noget var gået galt. Agentbaserede systemer bryder med hver eneste af disse antagelser. De arbejder kontinuerligt, handler autonomt og skaber kaskadeeffekter i maskintempo.

Det, vi ser, er, at styringen bevæger sig mod verificerbarhed under kørsel som den nye sikkerhedsgrænse, understøttet af kryptografiske garantier, der dokumenterer adfærden gennem alle faser af en agents livscyklus – før, under og efter. Det samme mønster, vi så med HTTPS, er ved at blive standard for webtrafik. Ingen diskuterer længere, om webforbindelser skal krypteres. Om få år vil ingen diskutere, om AI-kørsel skal verificeres, mens den foregår. Det bliver et grundlæggende krav.

Tak for et godt interview. Læsere, der vil vide mere, kan besøge OPAQUE.