Aaron Fulkerson, CEO von OPAQUE – Interview-Serie

Aaron Fulkerson, CEO von OPAQUE, ist ein langjähriger Unternehmer im Bereich Unternehmenssoftware und Open-Source-Pionier, dessen Karriere über zwei Jahrzehnte umfasst und sich auf den Aufbau und die Skalierung von Technologieplattformen konzentriert, die auf Vertrauen, Daten und digitale Transformation ausgerichtet sind. Bevor er 2023 zu OPAQUE kam, gründete er MindTouch und half dabei, es zu einer weit verbreiteten Unternehmenswissensplattform zu entwickeln, bevor es von NICE Systems übernommen wurde, und leitete später den Launch von ServiceNow (NOW ) Impact, einer der am schnellsten wachsenden Geschäftseinheiten in der Geschichte von ServiceNow. Im Laufe seiner Karriere hat Fulkerson an der Schnittstelle zwischen aufstrebenden Technologien, Unternehmenssoftware und offenen Ökosystemen gearbeitet und gleichzeitig mehrere Technologie-Startups und -Organisationen beraten. In jüngster Zeit ist er zu einem prominenten Befürworter von Confidential AI geworden und argumentiert, dass Privatsphäre, Governance und verifizierbares Vertrauen grundlegende Anforderungen sein werden, wenn AI-Systeme in kritische Unternehmensworkflows eingebettet werden.

OPAQUE ist ein Unternehmen für Confidential AI, das aus dem renommierten UC Berkeley RISELab hervorgegangen ist, dem gleichen Forschungsumfeld, das Technologien wie Apache Spark und Databricks hervorgebracht hat. Das Unternehmen hat eine Plattform entwickelt, die es Unternehmen ermöglicht, AI-Modelle, -Agenten und -Workflows auf hochsensiblen Daten auszuführen, während es gleichzeitig kryptographisch verifizierbare Privatsphäre- und Compliance-Garantien aufrechterhält. Anstatt Unternehmen zu zwingen, zwischen AI-Innovation und Datensicherheit zu wählen, verwendet OPAQUE vertrauliche Rechenzentren, verschlüsselte Laufzeitumgebungen und hardware-gesicherte Ausführung, um sicherzustellen, dass sensible Informationen vor, während und nach der AI-Verarbeitung geschützt bleiben. Die Technologie ist für hoch regulierte Branchen wie Finanzen, Versicherungen, Gesundheitswesen und High-Tech konzipiert, mit Kunden und Partnern wie ServiceNow, Anthropic, Accenture und anderen Unternehmensorganisationen, die darauf abzielen, AI-Projekte von Pilotprogrammen in die Produktion zu überführen, ohne proprietäre oder regulierte Daten offenzulegen.

Sie haben im Laufe Ihrer Karriere mehrere Unternehmensplattformen aufgebaut und skaliert, was hat Sie dazu veranlasst, die Position des CEO bei OPAQUE zu übernehmen und sich in Ihrem nächsten Kapitel auf Vertrauen, Privatsphäre und AI-Governance zu konzentrieren?

Ich habe fast zwei Jahrzehnte damit verbracht, Unternehmensplattformen aufzubauen, zunächst bei MindTouch, das noch heute von einer Milliarde Benutzern pro Jahr genutzt wird, und dann bei ServiceNow, wo ich ihr am schnellsten wachsendes Produkt entwickelte. Beide haben mir die gleiche Lektion beigebracht: Die leistungsstärkste Technologie gewinnt nur, wenn die Menschen ihr vertrauen.

Als ich die Mitgründer von OPAQUE, Raluca Ada Popa, Ion Stoica und Rishabh Poddar, traf, sah ich eine seltene Kombination aus Talent und Vision. Raluca ist eine der weltweit führenden Forscherinnen im Bereich Privatsphäre und Sicherheit. Ion ist der Mitgründer von Databricks. Rishabh baute die kernkryptographischen Systeme, die zur Grundlage von OPAQUE wurden.

Am UC Berkeley RISELab hatten sie etwas geschaffen, das ich sofort als epochal erkannte: Kryptographischer Beweis dafür, dass Daten während jeder AI-Workflow privat bleiben. Keine Versprechungen. Keine Richtlinien. Beweis.

Ich sah, wohin AI sich entwickelte, Agenten, die autonom über Unternehmenssysteme agierten, und ich sah die gleiche Lücke, über die Vint Cerf vor 30 Jahren gewarnt hatte: Keine Vertrauensebene. Das Internet überlebte ohne eine, weil wir Menschen die Schutzbarriere waren. Das agentische Web wird diese Luxus nicht haben. Das ist, was mich hierher zog.

Da MCP (das Model Context Protocol, ein Standard, der es AI-Agenten ermöglicht, sicher auf Tools, Anwendungen und Daten zuzugreifen) als gemeinsame Grundlage entsteht, wie sehen Sie die Änderung der Art und Weise, wie Unternehmen agentic AI bereitstellen und skaliert werden?

MCP ist ein wichtiger Schritt bei der Bereitstellung und Skalierung von agentic AI. Denken Sie daran als universellen Connector für AI-Workflows. Es standardisiert, wie Agenten auf Tools, Anwendungen und Daten zugreifen, reduziert reale Reibung und beschleunigt Experimente.

Aber die Standardisierung des Zugriffs allein macht agentic AI nicht sicher oder skalierbar. Wenn diese Verbindungen sich vermehren, mit mehr Agenten, mehr Tools und mehr Datenquellen, vergrößert sich die Oberfläche für Datenlecks mit jeder neuen Integration. Jeder Verbindungspunkt, der ohne Laufzeit-Enforcement ist, ist ein potenzieller Expositionsvector. Wenn AI-Agenten mit sensiblen Systemen und proprietärer Logik interagieren, reichen Verschlüsselung im Ruhezustand und Netzwerkkontrollen nicht aus. Die Sicherheitsgrenze hat sich zur Laufzeit verschoben, und dieser Wechsel wird dringender, wenn das Ökosystem skaliert.

Die Verifizierbarkeit an diesen wesentlichen Verbindungspunkten wird für das Unternehmen von entscheidender Bedeutung sein. Unternehmen können agentic AI skalieren, wenn MCP-ähnlicher Zugriff mit kryptographischem Beweis dafür kombiniert wird, welcher Code ausgeführt wurde, wo er ausgeführt wurde und unter welcher Richtlinie – vor, während und nach der Ausführung. Zugriff plus Verifizierbarkeit. Das ist die Kombination, die die Produktion freischaltet.

Wo sehen Sie die größten Lücken heute, wenn es um Sicherheit, Richtlinien-Durchsetzung und Vertrauen in agentengetriebene Systeme geht, während MCP den Zugriff standardisiert?

Wir haben unsere Forschung zum AI-Leck-Oberflächen-2026 abgeschlossen und eine Zusammenfassung unserer Ergebnisse veröffentlicht, “A Dozen Ways Your AI Stack Is Bleeding Data“, die sich auf dieses Thema bezieht. Wir haben 46 Expositionsvectoren über 8 Kategorien hinweg identifiziert, die die gesamte AI-Vertrauensgrenze umfassen: Rechnen, Kontrolle, Anwendung und die Übergabe zwischen ihnen. Das ist ohne die Berücksichtigung von böswilligen Akteuren. Diese sind Szenarien, in denen nichts kaputt ist, die Protokolle sauber aussehen und das System dennoch Daten leckt.

Die größten Lücken liegen nicht im Zugriff; MCP löst das. Die Lücken liegen in dem, was nach dem Verbindungsaufbau passiert. Die meisten Organisationen können drei grundlegende Fragen nicht beantworten: Wie verhält sich unsere AI tatsächlich? Wer kontrolliert sie? Und wie können wir beweisen, dass Richtlinien durchgesetzt wurden?

Unsere Forschung zeigte, dass Grenzen konfiguriert, aber nie durchgesetzt werden. Eine Richtlinie existiert in einem Dokument, einer Konfigurationsdatei oder einer Deploy-Time-Einstellung, aber das laufende System wird durch sie nicht eingeschränkt. Ein AI-Executive-Assistent platziert Material, das nicht öffentlich ist, auf einer Kalender-Einladung. Ein RAG-Copilot dient Board-Level-Finanzdaten einem Junior-Analyst. Ein Vendor-SDK extrahiert stillschweigend 10 Millionen Abfragen über 12 Monate. In jedem Fall waren die Zugriffskontrollen vorhanden. Die Daten leckten dennoch.

Bis Unternehmen die Lücke zwischen konfigurierten Richtlinien und durchgesetzten Richtlinien schließen, standardisiert MCP die Vordertür. Aber das Haus ist noch ungeschützt.

Wenn AI-Agenten Zugriff auf sensible Systeme und proprietäre Daten erhalten, welche neuen Privatsphäre- und Compliance-Risiken treten typischerweise auf, auf die Unternehmen oft nicht vorbereitet sind?

Die meisten Unternehmen denken über Privatsphäre in Bezug auf Daten im Ruhezustand oder während der Übertragung nach. Dieses Modell bricht in agentengetriebenen Workflows zusammen, weil das größte Risiko das Datenexposition während der Nutzung ist.

Ich meine damit Folgendes. Ein Hersteller von Hochleistungsautos führt AI über seine Montagestraße aus. Die rohen Daten scheinen harmlos: Sensormessungen, Zeitabläufe, Qualitätskontrollen. Aber ein LLM kann jetzt proprietäre Herstellungsprozesse aus diesen Datenexhaust rekonstruieren. Was vor fünf Jahren noch Rauschen war, ist jetzt ein Bauplan für einen Wettbewerber.

Unsere AI-Leck-Oberflächen-Forschung dokumentiert dieses Muster über Dutzende von Szenarien hinweg. Operationstelemetrie-Tools erfassen vollständige AI-Payloads standardmäßig, und eine europäische Bank hatte 2,1 Millionen Prompts mit PII, die zu einer US-SaaS-Instanz flossen, weil niemand die APM-Standardwerte geändert hatte. Agenten-Speicher leckt Kontext zwischen Sitzungen. Chain-of-Thought-Spuren exponieren vollständige Ermittlungsakten gegenüber Observability-Plattformen, die für Auftragnehmer zugänglich sind. Traditionelle Compliance-Rahmenwerke wurden nicht dafür entwickelt, diese Art von Leckagen zu erkennen. Sie gingen davon aus, dass Menschen Daten mit menschlicher Geschwindigkeit bewegten.

Warum wird Confidential AI zu einem notwendigen Gegenstück zu MCP, und wie löst es Herausforderungen, die Zugriffsstandards allein nicht lösen können?

MCP löst, wer Zugriff auf was und wie hat, während Confidential AI löst, was passiert, wenn der Zugriff gewährt wird. Sie sind komplementäre Schichten.

Zugriffsstandards allein können Laufzeit-Kompromisse, Richtlinien-Drift oder nicht autorisierte Datenverwendung nicht verhindern. Denken Sie darüber nach: MCP gibt Ihnen eine standardisierte Möglichkeit, Agenten mit Ihren Systemen zu verbinden. Confidential AI gibt Ihnen kryptographische Garantien, dass einmal verbunden, diese Agenten nur das tun können, wofür sie autorisiert sind, und Sie können es beweisen.

Confidential AI liefert diese Garantien bei Laufzeit über Daten, Identität, Code und Kommunikation hinweg. Es bietet verifizierbaren Beweis der Ausführung und stellt sicher, dass Privatsphäre und Richtlinien-Durchsetzung nicht an der Zugriffsgrenze aufhören, sondern bestehen, während AI aktiv argumentiert, generiert und handelt. Ohne es ist MCP eine solide Grundlage. Aber Grundlagen allein machen ein Gebäude nicht sicher.

Was sieht verifizierbares Vertrauen in der Praxis für ein Unternehmen aus, das autonome AI-Agenten über kritische Workflows ausführt?

Verifizierbares Vertrauen bedeutet, dass ich beweisen kann, welcher Code ausgeführt wurde, wo er ausgeführt wurde, unter welcher Richtlinie, welche Daten zugegriffen wurden und wie sich das System über die Zeit hinweg verhielt.

In der Praxis nehmen wir ein Versicherungsunternehmen, das AI-Agenten verwendet, um Schadensersatzansprüche zu bearbeiten. Bevor die Ausführung beginnt, wird die Identität des Agenten und die Integrität der Umgebung durch Hardware-Attestierung verifiziert. Während der Ausführung stellt kryptographische Richtlinienbindung innerhalb einer hardware-gesicherten Trusted Execution Environment (TEE) sicher, dass Daten geschützt bleiben und Richtlinien durchgesetzt werden. Nach der Ausführung wird ein manipulationsicher Audit-Trail erstellt, der genau aufzeichnet, was passiert ist.

Das Risiko in agentengetriebenen Workflows liegt nicht darin, dass ein Agent ausfällt. Das wahre Risiko liegt darin, dass Sie nicht demonstrieren können, ob eine Richtlinie durchgesetzt wurde oder ob sensible Daten während der Agenten-Operation geschützt blieben – vor, während und nach der Ausführung. Das ist, was verifizierbares Vertrauen aussieht.

Warum bricht traditionelle menschliche Aufsicht in agentischen Systemen zusammen, und wie sollten Organisationen Governance in dieser neuen Umgebung neu denken?

Seit Jahrzehnten hatte das Internet eine unsichtbare Schutzbarriere: uns. Menschen lasen Inhalte, klickten absichtlich und handelten nicht stillschweigend über hundert Systeme hinweg gleichzeitig.

Agentic AI löscht diese Annahmen über Nacht aus. Agenten operieren kontinuierlich, treffen Entscheidungen mit Maschinengeschwindigkeit und können von Umgebungen manipuliert werden, die für Menschen konzipiert, aber von Maschinen ausgenutzt werden können. Eine bösartige Webseite muss einen AI nicht täuschen, wie sie einen Menschen täuscht; sie kann ihn einfach anweisen.

Bei nur 1% Risiko pro Agent sieht ein Netzwerk von 100 Agenten ein 63%iges Risiko eines Datenlecks. Skalieren Sie auf 1000, und Sie haben ein 99,99%iges Risiko. Menschliche Aufsicht kann mit diesen Zahlen nicht Schritt halten. Die Aufsicht muss von reaktiver Überprüfung zu Laufzeit-Garantien wechseln. Das bedeutet Zero-Trust-Workflows, Richtlinien-Durchsetzung standardmäßig und verifizierbare Ausführung, die nicht von einem Menschen abhängt, der den Fehler nachträglich feststellt.

Was sind die häufigsten Sicherheitsfehler, die Sie sehen, wenn Unternehmen mit agentic AI experimentieren, ohne eine integrierte Vertrauensschicht zu haben?

Das Muster, das ich am häufigsten sehe, ist, dass Unternehmen Agenten handeln und koordinieren lassen, ohne kryptographische Garantien für ihr Verhalten. Sie verarbeiten sensible IP auf Hoffnung.

Was folgt, ist vorhersehbar, und wir haben die spezifischen Muster in unserer AI-Leck-Oberflächen-Forschung dokumentiert. Laufzeit-Kompromisse umgehen traditionelle Perimeter-Verteidigungen, weil der Agent bereits im Netzwerk ist. Autonome Agentenketten erzeugen kaschierende Ausfälle. Ein ausgenutzter Agent löst eine Domino-Wirkung über verbundene Systeme aus. Proprietäre Logik leckt durch Datenexhaust, den niemand überwacht. Agenten verlieren die Fähigkeit, Unternehmensabsicht von bösartiger Eingabe zu unterscheiden, weil es keine verifizierbare Identität oder Richtlinienbindung bei Laufzeit gibt.

Das sind keine Hypothesen. Wir haben 46 Vektoren kartiert, bei denen Daten ihre vorgesehenen Kontrollen verlassen, auch wenn nichts zu brechen scheint. AI-Agenten generieren und teilen Daten mit Maschinengeschwindigkeit. Ohne verifizierbare Laufzeit-Sicherheitsvorkehrungen, die in den Workflow integriert sind, verbreiten sich Ausfälle schneller, als ein Sicherheitsteam sie erkennen oder darauf reagieren kann.

Wie balancieren führende Organisationen den Bedarf, erweiterte AI-Fähigkeiten freizuschalten, und gleichzeitig ihre sensitivsten Datenassets zu schützen?

Die Organisationen, die es richtig machen, behandeln Privatsphäre und Governance als Beschleuniger, nicht als Bremse. Das ist der Schlüssel.

Was ich auf dem Feld sehe, ist, dass führende Unternehmen erweiterte AI-Fähigkeiten mit Confidential-AI-Plattformen kombinieren, die verifizierbare Garantien liefern, nicht nur Compliance-Checklisten. Sie schalten sensible Daten für AI-Innovation frei, während sie gleichzeitig sicherstellen, dass proprietäre Informationen geschützt bleiben, auch wenn Workflows autonom laufen.

Die alte Argumentation war Fähigkeit versus Sicherheit. Die Organisationen, die am schnellsten vorankommen, haben diesen Kompromiss vollständig abgelehnt. Sie bauen verifizierbares Vertrauen in die Grundlage ihrer AI-Strategie ein, was es ihnen ermöglicht, ihre wertvollsten Daten zu nutzen. Gleichzeitig stecken ihre Wettbewerber noch im Pilotmodus, laufen AI auf gesäuberten Datensätzen, die den Nagel nicht bewegen.

Basierend auf dem, was Sie heute sehen, wie erwarten Sie, dass sich Unternehmens-AI-Governance-Modelle in den nächsten Jahren entwickeln, wenn agentische Systeme von Piloten in die volle Produktion übergehen?

Governance wird von Papier zu Beweis evolvieren. Das ist die einfachste Art, es auszudrücken. Frühe Governance-Modelle waren für menschliche Geschwindigkeit entwickelt: Richtlinien auf Papier, Genehmigungen vor der Bereitstellung, Überprüfungen nachdem etwas schiefging. Agentische Systeme brechen alle diese Annahmen. Sie operieren kontinuierlich, handeln autonom und erzeugen kaschierende Effekte mit Maschinengeschwindigkeit.

Was wir sehen, ist Governance, die sich zu Laufzeit-Verifizierbarkeit als neue Sicherheitsgrenze bewegt, unterstützt durch kryptographische Garantien, die das Verhalten über alle Stadien des Agenten-Lebenszyklus hinweg beweisen – vor, während und nach der Ausführung. Das gleiche Muster, das wir mit HTTPS gesehen haben, wird zum Standard für Web-Traffic. Niemand diskutiert mehr, ob Web-Verbindungen verschlüsselt werden sollten. Innerhalb weniger Jahre wird niemand diskutieren, ob AI-Ausführung bei Laufzeit verifiziert werden sollte. Es wird ein Muss sein.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten OPAQUE besuchen.