Ein Rahmenwerk für das Verständnis des vertraulichen Rechnens

Vertrauliches Rechnen hat seinen Moment

Der Bereich des vertraulichen Rechnens erlebt eine Welle der Innovation auf mehreren Fronten gleichzeitig. Trusted Execution Environments (TEEs) reifen und werden einfacher zu deployen. (Vollständig homomorphe Verschlüsselung) FHE schließt die Leistungsücke, die sie jahrelang theoretisch gehalten hat. Und das Web3-Ökosystem treibt die Nullwissenbeweistechnologie mit bemerkenswerter Geschwindigkeit voran, wobei allgemeine zkVMs nun willkürliche Berechnungen um Größenordnungen schneller beweisen als vor zwei Jahren.

Gleichzeitig schafft der Aufstieg von agenter AI neue Dringlichkeit um Vertrauen, Privatsphäre und Überprüfbarkeit. Wenn KI-Systeme über die Erstellung von Inhalten hinausgehen und im Namen von Benutzern Handlungen ausführen, fragen sich Organisationen zunehmend, ob traditionelle Sicherheits- und Compliance-Controllen ausreichen, um autonome Software auf Unternehmensskala zu betreiben.

Bei DataTribe haben wir uns in diesem Bereich viel Zeit genommen, Startups getroffen, die Technologie ausgewertet und versucht, zu verstehen, wo die meisten dauerhaften Chancen entstehen werden. Hier ist, wie wir darüber nachdenken.

Ein Rahmenwerk für vertrauliches Rechnen

Wenn wir uns das Landschaftsbild des vertraulichen Rechnens ansehen, finden wir es nützlich, es in drei verschiedene Säulen aufzuteilen. Jede repräsentiert eine unabhängige Garantie. Wichtig ist, dass sie sich nicht überschneiden: Eine Lösung, die eine Säule liefert, liefert nicht automatisch die anderen.

• Geschütztes Rechnen: Eingabe, Verarbeitung und Ausgabe bleiben von Anfang bis Ende geschützt. Sogar der Operator, der die Berechnung ausführt, kann nichts sehen.

• Rechenintegrität: Kryptografische Überprüfung, dass die richtige Berechnung tatsächlich ausgeführt wurde, auch auf potenziell feindlichem Hardware.

• Private Zusammenarbeit: Mehrere Parteien berechnen gemeinsam über ihre kombinierten Daten, ohne dass eine Partei ihre Eingaben den anderen preisgibt.

Jede Säule entspricht unterschiedlichen Käuferbedürfnissen, Technologie-Stacks und Wettbewerbsdynamiken. Heute konzentrieren wir uns auf die ersten beiden: Geschütztes Rechnen und Rechenintegrität.

Das AI-Privatsphären-Paradoxon und geschütztes Rechnen

KI war ein wichtiger Katalysator für das Interesse an geschütztem Rechnen. Unternehmen sind zunehmend besorgt über die Daten, die sie mit LLM-Anbietern teilen, und die Nachfrage nach vertraulicher Inferenz wächst.

Aber es gibt ein Paradoxon, das beachtet werden sollte. Das gleiche Unternehmen, das sich über die Weitergabe von Kundentranskripten an einen KI-Anbieter sorgt, leitet Vergütungsdaten über ADP, seinen Pipeline in Salesforce (CRM ) und Patientenakten an seinen EHR-Anbieter weiter. Der Schutz in jedem Fall ist der gleiche: ein Vertrag mit Datenschutzversprechen und Compliance-Berichten. Keine kryptografischen Garantien. Warum werden KI-Anbieter anders behandelt?

Es gibt echte Gründe. Die Angst, dass Daten für die Schulung verwendet werden, in Modellgewichte aufgenommen werden und in der Ausgabe eines anderen Kunden auftauchen könnten, hat kein Analogon in traditionellem SaaS. Der Wertetausch fühlt sich asymmetrisch an, da Unternehmen befürchten, dass ihre Daten das Produkt des Anbieters für Wettbewerber verbessern könnten. Und Regulierungsbehörden achten speziell auf die Handhabung von KI-Daten auf eine Weise, die sie nicht auf den bestehenden SaaS-Stack angewendet haben. KI-Anbieter haben begonnen, Verträge mit Schutzmaßnahmen ähnlich denen traditioneller SaaS-Vereinbarungen abzuschließen, aber die Geschwindigkeit der Einführung und die Angst vor “Schatten-KI”, bei der Mitarbeiter KI-Dienste verwenden, die nicht mit dem Unternehmen vertraglich vereinbart sind, fügen Dringlichkeit hinzu, die konventionelle SaaS-Beschaffung nicht kürzlich erlebt hat.

Ob diese Bedenken vollständig rational oder teilweise durch die Neuheit von KI getrieben sind, sie schaffen echte Kaufdringlichkeit. Die interessantere Frage ist, ob diese Dringlichkeit auf KI beschränkt bleibt oder sich ausbreitet. Wenn Unternehmen beginnen, KI-Anbietern kryptografischen Datenschutz zu fordern und dann realisieren, dass es logisch inkonsistent ist, dies nicht von allen anderen zu fordern, erweitert sich der adressierbare Markt für geschütztes Rechnen dramatisch über KI-Inferenz hinaus.

FHE vs. TEEs für geschütztes Rechnen

Zwei primäre Technologieansätze konkurrieren um geschütztes Rechnen und repräsentieren grundlegend unterschiedliche Vertrauensmodelle.

TEEs wie AMD SEV-SNP, Intel TDX und NVIDIA’s (NVDA ) vertrauliche GPUs sind die pragmatische Wahl heute. Sie liefern geschütztes Rechnen mit minimaler Leistungsüberkopplung und sind bereits als native Angebote von den großen Cloud-Anbietern verfügbar. Die Vertrauensannahme liegt beim Siliziumhersteller und, in unterschiedlichem Maße, beim Cloud-Anbieter, der die Hardware betreibt.

FHE geht einen rein mathematischen Ansatz. Daten bleiben während der gesamten Berechnung verschlüsselt und die Sicherheitsgarantie hängt nicht von der Hardware oder dem Operator ab. Der Kompromiss war historisch die Leistung: FHE-Operationen waren viele Größenordnungen langsamer als Plaintext-Berechnungen, was sie auf schmale Anwendungsfälle beschränkte.

Diese Lücke schließt sich schneller, als viele Menschen realisieren. Hardware-Beschleunigung ist ein wichtiger Treiber. Niobiums speziell entwickelte FHE-Beschleunigerkarten liefern mehrere Größenordnungen Verbesserung gegenüber Software-only-FHE. Cornami, dessen Chef-Wissenschaftler Craig Gentry (weithin als Erfinder von FHE anerkannt) ist, hat “nahezu Plaintext-Geschwindigkeit” für LLM-Inferenz mit FHE angekündigt, obwohl unabhängige Benchmarks noch nicht veröffentlicht wurden. Ein anderes Unternehmen hat FHE-basierte LLM-Inferenz auf einem Llama 3 70b-Modell mit Geschwindigkeiten nahe der unverschlüsselten Leistung demonstriert. Diese Behauptungen verdienen eine sorgfältige Prüfung, aber der Trend ist klar: die Leistungsücke, die FHE theoretisch gehalten hat, schließt sich schnell.

Wenn FHE schnell genug für Produktionsworkloads wird, sind die Auswirkungen tiefgreifend. Sie müssen dem Siliziumhersteller, dem Cloud-Anbieter oder jedem, der physischen Zugriff auf die Hardware hat, nicht mehr vertrauen. Ihre Sicherheitsgarantie wird mathematisch, nicht operativ.

Für Investoren stellt sich eine wichtige strategische Frage: setzen Sie auf die Vertrauenswürdigkeit von Hardware (den TEE-Pfad) oder auf die Verbesserung der kryptografischen Leistung, um mathematische Lösungen praktisch zu machen (den FHE-Pfad)? Die meisten kurzfristigen Einnahmen liegen auf der TEE-Seite. Das langfristige Argument für die Verteidigung spricht möglicherweise für den mathematischen Ansatz, zumindest für einige Rechenbereiche.

Rechenintegrität: Von Insider-Bedrohungen zu feindlichen Umgebungen

Rechenintegrität behandelt ein anderes Problem: Wie wissen Sie, dass die richtige Berechnung tatsächlich ausgeführt wurde?

In kontrollierten Umgebungen wie Unternehmensrechenzentren und Hyperscaler-Clouds bewältigen TEEs dies recht gut. Attestationsmechanismen ermöglichen es Ihnen, zu überprüfen, dass der erwartete Code in eine echte TEE geladen wurde, bevor Sie Daten senden. Dies ist wertvoll, um Insider-Bedrohungen, kompromittierte Infrastruktur oder Bereitstellungsprobleme zu schützen. Für die meisten Unternehmensanwendungsfälle ist TEE-basierte Attestierung ausreichend.

Aber “ausreichend” hängt von Ihrem Bedrohungsmodell ab. In wirklich feindlichen Umgebungen, in denen Sie keine Kontrolle über die Hardware haben und der Operator möglicherweise aktiv feindlich ist, verschlechtern sich die TEE-Garantien. Jüngste Forschung hat praktische Angriffe gegen TEE-Attestierung mit günstiger Hardware-Interposers demonstriert, und die großen Chip-Hersteller haben anerkannt, dass physische Angriffe außerhalb ihres Bedrohungsmodells liegen. In einem gut geführten Rechenzentrum mit physischer Sicherheit ist dieses Restrisiko beherrschbar. Auf einem unbekannten Knoten in einem dezentralen Rechnernetz ist es nicht.

Dies ist genau der Grund, warum die Web3-Welt der Haupttreiber der Nullwissenbeweis-Innovation war. ZK-Beweise bieten mathematische Gewissheit über Rechenintegrität unabhängig von der Hardware-Umgebung. Wenn der Beweis verifiziert, wurde die Berechnung korrekt durchgeführt, egal ob die bewiesene Berechnung in einem sicheren Rechenzentrum oder in jemandes Garage durchgeführt wurde.

Das Tempo der Verbesserung hier war bemerkenswert. Allgemeine zkVMs ermöglichen es Entwicklern, normale Rust-Code zu schreiben und Beweise automatisch zu generieren, ohne kryptografische Schaltkreise von Hand zu schreiben. Succincts SP1-Hypercube beweist Ethereum-Blöcke in unter 12 Sekunden auf 16 GPUs. ZKsyncs Airbender meldet über 21 Millionen Zyklen pro Sekunde auf einer einzelnen H100.

Für KI-Workloads im Speziellen macht zkML Fortschritte, bleibt aber teuer. Das Beweisen von LLM-Inferenz läuft noch Tausende von Malen langsamer als die Inferenz selbst. Kleinere Modelle wie Klassifizierer und Einbettungsmodelle nähern sich praktischer ZK-Beweisbarkeit. Die Grenze für LLM-Beweise ist wahrscheinlich zwei bis drei Jahre entfernt. Ein interessanter Mittelweg ist “optimistische” Verifizierung, bei der Beweise nur dann generiert werden, wenn Ergebnisse herausgefordert werden, anstatt für jede Berechnung, was die amortisierten Kosten dramatisch reduziert.

Wohin dies führt

Der Bereich des vertraulichen Rechnens steht an einem Wendepunkt. Innovation geschieht gleichzeitig bei TEEs, FHE und ZK, jedes getrieben von unterschiedlichen Gemeinschaften mit unterschiedlichen Prioritäten, aber konvergierend auf ein gemeinsames Satz von Problemen.

Die Dynamik um das, was Käufer am dringendsten benötigen, wird bestimmen, welche Ansätze zuerst an Zugkraft gewinnen. Unternehmen, die auf regulatorische Compliance und Cloud-Datenschutz fokussiert sind, werden wahrscheinlich TEE-basierte Lösungen vorantreiben. Die KI-Welle könnte die Nachfrage nach FHE beschleunigen, wenn die Leistung weiter verbessert wird. Dezentrales Rechnen und Web3-Anwendungen werden ZK-Technologie weiter in Richtung breiterer Anwendbarkeit treiben.

Wir erwarten auch, dass hybride Architekturen als praktischer Mittelweg entstehen. TEEs für Privatsphäre kombiniert mit ZK-Beweisen für Integrität geben Ihnen starke Vertraulichkeit mit mathematischer Gewissheit über Richtigkeit. Diese Kombination funktioniert gut für Szenarien, in denen die Hardware-Umgebung teilweise vertrauenswürdig, aber nicht vollständig kontrolliert ist.

Dieses Rahmenwerk wird besonders relevant um die Confidential Computing Summit der Linux Foundation in San Francisco letzte Woche, bei der ein zentrales Thema war, ob vertrauliches Rechnen als Sicherheitsschicht dienen kann, die agierende KI auf Unternehmensskala einsetzbar macht. Wenn Organisationen beginnen, KI-Agenten Zugriff auf sensible Systeme, Daten und Workflows zu gewähren, werden die Fragen nach geschütztem Rechnen, Rechenintegrität und verifizierbarem Vertrauen von theoretischen Architekturdiskussionen zu operativen Anforderungen.

Für Startups sind die Chancen erheblich über den gesamten Stack: TEE-basiertes vertrauliches Rechnen für SaaS-Unternehmen einfacher zu machen, die Tooling zu entwickeln, das FHE von Forschung zu Produktion bringt, die Infrastruktur für ZK-basierte Rechenintegrität in Unternehmenskontexten zu schaffen und die Vertrauensbroker- und Attestations-Schichten zu entwickeln, die zwischen Kunden und Cloud-Anbietern sitzen. Wir setzen unsere Untersuchung dieses Bereichs fort und sind begeistert von den Gründern, die wir treffen. Unterschiedliche Workloads, Bedrohungsmodelle und regulatorische Regime werden unterschiedliche Kombinationen der drei Säulen erfordern. Die Unternehmen, die gewinnen, werden diejenigen sein, die eine Säule wählen, sie entscheidend lösen und es Unternehmen leicht machen, sie zu adoptieren.