Jonathan Mortensen, Gründer und CEO von Confident Security – Interview-Serie

Jonathan Mortensen, Gründer und CEO von Confident Security, leitet derzeit die Entwicklung von nachweislich privaten KI-Systemen für Branchen mit strengen Sicherheits- und Compliance-Anforderungen. Er ist auch als Founder Fellow bei South Park Commons tätig, wo er die Zukunft von KI-Rechenleistung, Speicher, Privatsphäre und Eigentum erforscht. Bevor er Confident Security gründete, war er als Staff Software Engineer bei Databricks tätig, wo er die Technologie von bit.io in die Datenplattform integrierte, mit dem Schwerpunkt auf Multi-Tenant-Sicherheit, IAM/ACLs, VPC-Isolation, Verschlüsselung und Datenbesitz. Zuvor gründete und leitete er bit.io, wo er einen multi-cloud-, multi-region-serverlosen PostgreSQL-Service aufbaute, der Hunderttausende von sicheren Datenbanken unterstützte und später von Databricks übernommen wurde.

Confident Security baut Infrastruktur, die es Unternehmen ermöglicht, KI-Workflows auszuführen, ohne sensible Informationen preiszugeben. Die Plattform ist so konzipiert, dass Prompts, Daten und Modellausgaben vollständig privat bleiben, nie protokolliert werden und nie wiederverwendet werden, was Organisationen eine sichere Möglichkeit bietet, KI zu nutzen und gleichzeitig strenge regulatorische und Compliance-Standards zu erfüllen.

Sie haben Confident Security 2024 gegründet, nachdem Sie bit.io aufgebaut und bei Databricks gearbeitet haben. Was hat die Erkenntnis ausgelöst, dass KI einen grundlegend anderen Ansatz für die Privatsphäre benötigt?

Meine Erfahrungen beim Aufbau von Dateninfrastrukturen haben mich gelehrt: Wenn Menschen sensible Informationen in ein System eingeben, reicht Vertrauen nicht aus. Sie benötigen Beweise. Wir haben Infrastrukturen aufgebaut, bei denen die Kunden ihre Daten besitzen und wir ihnen Möglichkeiten gegeben haben, dies zu überprüfen.

Als ich sah, wie Unternehmen LLMs nutzten, gab es diesen Beweis nicht. Mitarbeiter fügten Quellcode, Rechtsdokumente und Patientenakten in Modelle ein, die von Dritten betrieben wurden, die sie nicht überprüfen konnten. Wir haben bereits gesehen, wie private Chats versehentlich online indiziert wurden und wie Richtlinienänderungen plötzlich Gespräche zu Trainingsdaten machten. Dies zeigte, wie fragil das aktuelle Privatsphäremodell ist.

Wenn KI mit den sensibelsten Informationen der Welt umgehen soll, benötigen wir Garantien, die nicht von dem Vertrauen in die internen Versprechungen eines Anbieters abhängen. Das hat mich dazu veranlasst, Confident Security zu gründen.

OpenPCC wird als “Signal für KI” bezeichnet. Warum war es wichtig, dass diese Privatsphäre-Ebene von Anfang an offen, überprüfbar und interoperabel war?

Die Ende-zu-Ende-Verschlüsselung setzte sich erst durch, als sie zu einem Standard wurde, den jeder übernehmen konnte. Wir wollen dasselbe für die KI-Privatsphäre. Wenn nur wenige Unternehmen echte Garantien anbieten können, dann wird die Privatsphäre nicht skaliert.

OpenPCC ist Open-Source unter Apache 2.0, so dass jeder darauf aufbauen oder es überprüfen kann. Es gibt keine geheime Vertrauensanforderung. Die Hardware-Attestierung bietet kryptographische Beweise darüber, was ausgeführt wird und wo. Und wir haben sichergestellt, dass es überall funktioniert: in jeder Cloud, bei jedem Modellanbieter, in jedem Entwickler-Stack.

Es gibt einen enormen Wert in einer Privatsphäre-Basis, die konsistent und universell ist. Wenn Sie OpenPCC verwenden, wissen Sie, dass Ihre Daten nicht für Modellanbieter, Regulierungsbehörden oder sogar uns sichtbar sind. Ein Standard funktioniert nur, wenn das gesamte Ökosystem teilnehmen kann, also haben wir es so konzipiert, dass es von Anfang an so inklusiv wie möglich ist.

Bevor Confident Security, haben Sie große Systeme für Multi-Tenancy, Verschlüsselung und Datenbesitz aufgebaut. Wie haben diese Erfahrungen die Architektur von OpenPCC geprägt?

Diese Systeme haben zwei Wahrheiten bestätigt: Wenn ein System Daten speichern kann, wird es sie letztendlich tun, sei es durch Protokolle, Fehlkonfigurationen oder rechtliche Anfragen. Und Vertrauen ist kein Privatsphäremodell. Benutzer benötigen Sichtbarkeit und Kontrolle.

OpenPCC läuft im Zustandslos-Modus, so dass Prompts nach der Verarbeitung verschwinden. Die Attestierung ermöglicht es Benutzern, zu überprüfen, wohin ihre Daten gehen und welcher Code ausgeführt wird. Und durch die Trennung von Kontrolle und Daten verhindert OpenPCC, dass private Eingaben jemals als ausführbare Anweisungen behandelt werden.

Diese Einschränkungen sind das, was Unternehmen erwarten: Garantien, dass Daten nicht an unerwarteter Stelle wieder auftauchen.

Sie haben argumentiert, dass die meisten “private KI”-Lösungen auf Vertrauen in undurchsichtige Systeme setzen. Warum ist unabhängige Überprüfung für wahre Privatsphäre unerlässlich?

Die meisten Privatsphäre-Behauptungen heute sind effektiv “vertrauen Sie uns einfach”. Das reicht nicht aus, wenn es um nationale Sicherheit und regulierte Gesundheitsdaten geht. Wenn der Benutzer die Behauptung nicht überprüfen kann, ist es keine Garantie, sondern Marketing.

Überprüfbare Privatsphäre ist anders. Sie vertrauen nicht auf die Absichten des Betreibers. Sie überprüfen die Hardware, das Software-Image und die Garantien für die Datenbehandlung. Kryptographie durchsetzt die Grenzen. Protokolle existieren nicht, um sie versehentlich zu veröffentlichen oder zu beschlagnahmen.

Wenn die Privatsphäre für den Benutzer überprüfbar ist, schaffen Sie ein grundlegend sichereres System. Es ist Rechenschaftspflicht, die in Mathematik verwurzelt ist.

Die “Private KI”-Ankündigung von Google erfolgte kurz nach OpenPCC. Sie haben öffentlich gefordert, dass Google einen TPU für unabhängige Tests zur Verfügung stellt. Was hat diese Aufforderung motiviert, und was würden Sie erwarten zu finden?

Um Privatsphäre-Garantien zu beanspruchen, sollten Sie der Community ermöglichen, sie zu überprüfen. NVIDIA ermöglicht bereits die externe Überprüfung auf seinen H100-GPUs, und wir haben sogar eine Go-Version der Attestierungsbibliothek von NVIDIA open source veröffentlicht, um die Übernahme zu fördern.

Wenn Google ähnliche Versprechungen auf TPUs machen will, sollten wir in der Lage sein, diese Versprechungen zu messen und zu überprüfen, anstatt nur darüber in einem Blog-Beitrag zu lesen. Wir würden die gleichen Kontrollen erwarten, die wir von jedem Privatsphäre-System erwarten: strenge Datenretentionsgrenzen, überprüfbare Attestierung und keine geheimen Pfade, auf denen Protokolle oder Telemetrie entweichen. Privatsphäre-Behauptungen müssen der Überprüfung standhalten.

Für Leser, die mit den Mechanismen nicht vertraut sind, was macht die vollständig verschlüsselten Kanäle von OpenPCC unterschiedlich von herkömmlicher Client-Seite-Verschlüsselung oder vertraulicher Rechenleistung?

Die Client-Seite-Verschlüsselung schützt die Daten auf dem Weg dorthin, und die vertrauliche Rechenleistung schützt sie während der Verarbeitung, aber es gibt immer noch Lücken, bevor und nachdem Operatoren oder Angreifer sensible Informationen zugreifen können.

OpenPCC schließt diese Lücken. Es erstellt einen abgeschlossenen Ende-zu-Ende-Pfad zwischen dem Client und dem Modell, der den Prompt, die Antwort, die Benutzeridentität und sogar Metadaten oder Timing-Signale schützt, die stillschweigend die Absicht preisgeben können. Operatoren können nichts entschlüsseln. Nichts wird protokolliert oder gespeichert, auch nicht unter Bedingungen eines Angriffs.

Die Privatsphäre sollte nicht davon abhängen, dass der Anbieter hinter den Kulissen das Richtige tut. Sie muss kryptographisch durchgesetzt werden.

Wie verändert die überprüfbare Privatsphäre die Gleichung für regulierte Branchen wie Finanzen, Gesundheitswesen und Verteidigung?

Regulierte Branchen haben am meisten zu gewinnen, wenn sie KI nutzen, aber auch am meisten zu verlieren, wenn etwas durchsickert. Heute geben 78 % der Mitarbeiter interne Daten in KI-Tools ein, und in einem von fünf Fällen sind dies regulierte Informationen wie PHI oder PCI. Die Exposition geschieht bereits.

Die überprüfbare Privatsphäre entfernt den größten Blockierer. Sensitive Prompts existieren nie im Klartext in der Umgebung eines Modellanbieters. Nichts kann für die Ausbildung verwendet werden. Selbst gesetzliche Anfragen können nicht auf das zugreifen, was das System selbst nicht sehen kann.

Risiko- und Compliance-Teams haben endlich einen Weg, auf dem “ja” zur Regel wird, anstatt “nein”.

Welche waren die größten technischen Herausforderungen beim Entwurf einer cloud-agnostischen Privatsphäre-Ebene, die in jedem Unternehmens-Stack funktioniert?

Vertrauliche Rechenleistung und Remote-Attestierung sind noch in den Kinderschuhen, meiner Meinung nach. Jeder Cloud-Anbieter und Bare-Metal-Anbieter macht etwas leicht anders. Einige Anbieter, wie AWS, haben nicht einmal die notwendige Hardware, um dies zu tun. Jedes Feature, das wir hinzufügen, ist also wie 1000 Schritte und ein Seiltanz. Aber der ganze Punkt ist, dass es zu einem offenen Standard wird, also müssen wir es so machen, dass es für jeden Cloud-Anbieter funktioniert. Es ist Open-Source, also ermutige ich alle, noch mehr unterstützte Plattformen und Konfigurationen hinzuzufügen!

Wie sieht eine Welt mit standardmäßiger überprüfbarer Verschlüsselung aus, und wie könnte sie die Machtbalance zwischen Unternehmen, Cloud-Anbietern und Modellanbietern verändern?

Unternehmen behalten die Kontrolle über ihr wertvollstes Gut: ihre Daten. Modellanbieter konkurrieren um Leistung und Kosten, anstatt um die Ansammlung von proprietären Informationen. Clouds ermöglichen die Privatsphäre, anstatt stillschweigend davon zu beobachten.

Es ist eine gesündere Machtbalance. Und das gesamte Ökosystem gewinnt, wenn die Sicherheit in die Grundlage integriert wird, anstatt nachträglich hinzugefügt zu werden.

In einer Zukunft, in der KI allgegenwärtig und stark reguliert ist, wie sehen Sie die überprüfbare Privatsphäre die Wettbewerbslandschaft für Unternehmen, Cloud-Anbieter und Modellentwickler verändern?

Regulierungsbehörden stellen bereits Fragen, wie Benutzerdaten gespeichert und verwendet werden. Vertrauensbasierte Privatsphäre wird sie nicht lange zufriedenstellen. Benutzer werden Privatsphäre-Garantien erwarten, so wie sie heute Verschlüsselung in Messaging-Apps erwarten.

Die Gewinner werden die Unternehmen sein, die den Benutzern nicht zum Kompromiss zwingen. Wenn Sie die Privatsphäre beweisen können, verdienen Sie das Vertrauen der Organisationen, die die wertvollsten Daten der Welt haben. Daten werden in Bereichen nutzbar, in denen sie bisher gesperrt waren.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten Confident Security besuchen.