Jonathan Mortensen, Gründer und CEO von Confident Security – Interview-Serie

Jonathan Mortensen, Gründer und CEO von Confident Security, leitet derzeit die Entwicklung von nachweislich privaten KI-Systemen für Branchen mit strengen Sicherheits- und Compliance-Anforderungen. Er ist auch als Gründer-Fellow bei South Park Commons tätig, wo er die Zukunft von KI-Rechenleistung, Speicher, Privatsphäre und Eigentum erforscht. Bevor er Confident Security gründete, war er als Staff Software Engineer bei Databricks tätig, wo er die Technologie von bit.io in die Datenplattform integrierte, mit dem Schwerpunkt auf Multi-Tenant-Sicherheit, IAM/ACLs, VPC-Isolation, Verschlüsselung und Datenbesitz. Zuvor gründete und leitete er bit.io, ein multi-cloud-, multi-regionales serverloses PostgreSQL-Service, das Hunderttausende von sicheren Datenbanken unterstützte und später von Databricks übernommen wurde.

Confident Security baut Infrastruktur, die es Unternehmen ermöglicht, KI-Workflows ohne Offenlegung sensibler Informationen auszuführen. Die Plattform ist so konzipiert, dass Prompts, Daten und Modellausgaben vollständig privat bleiben, nie protokolliert werden und nie wiederverwendet werden, was Organisationen eine sichere Möglichkeit bietet, KI zu nutzen und gleichzeitig strenge regulatorische und Compliance-Standards einzuhalten.

Sie haben Confident Security 2024 gegründet, nachdem Sie bit.io aufgebaut und bei Databricks gearbeitet hatten. Was hat Sie dazu gebracht, zu erkennen, dass KI einen grundlegend anderen Ansatz für die Privatsphäre benötigt?

Meine Erfahrungen bei der Entwicklung von Dateninfrastrukturen haben mich gelehrt, dass Vertrauen nicht ausreicht, wenn Menschen sensible Informationen in ein System eingeben. Sie benötigen Beweise. Wir haben Infrastrukturen aufgebaut, bei denen Kunden ihre Daten besitzen und wir ihnen Möglichkeiten gegeben haben, dies zu überprüfen.

Als ich sah, wie Unternehmen LLMs nutzten, gab es keine solchen Beweise. Mitarbeiter fügten Quellcode, Rechtsdokumente und Patientenakten in Modelle ein, die von Dritten betrieben wurden, die sie nicht überprüfen konnten. Wir haben bereits gesehen, wie private Chats versehentlich online indiziert wurden und wie Richtlinienänderungen plötzlich Gespräche zu Trainingsdaten machten. Dies zeigte, wie fragil das aktuelle Privatsphäremodell ist.

Wenn KI die sensibelsten Informationen der Welt verarbeiten soll, benötigen wir Garantien, die nicht von dem Vertrauen in die internen Zusagen eines Anbieters abhängen. Das war der Grund, warum ich Confident Security gegründet habe.

OpenPCC wird als “Signal für KI” bezeichnet. Warum war es wichtig, dass diese Privatsphäre-Ebene von Anfang an offen, überprüfbar und interoperabel war?

Ende-zu-Ende-Verschlüsselung setzte sich erst durch, als sie zu einem Standard wurde, den jeder anwenden konnte. Wir wollen das Gleiche für KI-Privatsphäre. Wenn nur wenige Unternehmen echte Garantien anbieten können, wird die Privatsphäre nicht skaliert.

OpenPCC ist Open-Source-Software unter Apache 2.0, so dass jeder darauf aufbauen oder es überprüfen kann. Es gibt keine geheime Vertrauensanforderung. Hardware-Attestierung bietet kryptografische Beweise darüber, was ausgeführt wird und wo. Und wir haben sichergestellt, dass es überall funktioniert: in jeder Cloud, bei jedem Modellanbieter, bei jedem Entwickler-Stack.

Es gibt einen enormen Wert in einer Privatsphäre-Basis, die konsistent und universell ist. Wenn Sie OpenPCC verwenden, wissen Sie, dass Ihre Daten nicht für Modellanbieter, Regulierungsbehörden oder sogar uns sichtbar sind. Ein Standard funktioniert nur, wenn der gesamte Ökosystem teilnehmen kann, also haben wir es so konzipiert, dass es von Anfang an so inklusiv wie möglich ist.

Bevor Confident Security, haben Sie große Systeme für Multi-Tenant-Sicherheit, Verschlüsselung und Datenbesitz aufgebaut. Wie haben diese Erfahrungen die Architektur von OpenPCC geprägt?

Diese Systeme haben mir zwei Wahrheiten verdeutlicht: Wenn ein System Daten speichern kann, wird es sie letztendlich tun, sei es durch Protokolle, Fehlkonfigurationen oder rechtliche Anfragen. Und Vertrauen ist kein Privatsphäremodell. Benutzer benötigen Sichtbarkeit und Kontrolle.

OpenPCC läuft im Zustandslos-Modus, so dass Prompts nach der Verarbeitung verschwinden. Attestierung ermöglicht es Benutzern, zu überprüfen, wohin ihre Daten gehen und welcher Code ausgeführt wird. Und durch die Trennung von Kontrolle und Daten verhindert OpenPCC, dass private Eingaben jemals als ausführbare Anweisungen behandelt werden.

Diese Einschränkungen sind das, was Unternehmen erwarten: Garantien, dass Daten nicht an unerwarteten Orten wieder auftauchen.

Sie haben argumentiert, dass die meisten “privaten KI”-Lösungen auf Vertrauen in undurchsichtige Systeme angewiesen sind. Warum ist unabhängige Überprüfung für echte Privatsphäre unerlässlich?

Die meisten Privatsphäre-Behauptungen heute sind im Wesentlichen “vertrauen Sie uns einfach”. Das reicht nicht aus, wenn es um nationale Sicherheit und regulierte Gesundheitsdaten geht. Wenn der Benutzer den Anspruch nicht überprüfen kann, ist es keine Garantie – es ist Marketing.

Überprüfbare Privatsphäre ist anders. Sie vertrauen nicht auf die Absichten des Betreibers. Sie überprüfen die Hardware, das Software-Image und die Garantien für die Datenverarbeitung. Kryptografie durchsetzt die Grenzen. Es gibt keine Protokolle, die jemand versehentlich leaken oder vor Gericht anfordern kann.

Wenn die Privatsphäre für den Benutzer überprüfbar ist, schaffen Sie ein grundlegend sichereres System. Es ist eine Verantwortung, die in Mathematik verwurzelt ist.

Googles “Private AI”-Ankündigung erfolgte kurz nach OpenPCC. Sie haben sie öffentlich aufgefordert, einen TPU für unabhängige Tests zur Verfügung zu stellen. Was hat Sie zu diesem Aufruf veranlasst, und was würden Sie erwarten zu finden?

Um Privatsphäre-Garantien zu beanspruchen, sollten Sie der Gemeinschaft ermöglichen, sie zu überprüfen. NVIDIA (NVDA ) ermöglicht bereits externe Überprüfung auf seinen H100-GPUs, und wir haben sogar eine Go-Version ihrer Attestierungsbibliothek open source veröffentlicht, um die Annahme zu fördern.

Wenn Google (GOOGL ) ähnliche Versprechungen für TPUs machen will, sollten wir in der Lage sein, diese Versprechungen zu messen und zu überprüfen, anstatt nur darüber in einem Blog-Beitrag zu lesen. Wir würden die gleichen Kontrollen erwarten, die wir von jedem Privatsphäre-System erwarten: strenge Datenretentionsgrenzen, überprüfbare Attestierung und keine geheimen Pfade, auf denen Protokolle oder Telemetrie entkommen. Privatsphäre-Behauptungen müssen der Prüfung standhalten.

Für Leser, die mit den Mechanismen nicht vertraut sind, was macht die vollständig verschlüsselten Kanäle von OpenPCC anders als herkömmliche Client-Seite-Verschlüsselung oder vertrauliche Rechenleistung?

Client-Seite-Verschlüsselung schützt Daten auf dem Weg dorthin, und vertrauliche Rechenleistung schützt sie, während sie verarbeitet wird, aber es gibt immer noch Lücken davor und danach, an denen Betreiber oder Angreifer auf sensible Informationen zugreifen können.

OpenPCC schließt diese Lücken. Es erstellt einen abgeschlossenen End-to-End-Pfad zwischen dem Client und dem Modell, der Prompt, Antwort, Benutzeridentität und sogar Metadaten oder Timing-Signale schützt, die stillschweigend Absichten preisgeben können. Betreiber können nichts entschlüsseln. Nichts wird protokolliert oder gespeichert, auch nicht unter Bedingungen eines Sicherheitsvorfalls.

Privatsphäre sollte nicht von der Hoffnung abhängen, dass der Anbieter hinter den Kulissen das Richtige tut. Sie muss kryptografisch durchgesetzt werden.

Wie verändert sich die Gleichung für regulierte Branchen wie Finanzen, Gesundheitswesen und Verteidigung durch überprüfbare Privatsphäre?

Regulierte Branchen haben am meisten von KI zu gewinnen, aber auch am meisten zu verlieren, wenn etwas durchsickert. Heute geben 78 % der Mitarbeiter interne Daten in KI-Tools ein, und in einem von fünf Fällen sind regulierte Informationen wie PHI oder PCI enthalten. Die Exposition geschieht bereits.

Überprüfbare Privatsphäre entfernt den größten Blockierer. Sensitive Prompts existieren nie im Klartext in der Umgebung eines Modellanbieters. Nichts kann für die Ausbildung verwendet werden. Sogar rechtmäßige Anfragen können nicht auf das zugreifen, was das System selbst nicht sehen kann.

Risiko- und Compliance-Teams haben endlich einen Weg, auf dem “ja” zur Regel wird, anstatt “nein”.

Was waren die größten technischen Herausforderungen bei der Entwicklung einer cloud-agnostischen Privatsphäre-Ebene, die in jedem Unternehmens-Stack funktioniert?

Vertrauliche Rechenleistung und Remote-Attestierung sind meiner Meinung nach noch in den Kinderschuhen. Jeder Cloud-Anbieter und Bare-Metal-Anbieter macht etwas leicht Anders. Einige Anbieter, wie AWS, haben nicht einmal die notwendige Hardware, um dies zu tun. Jedes Feature, das wir hinzufügen, ist also wie 1000 Schnitte und ein Tightrope-Walking. Aber der ganze Punkt ist, dass es zu einem offenen Standard wird, also müssen wir es so machen, dass es für jeden Cloud-Anbieter funktioniert. Es ist Open-Source, also ermutige ich alle, noch mehr unterstützte Plattformen und Konfigurationen hinzuzufügen!

Wie sieht eine Welt mit standardmäßiger überprüfbarer Verschlüsselung aus, und wie könnte sie die Balance der Macht zwischen Unternehmen, Cloud-Anbietern und Modell-Entwicklern verändern?

Unternehmen behalten die Kontrolle über ihr wertvollstes Gut: ihre Daten. Modell-Entwickler konkurrieren um Leistung und Kosten, anstatt um die Ansammlung von proprietären Informationen. Clouds ermöglichen Privatsphäre, anstatt stillschweigend davon zu beobachten.

Es ist ein gesünderes Kräfteverhältnis. Und das gesamte Ökosystem gewinnt, wenn Sicherheit in die Grundlage eingebaut wird, anstatt nachträglich aufgetragen zu werden.

In einer Zukunft, in der KI allgegenwärtig und stark reguliert ist, wie sehen Sie die überprüfbare Privatsphäre die Wettbewerbslandschaft für Unternehmen, Cloud-Anbieter und Modell-Entwickler verändern?

Regulierungsbehörden stellen bereits Fragen, wie Benutzerdaten gespeichert und verwendet werden. Vertrauensbasierte Privatsphäre wird sie nicht lange zufriedenstellen. Benutzer werden Privatsphäre-Garantien erwarten, so wie sie heute Verschlüsselung in Messaging-Apps erwarten.

Die Gewinner werden die Unternehmen sein, die Benutzern nicht abverlangen, Kompromisse einzugehen. Wenn Sie Privatsphäre beweisen können, verdienen Sie das Vertrauen der Organisationen, die die wertvollsten Daten der Welt besitzen. Daten werden in Orten nutzbar, an denen sie bisher gesperrt waren.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten Confident Security besuchen.