Rafay erweitert die Orchestrierung vertraulicher KI für Kubernetes-Pods

Rafay Systems und Fortanix gaben am 11. November 2026 bekannt, dass die Rafay Platform nun Fortanix-Workloads für Confidential AI orchestriert, die auf CNCF Confidential Containers (CoCo) ausgeführt werden. Damit erweitern sie ihre bestehende Integration vertraulicher virtueller Maschinen auf Kubernetes-Pods. Das gemeinsame Angebot ist ab sofort für Neoclouds, souveräne KI-Clouds und Unternehmen verfügbar.

Der Dienst schließt eine Lücke bei der herkömmlichen Verschlüsselung. Daten können im Ruhezustand und während der Übertragung geschützt werden. Ohne Confidential Computing müssen Daten und Modellgewichte jedoch für die Verarbeitung im CPU- und GPU-Speicher entschlüsselt werden. Dadurch entsteht ein Risiko auf einer Infrastruktur, die von Dritten betrieben wird und auf der Personen mit privilegiertem Zugriff möglicherweise auf Kundendaten, Patienteninformationen, Finanztransaktionen oder proprietäre Modelle zugreifen können.

Die Attestierung steuert die Freigabe von Verschlüsselungsschlüsseln

CoCo, ein auf Kata Containers aufbauendes CNCF-Inkubationsprojekt, führt jeden Kubernetes-Pod in einer eigenen, leichtgewichtigen vertraulichen virtuellen Maschine aus. Die CPU verschlüsselt den Speicher; bei unterstützter Hardware können auch GPUs in die Vertrauensgrenze einbezogen werden. Entwickler arbeiten weiterhin mit den üblichen Kubernetes-Abläufen, während die Workloads in hardwarebasierten Trusted Execution Environments ausgeführt werden, die Code und Daten während der Verarbeitung isolieren.

Fortanix Confidential Computing Manager führt eine zusammengesetzte Attestierung durch und prüft die Integrität der Trusted Execution Environments von CPU und GPU sowie von Firmware und Software, bevor er die Freigabe von Schlüsseln genehmigt. Fortanix Data Security Manager, der laut Ankündigung durch eine Zertifizierung des Hardware-Sicherheitsmoduls nach FIPS 140-3 Level 3 abgesichert ist, gibt Verschlüsselungsschlüssel ausschließlich für attestierte Umgebungen frei. Schlägt die Attestierung fehl, bleiben die Schlüssel geschützt. Dadurch kann die Workload weder auf sensible Daten zugreifen noch erfolgreich ausgeführt werden.

Self-Service-Steuerung für GPU-Mandanten

Rafay stellt die Betriebsebene für diese Sicherheitskontrollen bereit. Die Blueprints installieren die Fortanix-CoCo-Erweiterungen und halten sie über vertrauliche Cluster hinweg synchron. Betreiber binden die GPU-Infrastruktur einmalig ein und weisen jedem Kunden einen isolierten Mandanten zu. Richtlinien, Zugriffskontrollen und Kontingente gelten dabei mandanten- und clusterübergreifend.

Administratoren können eine vertrauliche Workload in Rafay SKU Studio als Katalogelement, eine sogenannte SKU, bündeln. Endnutzer starten sie anschließend bei Bedarf über Rafay Developer Hub, ohne ein Supportticket einreichen zu müssen. Der Ablauf verbindet das Dienstmanagement auf Mandantenebene mit der Überprüfung jeder geschützten Umgebung durch Fortanix, bevor sensible Informationen freigegeben werden.

„Modelleigentümer möchten ihre Modellgewichte vor Betreibern und Kunden verbergen; Unternehmen möchten ihre Daten vor Modelleigentümern und Betreibern verbergen; und Betreiber müssen nachweisen, dass sie weder auf das eine noch auf das andere zugreifen können – auch nicht über einen anderen Mandanten oder kompromittierte Software“, sagte Anuj Jaiswal, Produktchef bei Fortanix.

Die Unternehmen sehen mehrere Betriebsmodelle für den Dienst. Neoclouds und GPU-Cloud-Anbieter können vertrauliche KI als Premiumoption anbieten und belegen, dass die Workloads der Mandanten in vertrauenswürdigen Umgebungen ausgeführt werden und Schlüssel ausschließlich für überprüfte Workloads freigegeben werden. Souveräne KI-Clouds können Schlüssel in einem vom Betreiber kontrollierten Hardware-Sicherheitsmodul aufbewahren – vor Ort oder als SaaS. Regulierte Unternehmen können sensible Daten verarbeiten, ohne sie dem Infrastrukturbetreiber offenzulegen. Modellanbieter wiederum können Modellgewichte verschlüsselt halten, bis die Umgebung eines Kunden die Attestierung besteht.

Frühere Integrationen für vertrauliche KI

Ein technischer Beitrag von Rafay vom 16. März 2026 dokumentierte die frühere Integration der Unternehmen für vertrauliche virtuelle Maschinen. Bei diesem Ablauf überprüfte Fortanix die Umgebung und stellte nach der Attestierung Schlüssel bereit, während Rafay wiederverwendbare Dienstdefinitionen, zentralisiertes Multi-Tenant-Management und eine Self-Service-Bereitstellung ermöglichte. Mit der neuen Einführung wird diese Aufgabenteilung auf Kubernetes-Pods auf Basis von CoCo ausgeweitet.

Fortanix hatte bereits im Oktober 2026 Unterstützung von CoCo für Confidential AI angekündigt. In jener Veröffentlichung ging es um die Entwicklung von Open-Source-Plug-ins, die die Attestierungs- und Schlüsselbereitstellungsprodukte des Unternehmens mit CoCo verbinden sollten, sowie um Bereitstellungsoptionen als SaaS, vor Ort und vollständig ohne Verbindung zu externen Netzen. Neu ist nun, dass Rafay diese Bereitstellungen neben der bestehenden Integration virtueller Maschinen verfügbar orchestriert.

Die Einführung trennt somit den Betrieb des Dienstes vom Datenzugriff: Rafay verwaltet den Katalog, die Mandantenisolierung und die Governance, während die Attestierung durch Fortanix darüber entscheidet, ob Entschlüsselungsschlüssel freigegeben werden. Bei gemeinsam genutzter GPU-Infrastruktur kann ein Betreiber dadurch KI-Kapazitäten bereitstellen und verkaufen, ohne dass Kunden seinen administrativen Zugriff als stillschweigende Erlaubnis verstehen müssen, ihre Daten oder Modellgewichte einzusehen.