Cohere lanza la computación confidencial en Model Vault en versión beta pública

El 22 de octubre de 2026, Cohere anunció la versión beta pública de la computación confidencial en Cohere Model Vault, su plataforma de inferencia de modelos dedicada y totalmente administrada, que se ejecuta en GPU NVIDIA H100 en Microsoft Azure para empresas que procesan datos sensibles.

Este lanzamiento amplía Model Vault para admitir cargas de trabajo que incluyen historiales clínicos, información financiera, documentos privilegiados, propiedad intelectual y código fuente patentado. Cohere señaló que el objetivo es permitir que las empresas aprovechen las capacidades y la sencillez operativa de la IA administrada, al tiempo que mantienen sus datos sensibles en texto sin cifrar fuera del alcance de la infraestructura que ejecuta el servicio. Entre las posibles cargas de trabajo que menciona la empresa figuran las investigaciones de fraude en servicios financieros; la búsqueda de documentos privilegiados y la diligencia debida para equipos jurídicos; la información sensible del sector público; las patentes y el material de investigación; los documentos patentados de ingeniería y diseño de interfaces; y la búsqueda y el análisis de código fuente patentado.

Según la distribución de funciones prevista para la versión beta, Microsoft Azure proporciona la infraestructura subyacente de computación confidencial; NVIDIA Confidential Computing extiende esa protección a las GPU H100; y Cohere ofrece el servicio administrado de modelos, una ruta cifrada para las solicitudes, atestación remota y verificación por parte del cliente a través de Model Vault. Según la empresa, los clientes pueden configurar y administrar bóvedas cifradas mediante Model Vault, conectarlas a través de las mismas API de Cohere y empezar en vault.cohere.com.

Ejecución confidencial y ruta cifrada para las solicitudes

La computación confidencial protege los datos en uso, es decir, la información mientras un modelo la procesa activamente; se trata de un tercer estado, además de los datos almacenados y los datos en tránsito que el cifrado tradicional suele proteger. En Model Vault, la pila de servicio de modelos —incluidos el sistema operativo, los controladores y el servidor de inferencia— se ejecuta dentro de una máquina virtual confidencial, donde el aislamiento respaldado por hardware protege su memoria del entorno anfitrión y las políticas limitan el entorno al software aprobado, sin ofrecer a los operadores ninguna vía interactiva para acceder a la carga de trabajo en ejecución, según un análisis técnico detallado que Cohere publicó junto con el lanzamiento. NVIDIA Confidential Computing protege la memoria de la GPU y cifra el tráfico entre la CPU y la GPU, de modo que el límite de confidencialidad abarca el acelerador que realiza la inferencia, en lugar de terminar en la CPU que la coordina.

La propia solicitud recibe protección por separado. Model Vault utiliza Oblivious HTTP, u OHTTP, para cifrar el contenido sensible de una solicitud con una clave pública vinculada al entorno confidencial cuya atestación se ha verificado. El mensaje cifrado atraviesa la infraestructura intermediaria como texto cifrado; solo la pasarela OHTTP dentro del entorno tiene la clave privada correspondiente, y las respuestas reciben la misma protección al regresar. Cohere afirma que esto separa la operación de la plataforma de la capacidad de leer lo que los clientes envían a través de ella, ya que los intermediarios pueden seguir encaminando el tráfico sin ver las cargas útiles en texto sin cifrar. Las aplicaciones conservan la API de Model Vault y los formatos de solicitud habituales; la protección se implementa en las capas del cliente y de la infraestructura, sin necesidad de rediseñar las cargas útiles.

La atestación remota como mecanismo de control activo

Antes de enviar una solicitud protegida, el entorno confidencial genera pruebas firmadas criptográficamente que recogen mediciones y propiedades relevantes para la seguridad de su hardware, firmware, entorno operativo y software de aplicación; el software del lado del cliente contrasta esas pruebas con una política aprobada. Las pruebas registran qué entorno está en ejecución; la política determina si se debe confiar a ese entorno los datos. Si una propiedad obligatoria no coincide —por ejemplo, si ha cambiado una medición del software o si una GPU no está en el modo confidencial previsto—, el cliente no supera la verificación, se niega a transmitir la carga útil y la solicitud permanece en el entorno del propio cliente. Las pruebas se actualizan con frecuencia, y el cliente vuelve a comprobar las nuevas mediciones y el estado de seguridad con respecto a la política aprobada cada vez, antes de seguir enviando solicitudes protegidas. Cohere describe este proceso como una transformación de la atestación: de un registro conservado para auditorías a un control que decide activamente si se liberan los datos protegidos.

En el anuncio del lanzamiento de Cohere, el director de tecnología Phil Blunsom afirmó: «Con la atestación de hardware, los clientes no solo cuentan con pruebas criptográficas de que las cargas de trabajo se ejecutan en un entorno seguro de computación confidencial, sino que también pueden verificar que sus datos están protegidos frente al acceso no autorizado, incluso por parte de Cohere». Vikas Bhatia, director de producto de Azure Confidential Computing en Microsoft, señaló que el trabajo con Cohere demuestra cómo la computación confidencial puede combinar la sencillez de la IA administrada con controles técnicos verificables de forma independiente. John Fanelli, vicepresidente de software empresarial de NVIDIA, afirmó que NVIDIA Confidential Computing en sus GPU ofrece protecciones respaldadas por hardware que ayudan a plataformas como Model Vault a incorporar la inferencia confidencial de IA a las cargas de trabajo empresariales.

Modelo de amenazas, límites declarados y planes de código abierto

Dentro del modelo de amenazas declarado, el sistema protege las instrucciones, los documentos, las respuestas y la ejecución del modelo durante el procesamiento, e impide que el proveedor de servicios en la nube, el sistema operativo anfitrión, el hipervisor, los administradores de la infraestructura y los propios operadores de Cohere lean la memoria protegida de las cargas de trabajo. La base informática de confianza sigue incluyendo el hardware y el firmware que proporcionan los fundamentos de la computación confidencial, el software medido que se ejecuta dentro del entorno, las mediciones de referencia que definen una configuración aprobada y la infraestructura de atestación que evalúa y firma las pruebas. Cohere afirma que el diseño reduce los elementos en los que es necesario confiar a un conjunto explícito de componentes que generan pruebas medibles y verificables.

Cohere también especifica qué queda fuera de estos límites. Los ataques físicos y de canal lateral, como inferir información a partir de los tiempos de ejecución u otros comportamientos del hardware compartido, siguen quedando fuera de ellos. Además, un operador que no puede leer una carga de trabajo aún puede detenerla, retrasarla o impedir que se ejecute, por lo que el diseño, por sí solo, no garantiza la disponibilidad. Los riesgos a nivel de aplicación, como la inyección de instrucciones, el uso inseguro de herramientas, los errores de autorización y otras vulnerabilidades de software, no se resuelven ejecutando el software en hardware de computación confidencial.

Los metadatos observables son otra exclusión: aunque el contenido de las cargas útiles está cifrado, el tamaño de los mensajes, el momento de las solicitudes, el volumen del tráfico y los detalles del enrutamiento siguen siendo visibles. Además, en la arquitectura actual, las credenciales de la API y el identificador del modelo también quedan fuera de la carga útil protegida por OHTTP. La empresa señala que la computación confidencial no sustituye a la seguridad de las aplicaciones, no es un mecanismo de residencia de datos, no reemplaza los controles de cumplimiento normativo ni los contractuales y no es cifrado homomórfico, ya que el modelo sigue operando con texto sin cifrar dentro del entorno protegido.

La implementación se basa en los proyectos de código abierto Kata Containers y Confidential Containers. Cohere afirmó que tiene previsto publicar como código abierto la pila de inferencia confidencial, para que los clientes y los investigadores de seguridad puedan examinar el código, comprobar qué políticas se aplican y reproducir las mediciones de verificación de forma independiente. Actualmente, la versión beta funciona con GPU NVIDIA H100 en Microsoft Azure, y Cohere afirmó que está trabajando para ofrecer compatibilidad con la infraestructura NVIDIA Blackwell, incluidas las GPU B200, de cara a la disponibilidad general.