Jonathan Mortensen, Fundador y CEO de Confident Security – Serie de Entrevistas

Jonathan Mortensen, Fundador y CEO de Confident Security, actualmente lidera el desarrollo de sistemas de inteligencia artificial provablemente privados para industrias con requisitos de seguridad y cumplimiento estrictos. También se desempeña como Fellow Fundador en South Park Commons, donde explora el futuro del cómputo de inteligencia artificial, memoria, privacidad y propiedad. Antes de lanzar Confident Security, fue Ingeniero de Software de Staff en Databricks, integrando la tecnología de bit.io en su plataforma de datos con un enfoque en seguridad de multi-tenant, IAM/ACL, aislamiento de VPC, cifrado y propiedad de datos. Anteriormente, fundó y se desempeñó como CTO de bit.io, construyendo un servicio de PostgreSQL serverless multi-nube y multi-región que admitió cientos de miles de bases de datos seguras y que posteriormente fue adquirido por Databricks.

Confident Security construye infraestructura que permite a las empresas ejecutar flujos de trabajo de inteligencia artificial sin exponer información sensible. Su plataforma está diseñada para que las solicitudes, los datos y las salidas del modelo permanezcan completamente privados, nunca se registren y nunca se vuelvan a utilizar, lo que brinda a las organizaciones una forma segura de adoptar la inteligencia artificial mientras cumple con estrictos estándares regulatorios y de cumplimiento.

Fundaste Confident Security en 2024 después de construir bit.io y trabajar en Databricks. ¿Qué despertó la realización de que la inteligencia artificial necesitaba un enfoque fundamentalmente diferente para la privacidad?

Mi experiencia en la construcción de infraestructura de datos me enseñó esto: si las personas están poniendo información sensible en un sistema, la confianza no es suficiente. Necesitan pruebas. Construimos infraestructura donde los clientes poseían sus datos y les dimos formas de validar eso.

Cuando miré cómo las empresas estaban utilizando LLM, esas pruebas no existían. Los empleados pegaban código fuente, documentos legales y registros de pacientes en modelos ejecutados por terceros que no podían verificar. Ya hemos visto conversaciones privadas indexadas accidentalmente en línea y cambios de política que convirtieron las conversaciones en datos de entrenamiento por defecto. Esto mostró lo frágil que es el modelo de privacidad actual.

Si la inteligencia artificial va a manejar la información más sensible del mundo, necesitamos garantías que no dependan de promesas internas de un proveedor. Eso es lo que me llevó a iniciar Confident Security.

OpenPCC se describe como el “Signal para la inteligencia artificial”. ¿Por qué era importante que esta capa de privacidad fuera abierta, atestable e interoperable desde el primer día?

El cifrado de extremo a extremo no despegó hasta que se convirtió en un estándar que todos podían adoptar. Queremos lo mismo para la privacidad de la inteligencia artificial. Si solo unas pocas empresas pueden ofrecer garantías reales, entonces la privacidad no se escalará.

OpenPCC es de código abierto bajo Apache 2.0, por lo que cualquier persona puede construir sobre él o inspeccionarlo. No hay requisito de confianza secreto. La atestación de hardware proporciona pruebas criptográficas sobre qué se está ejecutando y dónde. Y nos aseguramos de que funcione en cualquier lugar: cualquier nube, cualquier proveedor de modelos, cualquier pila de desarrollo.

Hay un gran valor en un piso de privacidad que es consistente y universal. Si está utilizando OpenPCC, sabe que sus datos no son visibles para los proveedores de modelos, los reguladores o incluso para nosotros. Un estándar solo funciona si todo el ecosistema puede participar, por lo que lo diseñamos para ser lo más inclusivo posible desde el primer día.

Antes de Confident Security, construiste sistemas a gran escala para multi-tenant, cifrado y propiedad de datos. ¿Cómo esas experiencias dieron forma a la arquitectura de OpenPCC?

Esos sistemas reforzaron dos verdades: si un sistema puede retener datos, eventualmente lo hará, ya sea a través de registros, malas configuraciones o solicitudes legales. Y la confianza no es un modelo de privacidad. Los usuarios necesitan visibilidad y control.

OpenPCC se ejecuta en un modo sin estado, por lo que las solicitudes desaparecen después del procesamiento. La atestación permite a los usuarios verificar a dónde va su datos y qué código se está ejecutando. Y al aislar el control de los datos, OpenPCC evita que las entradas privadas sean tratadas como instrucciones ejecutables.

Esas restricciones son lo que las empresas han estado esperando: garantías de que los datos no reaparecerán en algún lugar inesperado.

Has argumentado que la mayoría de las soluciones de “inteligencia artificial privada” dependen de la confianza en sistemas opacos. ¿Por qué es esencial la verificación independiente para una verdadera privacidad?

La mayoría del lenguaje de privacidad hoy en día es efectivamente “confíe en nosotros”. Eso no es suficiente cuando las apuestas incluyen la seguridad nacional y los datos de atención médica regulados. Si el usuario no puede verificar la afirmación, no es una garantía, es marketing.

La privacidad verificable es diferente. No confías en las intenciones del operador. Validas el hardware, la imagen de software y las garantías de manejo de datos. La criptografía impone los límites. Los registros no existen para que alguien los filtre o los cite.

Cuando la privacidad es auditada por el usuario, se crea un sistema fundamentalmente más seguro. Es rendición de cuentas arraigada en matemáticas.

El anuncio de “Inteligencia Artificial Privada” de Google llegó poco después de OpenPCC. Publicamente desafió a Google a proporcionar un TPU para pruebas independientes. ¿Qué motivó ese llamado, y qué esperaría encontrar?

Para afirmar garantías de privacidad, deberías dejar que la comunidad las verifique. NVIDIA ya permite la verificación externa en sus GPU H100, e incluso abrimos el código fuente de una versión de Go de su biblioteca de atestación para fomentar la adopción.

Si Google quiere hacer promesas similares sobre TPUs, deberíamos poder medir y verificar esas promesas, no solo leer sobre ellas en una publicación de blog. Buscaríamos los mismos controles que esperamos de cualquier sistema de privacidad: límites estrictos de retención de datos, atestación auditada y no hay vías secretas donde los registros o la telemetría escapen. Las afirmaciones de privacidad necesitan sobrevivir al escrutinio.

Para los lectores que no están familiarizados con la mecánica, ¿qué hace que los canales completamente cifrados de OpenPCC sean diferentes del cifrado de lado del cliente o del cómputo confidencial tradicional?

El cifrado de lado del cliente protege los datos en el camino, y el cómputo confidencial los protege mientras se procesan, pero todavía hay brechas antes y después de donde los operadores o los atacantes pueden acceder a información sensible.

OpenPCC cierra esas brechas. Crea un camino sellado de extremo a extremo entre el cliente y el modelo que protege la solicitud, la respuesta, la identidad del usuario y incluso los metadatos o las señales de temporización que pueden revelar silenciosamente la intención. Los operadores no pueden descifrar nada. Nada se registra ni se mantiene, incluso en caso de violación.

La privacidad no debe depender de esperar que el proveedor haga lo correcto detrás de escena. Debe ser impuesta criptográficamente.

¿Cómo cambia la privacidad verificable la ecuación para las industrias reguladas como las finanzas, la atención médica y la defensa?

Las industrias reguladas tienen más que ganar con la inteligencia artificial, pero también más que perder si algo se filtra. Hoy en día, el 78% de los empleados pegan datos internos en herramientas de inteligencia artificial, y uno de cada cinco casos incluye información regulada como PHI o PCI. La exposición ya está sucediendo.

La privacidad verificable elimina el mayor obstáculo. Las solicitudes sensibles nunca existen en texto plano dentro del entorno del proveedor de modelos. Nada se puede usar para entrenamiento. Incluso las solicitudes legales no pueden acceder a lo que el sistema en sí no puede ver.

Los equipos de riesgo y cumplimiento finalmente tienen un camino donde “sí” se convierte en el valor predeterminado en lugar de “no”.

¿Cuáles fueron los mayores desafíos de ingeniería al diseñar una capa de privacidad agnóstica de la nube que funciona en cualquier pila empresarial?

La computación confidencial y la atestación remota todavía están en su infancia, en mi opinión. Cada proveedor de nube y proveedor de metal desnudo hace algo ligeramente diferente. Algunos proveedores, como AWS, ni siquiera tienen el hardware necesario para hacerlo. Entonces, cada característica que agregamos es como 1000 cortes y caminar sobre una cuerda floja. Pero el punto es convertirse en un estándar abierto, por lo que debemos hacerlo para que funcione para cualquier nube. Es de código abierto, así que animo a la gente a agregar plataformas y configuraciones admitidas.

¿Cómo se vería un mundo con cifrado verificable predeterminado, y cómo podría reconfigurar el equilibrio de poder entre las empresas, los proveedores de nube y los proveedores de modelos?

Las empresas mantienen el control de su activo más valioso: sus datos. Los proveedores de modelos compiten en rendimiento y costo en lugar de quién puede acumular la mayor cantidad de información propietaria. Las nubes permiten la privacidad en lugar de ser observadores silenciosos de ella.

Es un equilibrio de poder más saludable. Y todo el ecosistema gana cuando la seguridad se construye en la base en lugar de parchearla en la parte superior.

En un futuro donde la inteligencia artificial se vuelva ubicua y esté fuertemente regulada, ¿cómo ves que la privacidad verificable reconfigure el paisaje competitivo para las empresas, los proveedores de nube y los desarrolladores de modelos?

Los reguladores ya cuestionan cómo se almacena y se utiliza los datos de los usuarios. La privacidad basada en la confianza no les satisfará durante mucho tiempo. Los usuarios esperarán garantías de privacidad de la misma manera que esperan cifrado en aplicaciones de mensajería hoy en día.

Los ganadores serán las empresas que no pidan a los usuarios que comprometan. Si puedes probar la privacidad, ganas la confianza de las organizaciones que tienen los datos más valiosos del mundo. Los datos se vuelven utilizables en lugares donde han estado bloqueados.

Gracias por la gran entrevista, los lectores que deseen obtener más información deben visitar Confident Security.