Una Struttura per la Comprensione del Paesaggio della Computazione Riservata

La Computazione Riservata Sta Avendo un Momento

Lo spazio della computazione riservata sta vivendo un’onda di innovazione su più fronti contemporaneamente. Gli Ambienti di Esecuzione Attendibili (TEEs) stanno maturando e diventando più facili da distribuire. (La Crittografia Omomorfica Completa) FHE sta riducendo il divario di prestazioni che l’ha tenuta teorica per anni. E l’ecosistema Web3 continua a spingere la tecnologia delle prove a conoscenza zero a un ritmo notevole, con zkVM di scopo generale che dimostrano calcoli arbitrari di ordini di grandezza più veloci di quanto non fosse possibile anche solo due anni fa.

Allo stesso tempo, l’ascesa dell’intelligenza artificiale agente sta creando una nuova urgenza intorno alla fiducia, alla privacy e alla verificabilità. Mentre i sistemi di intelligenza artificiale si muovono oltre la generazione di contenuti e iniziano ad agire per conto degli utenti, le organizzazioni stanno sempre più chiedendo se i controlli di sicurezza e conformità tradizionali siano sufficienti per il software autonomo che opera su scala aziendale.

A DataTribe, abbiamo trascorso molto tempo in questo spazio, parlando con startup, valutando la tecnologia e cercando di capire dove emergeranno le opportunità più durature. Ecco come stiamo pensando a questo.

Una Struttura per la Computazione Riservata

Quando guardiamo al paesaggio della computazione riservata, troviamo utile dividerlo in tre pilastri distinti. Ognuno rappresenta una garanzia indipendente. È importante notare che non si sovrappongono: una soluzione che fornisce un pilastro non fornisce automaticamente gli altri.

• Calcolo Protetto: Input, elaborazione e output rimangono protetti da un capo all’altro. Anche l’operatore che esegue il calcolo non può vedere nulla.

• Integrità del Calcolo: Verifica crittografica che il calcolo corretto sia stato effettivamente eseguito, anche su hardware potenzialmente ostile.

• Collaborazione Privata: Più parti calcolano congiuntamente sui loro dati combinati senza che alcuna parte riveli i propri input agli altri.

Ogni pilastro corrisponde a diverse esigenze degli acquirenti, stack tecnologici e dinamiche competitive. Oggi ci concentriamo sui primi due: Calcolo Protetto e Integrità del Calcolo.

La Paradosso della Privacy dell’Intelligenza Artificiale e il Calcolo Protetto

L’intelligenza artificiale è stata un importante catalizzatore per l’interesse nel Calcolo Protetto. Le imprese sono sempre più ansiose per i dati che condividono con i fornitori di LLM e la domanda di inferenza riservata sta crescendo.

Ma c’è un paradosso da notare. La stessa impresa che si preoccupa di inviare trascrizioni di clienti a un fornitore di AI si preoccupa felicemente di instradare i dati di compensazione attraverso ADP, di instradare la sua pipeline in Salesforce (CRM ) e di consegnare i record dei pazienti al suo fornitore di EHR. La protezione in ogni caso è la stessa: un contratto con promesse di protezione dei dati e rapporti di conformità. Nessuna garanzia crittografica. Perché i fornitori di AI sono trattati diversamente?

Ci sono ragioni reali. La paura che i dati vengano utilizzati per l’addestramento, assorbiti nei pesi del modello e potrebbero emergere nell’output di un altro cliente non ha un analogo nel tradizionale SaaS. Lo scambio di valore sembra asimmetrico, con le imprese che percepiscono che i loro dati potrebbero migliorare il prodotto del fornitore per i concorrenti. E i regolatori stanno prestando attenzione specifica alla gestione dei dati di AI in modi che non hanno applicato allo stack SaaS esistente. I fornitori di AI hanno iniziato a stipulare contratti con protezioni simili agli accordi SaaS tradizionali, ma la velocità di adozione e la paura dell'”AI ombra”, dove i dipendenti utilizzano servizi di AI che non sono contrattualizzati con l’impresa, aggiungono urgenza che la procedura di acquisto SaaS convenzionale non ha recentemente affrontato.

Se queste preoccupazioni sono completamente razionali o in parte guidate dalla novità dell’AI, stanno creando una reale urgenza di acquisto. La domanda più interessante è se questa urgenza rimane confinata all’AI o si diffonde. Se le imprese iniziano a chiedere protezione dei dati crittografici ai loro fornitori di LLM e poi si rendono conto dell’incoerenza logica di non chiederla a tutti gli altri, il mercato totale per il Calcolo Protetto si espande drasticamente oltre l’inferenza dell’AI.

FHE vs. TEEs per il Calcolo Protetto

Due approcci tecnologici principali competono per il Calcolo Protetto e rappresentano fondamentalmente diversi modelli di fiducia.

I TEE come AMD SEV-SNP, Intel TDX e le GPU riservate di NVIDIA (NVDA ) sono la scelta pragmatica di oggi. Forniscono il Calcolo Protetto con un sovraccarico di prestazioni minimo e sono già disponibili come offerte native dei principali fornitori di servizi cloud. L’ipotesi di fiducia è nel fornitore di silicio e, in misura variabile, nel fornitore di servizi cloud che opera l’hardware.

L’FHE adotta un approccio puramente matematico. I dati rimangono crittografati durante l’intero calcolo e la garanzia di sicurezza non dipende dal fidarsi di alcun hardware o operatore. Lo scambio è stato storicamente la prestazione: le operazioni FHE sono state molti ordini di grandezza più lente del calcolo in chiaro, limitandolo a casi d’uso ristretti.

Quella lacuna si sta chiudendo più velocemente di quanto molte persone si rendano conto. L’accelerazione hardware è un importante fattore trainante. Le schede di accelerazione FHE purpose-built di Niobium stanno fornendo miglioramenti di diverse ordini di grandezza rispetto al software FHE solo. Cornami, il cui scienziato capo è Craig Gentry (ampiamente accreditato come l’inventore dell’FHE), ha affermato “velocità vicine a quelle del testo normale” per l’inferenza LLM utilizzando FHE, sebbene i benchmark indipendenti non siano stati pubblicati. Un’altra azienda ha dimostrato l’inferenza LLM basata su FHE su un modello Llama 3 70b a velocità vicine a quelle del calcolo non crittografato. Queste affermazioni richiedono un esame critico, ma la traiettoria è chiara: la lacuna di prestazioni che ha mantenuto l’FHE teorico si sta restringendo rapidamente.

Se l’FHE diventa abbastanza veloce per i carichi di lavoro di produzione, le implicazioni sono profonde. Non è più necessario fidarsi del fornitore di silicio, del fornitore di servizi cloud o di chiunque abbia accesso fisico all’hardware. La tua garanzia di sicurezza diventa matematica, non operativa.

Per gli investitori, questo crea una questione strategica importante: stanno scommettendo sul fatto che la fiducia nell’hardware diventi più affidabile (il percorso TEE) o sul fatto che le prestazioni crittografiche migliorino abbastanza per rendere le soluzioni solo matematiche pratiche (il percorso FHE)? La maggior parte dei ricavi a breve termine si trova sul lato TEE. L’argomento di difesa a lungo termine può favorire l’approccio matematico, almeno per alcuni domini di calcolo.

Integrità del Calcolo: Dalle Minacce Interne agli Ambienti Ostili

L’Integrità del Calcolo affronta un problema diverso: come si fa a sapere che il calcolo corretto sia stato effettivamente eseguito?

In ambienti controllati come i data center aziendali e i cloud hyperscaler, i TEE gestiscono questo ragionevolmente bene. I meccanismi di attestazione consentono di verificare che il codice atteso sia stato caricato in un TEE genuino prima di inviare i dati. Ciò è prezioso per la protezione contro le minacce interne, l’infrastruttura compromessa o i problemi di distribuzione. Per la maggior parte dei casi d’uso aziendali, l’attestazione basata su TEE è sufficiente.

Ma “sufficiente” dipende dal modello di minaccia. In ambienti ostili, in cui non si ha il controllo dell’hardware e l’operatore può essere attivamente ostile, le garanzie TEE si deteriorano. La ricerca recente ha dimostrato attacchi pratici contro l’attestazione TEE utilizzando interpositori hardware a basso costo e i principali vendor di chip hanno riconosciuto che gli attacchi fisici rientrano al di fuori del loro modello di minaccia. In un data center ben gestito con sicurezza fisica, questo rischio residuo è gestibile. Su un nodo sconosciuto in una rete di calcolo decentralizzata, non lo è.

È proprio per questo che il mondo Web3 è stato il principale motore dell’innovazione delle prove a conoscenza zero. Le prove ZK forniscono una certezza matematica sull’integrità del calcolo indipendentemente dall’ambiente hardware. Se la prova si verifica, il calcolo è stato corretto, sia che il calcolo dimostrato sia stato eseguito in un ambiente sicuro o nel garage di qualcuno.

Il ritmo di miglioramento qui è stato notevole. Le zkVM di scopo generale consentono ora ai sviluppatori di scrivere codice Rust normale e generare prove automaticamente, senza dover scrivere manualmente circuiti crittografici. Il cubo iperbolico SP1 di Succinct dimostra i blocchi Ethereum in meno di 12 secondi su 16 GPU. ZKsync’s Airbender segnala oltre 21 milioni di cicli al secondo su una sola H100.

Per i carichi di lavoro di intelligenza artificiale in particolare, zkML sta facendo progressi ma rimane costoso. La dimostrazione dell’inferenza LLM è ancora thousands di volte più lenta dell’inferenza stessa. I modelli più piccoli come i classificatori e i modelli di embedding stanno avvicinandosi alla praticabilità ZK ora e la dimostrazione LLM di frontiera è probabilmente due o tre anni fuori. Un interessante terreno di mezzo è la “verifica ottimistica”, dove le prove vengono generate solo quando i risultati vengono contestati piuttosto che per ogni calcolo, riducendo drasticamente il costo medio.

Dove Sta Andando

Lo spazio della computazione riservata è a un punto di svolta. L’innovazione sta avvenendo contemporaneamente su TEE, FHE e ZK, ognuno guidato da comunità diverse con priorità diverse ma convergenti su un insieme condiviso di problemi.

Le dinamiche di ciò che gli acquirenti considerano più urgente determineranno quali approcci guadagneranno trazione per primi. Le imprese focalizzate sulla conformità normativa e sulla protezione dei dati cloud probabilmente tireranno le soluzioni basate su TEE. L’onda AI potrebbe accelerare la domanda di FHE se le prestazioni continuano a migliorare. Le applicazioni decentralizzate e Web3 continueranno a spingere la tecnologia ZK verso una maggiore applicabilità.

Ci aspettiamo anche che emergano architetture ibride come un terreno di mezzo pratico. I TEE per la privacy combinati con le prove ZK per l’integrità, ad esempio, forniscono una forte confidenzialità con una certezza matematica sulla correttezza. Questa combinazione funziona bene per scenari in cui l’ambiente hardware è parzialmente attendibile ma non completamente controllato.

Questa struttura sta diventando particolarmente rilevante intorno al Summit sulla Computazione Riservata della Linux Foundation a San Francisco la scorsa settimana, dove un tema centrale era se la computazione riservata possa servire come livello di sicurezza che renda l’intelligenza artificiale agente deployabile su scala aziendale. Mentre le organizzazioni iniziano a dare agli agenti di intelligenza artificiale l’accesso a sistemi, dati e flussi di lavoro sensibili, le questioni del calcolo protetto, dell’integrità del calcolo e della fiducia verificabile si spostano dalle discussioni architettoniche teoriche ai requisiti operativi.

Per le startup, le opportunità sono sostanziali in tutto lo stack: rendere il calcolo riservato basato su TEE più facile per le aziende SaaS da adottare, costruire gli strumenti che portano l’FHE dalla ricerca alla produzione, creare l’infrastruttura per l’integrità del calcolo basata su ZK nei contesti aziendali e sviluppare gli strati di attestazione e broker di fiducia che si trovano tra i clienti e i fornitori di servizi cloud. Continuiamo a studiare questo spazio e siamo entusiasti dei fondatori che stiamo incontrando. Diversi carichi di lavoro, modelli di minaccia e regimi normativi richiederanno diverse combinazioni dei tre pilastri. Le aziende che vinceranno saranno quelle che sceglieranno un pilastro, lo risolveranno in modo decisivo e renderanno facile per le imprese adottarlo.