Jonathan Mortensen, Fondatore e Amministratore Delegato di Confident Security – Serie di Interviste

Jonathan Mortensen, Fondatore e Amministratore Delegato di Confident Security, attualmente guida lo sviluppo di sistemi di intelligenza artificiale provabilmente privati per settori con stringenti requisiti di sicurezza e conformità. Ricopre anche il ruolo di Fondatore Fellow presso South Park Commons, dove esplora il futuro del calcolo, della memoria, della privacy e della proprietà dell’IA. Prima di fondare Confident Security, è stato un ingegnere software presso Databricks, integrando la tecnologia di bit.io nella sua piattaforma di dati con un focus sulla sicurezza multi-tenant, IAM/ACL, isolamento VPC, crittografia e proprietà dei dati. In precedenza, ha fondato e ricoperto il ruolo di CTO di bit.io, creando un servizio serverless PostgreSQL multi-cloud e multi-region che supportava centinaia di migliaia di database sicuri e successivamente acquisito da Databricks.

Confident Security costruisce infrastrutture che consentono alle aziende di eseguire flussi di lavoro di intelligenza artificiale senza esporre informazioni sensibili. La sua piattaforma è progettata in modo che i prompt, i dati e le uscite del modello rimangano completamente privati, non vengano mai registrati e non vengano mai riutilizzati, fornendo alle organizzazioni un modo sicuro per adottare l’IA mentre soddisfano rigorosi standard regolatori e di conformità.

Hai fondato Confident Security nel 2024 dopo aver costruito bit.io e lavorato presso Databricks. Cosa ha scatenato la realizzazione che l’IA necessitava di un approccio fondamentalmente diverso alla privacy?

La mia esperienza nella costruzione di infrastrutture di dati mi ha insegnato questo: se le persone inseriscono informazioni sensibili in un sistema, la fiducia non è sufficiente. Hanno bisogno di prove. Abbiamo costruito infrastrutture in cui i clienti possedevano i loro dati e abbiamo fornito loro modi per validarli.

Quando ho guardato come le aziende utilizzavano i modelli di linguaggio, quelle prove non esistevano. I dipendenti incollavano codice sorgente, documenti legali e registri di pazienti in modelli gestiti da terze parti che non potevano verificare. Abbiamo già visto conversazioni private accidentalmente indiciate online e modifiche alle politiche che hanno reso improvvisamente i colloqui dati di training per impostazione predefinita. Ha mostrato quanto fragile sia il modello di privacy attuale.

Se l’IA deve gestire le informazioni più sensibili del mondo, abbiamo bisogno di garanzie che non dipendano dalla fiducia nelle promesse interne di un fornitore. È questo che mi ha spinto a fondare Confident Security.

OpenPCC è descritto come il “Signal per l’IA”. Perché è stato importante che questo livello di privacy fosse aperto, attestabile e interoperabile fin dal primo giorno?

La crittografia end-to-end non ha preso piede fino a quando non è diventata uno standard che tutti potevano adottare. Vogliamo la stessa cosa per la privacy dell’IA. Se solo alcune aziende possono offrire garanzie reali, allora la privacy non scalerà.

OpenPCC è open source sotto Apache 2.0, quindi chiunque può costruire su di esso o ispezionarlo. Non c’è alcun requisito di fiducia segreto. L’attestazione hardware fornisce una prova crittografica su cosa sta girando e dove. E abbiamo assicurato che funzioni ovunque: qualsiasi cloud, qualsiasi fornitore di modelli, qualsiasi stack di sviluppo.

C’è un enorme valore in un pavimento di privacy che è coerente e universale. Se si utilizza OpenPCC, si sa che i dati non sono visibili ai fornitori di modelli, ai regolatori o anche a noi. Uno standard funziona solo se l’intero ecosistema può partecipare, quindi l’abbiamo progettato per essere il più inclusivo possibile fin dal primo giorno.

Prima di Confident Security, hai costruito sistemi su larga scala per la multi-tenenza, la crittografia e la proprietà dei dati. Come hanno influenzato quelle esperienze l’architettura di OpenPCC?

Quei sistemi hanno rafforzato due verità: se un sistema può conservare i dati, alla fine li conserverà, che sia attraverso log, misconfigurazioni o richieste legali. E la fiducia non è un modello di privacy. Gli utenti hanno bisogno di visibilità e controllo.

OpenPCC funziona in modalità senza stato in modo che i prompt scompaiano dopo l’elaborazione. L’attestazione consente agli utenti di verificare dove stanno andando i loro dati e quale codice sta girando. E isolando il controllo dai dati, OpenPCC impedisce che gli input privati vengano mai trattati come istruzioni eseguibili.

Quei vincoli sono ciò che le aziende hanno aspettato: garanzie che i dati non riappariranno inaspettatamente da qualche parte.

Hai sostenuto che la maggior parte delle soluzioni di “AI privata” si basa sulla fiducia in sistemi opachi. Perché è essenziale la verifica indipendente per una vera privacy?

La maggior parte del linguaggio sulla privacy oggi è essenzialmente “soltanto fidateci”. Non è abbastanza quando le poste in gioco includono la sicurezza nazionale e i dati sanitari regolamentati. Se l’utente non può verificare l’affermazione, non è una garanzia – è marketing.

La privacy verificabile è diversa. Non si fidano delle intenzioni dell’operatore. Si convalida il hardware, l’immagine del software e le garanzie di gestione dei dati. La crittografia impone i confini. I log non esistono per qualcuno che possa accidentalmente perdere o citare in giudizio.

Quando la privacy è verificabile dall’utente, si crea un sistema fondamentalmente più sicuro. È una responsabilità radicata nella matematica.

L’annuncio di Google (GOOGL ) “Private AI” è arrivato poco dopo OpenPCC. Hai pubblicamente sfidato a fornire un TPU per test indipendenti. Cosa ha motivato quella sfida e cosa ci si aspetterebbe di trovare?

Per affermare garanzie di privacy, si dovrebbe consentire alla comunità di validarle. NVIDIA (NVDA ) già consente la verifica esterna sui suoi GPU H100 e abbiamo anche aperto il codice sorgente di una versione Go della sua libreria di attestazione per incoraggiare l’adozione.

Se Google vuole fare promesse simili sui TPU, dovremmo essere in grado di misurare e verificare quelle promesse, non solo leggerle in un post del blog. Cercheremmo gli stessi controlli che ci aspettiamo da qualsiasi sistema di privacy: rigidi confini di conservazione dei dati, attestazione verificabile e nessun percorso segreto in cui i log o la telemetria possano sfuggire. Le affermazioni sulla privacy devono sopravvivere allo scrutinio.

Per i lettori che non conoscono la meccanica, cosa rende i canali completamente crittografati di OpenPCC diversi dalla crittografia lato client tradizionale o dal calcolo confidenziale?

La crittografia lato client protegge i dati mentre vengono inseriti e il calcolo confidenziale li protegge mentre vengono elaborati, ma ci sono ancora lacune prima e dopo dove gli operatori o gli attaccanti possono accedere a informazioni sensibili.

OpenPCC chiude quelle lacune. Crea un percorso end-to-end sigillato tra il client e il modello che protegge il prompt, la risposta, l’identità dell’utente e anche i metadati o i segnali di temporizzazione che possono rivelare silenziosamente l’intento. Gli operatori non possono decrittare nulla. Nulla viene registrato o conservato, anche in condizioni di violazione.

La privacy non dovrebbe dipendere dalla speranza che il fornitore faccia la cosa giusta dietro le quinte. Deve essere imposta crittograficamente.

Come cambia la privacy verificabile l’equazione per settori regolamentati come finanza, sanità e difesa?

I settori regolamentati hanno più da guadagnare dall’IA, ma anche più da perdere se qualcosa si perde. Oggi, il 78% dei dipendenti incolla dati interni negli strumenti di IA e in un caso su cinque sono inclusi dati regolamentati come PHI o PCI. L’esposizione sta già accadendo.

La privacy verificabile rimuove il più grande ostacolo. I prompt sensibili non esistono mai in testo normale all’interno dell’ambiente del fornitore del modello. Nulla può essere utilizzato per l’addestramento. Anche le richieste legali non possono accedere a ciò che il sistema stesso non può vedere.

I team di rischio e conformità finalmente hanno un percorso in cui “sì” diventa il default invece di “no”.

Quali sono stati i maggiori sfidi ingegneristici nel progettare uno strato di privacy cloud-agnostico che funziona su qualsiasi stack aziendale?

Il calcolo confidenziale e l’attestazione remota sono ancora nella loro infanzia, a mio parere. Ogni fornitore cloud e fornitore di metallo nudo fa qualcosa di leggermente diverso. Alcuni provider, come AWS, non hanno nemmeno il hardware necessario per farlo. Quindi, ogni singola funzionalità che aggiungiamo è come 1000 tagli e camminare sulla fune tesa. Ma l’intero punto è diventare uno standard aperto, quindi dobbiamo farlo in modo che funzioni per qualsiasi cloud. È open source, quindi incoraggio le persone ad aggiungere piattaforme e configurazioni supportate!

Cosa sembra un mondo con crittografia verificabile predefinita e come potrebbe ristrutturare l’equilibrio di potere tra aziende, fornitori cloud e fornitori di modelli?

Le aziende mantengono il controllo del loro bene più prezioso: i loro dati. I fornitori di modelli competono in termini di prestazioni e costo piuttosto che chi può accumulare le informazioni più proprietarie. I cloud abilitano la privacy invece di essere silenti osservatori di essa.

È un equilibrio di potere più sano. E l’intero ecosistema vince quando la sicurezza è costruita nella fondazione invece di essere aggiunta sopra.

In un futuro in cui l’IA diventa ubiqua e fortemente regolamentata, come vedi la privacy verificabile ristrutturare il paesaggio competitivo per le aziende, i fornitori cloud e gli sviluppatori di modelli?

I regolatori stanno già mettendo in discussione come vengono archiviati e utilizzati i dati degli utenti. La privacy basata sulla fiducia non soddisferà a lungo. Gli utenti si aspettano garanzie di privacy allo stesso modo in cui si aspettano la crittografia nelle app di messaggistica oggi.

I vincitori saranno le aziende che non chiedono agli utenti di compromettere. Se puoi provare la privacy, guadagni la fiducia delle organizzazioni che hanno i dati più preziosi del mondo. I dati diventano utilizzabili in luoghi in cui erano stati bloccati.

Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare Confident Security.