アフマド・シャディッドは、O Foundationの創設者であり、スイスを拠点とするAI研究ラボでプライベートAIインフラストラクチャーの構築と研究を行っている。また、o.capitalの創設者であり、ナスダックで取引されているクォントファンドであり、io.netの創設者兼元CEOでもあり、現在はSolanaベースの分散型AIコンピューティングインフラストラクチャーネットワークの中で最大のものとなっている。
エージェント型AIシステムは、過去1年間で主流になりました。現在、ユーザーの認証、資本の移動、コンプライアンスワークフローのトリガー、企業環境全体での調整など、さまざまな機能に使用されています。しかし、インフラストラクチャの信頼レベルで、静かに問題が生じています。エージェントシステムは、インサイダー権限を与えられていますが、依然として、自律的な意思決定者をインフラストラクチャの下から保護するように設計されていないコンピューティング環境で実行されています。従来のセキュリティでは、ソフトウェアは受動的であると想定されますが、エージェントシステムはそうではありません。エージェントシステムは、継続的に、自律的に、委任された権限で推論、記憶、行動します。また、AIエージェントは、ユースケースに基づいて、電子メールや電話レコードなどの個人データにアクセスする可能性があります。さらに、ハードウェアベースの保護、たとえば、機密仮想マシンやセキュアエンクレーブは存在しますが、まだ、ほとんどのエージェント型AIデプロイメントのデフォルトの基盤ではありません。結果として、多くのエージェントは依然として、実行中の機密データが基礎となるインフラストラクチャに公開される環境で実行されます。エージェントはインサイダーであり、ツールではありませんセキュリティチームは、インサイダー脅威を封じ込めることの難しさを既に知っています。これは、Verizonの2025年のデータブリーチレポートで強調されています。このレポートでは、システム侵入が昨年の確認されたブリーチの53％以上を占めていたことが示されています。22％のケースでは、攻撃者は侵入に成功するために盗まれた資格情報を使用しました。これは、技術的な欠陥を利用するのではなく、有効なIDを使用することが多くの場合に成功することを示しています。ここで、エージェントを考えてみましょう。エージェントは、プロンプトロジック、ツールおよびプラグイン、資格情報、およびポリシーで構成されています。コードを実行し、Webを閲覧するだけでなく、CRMを照会し、電子メールを読み取り、チケットをプッシュすることができます。機能の組み合わせにより、伝統的な攻撃面が現代のインターフェイスに持ち込まれることになります。このようなインサイダー脅威の危険性は推測ではありません。OWASP（Open Web Application Security Project）は、LLMアプリケーションの重要な脆弱性として「プロンプトインジェクション」をリストしています。特に、連鎖アクションをチェーンするエージェントシステムの危険性を指摘しています。Microsoftの脅威インテリジェンスチームも、AIシステムがツールアクセスをサブバートしてデータ盗難を実行する可能性があることを警告しています。これらのレポートは、システムとデータへの有効なアクセス権を持つエージェントが所有者に対して反対する可能性があることをタイムリーに思い出させてくれます。しかし、エージェントシステムのリスクランドスケープは単一ではありません。アプリケーションレイヤーの脅威、たとえばプロンプトインジェクションとツールの悪用は、信頼できる指令と信頼できないユーザー入力をモデルが区別できないことから生じます。これは、どれだけのメモリ強化でも解決できない設計上の制限です。インフラストラクチャレベルでは、別の重要な問題があります。エージェントのいくつかは、プレーンテキストメモリで実行されます。つまり、チャット履歴、APIレスポンス、ドキュメントなどの機密情報が、処理中およびその後もアクセス可能になる可能性があります。OWASPは、このリスクを機密情報漏えい（LLM02）およびシステムプロンプト漏えい（LLM07）として識別しています。コンテキスト分離、名前空間セグメンテーション、メモリスandboxingを重要な安全対策として提案しています。したがって、ユーザーはこれらのエージェントを単なるアプリケーションとして扱うべきではありません。エージェントは、動的で推論するエグゼキューターであり、独自の性質を考慮したセキュリティモデルが必要です。このアプローチには、モデルの動作を制限するためのソフトウェアコントロールと、データを使用中に安全に保つためのハードウェア保護が必要です。信頼のアーキテクチャには重大な欠陥があります現在のセキュリティ慣行は、データを保存および転送中の保護に焦点を当てています。最後の境界、つまり使用中のデータはほとんど公開されたままです。AIエージェントが機密データセットをローンの承認、患者レコードの分析、取引の実行などに推論する場合、そのデータは通常、サーバーのメモリ内で平文で処理されます。標準的なクラウドモデルでは、インフラストラクチャを十分に制御できる誰でも、ワークロードが実行中の間に何が起こっているかを潜在的に見ることができます。AIエージェントにとって、これらの漏洩は特に危険です。なぜなら、エージェントは仕事をこなすために機密情報にアクセスする必要があるからです。これは、潜在的に攻撃面となる可能性があります。Lumia Securityが実証したように、ローカルマシンへのアクセス権を持つ攻撃者は、ChatGPT、Claude、Copilotデスクトップアプリケーションのプロセスメモリから直接JWTとセッションキーを取得できます。これらの盗まれた資格情報により、攻撃者は別のユーザーになりすまし、会話履歴を盗み、セッション中にエージェントの行動を変更したり、偽の記憶を植え付けたりするプロンプトを挿入することができます。例として、AWS CodeBuildのメモリダンプインシデントが2025年7月に発生しました。攻撃者はプロジェクトに秘密のコードを追加し、システムがそれを実行すると、コードはコンピュータのメモリを覗き込み、そこに保存された隠しログイントークンを盗みました。攻撃者はそのトークンを使用してプロジェクトのコードを変更し、他のシステムにアクセスする可能性もありました。金融機関にとって、静かな操作は存続に関わる問題です。銀行、保険会社、投資会社は、平均的なブリーチコストが1,000万ドルを超えていることをすでに認識しています。また、機密性は機密性と同等に重要であることも理解しています。最近のInformaticaレポートによると、「信頼のパラドックス」は、組織が自律エージェントをより迅速に展開しているにもかかわらず、その出力を検証するのに十分な時間がないというものです。結果として、自動化がエラーまたは偏見をコアプロセスに直接組み込む可能性があります。機密コンピューティングと分離のケース漸進的な修正では問題を解決できません。アクセス制御の厳格化や監視の強化は役立ちますが、根本的な問題には対処できません。問題はアーキテクチャ的なものであり、計算が露出されたメモリで行われる限り、エージェントは最も重要な時点で脆弱です。つまり、推論中です。機密コンピューティングは、ハードウェアベースの信頼できる実行環境（TEE）を介して使用中のデータを保護することを、Confidential Computing Consortium（CCC）が定義しています。これは、エージェントの問題の核心を直接対処します。AIエージェントにとって、ハードウェアレベルの分離は変革的です。エージェントのID資格情報、モデル重み、独自のプロンプト、および処理する機密ユーザーデータが、実行中にも暗号化されたままであることを可能にします。分離は、インフラストラクチャの制御がワークロードの制御を保証する従来のモデルを明確に破壊します。リモートアテステーションにより、特定の推論リクエストがハードウェアバックの信頼できる実行環境内で実行されたことを検証可能な暗号証拠が提供されます。この証拠は、ハードウェア測定から生成され、応答とともに提供され、ワークロードがどこで、どのように実行されたかを独立して検証することができます。アテステーションレコードには、実行されたコードが記載されていません。代わりに、各ワークロードは一意のワークロードIDまたはトランザクションIDに関連付けられ、TEEアテステーションレコードはそのIDにリンクされます。アテステーションは、ワークロードが信頼できる環境内で実行されたことを確認しますが、その内容を公開しません。このセットアップは、コンプライアンスと監査可能性の新たな基盤を作成します。エージェントのアクションを、アテステーションおよび特定の入力データセットに関連付けることが可能になります。説明責任のある自律性に向けて上記のシステムの影響は、基本的なセキュリティを超えています。金融、ヘルスケア、個人情報を規制する法律を考えてみましょう。多くの管轄区域では、情報が処理される場所を制限するデータ主権規則が適用されます。中国では、個人情報保護法およびデータセキュリティ法が、特定のデータカテゴリ、たとえば重要な個人データを国内で保存し、海外への転送前に確認することを要求しています。同様に、UAEやサウジアラビアなどのいくつかの湾岸諸国は、特に金融、政府および重要インフラストラクチャデータの場合に、同様のアプローチを採用しています。機密コンピューティングは、データを処理中に保護し、ランタイム環境のアテステーションを可能にすることで、セキュリティと監査可能性を強化できます。しかし、処理が行われる場所を変更することはできません。データ主権の規則がローカル処理を要求する場合、または国境を越えた転送に条件を課す場合、信頼できる実行環境はコンプライアンスコントロールをサポートできますが、法的要件を代替することはできません。さらに、機密コンピューティングにより、複数のエージェントシステムで、エージェント間で情報を共有したり、出力を検証したりすることができますが、機密データを公開せずにセキュアなコラボレーションを可能にします。ゼロトラストアーキテクチャと組み合わせると、結果はより強力な基盤になります。ゼロトラストは、IDとアクセスを継続的に検証しますが、機密コンピューティングは、ハードウェアのメモリを未承認の抽出から保護し、機密情報が平文で回復されるのを防ぎます。これらは、実際に重要なものを守ります。たとえば、意思決定ロジック、機密入力、およびアクションを承認する暗号化キーなどです。自律システムの新しい基準もしも、すべてのやり取りが人々を危険にさらすものであれば、人々はAIにヘルスケアレコードのようなものを扱わせたり、金融上の決定を下させたりしないでしょう。同様に、企業も、規制上の問題や重要なデータの喪失につながる可能性があるため、最も重要なタスクの自動化を行わないでしょう。真剣に取り組む人々は、ハイアシュアランスの環境では、アプリケーションレイヤーの修正だけは不十分であることを認識しています。エージェントが金融的権限、規制データ、または組織間の調整を任せられた場合、インフラストラクチャの漏洩は理論的な懸念を超えています。機密実行がなければ、多くのエージェントはソフトターゲットのままです。キーやロジックは盗まれる可能性があります。近年の大規模なブリーチは、まさにその道の果てを見せています。プライバシーと完全性は、デプロイ後に追加されるオプション機能ではありません。それらは、シリコンから設計する必要があります。したがって、エージェント型AIを安全にスケールするには、ハードウェアで強化された機密性を、単なる競争上の優位性ではなく、基準と見なす必要があります。
生成モデルは、研究ラボから通常のビジネスプロセスへと移行しつつありますが、その背後には、静かに構造的な弱点が生じています。例えば、Microsoft Copilotは、2025年上半期に、組織あたり約300万件の機密レコードにアクセスしました。こうした数字は、AIのアプローチにシステム的な問題があることを示しています。企業はデータを処理するための強力なエンジンを構築しましたが、使用するデータを保護するための十分な保護策を講じていません。大規模な言語モデルやアシスタントツールは、ハードウェアベースの保護なしで、文書、メッセージ、データベースを計算します。このギャップは、推論中に「使用中のデータ」を明らかにし、プライバシー、コンプライアンス、顧客の信頼を優先するビジネスに直接脅威を与えます。ここで、機密コンピューティングが登場します。機密コンピューティングは、ハードウェア支援された信頼できる実行環境（TEEs）を使用して、コードとデータを使用中に安全に保ちます。これらのTEEsは、ホストオペレーティングシステムとハイパーバイザから保護された、分離されたメモリ領域です。この保護により、セキュリティモデルが変わり、シークレットを公開せずに処理できます。Microsoftや他のクラウドプロバイダは、プライベート推論と、TEEs内に推論を統合した仮想マシン（VM）を提供しています。ルールとガバナンスのためのプライバシーの重要性従来の暗号化は、通常、データを保護しますが、データがアクティブに処理されている場合、同じレベルの保護が提供されません。生成モデルは、プライベート入力と最も多く相互作用する場所で、そこで最も多く保護されません。今年の初め、コーネル大学の研究者による信頼できるコンピュートユニットに関する研究は、ハードウェア支援された分離と認証が、当事者間の信頼の必要性をどのように減らすことができるかを明らかにしました。さらに、昨年、分析家は、プライベートコンピューティングインフラの価値が13億ドルを超え、2032年までに350.04億ドルまで急成長することを予測しました。単純に言えば、多くの人がこのテクノロジーを使用しているため、規制当局やコンプライアンスチームは、以前よりもAIシステムに多くの関心を持っています。したがって、保護された実行中にモデルクエリに対する機密データが決して公開されないことを保証するフレームワークは、監査トレイルを簡単に追跡できるようにし、法的問題のリスクを軽減します。ただし、ランタイム保護が標準にならない場合、規制当局が厳格に規制された分野でのAIの受け入れを遅らせる可能性があります。プライバシーが必須な現実の状況企業シナリオは、機密AIが贅沢ではなく、必須であることを示しています。例えば、金融では、顧客の取引履歴に対して詐欺検出とリスクモデルを実行する必要がある機関がありますが、生のレコードへのアクセスは外部モデルオペレータに許可されません。医療では、診断モデルが保護された臨床データで動作し、患者のプライバシーを保護し、厳格な規制要件を満たす必要がある場合があります。さらに、政府や国防機関は、第三者クラウドで機密ワークロードを実行するために、認証された実行を必要とします。複数のソースからのデータセットを組み合わせる研究パイプラインもあり、参加者が計算中に入力を読み取れないことを確信できるフェデレーテッドヘルス研究が進められています。医療ワークフローに機密実行を組み合わせるプライバシー保護MLアプローチに関する学術研究と産業研究も続けています。機密実行がデータを保護する方法機密実行は、2つの関連システムに依存しています。ハードウェア分離と認証です。ハードウェア分離は、セキュアエンクレーブ外のソフトウェアがエンクレーブメモリを読み取るのを防ぎます。認証は、エンクレーブ内で実行されるコードとエンクレーブ自体が本物であることを検証する方法です。これらの機能により、モデル所有者は、モデルが検証された環境で入力とともに動作し、出力はエンクレーブのルールに従った後に出力されることを示すことができます。結果として、データ所有者、モデルオペレータ、クラウドプロバイダの間で、法的な問題を回避する必要性が減り、ポリシーの複雑さが軽減されます。現実的な限界と障害当然、機密AIの採用には独自の課題があります。認証とエンクレーブで動作できるハードウェアは、デプロイをより複雑にし、従来のモデル提供ツールとエンクレーブ対応ランタイムの間のエコシステムギャップを生み出します。エンクレーブランタイムの一部は、重いオーバーヘッドを課し、実行コストを10倍に高める可能性があり、パフォーマンスにもトレードオフが生じる可能性があります。さらに、コストは、従来のクラウド推論よりも高くなり、企業が数値を理解することを難しくします。互換性標準の変更もあり、初期の採用者はベンダーに縛られるリスクにさらされる可能性があります。しかし、これらの問題は、一時的なエンジニアリング上の問題であり、解決可能です。クラウドプロバイダやチップメーカーは、新製品をリリースし続けており、ソフトウェアプロジェクトは、現在のMLスタックとTEEsを接続するミドルウェアを作成しています。これらの問題よりも、標準的な暗号化とアクセス制御だけを十分と考える企業は、モデルが多くの機密レコードを処理する場合に脆弱性を抱えることになります。企業慣行の変化の呼びかけリスク管理チームは、AIの購入と使用に関するルールを変更する必要があります。データ分類とガバナンスは重要ですが、使用中には技術的な保証が必要です。第三者モデルプロバイダとの契約には、認証の証明を要求する必要があります。調達チームは、認証されたオプションとパフォーマンスベースラインを要求する必要があります。レッドチーム演習には、エンクレーブ対応テストを含める必要があります。これらのステップにより、規制が強化され、コンプライアンスが向上します。これらのルールにより、将来の侵害が減り、業界が法的問題を心配せずにイノベーションできるようになります。これにより、金融、医療、公共部門のワークフローが、新しいモデルを使用できます。機密性を標準とする生成AIは、プライベート情報を扱うビジネスにとって、有用なツールになりました。この現実は、機密実行がもうニッチな選択肢ではなく、規制された、独自の、または個人のデータを扱うAIシステムの標準的な慣行であることを意味します。すでに、TEEs、認証サービス、プライベートVMオファーなどのツールが利用可能であり、経済的メリットも急速に改善されています。他の選択肢は、機密資産を推論時間の漏洩にさらすことですが、これは、法的、財務的、評判上の影響を企業がもう負担できません。例えば、IBMの2025年データ漏洩コストレポートによると、平均的な世界的な漏洩コストは約500万ドルに達し、GDPRなどの規制は、深刻な漏洩に対して2000万ユーロの罰金を課します。企業がAIガバナンスでプライバシーを優先する企業は、優位性を得ます。徹底的な、コンプライアントなテストを実行し、外部のイノベーションが以前は制限されていた分野でモデルを使用できます。簡単に言えば、モデルが実行中のデータを保護することは、採用の障壁ではなく、ビジネスと政府での責任ある、スケーラブルなAIの基盤です。
数十年間、メタ、グーグル、アップルなどの大手企業がテクノロジー業界を支配してきました。しかし、人工知能について話すとき、これらの企業ではなく、ChatGPT、Midjourney、Runwayなどのツールが人工知能の公共の認識を形作っています。OpenAI、Anthropic、Stability AIなどのAIネイティブ企業は、わずか数年で無名から有名になりました。これは、既存のテクノロジー大手企業にとって大きな問題であり、現在彼らを後ろ足に立たせています。大手企業には、Meta AI、Apple Intelligence、GrokなどのAIツールがありますが、多くの人はこれらのサービスを使用しているのは、既に使用しているツールやエコシステムに埋め込まれているからです。イノベーションについては、ほとんどの初期採用者は他の場所で自分のニーズを満たしています。伝道者と傭兵テクノロジー大手企業は、かつて自分たちがそうだったように、しぶとい、機敏なスタートアップと競合しています。大手企業は、イノベーションを追いかける立場にあり、以前のようにイノベーションのペースを設定するのではなく、外部から才能を引き入れたり、既存のサービスに頼ったりしています。アップルは、例えば、と報告されているように、OpenAIまたはAnthropicのLLMをアウトソーシングすることを検討しているようです。これは、歴史的にすべてを社内で構築してきた企業にとって考えられないことです。メタは、最近発表したように、元Scale AI CEOのAlexandr Wangが率いる新しい「スーパーアインテリジェンス」チームを立ち上げるために大規模な採用を発表しました。OpenAIのSam Altmanは、それを批判し、他から文化を輸入しようとする試みは常に失敗する運命にあると主張し、「伝道者は傭兵を打ち負かす」と述べています。アルトマンの潜在的なメッセージは明らかです。文化は、リスクを冒して何もないところから何かを構築する勇気と信念から生まれます。もちろん、AIレースでは、何もを何もないところから行うことは難しいです。AIサービスを構築して実行することは、目に焼き付くほど高額です。大量の投資なしに、持続可能な成長は不可能です。これは、現在多くの小規模なAIネイティブ企業が直面している現実です。深いポケットvs深い思考GitHubのCopilotやChatGPTなどのツールは、すでに使用制限を下げており、MidjourneyやRunwayなどのツールは、制限付きの無料プランを提供しています。OpenAIも、収益を40倍に増やす必要があると最近発表しました。(アルトマンは、投資家が長期的な視点を持っていることを願うでしょう…)簡単に言えば、AIスペースを支配しようとする企業は、深いポケットが必要です。メタやアップルなどの既存のテクノロジー大手企業は、その説明に当てはまります。彼らはインフラストラクチャを持っており、既存のユーザーベースを持っており、金銭的余裕を持っています。彼らが大きなアイデアを持っていないとしても、競争を待ち伏せ、最後に残る可能性があります。その間、レガシ企業は、買収や人材の採用を通じて、より小規模なAI企業が地元で構築しているものを買収することで、買収しようとしています。これは、テクノロジー業界で長年にわたって続いているアプローチです。もし勝つことができないなら、買います。しかし、AIネイティブ企業は、現在運転席に座っています。過剰な表現ではなく、彼らは現在、AIが何であるか、そして何ができるかを定義しています。同じように、Huover、Xerox、Jacuzziなどの名前は、すべて汎用化された商標になりました。ChatGPTやOpenAIの名前は、すでにAIと同義です。しかし、これは、グーグルやメタが追いつくことができない、または追い越すことができないことを意味しません。努力して働くか、ほとんど働かないかイノベーションと機敏性がDNAに組み込まれた小規模企業を上回ることは大きな課題ですが、新しいチームに自由に動かせ、リスクを冒せ、途中で間違いを犯してもよいと許可することで、遅れを取り戻すことができるかもしれません。テクノロジー業界では、競争相手が最後に強い終わり方をすることは珍しくありません。現在、後発企業が後ろ足に立たされています。これらの最近の戦略的転換は、復活の始まりを表すか、関連性を維持するための最後の試みかもしれません。時間が答えを教えてくれるでしょう。確実なのは、AIスペースの現在のリーダーを上回ることができた場合、ギャップを埋める前に次の動きを計画する必要があることです。なぜなら、このレースを勝つのは、インフラストラクチャではなく、イマジネーションだからです。
