Aaron Fulkerson, administrerende direktør i OPAQUE – intervjuserien

Aaron Fulkerson, administrerende direktør i OPAQUE, er en erfaren gründer innen bedriftsprogramvare og en pioner innen åpen kildekode. I mer enn to tiår har han bygget og skalert teknologiplattformer med vekt på tillit, data og digital transformasjon. Før han begynte i OPAQUE i 2023, grunnla han MindTouch og bidro til å utvikle selskapet til en mye brukt kunnskapsplattform for bedrifter, før NICE Systems kjøpte det. Senere ledet han lanseringen av ServiceNow Impact, en av de raskest voksende forretningsenhetene i ServiceNows historie. Gjennom karrieren har Fulkerson arbeidet i skjæringspunktet mellom nye teknologier, bedriftsprogramvare og åpne økosystemer, og samtidig vært rådgiver for flere teknologiske oppstartsselskaper og organisasjoner. De siste årene har han blitt en fremtredende talsperson for konfidensiell KI (Confidential AI). Han mener at personvern, styring og etterprøvbar tillit vil være grunnleggende krav når KI-systemer integreres i virksomheters kritiske arbeidsprosesser.

OPAQUE er et selskap innen konfidensiell KI med utspring i det anerkjente RISELab ved UC Berkeley, det samme forskningsmiljøet som bidro til å skape teknologier som Apache Spark og Databricks. Selskapet har utviklet en plattform som lar bedrifter kjøre KI-modeller, agenter og arbeidsflyter på svært sensitive data med kryptografisk etterprøvbare garantier for personvern og regelverksetterlevelse. I stedet for å tvinge organisasjoner til å velge mellom KI-innovasjon og datasikkerhet bruker OPAQUE konfidensiell databehandling, krypterte kjøremiljøer og maskinvareattestert kjøring for å beskytte sensitive opplysninger før, under og etter KI-behandling. Teknologien er utviklet for strengt regulerte bransjer som finans, forsikring, helse og høyteknologi. Blant kundene og partnerne er ServiceNow (NOW ), Anthropic, Accenture og andre virksomheter som vil flytte KI-prosjekter fra pilotfasen til produksjon uten å eksponere proprietære eller regulerte data.

Du har bygget og skalert flere bedriftsplattformer gjennom karrieren. Hva fikk deg til å bli administrerende direktør i OPAQUE og vie neste kapittel til tillit, personvern og KI-styring?

Jeg har brukt nesten to tiår på å bygge bedriftsplattformer, først i MindTouch, som fortsatt brukes av en milliard brukere årlig, og deretter i ServiceNow, der jeg skapte selskapets raskest voksende produkt. Begge lærte meg det samme: Selv den kraftigste teknologien vinner bare når folk stoler på den.

Da jeg møtte OPAQUEs medgrunnleggere Raluca Ada Popa, Ion Stoica og Rishabh Poddar, så jeg en sjelden kombinasjon av talent og visjon. Raluca er en av verdens fremste forskere innen personvern og sikkerhet. Ion var med på å grunnlegge Databricks. Rishabh bygget de sentrale kryptografiske systemene som ble grunnlaget for OPAQUE.

Ved RISELab på UC Berkeley hadde de skapt noe jeg umiddelbart oppfattet som et gjennombrudd av betydning for en hel generasjon: kryptografisk bevis på at data forblir private gjennom enhver KI-arbeidsflyt. Ikke løfter. Ikke retningslinjer. Bevis.

Jeg så hvor KI var på vei: agenter som handlet autonomt på tvers av bedriftssystemer i maskintempo. Og jeg så det samme gapet Vint Cerf har advart mot i 30 år: mangelen på et tillitslag. Internett klarte seg uten et slikt lag fordi menneskene fungerte som sikkerhetsnett. Et nett drevet av agenter vil ikke ha den luksusen. Det var dette som fikk meg til å bli med.

MCP (Model Context Protocol, en standard som gir KI-agenter sikker tilgang til verktøy, applikasjoner og data) er i ferd med å bli et felles grunnlag. Hvordan tror du dette vil endre måten bedrifter tar i bruk og skalerer agentbasert KI på?

MCP er et viktig skritt i måten bedrifter tar i bruk og skalerer agentbasert KI på. Tenk på det som en universell kobling for KI-arbeidsflyter. Protokollen standardiserer hvordan agenter kobles til verktøy, applikasjoner og data, fjerner konkrete hindringer og gjør det raskere å eksperimentere.

Men standardisert tilgang alene gjør ikke agentbasert KI trygg eller skalerbar. Etter hvert som tilkoblingene blir flere, med flere agenter, verktøy og datakilder, øker også flaten der data kan lekke, for hver nye integrasjon. Ethvert tilkoblingspunkt uten håndheving under kjøring er en mulig eksponeringsvei. Når KI-agenter samhandler med sensitive systemer og proprietær logikk, er kryptering av lagrede data og nettverkskontroller ikke nok. Sikkerhetsgrensen har flyttet seg til selve kjøringen, og dette blir mer presserende etter hvert som økosystemet skalerer.

Etterprøvbarhet ved disse sentrale tilkoblingspunktene vil være virksomhetskritisk. Bedrifter kan skalere agentbasert KI når tilgang av MCP-typen kombineres med kryptografisk bevis på hvilken kode som ble kjørt, hvor den ble kjørt og hvilke regler den var underlagt – før, under og etter kjøring. Tilgang pluss etterprøvbarhet. Det er denne kombinasjonen som åpner for produksjonsbruk.

Når MCP standardiserer agenters tilgang, hvor ser du de største manglene i dag når det gjelder sikkerhet, håndheving av regler og tillit i agentdrevne systemer?

Vi har fullført vår AI Leak Surface-undersøkelse for 2026 og publisert et sammendrag av funnene, «Et dusin måter KI-stakken din lekker data på», som tar opp dette. Vi identifiserte 46 eksponeringsveier fordelt på 8 kategorier som dekker hele tillitsgrensen for KI: beregning, kontroll, applikasjon og overleveringene mellom dem. Og da har vi ikke engang tatt hensyn til ondsinnede aktører. Dette er situasjoner der ingenting er ødelagt og loggene ser fine ut, men systemet likevel lekker data.

De største manglene gjelder ikke tilkobling; det er dette MCP løser. Manglene ligger i det som skjer etter at en agent kobles til. De fleste organisasjoner kan ikke svare på tre grunnleggende spørsmål: Hvordan oppfører KI-en vår seg egentlig? Hvem kontrollerer den? Og hvordan kan vi bevise at reglene ble håndhevet?

Undersøkelsen vår viste at grenser konfigureres, men aldri håndheves. En regel finnes i et dokument, en konfigurasjonsfil eller en innstilling fra utrullingen, men begrenser ikke systemet som faktisk kjører. En KI-assistent for ledelsen legger vesentlig, ikke-offentlig informasjon i en kalenderinvitasjon. En RAG-assistent gir en junioranalytiker økonomiske opplysninger beregnet på styret. En leverandørs SDK fører i det stille 10 millioner spørringer ut av systemet over 12 måneder. I alle tilfellene var tilgangskontrollene på plass. Dataene lekket likevel.

Så lenge bedriftene ikke lukker gapet mellom konfigurerte og håndhevede regler, standardiserer MCP inngangsdøren. Men huset er fortsatt ubevoktet.

Når KI-agenter får tilgang til sensitive systemer og proprietære data, hvilke nye risikoer for personvern og regelverksetterlevelse oppstår som bedrifter ofte ikke er forberedt på?

De fleste bedrifter tenker på personvern med utgangspunkt i lagrede data eller data under overføring. Den modellen bryter sammen i agentbaserte arbeidsflyter, fordi den største risikoen er eksponering av data mens de brukes.

Her er hva jeg mener. En produsent av sportsbiler bruker KI langs samlebåndet. Rådataene virker harmløse: sensoravlesninger, tidssekvenser og kvalitetskontroller. Men en stor språkmodell kan nå rekonstruere proprietære produksjonsprosesser fra datasporene som driften etterlater seg. Det som var støy for fem år siden, er nå en oppskrift for en konkurrent.

AI Leak Surface-undersøkelsen vår dokumenterer dette mønsteret i flere titalls scenarioer. Verktøy for driftstelemetri registrerer hele KI-datainnholdet som standard. Hos en europeisk bank strømmet 2,1 millioner ledetekster med personidentifiserende opplysninger til en amerikansk SaaS-instans fordi ingen endret standardinnstillingene for applikasjonsovervåkingen (APM). Agentminne lekker kontekst mellom økter. Spor av tankerekker eksponerer komplette undersøkelsesopplysninger i observabilitetsplattformer som eksterne oppdragstakere har tilgang til. Tradisjonelle rammeverk for regelverksetterlevelse ble ikke utviklet for å oppdage slike lekkasjer. De forutsatte at mennesker flyttet data i menneskelig tempo.

Hvorfor blir konfidensiell KI et nødvendig supplement til MCP, og hvordan løser det utfordringer som tilgangsstandarder alene ikke kan løse?

MCP løser hvem som kan få tilgang til hva og hvordan, mens konfidensiell KI løser det som skjer etter at tilgangen er gitt. Dette er utfyllende lag.

Tilgangsstandarder alene kan ikke forhindre at sikkerheten kompromitteres under kjøring, at håndhevingen av regler gradvis avviker fra det tilsiktede, eller at data brukes uten tillatelse. Tenk på det slik: MCP gir deg en standardisert måte å koble agenter til systemene dine på. Konfidensiell KI gir deg kryptografiske garantier for at agentene, når de er tilkoblet, bare kan gjøre det de har tillatelse til – og at du kan bevise det.

Konfidensiell KI gir disse garantiene under kjøring for data, identitet, kode og kommunikasjon. Den gir etterprøvbare bevis på kjøringen og sikrer at personvern og håndheving av regler ikke stopper ved tilgangsgrensen, men fortsetter mens KI aktivt resonnerer, genererer og handler. Uten dette er MCP et solid fundament. Men et fundament alene gjør ikke en bygning sikker.

Hvordan ser etterprøvbar tillit ut i praksis for en bedrift som bruker autonome KI-agenter i kritiske arbeidsflyter?

Etterprøvbar tillit betyr at jeg kan bevise hvilken kode som ble kjørt, hvor den ble kjørt, hvilke regler den var underlagt, hvilke data den fikk tilgang til og hvordan systemet oppførte seg over tid.

Ta for eksempel et forsikringsselskap som bruker KI-agenter til å behandle brev med erstatningskrav. Før kjøring verifiserer maskinvareattestering agentens identitet og kjøremiljøets integritet. Under kjøring sikrer kryptografisk binding til reglene i et maskinvarebeskyttet, betrodd kjøremiljø (Trusted Execution Environment, TEE) at dataene forblir beskyttet, og at reglene håndheves. Etter kjøring dokumenterer en manipulasjonssikker revisjonslogg nøyaktig hva som skjedde.

Risikoen i agentbaserte arbeidsflyter er ikke at en agent løper løpsk. Den virkelige risikoen er at du ikke kan dokumentere om en regel ble håndhevet eller sensitive data beskyttet mens agentene var i drift – før, under og etter. Det er dette etterprøvbar tillit innebærer.

Når agentbaserte systemer arbeider i maskintempo, hvorfor svikter tradisjonelt menneskelig tilsyn, og hvordan bør organisasjoner tenke nytt om styring i dette miljøet?

I flere tiår hadde internett et usynlig sikkerhetsnett: oss. Mennesker leser innhold, klikker bevisst og handler ikke i det stille på tvers av hundre systemer samtidig.

Agentbasert KI setter disse forutsetningene ut av spill over natten. Agenter arbeider kontinuerlig, tar beslutninger i maskintempo og kan manipuleres gjennom miljøer som er utformet for mennesker, men som maskiner kan utnytte. En ondsinnet nettside trenger ikke å lure en KI slik den lurer et menneske; den kan ganske enkelt gi den instruksjoner.

Med bare 1 % risiko per agent har et nettverk på 100 agenter 63 % sannsynlighet for et sikkerhetsbrudd. Skalerer du til tusen, er sannsynligheten 99,99 %. Styring der et menneske skal være med i prosessen, kan ikke holde tritt med disse tallene. Tilsynet må gå fra reaktiv gjennomgang til garantier under kjøring. Det betyr nulltillitsbaserte arbeidsflyter, håndheving av regler som standard og etterprøvbar kjøring som ikke er avhengig av at et menneske oppdager feilen i ettertid.

Hvilke sikkerhetssvikt ser du oftest når bedrifter eksperimenterer med agentbasert KI uten et innebygd tillitslag?

Det vanligste mønsteret jeg ser, er at bedrifter lar agenter handle og koordinere uten noen kryptografiske garantier for oppførselen deres. De behandler sensitiv immateriell eiendom og håper det går bra.

Det som følger, er forutsigbart, og vi har dokumentert de konkrete mønstrene i AI Leak Surface-undersøkelsen. Når sikkerheten kompromitteres under kjøring, omgås tradisjonell perimeterbeskyttelse fordi agenten allerede er inne i nettverket. Autonome agentkjeder skaper kaskader av feil. Én utnyttet agent utløser en dominoeffekt på tvers av tilkoblede systemer. Proprietær logikk lekker gjennom dataspor ingen hadde tenkt på å overvåke. Agenter mister evnen til å skille virksomhetens hensikt fra ondsinnede inndata, fordi det ikke finnes noen etterprøvbar identitet eller binding til regler under kjøring.

Dette er ikke hypotetisk. Vi kartla 46 veier der data slipper utenfor de tilsiktede kontrollene, selv når ingenting ser ødelagt ut. KI-agenter genererer og deler data i maskintempo. Uten etterprøvbare sikkerhetstiltak under kjøring, bygget inn i arbeidsflyten, sprer feil seg raskere enn noe sikkerhetsteam kan oppdage dem eller reagere.

Hvordan balanserer ledende organisasjoner behovet for å ta i bruk avanserte KI-funksjoner med beskyttelsen av sine mest sensitive data?

Organisasjonene som lykkes, behandler personvern og styring som pådrivere, ikke bremser. Det er den viktigste innsikten.

Det jeg ser i praksis, er at ledende bedrifter kombinerer avanserte KI-funksjoner med plattformer for konfidensiell KI som gir etterprøvbare garantier, ikke bare sjekklister for regelverksetterlevelse. De åpner for å bruke sensitive data til KI-innovasjon, samtidig som proprietær informasjon forblir beskyttet, også når arbeidsflytene kjører autonomt.

Tidligere ble det fremstilt som et valg mellom funksjonalitet og sikkerhet. Organisasjonene som går raskest frem, har avvist hele denne avveiningen. De bygger etterprøvbar tillit inn i grunnlaget for KI-strategien og kan dermed ta sine mest verdifulle data i bruk. Samtidig sitter konkurrentene fortsatt fast i pilotfasen, med KI som kjører på rensede datasett uten å gi nevneverdige resultater.

Ut fra det du ser i dag, hvordan tror du bedriftenes modeller for KI-styring vil utvikle seg de neste årene når agentbaserte systemer går fra pilotfasen til full produksjon?

Styring vil gå fra papirarbeid til bevis. Det er den enkleste måten jeg kan si det på. Tidlige styringsmodeller var utviklet for programvare i menneskelig tempo: regler på papir, godkjenninger før utrulling og gjennomganger etter at noe gikk galt. Agentbaserte systemer bryter med alle disse forutsetningene. De arbeider kontinuerlig, handler autonomt og skaper kaskadeeffekter i maskintempo.

Det vi ser, er at styringen beveger seg mot etterprøvbarhet under kjøring som den nye sikkerhetsgrensen, støttet av kryptografiske garantier som dokumenterer oppførselen gjennom alle faser av en agents livssyklus – før, under og etter. Det samme mønsteret vi så med HTTPS, er i ferd med å bli standard for nettrafikk. Ingen diskuterer lenger om nettforbindelser bør krypteres. Om noen få år vil ingen diskutere om KI-kjøring bør verifiseres mens den pågår. Det vil være et grunnleggende krav.

Takk for et flott intervju. Lesere som ønsker å lære mer, kan besøke OPAQUE.