Aaron Fulkerson, dyrektor generalny OPAQUE – seria wywiadów

Aaron Fulkerson, dyrektor generalny OPAQUE, to doświadczony przedsiębiorca z branży oprogramowania dla firm i pionier open source. Od ponad dwóch dekad buduje i skaluje platformy technologiczne skoncentrowane na zaufaniu, danych i transformacji cyfrowej. Zanim dołączył do OPAQUE w 2023 roku, założył MindTouch i pomógł mu stać się powszechnie wykorzystywaną platformą zarządzania wiedzą dla przedsiębiorstw, którą następnie przejęło NICE Systems. Później kierował uruchomieniem ServiceNow Impact, jednej z najszybciej rozwijających się jednostek biznesowych w historii ServiceNow. Przez całą karierę pracował na styku nowych technologii, oprogramowania dla firm i otwartych ekosystemów, a także doradzał wielu startupom technologicznym i organizacjom. Ostatnio stał się wyrazistym orędownikiem Confidential AI, czyli sztucznej inteligencji zapewniającej poufność danych. Twierdzi, że prywatność, ład zarządczy i weryfikowalne zaufanie będą podstawowymi wymogami, gdy systemy AI staną się częścią krytycznych procesów przedsiębiorstw.

OPAQUE to firma zajmująca się Confidential AI, wywodząca się z renomowanego laboratorium RISELab na UC Berkeley, tego samego środowiska badawczego, które przyczyniło się do powstania technologii takich jak Apache Spark i Databricks. Opracowała platformę umożliwiającą przedsiębiorstwom uruchamianie modeli AI, agentów i procesów na bardzo wrażliwych danych z kryptograficznie weryfikowalnymi gwarancjami prywatności i zgodności z przepisami. Zamiast zmuszać organizacje do wyboru między innowacjami AI a bezpieczeństwem danych, OPAQUE wykorzystuje obliczenia poufne, zaszyfrowane środowiska wykonawcze i wykonanie z atestacją sprzętową, aby chronić wrażliwe informacje przed przetwarzaniem przez AI, w jego trakcie i po nim. Technologia jest przeznaczona dla ściśle regulowanych branż, takich jak finanse, ubezpieczenia, ochrona zdrowia i zaawansowane technologie. Klientami i partnerami są m.in. ServiceNow (NOW ), Anthropic, Accenture oraz inne przedsiębiorstwa, które chcą przenosić projekty AI z pilotażu do produkcji bez ujawniania danych stanowiących ich własność lub podlegających regulacjom.

W swojej karierze zbudował Pan i skalował wiele platform dla przedsiębiorstw. Co skłoniło Pana do objęcia stanowiska dyrektora generalnego OPAQUE i poświęcenia kolejnego rozdziału zaufaniu, prywatności i zarządzaniu AI?

Spędziłem niemal dwie dekady na budowaniu platform dla przedsiębiorstw, najpierw w MindTouch, z którego nadal korzysta miliard użytkowników rocznie, a następnie w ServiceNow, gdzie stworzyłem ich najszybciej rozwijający się produkt. Oba doświadczenia nauczyły mnie tego samego: nawet najpotężniejsza technologia wygrywa tylko wtedy, gdy ludzie jej ufają.

Kiedy spotkałem współzałożycieli OPAQUE, Ralucę Adę Popa, Iona Stoicę i Rishabha Poddara, zobaczyłem rzadkie połączenie talentu i wizji. Raluca jest jedną z najwybitniejszych na świecie badaczek prywatności i bezpieczeństwa. Ion współzałożył Databricks. Rishabh zbudował kluczowe systemy kryptograficzne, które stały się fundamentem OPAQUE.

W RISELab na UC Berkeley stworzyli coś, w czym od razu dostrzegłem przełom o znaczeniu dla całego pokolenia: kryptograficzny dowód, że dane pozostają prywatne w każdym procesie AI. Nie obietnice. Nie polityki. Dowód.

Patrzyłem, dokąd zmierza AI: ku agentom działającym autonomicznie w systemach przedsiębiorstw z prędkością maszyn. I zobaczyłem tę samą lukę, przed którą Vint Cerf ostrzega od 30 lat: brak warstwy zaufania. Internet przetrwał bez niej, ponieważ ludzie stanowili barierę ochronną. Sieć oparta na agentach nie będzie miała tego luksusu. Właśnie to mnie przyciągnęło.

MCP (Model Context Protocol, standard umożliwiający agentom AI bezpieczny dostęp do narzędzi, aplikacji i danych) staje się wspólną podstawą. Jak Pana zdaniem zmieni to sposób wdrażania i skalowania agentowej AI w przedsiębiorstwach?

MCP jest ważnym krokiem w sposobie wdrażania i skalowania agentowej AI w przedsiębiorstwach. Można myśleć o nim jak o uniwersalnym łączniku dla procesów AI. Standaryzuje sposób podłączania agentów do narzędzi, aplikacji i danych, usuwa rzeczywiste przeszkody i przyspiesza eksperymentowanie.

Jednak sama standaryzacja dostępu nie zapewnia agentowej AI bezpieczeństwa ani skalowalności. Gdy połączeń przybywa, wraz z większą liczbą agentów, narzędzi i źródeł danych, każda nowa integracja powiększa powierzchnię możliwego wycieku danych. Każdy punkt połączenia, w którym nie egzekwuje się reguł podczas działania, stanowi potencjalną drogę ujawnienia danych. Kiedy agenci AI współpracują z wrażliwymi systemami i zastrzeżoną logiką, szyfrowanie przechowywanych danych i kontrola sieci nie wystarczają. Granica bezpieczeństwa przesunęła się do etapu wykonywania, a wraz ze skalowaniem ekosystemu zmiana ta staje się coraz pilniejsza.

Weryfikowalność w tych kluczowych punktach połączeń będzie miała krytyczne znaczenie dla przedsiębiorstw. Mogą one skalować agentową AI, gdy dostęp w stylu MCP łączy się z kryptograficznym dowodem, jaki kod wykonano, gdzie go wykonano i jaka polityka go obowiązywała – przed wykonaniem, w jego trakcie i po nim. Dostęp plus weryfikowalność. To połączenie umożliwia zastosowania produkcyjne.

Skoro MCP standaryzuje dostęp agentów, gdzie dostrzega Pan dziś największe luki w bezpieczeństwie, egzekwowaniu polityk i zaufaniu do systemów sterowanych przez agentów?

Zakończyliśmy badanie AI Leak Surface za 2026 rok i opublikowaliśmy podsumowanie wyników, „Tuzin sposobów, w jakie z Twojego środowiska AI wyciekają dane”, które porusza ten temat. Zidentyfikowaliśmy 46 dróg ujawnienia danych w 8 kategoriach obejmujących całą granicę zaufania AI: obliczenia, kontrolę, aplikacje i przekazywanie między nimi. I to bez uwzględniania złośliwych podmiotów. Są to sytuacje, w których nic nie jest uszkodzone, logi wyglądają prawidłowo, a system nadal ujawnia dane.

Największe luki nie dotyczą łączności; tę kwestię rozwiązuje MCP. Dotyczą tego, co dzieje się po podłączeniu agenta. Większość organizacji nie potrafi odpowiedzieć na trzy podstawowe pytania: Jak nasza AI faktycznie się zachowuje? Kto ją kontroluje? Jak udowodnić, że polityki były egzekwowane?

Nasze badanie pokazało, że granice są konfigurowane, ale nigdy nie są egzekwowane. Polityka istnieje w dokumencie, pliku konfiguracyjnym lub ustawieniu z etapu wdrożenia, lecz nie ogranicza działającego systemu. Asystent AI dla kadry kierowniczej umieszcza istotne informacje niepubliczne w zaproszeniu kalendarzowym. Asystent RAG udostępnia młodszemu analitykowi informacje finansowe przeznaczone dla zarządu. SDK dostawcy po cichu wyprowadza 10 milionów zapytań w ciągu 12 miesięcy. W każdym przypadku kontrola dostępu była wdrożona. Dane mimo to wyciekły.

Dopóki przedsiębiorstwa nie zlikwidują różnicy między polityką skonfigurowaną a faktycznie egzekwowaną, MCP standaryzuje drzwi wejściowe. Ale dom nadal pozostaje bez ochrony.

Jakie nowe zagrożenia dla prywatności i zgodności z przepisami pojawiają się, gdy agenci AI otrzymują dostęp do wrażliwych systemów i zastrzeżonych danych, a na które przedsiębiorstwa często nie są przygotowane?

Większość przedsiębiorstw myśli o prywatności w kategoriach danych przechowywanych lub przesyłanych. Ten model zawodzi w procesach z udziałem agentów, ponieważ największym zagrożeniem jest ujawnienie danych podczas ich używania.

Oto, co mam na myśli. Producent samochodów sportowych wykorzystuje AI na swojej linii montażowej. Surowe dane wydają się nieszkodliwe: odczyty czujników, sekwencje czasowe i kontrole jakości. Duży model językowy potrafi jednak dziś odtworzyć zastrzeżone procesy produkcyjne ze śladów danych powstających przy okazji działalności. To, co pięć lat temu było szumem, jest dziś gotowym planem dla konkurenta.

Nasze badanie AI Leak Surface dokumentuje ten wzorzec w dziesiątkach scenariuszy. Narzędzia telemetrii operacyjnej domyślnie przechwytują pełną zawartość danych AI. W jednym z europejskich banków 2,1 miliona promptów zawierających informacje pozwalające zidentyfikować osoby trafiło do instancji SaaS w USA, ponieważ nikt nie zmienił domyślnych ustawień monitorowania wydajności aplikacji (APM). Pamięć agentów przenosi kontekst między sesjami. Zapisy łańcuchów rozumowania ujawniają kompletne akta dochodzeń na platformach obserwowalności dostępnych dla zewnętrznych wykonawców. Tradycyjne ramy zgodności z przepisami nie powstały z myślą o wykrywaniu takich wycieków. Zakładały, że ludzie przenoszą dane z ludzką prędkością.

Dlaczego Confidential AI staje się niezbędnym uzupełnieniem MCP i jak rozwiązuje problemy, z którymi same standardy dostępu sobie nie radzą?

MCP określa, kto może uzyskać dostęp do czego i w jaki sposób, a Confidential AI odpowiada za to, co dzieje się po przyznaniu dostępu. Są to uzupełniające się warstwy.

Same standardy dostępu nie zapobiegną naruszeniu bezpieczeństwa podczas działania, stopniowemu odchodzeniu od ustalonych polityk ani nieuprawnionemu wykorzystaniu danych. Można to ująć tak: MCP zapewnia standardowy sposób łączenia agentów z systemami. Confidential AI daje kryptograficzne gwarancje, że po połączeniu agenci mogą robić wyłącznie to, do czego są uprawnieni – i że można to udowodnić.

Confidential AI zapewnia te gwarancje podczas działania w odniesieniu do danych, tożsamości, kodu i komunikacji. Dostarcza weryfikowalny dowód wykonania i sprawia, że ochrona prywatności oraz egzekwowanie polityk nie kończą się na granicy dostępu, lecz trwają, gdy AI aktywnie rozumuje, generuje i działa. Bez tego MCP jest solidnym fundamentem. Sam fundament nie zapewni jednak bezpieczeństwa budynku.

Jak w praktyce wygląda weryfikowalne zaufanie w przedsiębiorstwie, które wykorzystuje autonomicznych agentów AI w krytycznych procesach?

Weryfikowalne zaufanie oznacza, że mogę udowodnić, jaki kod wykonano, gdzie go wykonano, jakie polityki go obowiązywały, do jakich danych uzyskano dostęp i jak system zachowywał się z upływem czasu.

Weźmy firmę ubezpieczeniową, która wykorzystuje agentów AI do przetwarzania pism z żądaniami odszkodowania. Przed wykonaniem atestacja sprzętowa sprawdza tożsamość agenta i integralność środowiska. Podczas wykonania kryptograficzne powiązanie z politykami w chronionym sprzętowo zaufanym środowisku wykonawczym (Trusted Execution Environment, TEE) zapewnia ochronę danych i egzekwowanie polityk. Po wykonaniu odporny na manipulacje ślad audytowy zapisuje dokładnie, co się wydarzyło.

Ryzyko w procesach z udziałem agentów nie polega na tym, że agent wymknie się spod kontroli. Prawdziwym ryzykiem jest niemożność wykazania, czy polityka była egzekwowana lub czy wrażliwe dane były chronione, gdy agenci działali – przed wykonaniem, w jego trakcie i po nim. Na tym polega weryfikowalne zaufanie.

Dlaczego tradycyjny nadzór człowieka zawodzi, gdy systemy agentowe działają z prędkością maszyn, i jak organizacje powinny w tych warunkach przemyśleć zarządzanie?

Przez dziesięciolecia internet miał niewidoczną barierę ochronną: nas. Ludzie czytają treści, klikają świadomie i nie działają po cichu w stu systemach jednocześnie.

Agentowa AI z dnia na dzień podważa te założenia. Agenci działają bez przerwy, podejmują decyzje z prędkością maszyn i mogą być manipulowani przez środowiska zaprojektowane dla ludzi, ale podatne na wykorzystanie przez maszyny. Złośliwa strona internetowa nie musi oszukiwać AI tak jak człowieka; może po prostu wydać jej instrukcję.

Przy zaledwie 1% ryzyka na agenta sieć 100 agentów ma 63% prawdopodobieństwa naruszenia bezpieczeństwa. Przy tysiącu agentów jest to 99,99%. Zarządzanie wymagające udziału człowieka w procesie nie może nadążyć za takimi liczbami. Nadzór musi przejść od reaktywnych przeglądów do gwarancji podczas działania. Oznacza to procesy oparte na zasadzie zerowego zaufania, domyślne egzekwowanie polityk i weryfikowalne wykonanie, które nie zależy od wykrycia błędu przez człowieka po fakcie.

Jakie błędy bezpieczeństwa widzi Pan najczęściej, gdy przedsiębiorstwa eksperymentują z agentową AI bez wbudowanej warstwy zaufania?

Najczęściej widzę, że przedsiębiorstwa pozwalają agentom działać i koordynować się bez jakichkolwiek kryptograficznych gwarancji ich zachowania. Przetwarzają wrażliwą własność intelektualną, licząc na szczęście.

Dalszy przebieg jest przewidywalny, a konkretne wzorce udokumentowaliśmy w badaniu AI Leak Surface. Naruszenia bezpieczeństwa podczas działania omijają tradycyjną ochronę granic sieci, ponieważ agent już znajduje się w jej wnętrzu. Autonomiczne łańcuchy agentów powodują kaskadowe awarie. Jeden wykorzystany agent wywołuje efekt domina w połączonych systemach. Zastrzeżona logika wycieka przez ślady danych, których nikt nie pomyślał monitorować. Agenci tracą zdolność odróżniania zamiaru przedsiębiorstwa od złośliwych danych wejściowych, ponieważ podczas działania brakuje weryfikowalnej tożsamości lub powiązania z politykami.

To nie są hipotetyczne sytuacje. Zmapowaliśmy 46 dróg, którymi dane wymykają się spod zamierzonych kontroli, nawet jeśli nic nie wygląda na uszkodzone. Agenci AI generują i udostępniają dane z prędkością maszyn. Bez weryfikowalnych zabezpieczeń podczas działania, wbudowanych w proces, awarie rozprzestrzeniają się szybciej, niż jakikolwiek zespół bezpieczeństwa może je wykryć lub na nie zareagować.

Jak wiodące organizacje łączą wykorzystanie zaawansowanych możliwości AI z ochroną swoich najbardziej wrażliwych danych?

Organizacje, które robią to dobrze, traktują prywatność i zarządzanie jako czynniki przyspieszające rozwój, a nie hamulce. To najważniejszy wniosek.

W praktyce widzę, że wiodące przedsiębiorstwa łączą zaawansowane możliwości AI z platformami Confidential AI, które dają weryfikowalne gwarancje, a nie tylko listy kontrolne zgodności z przepisami. Umożliwiają wykorzystanie wrażliwych danych do innowacji AI, jednocześnie chroniąc zastrzeżone informacje, nawet gdy procesy działają autonomicznie.

Dawniej przedstawiano to jako wybór między możliwościami a bezpieczeństwem. Organizacje, które rozwijają się najszybciej, całkowicie odrzuciły taki kompromis. Wbudowują weryfikowalne zaufanie w fundament swojej strategii AI, dzięki czemu mogą wykorzystać najcenniejsze dane. Tymczasem konkurenci tkwią w fazie pilotażowej, uruchamiając AI na oczyszczonych zbiorach danych, które nie przynoszą istotnych rezultatów.

Jak na podstawie tego, co widzi Pan dziś, będą się rozwijały modele zarządzania AI w przedsiębiorstwach w najbliższych latach, gdy systemy agentowe przejdą z pilotażu do pełnego wykorzystania produkcyjnego?

Zarządzanie przejdzie od papierologii do dowodu. Prościej nie potrafię tego ująć. Wczesne modele zarządzania powstawały z myślą o oprogramowaniu działającym w ludzkim tempie: polityki na papierze, zgody przed wdrożeniem i przeglądy po wystąpieniu problemu. Systemy agentowe podważają każde z tych założeń. Działają nieprzerwanie, postępują autonomicznie i wywołują efekty kaskadowe z prędkością maszyn.

Widzimy, że zarządzanie zmierza ku weryfikowalności podczas działania jako nowej granicy bezpieczeństwa, wspieranej kryptograficznymi gwarancjami potwierdzającymi zachowanie na każdym etapie cyklu życia agenta – przed wykonaniem, w jego trakcie i po nim. Ten sam wzorzec, który widzieliśmy w przypadku HTTPS, staje się standardem ruchu internetowego. Nikt już nie dyskutuje, czy szyfrować połączenia internetowe. Za kilka lat nikt nie będzie dyskutował, czy weryfikować wykonywanie AI w trakcie działania. Będzie to podstawowy wymóg.

Dziękuję za świetny wywiad. Czytelnicy, którzy chcą dowiedzieć się więcej, mogą odwiedzić OPAQUE.