Jonathan Mortensen, Założyciel i Dyrektor Generalny Confident Security – Wywiad

Jonathan Mortensen, Założyciel i Dyrektor Generalny Confident Security, obecnie kieruje rozwojem systemów sztucznej inteligencji z gwarancjami prywatności dla branż o surowych wymogach bezpieczeństwa i zgodności. Pełni również funkcję Założyciela w South Park Commons, gdzie bada przyszłość obliczeń sztucznej inteligencji, pamięci, prywatności i własności. Przed założeniem Confident Security, był Inżynierem Oprogramowania w Databricks, integrując technologię bit.io z platformą danych, ze szczególnym uwzględnieniem zabezpieczeń wielodostępowych, IAM/ACL, izolacji VPC, szyfrowania i własności danych. Wcześniej założył i pełnił funkcję Dyrektora Technicznego w bit.io, tworząc usługę serwerless PostgreSQL na wielu chmurach i regionach, obsługującą setki tysięcy bezpiecznych baz danych, która później została przejęta przez Databricks.

Confident Security buduje infrastrukturę, która umożliwia przedsiębiorstwom uruchamianie workflow sztucznej inteligencji bez ujawniania wrażliwych informacji. Ich platforma jest zaprojektowana tak, aby polecenia, dane i dane wyjściowe modelu pozostały w pełni prywatne, nigdy nie były rejestrowane i nie były ponownie wykorzystywane, dając organizacjom bezpieczny sposób na przyjęcie sztucznej inteligencji przy spełnieniu surowych standardów regulacyjnych i zgodności.

Założyłeś Confident Security w 2024 roku, po budowie bit.io i pracy w Databricks. Co spowodowało, że zrozumiałeś, iż sztuczna inteligencja potrzebuje fundamentalnie innego podejścia do prywatności?

Moje doświadczenie w budowaniu infrastruktury danych nauczyło mnie, że jeśli ludzie umieszczają wrażliwe informacje w systemie, zaufanie nie jest wystarczające. Potrzebują dowodów. Zbudowaliśmy infrastrukturę, w której klienci posiadali własność swoich danych i daliśmy im sposoby, aby to potwierdzić.

Gdy spojrzałem, jak firmy wykorzystują duże modele językowe, okazało się, że takie dowody nie istnieją. Pracownicy wklejali kod źródłowy, dokumenty prawne i dokumenty medyczne do modeli uruchamianych przez strony trzecie, których nie mogli zweryfikować. Już widzieliśmy przypadki, w których prywatne rozmowy zostały przypadkowo zindeksowane w internecie i zmiany polityki, które nagle uczyniły rozmowy danymi szkoleniowymi domyślnie. Pokazało to, jak kruchy jest obecny model prywatności.

Jeśli sztuczna inteligencja ma obsługiwać najbardziej wrażliwe informacje świata, potrzebujemy gwarancji, które nie zależą od zaufania do wewnętrznych obietnic dostawcy. To właśnie skłoniło mnie do założenia Confident Security.

OpenPCC jest opisywany jako „Signal dla sztucznej inteligencji”. Dlaczego było ważne, aby ta warstwa prywatności była otwarta, poświadczalna i interoperacyjna od samego początku?

Szyfrowanie końca do końca nie zyskało popularności, dopóki nie stało się standardem, który każdy mógł przyjąć. Chcemy tego samego dla prywatności sztucznej inteligencji. Jeśli tylko kilka firm może zaoferować prawdziwe gwarancje, to prywatność nie będzie się skalować.

OpenPCC jest otwartym oprogramowaniem na licencji Apache 2.0, więc każdy może budować na jego podstawie lub go inspekcjonować. Nie ma wymogu zaufania. Attestacja sprzętowa zapewnia kryptograficzny dowód dotyczący tego, co jest uruchomione i gdzie. Upewniliśmy się, że działa wszędzie: w dowolnej chmurze, u dowolnego dostawcy modelu, w dowolnym stosie deweloperskim.

Istnieje ogromna wartość w podłodze prywatności, która jest spójna i powszechna. Jeśli używasz OpenPCC, wiesz, że twoje dane nie są widoczne dla dostawców modeli, regulatorów ani nawet dla nas. Standard działa tylko wtedy, gdy cały ekosystem może w nim uczestniczyć, więc zaprojektowaliśmy go tak, aby był jak najbardziej inkluzywny od samego początku.

Przed Confident Security, zbudowałeś duże systemy dla wielodostępności, szyfrowania i własności danych. Jak te doświadczenia ukształtowały architekturę OpenPCC?

Te systemy potwierdziły dwie prawdy: jeśli system może przechowywać dane, ostatecznie to zrobi, niezależnie od tego, czy jest to przez rejestrowanie, błędy konfiguracyjne czy żądania prawne. A zaufanie nie jest modelem prywatności. Użytkownicy potrzebują widoczności i kontroli.

OpenPCC działa w trybie bezstanowym, więc polecenia znikają po przetworzeniu. Attestacja pozwala użytkownikom zweryfikować, dokąd trafiają ich dane i jaki kod jest uruchamiany. A dzięki oddzieleniu sterowania od danych, OpenPCC uniemożliwia traktowanie prywatnych danych wejściowych jako instrukcji wykonywalnych.

Te ograniczenia to właśnie to, czego oczekują przedsiębiorstwa: gwarancje, że dane nie pojawią się w nieoczekiwanych miejscach.

Uzasadniałeś, że większość „prywatnych rozwiązań sztucznej inteligencji” opiera się na zaufaniu do nieprzezroczystych systemów. Dlaczego niezależna weryfikacja jest niezbędna dla prawdziwej prywatności?

Większość języka dotyczącego prywatności dzisiaj sprowadza się do „po prostu nam zaufaj”. To nie wystarczy, gdy stawka obejmuje bezpieczeństwo narodowe i dane regulowane w opiece zdrowotnej. Jeśli użytkownik nie może zweryfikować twierdzenia, to nie jest gwarancją – to marketing.

Weryfikowalna prywatność jest inna. Nie ufajesz intencjom operatora. Weryfikujesz sprzęt, obraz oprogramowania i gwarancje obsługi danych. Kryptografia egzekwuje granice. Rejestrowanie nie istnieje, aby ktoś mógł przypadkowo ujawnić lub wydać nakaz sądowy.

Gdy prywatność jest audytowalna przez użytkownika, tworzy się fundamentalnie bezpieczniejszy system. To odpowiedzialność oparta na matematyce.

Ogłoszenie Google (GOOGL ) o „Prywatnej Sztucznej Inteligencji” nastąpiło niedługo po OpenPCC. Publicznie zażądałeś, aby dostarczyli TPU do niezależnego testowania. Co skłoniło Cię do tego wezwania, i co oczekujesz znaleźć?

Aby twierdzić, że istnieją gwarancje prywatności, należy pozwolić społeczności na ich weryfikację. NVIDIA (NVDA ) już pozwala na zewnętrzną weryfikację na swoich procesorach H100, a my nawet udostępniliśmy otwartą wersję ich biblioteki poświadczania w języku Go, aby zachęcić do przyjęcia.

Jeśli Google chce składać podobne obietnice dotyczące TPU, powinniśmy móc je zmierzyć i zweryfikować, a nie tylko czytać o nich w poście na blogu. Oczekujemy tych samych kontroli, których oczekujemy od każdego systemu prywatności: ścisłe granice przechowywania danych, audytowalne poświadczanie i brak tajnych ścieżek, gdzie rejestrowanie lub telemetria mogą ujawnić dane.

Dla czytelników nieznajomych z mechaniką, co sprawia, że w pełni zaszyfrowane kanały OpenPCC różnią się od tradycyjnego szyfrowania po stronie klienta lub obliczeń poufnych?

Szyfrowanie po stronie klienta chroni dane w trakcie ich przesyłania, a obliczenia poufne chronią je podczas przetwarzania, ale nadal istnieją luki przed i po tym, gdzie operatorzy lub atakujący mogą uzyskać dostęp do wrażliwych informacji.

OpenPCC zamyka te luki. Tworzy zamkniętą ścieżkę od klienta do modelu, która chroni polecenie, odpowiedź, tożsamość użytkownika i nawet metadane lub sygnały czasowe, które mogą cicho ujawnić intencje. Operatorzy nie mogą odszyfrować niczego. Nic nie jest rejestrowane ani przechowywane, nawet w przypadku naruszenia zabezpieczeń.

Prywatność nie powinna zależeć od nadziei, że dostawca postępuje słusznie za kulisami. Musi być egzekwowana kryptograficznie.

Jak weryfikowalna prywatność zmienia równanie dla branż regulowanych, takich jak finanse, opieka zdrowotna i obrona?

Branże regulowane mają najwięcej do zyskania z sztucznej inteligencji, ale również najwięcej do stracenia, jeśli coś wycieknie. Dzisiaj 78% pracowników wkleja wewnętrzne dane do narzędzi sztucznej inteligencji, a jeden na pięć przypadków obejmuje regulowane informacje, takie jak PHI lub PCI. Eksponowanie już się dzieje.

Weryfikowalna prywatność usuwa największy blok. Wrażliwe polecenia nigdy nie istnieją w postaci jawnej w środowisku dostawcy modelu. Nic nie może być wykorzystane do szkolenia. Nawet prawnie uzasadnione żądania nie mogą uzyskać dostępu do tego, czego sam system nie może zobaczyć.

Zespoły ds. ryzyka i zgodności w końcu mają ścieżkę, na której „tak” staje się domyślnym wyborem zamiast „nie”.

Jakie były największe wyzwania inżynieryjne w projektowaniu warstwy prywatności niezależnej od chmury, która działa w dowolnym stosie przedsiębiorstwa?

Obliczenia poufne i zdalne poświadczanie są jeszcze w powijakach, moim zdaniem. Każdy dostawca chmury i sprzętu wykonuje coś nieco innego. Niektórzy dostawcy, jak AWS, nie mają nawet niezbędnego sprzętu do tego. Więc każda funkcja, którą dodajemy, jest jak 1000 cięć i chodzenie po linie. Ale cały cel polega na tym, aby stać się otwartym standardem, więc musimy to robić, aby działało dla każdego.

Jak wygląda świat z domyślnym szyfrowaniem weryfikowalnym, i jak może to zmienić równowagę sił między przedsiębiorstwami, dostawcami chmury i dostawcami modeli?

Przedsiębiorstwa zachowują kontrolę nad swoim najcenniejszym aktywem: danymi. Dostawcy modeli konkurują na podstawie wydajności i kosztów, a nie na podstawie tego, kto może zgromadzić najwięcej informacji własnościowych. Chmury umożliwiają prywatność zamiast być cichymi obserwatorami.

To zdrowsza równowaga sił. A cały ekosystem wygrywa, gdy bezpieczeństwo jest wbudowane w podstawę, a nie łatane na górze.

W przyszłości, w której sztuczna inteligencja staje się wszechobecna i silnie regulowana, jak widzisz weryfikowalną prywatność zmieniającą krajobraz konkurencyjny dla przedsiębiorstw, dostawców chmury i deweloperów modeli?

Regulatorzy już kwestionują, w jaki sposób dane użytkowników są przechowywane i wykorzystywane. Prywatność oparta na zaufaniu nie zadowoli ich na długo. Użytkownicy oczekują gwarancji prywatności tak samo, jak oczekują szyfrowania w aplikacjach do komunikacji dzisiaj.

Zwycięzcy będą tymi firmami, które nie zmuszają użytkowników do kompromisu. Jeśli możesz udowodnić prywatność, zdobywasz zaufanie organizacji, które posiadają najcenniejsze dane na świecie. Dane stają się użyteczne w miejscach, gdzie były zablokowane.

Dziękuję za wspaniały wywiad, czytelnicy, którzy chcą dowiedzieć się więcej, powinni odwiedzić Confident Security.