A Cohere lança a computação confidencial no Model Vault em versão beta pública

Em 22 de outubro de 2026, a Cohere anunciou a versão beta pública da computação confidencial no Cohere Model Vault, sua plataforma dedicada e totalmente gerenciada de inferência de modelos, que opera em GPUs NVIDIA H100 no Microsoft Azure para empresas que processam dados confidenciais.

O lançamento amplia o Model Vault para cargas de trabalho que envolvem prontuários clínicos, informações financeiras, documentos de acesso restrito, propriedade intelectual e código-fonte proprietário. A Cohere afirmou que o objetivo é permitir que as empresas aproveitem os recursos e a simplicidade operacional da IA gerenciada, mantendo seus dados confidenciais em texto simples fora do alcance da infraestrutura que executa o serviço. Entre as possíveis cargas de trabalho citadas pela empresa estão investigações de fraude em serviços financeiros, pesquisa em documentos de acesso restrito e diligência prévia para equipes jurídicas, informações confidenciais do setor público, patentes e materiais de pesquisa, documentos proprietários de engenharia e design de interfaces, além de pesquisa e análise de código-fonte proprietário.

Na divisão de responsabilidades prevista pela versão beta, o Microsoft Azure fornece a infraestrutura subjacente de computação confidencial, o NVIDIA Confidential Computing estende essa proteção às GPUs H100 e a Cohere oferece inferência gerenciada de modelos, um caminho de solicitação criptografado, atestação remota e verificação pelo cliente por meio do Model Vault. Segundo a empresa, os clientes podem configurar e gerenciar cofres criptografados pelo Model Vault, conectá-los usando as mesmas APIs da Cohere e começar em vault.cohere.com.

Execução confidencial e caminho de solicitação criptografado

A computação confidencial protege os dados em uso, ou seja, as informações enquanto um modelo as processa ativamente — um terceiro estado, além dos dados armazenados e em trânsito que a criptografia tradicionalmente protege. No Model Vault, a pilha de serviços do modelo, incluindo o sistema operacional, os drivers e o servidor de inferência, é executada dentro de uma máquina virtual confidencial. Nela, o isolamento baseado em hardware protege a memória do ambiente anfitrião, e as políticas limitam o ambiente a softwares aprovados, sem oferecer aos operadores qualquer meio de acesso interativo à carga de trabalho em execução, segundo uma análise técnica aprofundada publicada pela Cohere junto com o lançamento. O NVIDIA Confidential Computing protege a memória da GPU e criptografa o tráfego entre a CPU e a GPU, de modo que a fronteira de confidencialidade abrange o acelerador que executa a inferência, em vez de terminar na CPU que a coordena.

A solicitação também recebe proteção específica. O Model Vault usa o Oblivious HTTP, ou OHTTP, para criptografar o conteúdo confidencial de uma solicitação com uma chave pública vinculada ao ambiente confidencial atestado. A mensagem criptografada atravessa a infraestrutura intermediária em forma de texto cifrado; somente o gateway OHTTP dentro do ambiente possui a chave privada correspondente, e as respostas recebem a mesma proteção no caminho de volta. Segundo a Cohere, isso separa a operação da plataforma da capacidade de ler o que os clientes enviam por meio dela, pois os intermediários ainda podem encaminhar o tráfego sem ver as cargas úteis em texto simples. Os aplicativos continuam usando a API do Model Vault e os formatos de solicitação habituais; a proteção é implementada nas camadas do cliente e da infraestrutura, sem exigir a reformulação das cargas úteis.

Atestação remota como controle ativo

Antes do envio de uma solicitação protegida, o ambiente confidencial gera evidências assinadas criptograficamente que registram medições e propriedades relevantes para a segurança do hardware, do firmware, do ambiente de execução e dos softwares aplicativos; um software do lado do cliente verifica essas evidências de acordo com uma política aprovada. As evidências registram qual ambiente está efetivamente em execução; a política determina se esse ambiente deve ser considerado confiável para receber os dados. Se uma propriedade exigida não corresponder ao esperado — por exemplo, se uma medição de software tiver mudado ou se uma GPU não estiver no modo confidencial previsto —, o cliente reprova a verificação, se recusa a transmitir a carga útil e mantém a solicitação dentro do ambiente do próprio cliente. Essas evidências são atualizadas em ciclos frequentes, e o cliente verifica novamente as novas medições e o estado de segurança em relação à política aprovada antes de continuar enviando solicitações protegidas. A Cohere descreve esse processo como uma transformação da atestação: de um registro mantido para auditorias, ela passa a ser um controle que decide ativamente se os dados protegidos podem ser liberados.

No anúncio de lançamento da Cohere, o diretor de tecnologia Phil Blunsom afirmou: “Com a atestação de hardware, os clientes não apenas têm provas criptográficas de que as cargas de trabalho estão sendo executadas em um ambiente seguro de computação confidencial; também podem verificar que seus dados estão protegidos contra acessos não autorizados, inclusive da própria Cohere.” Vikas Bhatia, chefe de produto de computação confidencial do Azure na Microsoft, afirmou que o trabalho com a Cohere demonstra como a computação confidencial pode combinar a simplicidade da IA gerenciada com controles técnicos verificáveis de forma independente. John Fanelli, vice-presidente de software corporativo da NVIDIA, afirmou que o NVIDIA Confidential Computing em suas GPUs oferece proteções baseadas em hardware que ajudam plataformas como o Model Vault a levar a inferência confidencial de IA a cargas de trabalho empresariais.

Modelo de ameaças, limites declarados e planos de código aberto

Dentro do modelo de ameaças declarado, o sistema protege prompts, documentos, respostas e a execução do modelo durante o processamento, impedindo que o provedor de nuvem, o sistema operacional anfitrião, o hipervisor, os administradores da infraestrutura e os próprios operadores da Cohere leiam a memória das cargas de trabalho protegidas. A base computacional confiável ainda inclui o hardware e o firmware que fornecem os fundamentos da computação confidencial, o software medido em execução no ambiente, as medições de referência que definem uma configuração aprovada e a infraestrutura de atestação que avalia e assina as evidências. Segundo a Cohere, o projeto reduz o que precisa ser considerado confiável a um conjunto explícito de componentes que produzem evidências mensuráveis e verificáveis.

A Cohere também especifica o que fica fora desse limite. Ataques físicos e de canal lateral, como inferir informações a partir do tempo de execução ou de outros comportamentos compartilhados do hardware, continuam fora desse escopo. Além disso, um operador que não consegue ler uma carga de trabalho ainda pode interrompê-la, atrasá-la ou impedi-la, portanto o projeto, por si só, não oferece garantia de disponibilidade. Riscos no nível da aplicação, como injeção de prompts, uso inseguro de ferramentas, erros de autorização e outras vulnerabilidades de software, não são resolvidos ao executar o software em hardware de computação confidencial.

Os metadados observáveis são outra exclusão: embora o conteúdo das cargas úteis seja criptografado, o tamanho das mensagens, o momento das solicitações, o volume de tráfego e os detalhes de roteamento permanecem visíveis; na arquitetura atual, as credenciais da API e o identificador do modelo também ficam fora da carga útil protegida por OHTTP. A empresa afirma que a computação confidencial não substitui a segurança da aplicação, não é um mecanismo de residência de dados, não substitui controles de conformidade ou contratuais e não é criptografia homomórfica, pois o modelo ainda opera com texto simples dentro do ambiente protegido.

A implementação se baseia nos projetos de código aberto Kata Containers e Confidential Containers, e a Cohere afirmou que planeja disponibilizar como código aberto a pilha de inferência confidencial, permitindo que clientes e pesquisadores de segurança examinem o código, vejam quais políticas são aplicadas e reproduzam as medições de verificação de forma independente. A versão beta funciona atualmente em GPUs NVIDIA H100 no Microsoft Azure, e a Cohere afirmou que o suporte à infraestrutura NVIDIA Blackwell, incluindo GPUs B200, está em andamento, como parte do caminho até a disponibilidade geral.