Um Quadro para Entender o Paisagem de Computação Confidencial

Computação Confidencial Está Tendo um Momento

O espaço de computação confidencial está experimentando uma onda de inovação em múltiplos fronts simultaneamente. Ambientes de Execução Confiáveis (TEEs) estão amadurecendo e se tornando mais fáceis de implantar. (Criptografia Homomórfica Total) FHE está fechando a lacuna de desempenho que a manteve teórica por anos. E o ecossistema Web3 continua a impulsionar a tecnologia de prova de conhecimento zero a um ritmo notável, com zkVMs de propósito geral provando agora cálculos arbitrários várias ordens de magnitude mais rápido do que há apenas dois anos.

Ao mesmo tempo, o surgimento de AI agente está criando uma nova urgência em torno de confiança, privacidade e verificabilidade. À medida que os sistemas de AI se movem além da geração de conteúdo e começam a tomar ações em nome dos usuários, as organizações estão cada vez mais questionando se os controles de segurança e conformidade tradicionais são suficientes para software autônomo operando em escala empresarial.

Na DataTribe, temos passado um tempo significativo neste espaço, conversando com startups, avaliando a tecnologia e tentando entender onde as oportunidades mais duradouras surgirão. Aqui está como estamos pensando sobre isso.

Um Quadro para Computação Confidencial

Quando olhamos para o paisagem de computação confidencial, encontramos útil dividi-lo em três pilares distintos. Cada um representa uma garantia independente. Importante, eles não se sobrepõem: uma solução que entrega um pilar não entrega automaticamente os outros.

• Computação Protegida: Entrada, processamento e saída permanecem protegidos de ponta a ponta. Mesmo o operador que executa o cálculo não pode ver nada.

• Integridade de Computação: Verificação criptográfica de que o cálculo correto foi executado, mesmo em hardware potencialmente adversário.

• Colaboração Privada: Múltiplas partes computam juntas sobre seus dados combinados sem que nenhuma parte revele suas entradas para as outras.

Cada pilar mapeia diferentes necessidades de compradores, pilhas de tecnologia e dinâmicas competitivas. Hoje, nos concentramos nos dois primeiros: Computação Protegida e Integridade de Computação.

O Paradoxo de Privacidade de AI e Computação Protegida

AI tem sido um grande catalisador para o interesse em Computação Protegida. Empresas estão cada vez mais ansiosas sobre os dados que compartilham com provedores de LLM e a demanda por inferência confidencial está crescendo.

Mas há um paradoxo digno de nota. A mesma empresa que se angustia ao enviar transcrições de clientes para um provedor de AI felizmente roteia dados de compensação através do ADP, canaliza seu pipeline para o Salesforce (CRM ) e entrega registros de pacientes para seu fornecedor de EHR. A proteção em cada caso é a mesma: um contrato com promessas de proteção de dados e relatórios de conformidade. Nenhuma garantia criptográfica. Então, por que os provedores de AI são tratados de forma diferente?

Há razões reais. O medo de que os dados sejam usados para treinamento, absorvidos em pesos de modelo e possam surgir na saída de outro cliente não tem um análogo em SaaS tradicional. A troca de valor parece assimétrica, com empresas percebendo que seus dados podem melhorar o produto do provedor para concorrentes. E os reguladores estão prestando atenção específica ao tratamento de dados de AI de maneiras que não aplicaram à pilha de SaaS existente. Os provedores de AI começaram a entrar em contratos com proteções semelhantes a acordos de SaaS tradicionais, mas a velocidade de adoção e o medo de “AI sombra”, onde os funcionários usam serviços de AI que não estão sob contrato com a empresa, adicionam urgência que a aquisição de SaaS convencional não enfrentou recentemente.

Se essas preocupações são completamente racionais ou parcialmente impulsionadas pela novidade de AI, elas estão criando uma urgência real de compra. A pergunta mais interessante é se essa urgência permanece confinada a AI ou se espalha. Se as empresas começarem a exigir proteção de dados criptográfica de seus provedores de LLM e então perceberem a inconsistência lógica de não exigir isso de todos os outros, o mercado total endereçável para Computação Protegida expande-se dramaticamente além da inferência de AI.

FHE vs. TEEs para Computação Protegida

Duas abordagens tecnológicas primárias competem por Computação Protegida, e elas representam modelos de confiança fundamentalmente diferentes.

TEEs, como AMD SEV-SNP, Intel TDX e GPUs confidenciais da NVIDIA (NVDA ), são a escolha pragmática de hoje. Eles entregam Computação Protegida com sobrecarga de desempenho mínima e já estão disponíveis como ofertas nativas dos principais provedores de nuvem. A suposição de confiança está no fornecedor de silício e, em graus variados, no provedor de nuvem que opera o hardware.

FHE adota uma abordagem puramente matemática. Os dados permanecem criptografados durante todo o cálculo, e a garantia de segurança não depende de confiar em nenhum hardware ou operador. A compensação histórica foi o desempenho: as operações FHE foram muitas ordens de magnitude mais lentas do que o cálculo de texto simples, limitando-a a casos de uso estreitos.

Essa lacuna está fechando mais rápido do que muitas pessoas percebem. A aceleração de hardware é um grande impulsionador. Os cartões de aceleração FHE personalizados da Niobium estão entregando várias ordens de magnitude de melhoria sobre o FHE apenas de software. A Cornami, cujo cientista-chefe é Craig Gentry (amplamente creditado como o inventor do FHE), reivindicou “velocidades próximas ao texto simples” para inferência de LLM usando FHE, embora benchmarks independentes não tenham sido publicados. Outra empresa demonstrou inferência de LLM baseada em FHE em um modelo Llama 3 70b a velocidades próximas ao desempenho não criptografado. Essas reivindicações merecem escrutínio, mas a trajetória é clara: a lacuna de desempenho que manteve o FHE teórico está se fechando rapidamente.

Se o FHE se tornar rápido o suficiente para cargas de trabalho de produção, as implicações são profundas. Você não precisa mais confiar no fornecedor de silício, no provedor de nuvem ou em qualquer pessoa com acesso físico ao hardware. Sua garantia de segurança se torna matemática, não operacional.

Para investidores, isso cria uma questão estratégica importante: você está apostando na confiança do hardware se tornando mais confiável (o caminho TEE), ou na melhoria do desempenho criptográfico para tornar soluções apenas matemáticas práticas (o caminho FHE)? A maioria da receita de curto prazo está no lado TEE. O argumento de defensibilidade de longo prazo pode favorecer a abordagem matemática, pelo menos para alguns domínios de computação.

Integridade de Computação: Da Ameaça Interna a Ambientes Adversários

Integridade de Computação aborda um problema diferente: como você sabe que o cálculo correto realmente foi executado?

Em ambientes controlados, como centros de dados empresariais e nuvens de hiperscalers, os TEEs lidam com isso de forma razoável. Os mecanismos de atestado permitem que você verifique que o código esperado foi carregado em um TEE genuíno antes de enviar dados. Isso é valioso para proteger contra ameaças internas, infraestrutura comprometida ou problemas de implantação. Para a maioria dos casos de uso empresariais, o atestado baseado em TEE é suficiente.

Mas “suficiente” depende do seu modelo de ameaça. Em ambientes verdadeiramente adversários, onde você não tem controle sobre o hardware e o operador pode ser ativamente hostil, as garantias dos TEEs se deterioram. Pesquisas recentes demonstraram ataques práticos contra o atestado de TEE usando interposers de hardware de baixo custo, e os principais fornecedores de chips reconheceram que ataques físicos estão fora de seu modelo de ameaça. Em um data center bem administrado com segurança física, esse risco residual é gerenciável. Em um nó desconhecido em uma rede de computação descentralizada, não é.

É exatamente por isso que o mundo Web3 tem sido o principal impulsionador da inovação de prova de conhecimento zero. As provas ZK fornecem certeza matemática sobre a integridade de computação, independentemente do ambiente de hardware. Se a prova é verificada, o cálculo foi correto, seja o cálculo comprovado em uma instalação segura ou na garagem de alguém.

O ritmo de melhoria aqui tem sido notável. Os zkVMs de propósito geral agora permitem que os desenvolvedores escrevam código Rust normal e gerem provas automaticamente, sem precisar escrever circuitos criptográficos à mão. O Hypercube SP1 da Succinct prova blocos Ethereum em menos de 12 segundos em 16 GPUs. O Airbender da ZKsync relata mais de 21 milhões de ciclos por segundo em uma única H100.

Para cargas de trabalho de AI específicas, o zkML está fazendo progressos, mas ainda é caro. Provar a inferência de LLM ainda é milhares de vezes mais lento do que a inferência em si. Modelos menores, como classificadores e modelos de incorporação, estão se aproximando da viabilidade prática de ZK agora, e a prova de LLM de fronteira provavelmente está dois a três anos à frente. Um terreno interessante intermediário é a “verificação otimista”, onde as provas são geradas apenas quando os resultados são desafiados, e não para cada cálculo, reduzindo dramaticamente o custo amortizado.

Para Onde Isso Está Indo

O espaço de computação confidencial está em um ponto de inflexão. A inovação está acontecendo simultaneamente em TEEs, FHE e ZK, cada um impulsionado por comunidades diferentes com prioridades diferentes, mas convergindo para um conjunto compartilhado de problemas.

As dinâmicas em torno do que os compradores consideram mais urgente determinarão quais abordagens ganham tração primeiro. Empresas focadas na conformidade regulatória e proteção de dados de nuvem provavelmente impulsionarão soluções baseadas em TEEs. A onda de AI pode acelerar a demanda por FHE se o desempenho continuar a melhorar. Aplicações de computação descentralizada e Web3 continuarão impulsionando a tecnologia ZK em direção à aplicabilidade mais ampla.

Também esperamos que arquiteturas híbridas surjam como um terreno prático intermediário. TEEs para privacidade combinados com provas ZK para integridade, por exemplo, dão a você confidencialidade forte com certeza matemática sobre a correção. Essa combinação funciona bem para cenários em que o ambiente de hardware é parcialmente confiável, mas não totalmente controlado.

Esse quadro está se tornando especialmente relevante em torno do Summit de Computação Confidencial da Linux Foundation em São Francisco na semana passada, onde um tema central foi se a computação confidencial pode servir como a camada de segurança que torna a AI agente implantável em escala empresarial. À medida que as organizações começam a dar a agentes de AI acesso a sistemas, dados e fluxos de trabalho sensíveis, as questões de computação protegida, integridade de computação e confiança verificável passam de discussões teóricas de arquitetura para requisitos operacionais.

Para startups, as oportunidades são substanciais em toda a pilha: tornar a computação confidencial baseada em TEE mais fácil para as empresas de SaaS adotarem, construir a ferramentação que traz o FHE da pesquisa para a produção, criar a infraestrutura para integridade de computação baseada em ZK em contextos empresariais e desenvolver as camadas de atestado e confiança que ficam entre os clientes e os provedores de nuvem. Continuamos a estudar esse espaço e estamos animados com os fundadores que estamos conhecendo. Diferentes cargas de trabalho, modelos de ameaça e regimes regulatórios exigirão combinações diferentes dos três pilares. As empresas que vencerão serão aquelas que escolherem um pilar, resolverão de forma decisiva e tornarão fácil para as empresas adotarem.