Аарон Фулкерсон, генеральный директор OPAQUE — серия интервью

Аарон Фулкерсон, генеральный директор OPAQUE, — опытный предприниматель в сфере корпоративного ПО и пионер открытого исходного кода. Более двух десятилетий он создаёт и масштабирует технологические платформы, ориентированные на доверие, данные и цифровую трансформацию. До прихода в OPAQUE в 2023 году он основал MindTouch и помог превратить её в широко используемую корпоративную платформу управления знаниями, которую впоследствии приобрела NICE Systems. Затем он возглавил запуск ServiceNow Impact — одного из самых быстрорастущих бизнес-подразделений в истории ServiceNow. На протяжении карьеры Фулкерсон работал на стыке новых технологий, корпоративного ПО и открытых экосистем, а также консультировал несколько технологических стартапов и организаций. В последнее время он стал заметным сторонником Confidential AI — ИИ, обеспечивающего конфиденциальность данных. Он считает, что защита частной информации, управление и проверяемое доверие станут основополагающими требованиями по мере внедрения ИИ в критически важные корпоративные процессы.

OPAQUE — компания в сфере Confidential AI, выросшая из известной лаборатории RISELab Калифорнийского университета в Беркли. Эта же исследовательская экосистема помогла создать такие технологии, как Apache Spark и Databricks. Компания разработала платформу, на которой предприятия могут запускать модели ИИ, агентов и рабочие процессы с особо чувствительными данными, сохраняя криптографически проверяемые гарантии конфиденциальности и соблюдения нормативных требований. Вместо выбора между инновациями в ИИ и безопасностью данных OPAQUE предлагает конфиденциальные вычисления, зашифрованные среды исполнения и исполнение с аппаратной аттестацией, чтобы защищать информацию до, во время и после обработки ИИ. Технология рассчитана на строго регулируемые отрасли, включая финансы, страхование, здравоохранение и высокие технологии. Среди клиентов и партнёров — ServiceNow (NOW ), Anthropic, Accenture и другие предприятия, которые хотят перевести проекты ИИ из пилотной стадии в промышленную эксплуатацию, не раскрывая собственные данные или данные, подпадающие под регулирование.

За свою карьеру вы создали и масштабировали несколько корпоративных платформ. Что побудило вас стать генеральным директором OPAQUE и посвятить следующий этап доверию, конфиденциальности и управлению ИИ?

Я провёл почти два десятилетия, создавая корпоративные платформы: сначала в MindTouch, которой до сих пор ежегодно пользуется миллиард человек, затем в ServiceNow, где я создал их самый быстрорастущий продукт. Оба опыта дали один урок: даже самая мощная технология побеждает только тогда, когда люди ей доверяют.

Когда я встретил сооснователей OPAQUE Ралуку Аду Попу, Иона Стоику и Ришабха Поддара, я увидел редкое сочетание таланта и видения. Ралука — одна из ведущих мировых исследовательниц в области конфиденциальности и безопасности. Ион стал сооснователем Databricks. Ришабх создал ключевые криптографические системы, ставшие фундаментом OPAQUE.

В RISELab Калифорнийского университета в Беркли они создали нечто, в чём я сразу увидел прорыв, значимый для целого поколения: криптографическое доказательство того, что данные остаются конфиденциальными на протяжении каждого рабочего процесса ИИ. Не обещания. Не политики. Доказательство.

Я смотрел, куда движется ИИ: агенты автономно действуют в корпоративных системах с машинной скоростью. И видел тот же пробел, о котором Винт Серф предупреждает уже 30 лет: отсутствие слоя доверия. Интернет выжил без него, потому что роль защитного барьера выполняли люди. У сети, управляемой агентами, такой роскоши не будет. Именно это меня и привлекло.

MCP — Model Context Protocol, стандарт безопасного доступа ИИ-агентов к инструментам, приложениям и данным — становится общей основой. Как, по-вашему, он изменит развёртывание и масштабирование агентного ИИ в компаниях?

MCP — важный шаг в том, как предприятия развёртывают и масштабируют агентный ИИ. Представьте универсальный соединитель для рабочих процессов ИИ. Он стандартизирует подключение агентов к инструментам, приложениям и данным, устраняет реальные препятствия и ускоряет эксперименты.

Но сама по себе стандартизация доступа не делает агентный ИИ безопасным или масштабируемым. По мере увеличения числа подключений, агентов, инструментов и источников данных каждая новая интеграция расширяет поверхность возможной утечки. Любая точка подключения, в которой нет принудительного применения правил во время исполнения, — потенциальный путь раскрытия данных. Когда ИИ-агенты взаимодействуют с чувствительными системами и проприетарной логикой, шифрования хранимых данных и сетевых ограничений недостаточно. Граница безопасности сместилась на этап исполнения, и по мере масштабирования экосистемы этот сдвиг становится всё более насущным.

Возможность проверки в этих ключевых точках подключения будет критически важна для бизнеса. Предприятия могут масштабировать агентный ИИ, если доступ по модели MCP сочетается с криптографическим доказательством того, какой код исполнялся, где и в соответствии с какой политикой, — до, во время и после исполнения. Доступ плюс проверяемость. Именно это сочетание открывает путь в промышленную эксплуатацию.

Теперь, когда MCP стандартизирует доступ агентов, где вы видите главные пробелы в безопасности, принудительном применении политик и доверии к системам, управляемым агентами?

Мы завершили исследование AI Leak Surface за 2026 год и опубликовали краткий обзор результатов под названием «Двенадцать способов утечки данных из вашего стека ИИ», в котором затронута эта тема. Мы выявили 46 путей раскрытия данных в 8 категориях, охватывающих всю границу доверия ИИ: вычисления, управление, приложения и передачу между ними. И это без учёта злоумышленников. Речь о сценариях, где ничего не сломано, журналы выглядят нормально, а система всё равно теряет данные.

Главные пробелы не в связности; эту проблему MCP решает. Они в том, что происходит после подключения агента. Большинство организаций не могут ответить на три базовых вопроса: Как на самом деле ведёт себя наш ИИ? Кто его контролирует? И как доказать, что политики принудительно применялись?

Наше исследование показало, что границы настраиваются, но никогда не обеспечиваются на практике. Политика существует в документе, конфигурационном файле или настройке при развёртывании, но не ограничивает работающую систему. ИИ-помощник руководителя помещает существенную непубличную информацию в приглашение календаря. Помощник на основе RAG передаёт младшему аналитику финансовые сведения, предназначенные для совета директоров. SDK поставщика за 12 месяцев незаметно выводит наружу 10 миллионов запросов. Во всех случаях контроль доступа был настроен. Данные всё равно утекли.

Пока предприятия не устранят разрыв между настроенной политикой и политикой, которая реально применяется, MCP стандартизирует входную дверь. Но дом по-прежнему остаётся без охраны.

Какие новые риски для конфиденциальности и соблюдения требований возникают, когда ИИ-агенты получают доступ к чувствительным системам и собственным данным компании, и к чему предприятия часто не готовы?

Большинство предприятий думают о конфиденциальности с точки зрения данных при хранении или передаче. В агентных рабочих процессах эта модель не работает, потому что наибольший риск — раскрытие данных во время использования.

Вот что я имею в виду. Производитель высокопроизводительных автомобилей использует ИИ на сборочной линии. Исходные данные выглядят безобидно: показания датчиков, временные последовательности, проверки качества. Но большая языковая модель уже способна восстановить проприетарные производственные процессы из следов данных, возникающих попутно в ходе работы. То, что пять лет назад было шумом, сегодня стало готовым чертежом для конкурента.

Исследование AI Leak Surface документирует эту закономерность в десятках сценариев. Средства операционной телеметрии по умолчанию захватывают полное содержимое данных ИИ. В одном европейском банке 2,1 миллиона промптов с идентифицирующими персональными сведениями уходили в экземпляр SaaS в США, потому что никто не изменил настройки мониторинга производительности приложений (APM) по умолчанию. Память агентов переносит контекст между сеансами, вызывая утечки. Трассировки цепочек рассуждений раскрывают полные материалы расследований платформам наблюдаемости, доступным подрядчикам. Традиционные системы обеспечения соответствия требованиям не создавались для выявления таких утечек. Они предполагали, что данные перемещают люди с человеческой скоростью.

Почему Confidential AI становится необходимым дополнением к MCP и как решает проблемы, с которыми не справляются одни лишь стандарты доступа?

MCP определяет, кто к чему и как может получить доступ, а Confidential AI решает, что происходит после его предоставления. Это взаимодополняющие слои.

Стандарты доступа сами по себе не могут предотвратить компрометацию во время исполнения, постепенное отклонение политик от заданного состояния или несанкционированное использование данных. Смотрите на это так: MCP даёт стандартизированный способ подключать агентов к системам. Confidential AI даёт криптографические гарантии, что после подключения они могут делать только разрешённое, и вы можете это доказать.

Confidential AI обеспечивает эти гарантии во время исполнения для данных, идентичности, кода и коммуникаций. Он предоставляет проверяемое доказательство исполнения и гарантирует, что конфиденциальность и принудительное применение политик не заканчиваются на границе доступа, а продолжаются, пока ИИ активно рассуждает, генерирует и действует. Без этого MCP — прочный фундамент. Но один фундамент не делает здание безопасным.

Как на практике выглядит проверяемое доверие для предприятия, использующего автономных ИИ-агентов в критически важных рабочих процессах?

Проверяемое доверие означает, что я могу доказать, какой код исполнялся, где, в соответствии с какими политиками, к каким данным обращался и как система вела себя с течением времени.

Возьмём страховую компанию, которая использует ИИ-агентов для обработки писем с требованиями о возмещении ущерба. До исполнения аппаратная аттестация проверяет идентичность агента и целостность среды. Во время исполнения криптографическая привязка к политикам внутри аппаратно защищённой доверенной среды исполнения (Trusted Execution Environment, TEE) обеспечивает защиту данных и принудительное применение политик. После исполнения защищённый от подделки аудиторский след точно фиксирует произошедшее.

Риск в агентных рабочих процессах не в том, что агент выйдет из-под контроля. Настоящий риск — невозможность показать, применялась ли политика и были ли защищены чувствительные данные, пока агенты работали, — до, во время и после. Вот что означает проверяемое доверие.

Почему традиционный человеческий надзор перестаёт справляться, когда агентные системы работают с машинной скоростью, и как организациям следует переосмыслить управление в этой среде?

Десятилетиями у интернета был невидимый защитный барьер: мы. Люди читают содержимое, осознанно нажимают на ссылки и не действуют незаметно в сотне систем одновременно.

Агентный ИИ за одну ночь отменяет эти допущения. Агенты работают непрерывно, принимают решения с машинной скоростью, и ими можно манипулировать через среды, созданные для людей, но уязвимые для машинного воздействия. Вредоносной веб-странице не нужно обманывать ИИ так, как она обманывает человека: достаточно просто дать ему указания.

При риске всего 1% на агента сеть из 100 агентов сталкивается с вероятностью нарушения безопасности 63%. Увеличьте число до тысячи — получите 99,99%. Управление с обязательным участием человека в процессе не успевает за такими цифрами. Надзор должен перейти от реактивной проверки к гарантиям во время исполнения. Это означает рабочие процессы с нулевым доверием, принудительное применение политик по умолчанию и проверяемое исполнение, не зависящее от человека, который обнаружит сбой постфактум.

Какие нарушения безопасности вы чаще всего наблюдаете, когда предприятия экспериментируют с агентным ИИ без встроенного слоя доверия?

Чаще всего я вижу, что предприятия разрешают агентам действовать и координироваться без каких-либо криптографических гарантий их поведения. Они обрабатывают чувствительную интеллектуальную собственность, полагаясь на надежду.

Последствия предсказуемы, и мы описали конкретные закономерности в исследовании AI Leak Surface. Компрометация во время исполнения обходит традиционную защиту периметра, потому что агент уже внутри сети. Цепочки автономных агентов создают каскадные сбои. Один агент, которым воспользовался атакующий, запускает эффект домино в связанных системах. Проприетарная логика утекает через следы данных, которые никто не подумал отслеживать. Агенты теряют способность различать намерение предприятия и вредоносные входные данные, потому что во время исполнения нет проверяемой идентичности или привязки к политикам.

Это не гипотетические сценарии. Мы нанесли на карту 46 путей, по которым данные выходят за пределы предусмотренных механизмов контроля, даже если ничего не кажется сломанным. ИИ-агенты генерируют данные и обмениваются ими с машинной скоростью. Без проверяемых мер защиты во время исполнения, встроенных в рабочий процесс, сбои распространяются быстрее, чем любая команда безопасности способна их обнаружить или отреагировать.

Как ведущие организации сочетают использование передовых возможностей ИИ с защитой своих самых чувствительных данных?

Те, кто справляется с этим правильно, воспринимают конфиденциальность и управление как ускорители, а не тормоза. Это ключевой вывод.

На практике я вижу, что ведущие предприятия сочетают передовые возможности ИИ с платформами Confidential AI, дающими проверяемые гарантии, а не просто контрольные списки соответствия требованиям. Они открывают чувствительные данные для инноваций в ИИ и одновременно защищают проприетарную информацию, даже когда рабочие процессы выполняются автономно.

Раньше вопрос ставили как выбор между возможностями и безопасностью. Организации, которые движутся быстрее всех, полностью отвергли этот компромисс. Они закладывают проверяемое доверие в основу стратегии ИИ, чтобы задействовать самые ценные данные. В то же время конкуренты всё ещё застряли на пилотной стадии, запуская ИИ на очищенных наборах данных, которые не дают существенного результата.

Исходя из того, что вы видите сегодня, как будут развиваться корпоративные модели управления ИИ в ближайшие годы, когда агентные системы перейдут от пилотных проектов к полноценной промышленной эксплуатации?

Управление перейдёт от бумажной работы к доказательствам. Проще я сказать не могу. Ранние модели создавались для ПО, работающего в человеческом темпе: политики на бумаге, согласования до развёртывания, проверки после того, как что-то пошло не так. Агентные системы разрушают каждое из этих допущений. Они работают непрерывно, действуют автономно и создают каскадные эффекты с машинной скоростью.

Мы видим сдвиг к проверяемости во время исполнения как новой границе безопасности, подкреплённой криптографическими гарантиями поведения на каждом этапе жизненного цикла агента — до, во время и после. Та же закономерность, которую мы видели с HTTPS, становится стандартом для веб-трафика. Никто уже не спорит, нужно ли шифровать веб-соединения. Через несколько лет никто не будет спорить, нужно ли проверять исполнение ИИ в процессе его работы. Это станет базовым требованием.

Спасибо за отличное интервью. Читатели, желающие узнать больше, могут посетить OPAQUE.