Aaron Fulkerson, vd för OPAQUE – intervjuserien

Aaron Fulkerson, VD för OPAQUE, är en erfaren entreprenör inom företagsprogramvara och en pionjär inom öppen källkod. I mer än två decennier har han byggt och utvecklat teknikplattformar med fokus på tillit, data och digital omställning. Innan han kom till OPAQUE 2023 grundade han MindTouch och bidrog till att göra det till en brett använd kunskapsplattform för företag, innan NICE Systems förvärvade bolaget. Därefter ledde han lanseringen av ServiceNow Impact, som blev en av de snabbast växande affärsenheterna i ServiceNows historia. Under hela sin karriär har Fulkerson arbetat i mötet mellan ny teknik, företagsprogramvara och öppna ekosystem, och även gett råd till flera teknikföretag och organisationer. På senare tid har han blivit en framträdande förespråkare för konfidentiell AI och framhållit att integritet, styrning och verifierbar tillit blir grundkrav när AI-system byggs in i företagens verksamhetskritiska arbetsflöden.

OPAQUE är ett företag inom konfidentiell AI med rötter i det välkända RISELab vid UC Berkeley, samma forskningsmiljö som bidrog till Apache Spark och Databricks. Företaget har utvecklat en plattform där organisationer kan köra AI-modeller, agenter och arbetsflöden på mycket känsliga data med kryptografiskt verifierbara garantier för integritet och regelefterlevnad. OPAQUE tvingar inte fram ett val mellan AI-innovation och datasäkerhet, utan använder konfidentiell databehandling, krypterade körmiljöer och maskinvarubestyrkt körning för att skydda känslig information före, under och efter AI-behandlingen. Tekniken är avsedd för hårt reglerade branscher som finans, försäkring, vård och högteknologi. Bland kunderna och partnerna finns ServiceNow (NOW ), Anthropic, Accenture och andra företag som vill föra AI-projekt från pilotstadiet till produktion utan att exponera företagshemligheter eller reglerade data.

Du har byggt och utvecklat flera företagsplattformar under din karriär. Vad fick dig att bli vd för OPAQUE och ägna nästa kapitel åt tillit, integritet och styrning av AI?

Jag har tillbringat nästan två decennier med att bygga företagsplattformar, först på MindTouch, som fortfarande används av en miljard användare varje år, och sedan på ServiceNow, där jag skapade deras snabbast växande produkt. Båda lärde mig samma läxa: den mest kraftfulla tekniken vinner bara när människor litar på den.

När jag träffade OPAQUE:s medgrundare Raluca Ada Popa, Ion Stoica och Rishabh Poddar såg jag en sällsynt kombination av talang och vision. Raluca är en av världens främsta forskare inom integritet och säkerhet. Ion var med och grundade Databricks. Rishabh byggde de centrala kryptografiska system som blev OPAQUE:s grund.

Vid RISELab på UC Berkeley hade de skapat något som jag genast såg som ett generationsdefinierande framsteg: kryptografiska bevis för att data förblir privata genom varje AI-arbetsflöde. Inte löften. Inte policyer. Bevis.

Jag såg vart AI var på väg: agenter som agerar självständigt över företagssystem med maskinernas hastighet. Samtidigt såg jag den lucka Vint Cerf har varnat för i 30 år: det saknas ett tillitslager. Internet klarade sig utan ett sådant eftersom människor fungerade som skyddsräcke. Den agentdrivna webben får inte samma förmån. Det var detta som lockade mig.

MCP, Model Context Protocol, är en standard som ger AI-agenter säker åtkomst till verktyg, applikationer och data och håller på att bli en gemensam grund. Hur förändrar det företagens införande och utbyggnad av agentbaserad AI?

MCP är ett viktigt steg för företagens införande och utbyggnad av agentbaserad AI. Se det som en universell anslutning för AI-arbetsflöden. Det standardiserar hur agenter ansluter till verktyg, applikationer och data, minskar praktiska hinder och gör det lättare att experimentera.

Men standardiserad åtkomst gör inte i sig agentbaserad AI säker eller skalbar. När antalet agenter, verktyg och datakällor växer ökar möjligheterna till dataläckage med varje integration. Varje anslutningspunkt där regler inte upprätthålls under körning kan bli en väg för exponering. När agenter hanterar känsliga system och företagsspecifik logik räcker inte kryptering av lagrade data och nätverkskontroller. Säkerhetsgränsen har flyttats till själva körningen, och behovet blir mer akut när ekosystemet växer.

Verifierbarhet vid dessa avgörande anslutningspunkter blir verksamhetskritisk. Företag kan skala upp agentbaserad AI när MCP-liknande åtkomst kombineras med kryptografiska bevis för vilken kod som kördes, var och under vilka regler — före, under och efter körningen. Åtkomst tillsammans med verifierbarhet gör produktion möjlig.

När MCP standardiserar agenters åtkomst, var ser du i dag de största bristerna när det gäller säkerhet, tillämpning av policyer och tillit i system med AI-agenter?

Vi slutförde vår AI Leak Surface-studie för 2026 och publicerade sammanfattningen ”Tolv sätt som din AI-miljö läcker data på”, som tar upp detta. Vi identifierade 46 exponeringsvägar inom åtta kategorier som täcker hela AI:s tillitsgräns: beräkning, styrning, applikation och överlämningarna mellan dem. Då räknar vi inte ens med illvilliga aktörer. Inget är trasigt, loggarna ser normala ut, och ändå läcker systemet data.

De största luckorna gäller inte anslutningen; MCP håller på att lösa den delen. Frågan är vad som händer efter att en agent har anslutit. De flesta organisationer kan inte svara på tre grundläggande frågor: Hur beter sig vår AI i praktiken? Vem styr den? Och hur kan vi bevisa att våra policyer faktiskt tillämpades?

Vår forskning visade att gränser konfigureras men aldrig upprätthålls. En policy finns i ett dokument, en konfigurationsfil eller en inställning vid driftsättning, men begränsar inte systemet medan det körs. En AI-assistent åt en chef lägger väsentlig, ännu inte offentliggjord information i en kalenderinbjudan. En RAG-assistent ger en junior analytiker tillgång till finansiella uppgifter avsedda för styrelsen. Ett leverantörs-SDK för i tysthet ut tio miljoner frågor under tolv månader. Åtkomstkontrollerna fanns i samtliga fall. Ändå läckte data.

Innan företag stänger klyftan mellan en konfigurerad policy och en policy som verkligen efterlevs standardiserar MCP bara ingången. Resten av huset står fortfarande oskyddat.

Vilka nya risker för integritet och regelefterlevnad uppstår när AI-agenter får åtkomst till känsliga system och företagens egna data, och vilka är företagen ofta oförberedda på?

De flesta företag tänker på integritet utifrån lagrade data eller data under överföring. Den modellen håller inte i agentbaserade arbetsflöden, eftersom den största risken är att data exponeras medan de används.

Ta en tillverkare av högpresterande bilar som använder AI längs monteringslinjen. Rådata verkar harmlösa: sensorvärden, tidssekvenser och kvalitetskontroller. Men en stor språkmodell kan nu återskapa företagets egna tillverkningsprocesser ur dessa biprodukter av databehandlingen. Det som var brus för fem år sedan är nu en ritning för en konkurrent.

Vår AI Leak Surface-studie dokumenterar mönstret i dussintals scenarier. Verktyg för drifttelemetri samlar som standard in hela AI-systemens datainnehåll. Hos en europeisk bank strömmade 2,1 miljoner prompter med personuppgifter till en amerikansk SaaS-miljö, eftersom ingen hade ändrat APM:s standardinställningar. Agenters minne läcker sammanhang mellan sessioner. Spår av tankekedjor exponerar fullständiga utredningshandlingar för övervakningsplattformar som underleverantörer kan nå. Traditionella ramverk för regelefterlevnad utformades inte för att upptäcka sådana läckor. De utgick från att människor flyttade data i mänsklig takt.

Varför blir konfidentiell AI ett nödvändigt komplement till MCP, och hur hanterar den problem som åtkomststandarder inte löser på egen hand?

MCP avgör vem som får åtkomst till vad och hur. Konfidentiell AI hanterar vad som händer efter att åtkomst beviljats. De är kompletterande lager.

Åtkomststandarder förhindrar inte i sig intrång under körning, avvikelser från policyer eller obehörig dataanvändning. MCP ger ett standardiserat sätt att ansluta agenter till systemen. Konfidentiell AI ger kryptografiska garantier för att anslutna agenter bara kan göra det de har befogenhet att göra, och att detta går att bevisa.

Konfidentiell AI ger dessa garantier under körning för data, identitet, kod och kommunikation. Den ger verifierbara bevis på körningen och ser till att integritet och tillämpning av regler inte upphör vid åtkomstgränsen, utan består medan AI resonerar, genererar och agerar. Utan detta är MCP en stabil grund. Men en grund ensam gör inte en byggnad säker.

Vad innebär verifierbar tillit i praktiken för ett företag vars autonoma AI-agenter hanterar kritiska arbetsflöden?

Verifierbar tillit betyder att jag kan bevisa vilken kod som kördes, var den kördes, vilka regler som gällde, vilka data som användes och hur systemet betedde sig över tid.

Tänk på ett försäkringsbolag som använder AI-agenter för att behandla brev med ersättningskrav. Före körningen verifierar maskinvarubestyrkande agentens identitet och miljöns integritet. Under körningen säkerställer kryptografisk bindning till regler i en maskinvarustödd betrodd körmiljö, Trusted Execution Environment (TEE), att data skyddas och reglerna tillämpas. Efteråt registrerar en manipuleringsskyddad revisionslogg exakt vad som hände.

Risken i agentbaserade arbetsflöden är inte att en agent börjar agera på eget bevåg. Den verkliga risken är att man inte kan visa om en regel tillämpades eller känsliga data skyddades när agenterna var i drift — före, under och efter. Det är detta verifierbar tillit handlar om.

Varför räcker traditionell mänsklig tillsyn inte till när agentbaserade system arbetar med maskinernas hastighet, och hur bör organisationer tänka om kring styrningen?

I årtionden hade internet ett osynligt skyddsräcke: oss människor. Vi läser innehåll, klickar avsiktligt och agerar inte i tysthet i hundra system samtidigt.

Agentbaserad AI undanröjer dessa antaganden över en natt. Agenter arbetar kontinuerligt, fattar beslut med maskinernas hastighet och kan manipuleras i miljöer som skapats för människor men kan utnyttjas av maskiner. En skadlig webbsida behöver inte lura AI på samma sätt som en människa; den kan helt enkelt ge en instruktion.

Vid en risk på bara en procent per agent har ett nätverk av hundra agenter 63 procents sannolikhet för ett intrång. Vid tusen agenter är sannolikheten 99,99 procent. Styrning med mänsklig medverkan hinner inte med. Tillsynen måste gå från efterhandsgranskning till garantier under körning: zero trust-arbetsflöden, tillämpning av regler som standard och verifierbar körning som inte är beroende av att en människa hittar felet i efterhand.

Vilka säkerhetsbrister ser du oftast när företag provar agentbaserad AI utan ett inbyggt tillitslager?

Oftast låter företag agenter agera och samordna sig utan kryptografiska garantier för beteendet. De behandlar känsliga immateriella tillgångar med enbart förhoppningar som skydd.

Följderna är förutsägbara, och vi har dokumenterat mönstren i AI Leak Surface-studien. Intrång under körning kringgår traditionella gränsskydd eftersom agenten redan befinner sig i nätverket. Kedjor av autonoma agenter skapar följdfel: en utnyttjad agent utlöser en dominoeffekt i anslutna system. Företagets egen logik läcker genom databehandlingens biprodukter som ingen tänkt övervaka. Agenter kan inte längre skilja företagets avsikt från skadlig indata, eftersom det saknas verifierbar identitet och bindning till regler under körningen.

Detta är inte hypotetiskt. Vi kartlade 46 vägar där data undgår de avsedda kontrollerna trots att inget verkar trasigt. AI-agenter genererar och delar data med maskinernas hastighet. Utan verifierbara skydd under körningen, inbyggda i arbetsflödet, sprider sig felen snabbare än ett säkerhetsteam kan upptäcka eller hantera dem.

Hur förenar ledande organisationer avancerade AI-funktioner med skyddet av sina känsligaste datatillgångar?

De organisationer som lyckas ser integritet och styrning som något som driver utvecklingen framåt, inte bromsar den. Det är den centrala insikten.

Jag ser att ledande företag kombinerar avancerade AI-funktioner med konfidentiella AI-plattformar som ger verifierbara garantier, inte bara checklistor för regelefterlevnad. De gör känsliga data tillgängliga för AI-innovation samtidigt som företagets egen information förblir skyddad, även när arbetsflödena körs autonomt.

Förr ställdes kapacitet mot säkerhet. De snabbaste organisationerna har helt förkastat den avvägningen. De bygger verifierbar tillit som grund för AI-strategin och kan därmed använda sina mest värdefulla data. Konkurrenterna är samtidigt fast i pilotstadiet, där AI körs på rensade datamängder som inte ger några betydande resultat.

Hur tror du att företagens modeller för AI-styrning utvecklas de närmaste åren när agentbaserade system går från pilotprojekt till full produktion?

Styrningen går från pappersarbete till bevis. Så enkelt kan jag uttrycka det. De tidiga modellerna skapades för programvara i mänsklig takt: regler på papper, godkännanden före driftsättning och granskningar efter problem. Agentbaserade system bryter mot alla dessa antaganden. De arbetar kontinuerligt och självständigt och orsakar kedjeeffekter med maskinernas hastighet.

Vi ser att styrningen går mot verifierbarhet under körning som den nya säkerhetsgränsen, med stöd av kryptografiska garantier som bevisar beteendet under agentens hela livscykel — före, under och efter körningen. Samma mönster som vi såg med HTTPS håller på att bli standard för webbtrafik. Ingen diskuterar längre om webbanslutningar ska krypteras. Om några år diskuterar ingen heller om AI-körning ska verifieras under körning. Det blir ett grundkrav.

Tack för en givande intervju. Läsare som vill veta mer kan besöka OPAQUE.