Jonathan Mortensen, grundare och VD för Confident Security – Intervjuserie

Jonathan Mortensen, grundare och VD för Confident Security, leder för närvarande utvecklingen av bevisbart privata AI-system för branscher med stränga säkerhets- och regelefterlevnadskrav. Han är också medlem i South Park Commons, där han undersöker framtiden för AI-beräkning, minne, integritet och ägande. Innan han startade Confident Security var han en av utvecklarna på Databricks, där han integrerade bit.io:s teknik i deras dataplattform med fokus på multi-tenant-säkerhet, IAM/ACL, VPC-isolering, kryptering och dataägande. Tidigare var han grundare och CTO för bit.io, där han byggde en molnbaserad, regionsoberoende serverlös PostgreSQL-tjänst som stödde hundratusentals säkra databaser och senare förvärvades av Databricks.

Confident Security bygger infrastruktur som gör det möjligt för företag att köra AI-arbetsflöden utan att avslöja känslig information. Plattformen är utformad så att prompter, data och modellutdata förblir fullständigt privata, aldrig loggas och aldrig återanvänds, vilket ger organisationer ett säkert sätt att anta AI samtidigt som de uppfyller stränga reglerings- och regelefterlevnadsstandarder.

Du grundade Confident Security 2024 efter att ha byggt bit.io och arbetat på Databricks. Vad var det som gjorde att du insåg att AI behövde en fundamentalt annorlunda tillvägagångssätt för integritet?

Min erfarenhet av att bygga datainfrastruktur lärde mig att om människor lägger in känslig information i ett system, räcker förtroende inte. De behöver bevis. Vi byggde infrastruktur där kunder ägde sin data, och vi gav dem sätt att validera det.

När jag tittade på hur företag använde LLM, fanns det inget bevis. Anställda klistrade in källkod, juridiska dokument och patientjournaler i modeller som kördes av tredje parter som de inte kunde validera. Vi har redan sett privata samtal som oavsiktligt indexerats online och policyförändringar som gjorde att samtal blev träningsdata som standard. Det visar hur skört det nuvarande integritetsmodellen är.

Om AI ska hantera världens mest känsliga information, behöver vi garantier som inte beror på att man litar på en leverantörs interna löften. Det var det som drev mig att starta Confident Security.

OpenPCC beskrivs som “Signal för AI”. Varför var det viktigt att denna integritetslager skulle vara öppen, validerbar och kompatibel från dag ett?

Slut-till-slut-kryptering tog inte fart förrän den blev en standard som alla kunde anta. Vi vill ha samma sak för AI-integritet. Om bara ett fåtal företag kan erbjuda riktiga garantier, då kommer integriteten inte att skalas.

OpenPCC är öppen källkod under Apache 2.0, så att alla kan bygga på den eller inspektera den. Det finns inget hemligt förtroendekrav. Hårdvaruvalidering ger kryptografiskt bevis om vad som körs och var. Och vi såg till att den fungerar överallt: alla moln, alla modellleverantörer, alla utvecklarstackar.

Det finns ett enormt värde i en integritetsnivå som är konsekvent och universell. Om du använder OpenPCC, vet du att din data inte är synlig för modellleverantörer, regulatorer eller ens för oss. En standard fungerar bara om hela ekosystemet kan delta, så vi utformade den för att vara så inkluderande som möjligt från dag ett.

Innan Confident Security byggde du storskaliga system för multi-innehav, kryptering och dataägande. Hur formade dessa erfarenheter OpenPCC:s arkitektur?

De systemen bekräftade två sanningar: om ett system kan behålla data, kommer det så småningom att göra det, antingen genom loggar, felkonfigurationer eller juridiska begäranden. Och förtroende är inte en integritetsmodell. Användare behöver synlighet och kontroll.

OpenPCC körs i ett tillståndslöst läge, så prompter försvinner efter bearbetning. Validering låter användare validera var deras data går och vad som körs. Och genom att isolera kontroll från data, förhindrar OpenPCC att privata indata någonsin behandlas som exekverbara instruktioner.

De begränsningarna är vad företagen har väntat på: garantier för att data inte kommer att dyka upp på oväntade ställen.

Du har hävdat att de flesta “privata AI”-lösningar förlitar sig på förtroende för ogenomskinliga system. Varför är oberoende validering avgörande för sann integritet?

De flesta integritetsuttalanden idag är i princip “lita bara på oss”. Det räcker inte när insatserna inkluderar nationell säkerhet och reglerad hälsoinformation. Om användaren inte kan validera påståendet, är det inte en garanti – det är marknadsföring.

Validerbar integritet är annorlunda. Du litar inte på operatörens avsikter. Du validerar hårdvaran, programvarubilden och datahanteringsgarantierna. Kryptografi upprätthåller gränserna. Loggar existerar inte för att någon ska kunna läcka eller begära dem.

När integritet är granskningsbar av användaren, skapar du ett fundamentalt säkrare system. Det är ansvar som baseras på matematik.

Googles “Privat AI”-tillkännagivande kom strax efter OpenPCC. Du utmanade offentligt dem att tillhandahålla en TPU för oberoende testning. Vad motiverade den utmaningen, och vad skulle du förvänta dig att hitta?

Om du påstår integritetsgarantier, bör du låta samhället validera dem. NVIDIA (NVDA ) tillåter redan extern validering på deras H100-GPU:er, och vi har till och med öppnat källkoden för deras valideringsbibliotek för att uppmuntra antagande.

Om Google (GOOGL ) vill göra liknande löften om TPUs, bör vi kunna mäta och validera dessa löften, inte bara läsa om dem i en blogginlägg. Vi skulle leta efter samma kontroller som vi förväntar oss från alla integritetssystem: strikta dataretentionsgränser, granskningsbar validering och inga hemliga vägar där loggar eller telemetri kan fly.

För läsare som inte är bekanta med mekanismerna, vad gör OpenPCC:s fullständigt krypterade kanaler annorlunda än traditionell klient-sidig kryptering eller konfidentiell databehandling?

Klient-sidig kryptering skyddar data på väg in, och konfidentiell databehandling skyddar den medan den bearbetas, men det finns fortfarande luckor före och efter där operatörer eller angripare kan komma åt känslig information.

OpenPCC stänger dessa luckor. Den skapar en tät, slut-till-slut-skyddad väg mellan klienten och modellen som skyddar prompten, svaret, användarens identitet och till och med metadata eller tidsignalering som kan tyst avslöja avsikt. Operatörer kan inte dekryptera någonting. Ingenting loggas eller behålls, även under intrångsförhållanden.

Integritet bör inte bero på att man hoppas att leverantören gör rätt sak bakom kulisserna. Den måste vara kryptografiskt påtvingad.

Hur förändrar validerbar integritet ekvationen för reglerade branscher som finans, hälsovård och försvar?

Reglerade branscher har mest att vinna på AI, men också mest att förlora om något läcker ut. Idag klistrar 78% av anställda in interna data i AI-verktyg, och en av fem fall inkluderar reglerad information som PHI eller PCI. Exponeringen sker redan.

Validerbar integritet tar bort den största hindern. Känsliga prompter existerar aldrig i klartext inom en modellleverantörs miljö. Ingenting kan användas för träning. Till och med lagliga begäranden kan inte komma åt vad systemet själv inte kan se.

Risk- och regelefterlevnadsteam har slutligen en väg där “ja” blir standarden istället för “nej”.

Vad var de största tekniska utmaningarna i att utforma ett moln-agnostiskt integritetslager som fungerar över alla företagsstackar?

Konfidentiell databehandling och fjärrvalidering är fortfarande i sin linda, tycker jag. Varje molnleverantör och bar metallleverantör gör något lite annorlunda. Vissa leverantörer, som AWS, har inte ens den nödvändiga hårdvaran för att göra det. Så varje enskild funktion vi lägger till är som att gå på ett högt strång och balansera. Men poängen är att bli en öppen standard, så vi måste göra det så att det fungerar för alla moln. Det är öppen källkod, så jag uppmuntrar alla att lägga till ännu fler stödda plattformar och konfigurationer!

Vad ser en värld med standardvaliderad kryptering ut, och hur kan den omforma balansen mellan företag, molnleverantörer och modellleverantörer?

Företagen behåller kontrollen över sin mest värdefulla tillgång: sin data. Modellleverantörer tävlar om prestanda och kostnad istället för vem som kan ackumulera mest proprietär information. Molnen möjliggör integritet istället för att vara tysta observatörer av den.

Det är en hälsosammare balans. Och hela ekosystemet vinner när säkerhet byggs in i grunden istället för att lappas på toppen.

I en framtid där AI blir allomfattande och starkt reglerad, hur ser du att validerbar integritet omformar den konkurrensutsatta landskapsbilden för företag, molnleverantörer och modellutvecklare?

Regulatorer ifrågasätter redan hur användardata lagras och används. Förtroendebaserad integritet kommer inte att tillfredsställa dem under lång tid. Användare kommer att förvänta sig integritetsgarantier på samma sätt som de förväntar sig kryptering i meddelandeappar idag.

De som vinner kommer att vara de företag som inte ber användare att kompromissa. Om du kan bevisa integritet, tjänar du förtroendet hos de organisationer som har de mest värdefulla data i världen. Data blir användbara på platser där de tidigare varit låsta.

Tack för den utmärkta intervjun, läsare som vill lära sig mer kan besöka Confident Security.