Аарон Фулкерсон, генеральний директор OPAQUE — серія інтерв’ю

Аарон Фулкерсон, генеральний директор OPAQUE, — досвідчений підприємець у сфері корпоративного програмного забезпечення та піонер відкритого коду. Понад два десятиліття він створює й масштабує технологічні платформи, зосереджені на довірі, даних і цифровій трансформації. До приходу в OPAQUE у 2023 році він заснував MindTouch і допоміг перетворити її на широко використовувану корпоративну платформу управління знаннями, яку згодом придбала NICE Systems. Пізніше він очолив запуск ServiceNow Impact — одного з найшвидше зростаючих бізнес-підрозділів в історії ServiceNow. Упродовж кар’єри Фулкерсон працював на перетині нових технологій, корпоративного ПЗ та відкритих екосистем, а також консультував кілька технологічних стартапів і організацій. Останнім часом він став помітним прихильником Confidential AI — ШІ, що забезпечує конфіденційність даних. На його думку, приватність, управління та довіра, яку можна перевірити, стануть основоположними вимогами в міру інтеграції ШІ у критично важливі корпоративні процеси.

OPAQUE — компанія у сфері Confidential AI, що виникла у відомій лабораторії RISELab Каліфорнійського університету в Берклі. Це ж дослідницьке середовище допомогло створити такі технології, як Apache Spark і Databricks. Компанія розробила платформу, на якій підприємства можуть запускати моделі ШІ, агентів і робочі процеси на дуже чутливих даних, зберігаючи криптографічно перевірювані гарантії приватності та дотримання нормативних вимог. Замість того щоб змушувати організації обирати між інноваціями ШІ та безпекою даних, OPAQUE використовує конфіденційні обчислення, зашифровані середовища виконання та виконання з апаратною атестацією, щоб захищати інформацію до, під час і після обробки ШІ. Технологію створено для суворо регульованих галузей, зокрема фінансів, страхування, охорони здоров’я та високих технологій. Серед клієнтів і партнерів — ServiceNow (NOW ), Anthropic, Accenture та інші підприємства, які прагнуть перевести проєкти ШІ з пілотної стадії у промислову експлуатацію, не розкриваючи власні дані чи дані, що підпадають під регулювання.

За свою кар’єру ви створили й масштабували кілька корпоративних платформ. Що спонукало вас стати генеральним директором OPAQUE і присвятити наступний етап довірі, приватності та управлінню ШІ?

Я провів майже два десятиліття, створюючи корпоративні платформи: спочатку в MindTouch, якою досі щороку користується мільярд людей, а потім у ServiceNow, де я створив їхній продукт із найшвидшим зростанням. Обидва досвіди навчили мене одного: навіть найпотужніша технологія перемагає лише тоді, коли люди їй довіряють.

Коли я зустрів співзасновників OPAQUE Ралуку Аду Попу, Іона Стоїку та Рішабха Поддара, то побачив рідкісне поєднання таланту й бачення. Ралука — одна з провідних у світі дослідниць приватності та безпеки. Іон став співзасновником Databricks. Рішабх створив ключові криптографічні системи, які стали основою OPAQUE.

У RISELab Каліфорнійського університету в Берклі вони створили щось, у чому я відразу розпізнав прорив, важливий для цілого покоління: криптографічний доказ того, що дані залишаються приватними протягом кожного робочого процесу ШІ. Не обіцянки. Не політики. Доказ.

Я дивився, куди прямує ШІ: агенти автономно діють у корпоративних системах із машинною швидкістю. І бачив ту саму прогалину, про яку Вінт Серф попереджає вже 30 років: відсутність шару довіри. Інтернет вижив без нього, тому що роль захисного бар’єра виконували люди. Мережа, якою керують агенти, такої розкоші не матиме. Саме це мене й привабило.

MCP — Model Context Protocol, стандарт безпечного доступу агентів ШІ до інструментів, застосунків і даних — стає спільною основою. Як він змінить розгортання та масштабування агентного ШІ в підприємствах?

MCP — важливий крок у тому, як підприємства розгортають і масштабують агентний ШІ. Уявіть універсальний з’єднувач для робочих процесів ШІ. Він стандартизує підключення агентів до інструментів, застосунків і даних, усуває реальні перешкоди та прискорює експерименти.

Проте сама стандартизація доступу не робить агентний ШІ безпечним або масштабованим. Зі збільшенням кількості з’єднань, агентів, інструментів і джерел даних кожна нова інтеграція розширює поверхню можливого витоку. Кожна точка підключення без примусового застосування правил під час виконання — потенційний шлях розкриття даних. Коли агенти ШІ взаємодіють із чутливими системами та пропрієтарною логікою, шифрування збережених даних і мережевих обмежень недостатньо. Межа безпеки змістилася на етап виконання, і зі збільшенням масштабу екосистеми цей зсув стає дедалі нагальнішим.

Можливість перевірки в цих ключових точках підключення буде критично важливою для підприємств. Вони можуть масштабувати агентний ШІ, коли доступ за моделлю MCP поєднується з криптографічним доказом того, який код виконувався, де й відповідно до якої політики, — до, під час і після виконання. Доступ плюс перевірюваність. Саме це поєднання відкриває шлях до промислової експлуатації.

Коли MCP стандартизує доступ агентів, де ви бачите найбільші прогалини в безпеці, примусовому застосуванні політик і довірі до систем, керованих агентами?

Ми завершили дослідження AI Leak Surface за 2026 рік і опублікували стислий виклад результатів під назвою «Дванадцять способів витоку даних із вашого стека ШІ», у якому порушено цю тему. Ми виявили 46 шляхів розкриття даних у 8 категоріях, що охоплюють усю межу довіри ШІ: обчислення, контроль, застосунки та передачу між ними. І це без урахування зловмисників. Йдеться про ситуації, коли нічого не зламано, журнали виглядають нормально, а система все одно втрачає дані.

Найбільші прогалини не в з’єднаннях; цю проблему MCP розв’язує. Вони в тому, що відбувається після підключення агента. Більшість організацій не можуть відповісти на три базові запитання: Як насправді поводиться наш ШІ? Хто його контролює? І як довести, що політики примусово застосовувалися?

Наше дослідження показало, що межі налаштовуються, але ніколи не забезпечуються на практиці. Політика існує в документі, конфігураційному файлі чи налаштуванні під час розгортання, але не обмежує систему, що працює. ШІ-помічник керівника додає суттєву непублічну інформацію до запрошення в календарі. Помічник на основі RAG передає молодшому аналітику фінансові відомості, призначені для ради директорів. SDK постачальника непомітно виводить назовні 10 мільйонів запитів за 12 місяців. У кожному випадку контроль доступу був налаштований. Дані все одно витекли.

Поки підприємства не усунуть розрив між налаштованою політикою і політикою, що реально застосовується, MCP стандартизує вхідні двері. Але будинок залишається без охорони.

Які нові ризики для приватності та дотримання вимог виникають, коли агенти ШІ отримують доступ до чутливих систем і власних даних компанії, та до чого підприємства часто не готові?

Більшість підприємств думають про приватність з погляду даних під час зберігання чи передачі. В агентних робочих процесах ця модель не працює, адже найбільший ризик — розкриття даних під час їх використання.

Ось що я маю на увазі. Виробник високопродуктивних автомобілів використовує ШІ на складальній лінії. Необроблені дані здаються нешкідливими: показання датчиків, часові послідовності, перевірки якості. Проте велика мовна модель уже може відтворити пропрієтарні виробничі процеси зі слідів даних, які виникають побічно під час роботи. Те, що п’ять років тому було шумом, сьогодні стало готовим кресленням для конкурента.

Дослідження AI Leak Surface документує цю закономірність у десятках сценаріїв. Засоби операційної телеметрії за замовчуванням захоплюють повний вміст даних ШІ. В одному європейському банку 2,1 мільйона промптів з інформацією, що дає змогу ідентифікувати особу, надходили до екземпляра SaaS у США, тому що ніхто не змінив стандартні налаштування моніторингу продуктивності застосунків (APM). Пам’ять агентів спричиняє витік контексту між сеансами. Трасування ланцюжків міркувань розкривають повні матеріали розслідувань платформам спостережуваності, доступним підрядникам. Традиційні системи забезпечення відповідності вимогам не створювалися для виявлення таких витоків. Вони припускали, що дані переміщують люди з людською швидкістю.

Чому Confidential AI стає необхідним доповненням до MCP і як розв’язує проблеми, з якими самі стандарти доступу не можуть упоратися?

MCP визначає, хто до чого і як може отримати доступ, а Confidential AI розв’язує питання того, що відбувається після його надання. Це взаємодоповнювальні шари.

Самі стандарти доступу не можуть запобігти компрометації під час виконання, поступовому відхиленню політик від заданого стану чи несанкціонованому використанню даних. Уявіть це так: MCP дає стандартизований спосіб підключати агентів до систем. Confidential AI дає криптографічні гарантії, що після підключення вони можуть робити лише дозволене, і ви можете це довести.

Confidential AI забезпечує ці гарантії під час виконання для даних, ідентичності, коду й комунікацій. Він надає перевірюваний доказ виконання та гарантує, що приватність і примусове застосування політик не закінчуються на межі доступу, а тривають, поки ШІ активно міркує, генерує та діє. Без цього MCP — міцний фундамент. Але сам фундамент не робить будівлю безпечною.

Який вигляд на практиці має довіра, що піддається перевірці, для підприємства, яке використовує автономних агентів ШІ в критично важливих процесах?

Перевірювана довіра означає, що я можу довести, який код виконувався, де, відповідно до яких політик, до яких даних звертався та як система поводилася з плином часу.

Візьмімо страхову компанію, що використовує агентів ШІ для обробки листів із вимогами відшкодування збитків. До виконання апаратна атестація перевіряє ідентичність агента й цілісність середовища. Під час виконання криптографічна прив’язка до політик усередині апаратно захищеного довіреного середовища виконання (Trusted Execution Environment, TEE) забезпечує захист даних і примусове застосування політик. Після виконання захищений від підробки аудиторський слід точно фіксує, що сталося.

Ризик агентних робочих процесів не в тому, що агент вийде з-під контролю. Справжній ризик — неможливість показати, чи застосовувалася політика і чи були чутливі дані захищені, коли агенти працювали, — до, під час і після виконання. Ось що означає перевірювана довіра.

Чому традиційний людський нагляд перестає справлятися, коли агентні системи працюють із машинною швидкістю, і як організаціям слід переосмислити управління в новому середовищі?

Десятиліттями інтернет мав невидимий захисний бар’єр: нас. Люди читають вміст, свідомо натискають на посилання і не діють непомітно у ста системах одночасно.

Агентний ШІ за одну ніч скасовує ці припущення. Агенти працюють безперервно, ухвалюють рішення з машинною швидкістю, і ними можна маніпулювати через середовища, створені для людей, але вразливі до машинного впливу. Шкідливій вебсторінці не потрібно обманювати ШІ так, як вона обманює людину: достатньо просто дати йому вказівки.

За ризику лише 1% на агента мережа зі 100 агентів стикається з імовірністю порушення безпеки 63%. Збільште кількість до тисячі — отримаєте 99,99%. Управління з обов’язковою участю людини в процесі не встигає за цими цифрами. Нагляд має перейти від реактивних перевірок до гарантій під час виконання. Це означає робочі процеси з нульовою довірою, примусове застосування політик за замовчуванням і перевірюване виконання, яке не залежить від людини, що виявить збій постфактум.

Які порушення безпеки ви найчастіше спостерігаєте, коли підприємства експериментують з агентним ШІ без вбудованого шару довіри?

Найчастіше я бачу, що підприємства дозволяють агентам діяти й координуватися без жодних криптографічних гарантій їхньої поведінки. Вони обробляють чутливу інтелектуальну власність, покладаючись на надію.

Наслідки передбачувані, і ми описали конкретні закономірності в дослідженні AI Leak Surface. Компрометація під час виконання обходить традиційний захист периметра, тому що агент уже всередині мережі. Ланцюги автономних агентів створюють каскадні збої. Один агент, якого використав нападник, запускає ефект доміно в пов’язаних системах. Пропрієтарна логіка витікає через сліди даних, які ніхто не подумав відстежувати. Агенти втрачають здатність розрізняти намір підприємства та шкідливі вхідні дані, тому що під час виконання немає перевірюваної ідентичності чи прив’язки до політик.

Це не гіпотетичні сценарії. Ми нанесли на карту 46 шляхів, якими дані виходять за межі передбачених механізмів контролю, навіть коли нічого не здається зламаним. Агенти ШІ генерують дані й обмінюються ними з машинною швидкістю. Без перевірюваних засобів захисту під час виконання, вбудованих у робочий процес, збої поширюються швидше, ніж будь-яка команда безпеки здатна їх виявити чи відреагувати.

Як провідні організації поєднують використання передових можливостей ШІ із захистом своїх найчутливіших даних?

Організації, які роблять це правильно, розглядають приватність та управління як прискорювачі, а не гальма. Це ключовий висновок.

На практиці я бачу, що провідні підприємства поєднують передові можливості ШІ з платформами Confidential AI, які дають перевірювані гарантії, а не лише контрольні списки відповідності вимогам. Вони відкривають чутливі дані для інновацій ШІ й водночас захищають власну інформацію, навіть коли робочі процеси виконуються автономно.

Раніше питання ставили як вибір між можливостями та безпекою. Організації, що рухаються найшвидше, повністю відкинули цей компроміс. Вони закладають перевірювану довіру в основу стратегії ШІ, щоб використовувати найцінніші дані. Тим часом конкуренти досі застрягли на пілотній стадії, запускаючи ШІ на очищених наборах даних, які не дають істотного результату.

На основі того, що ви бачите сьогодні, як розвиватимуться корпоративні моделі управління ШІ в найближчі роки, коли агентні системи перейдуть від пілотних проєктів до повноцінної промислової експлуатації?

Управління перейде від паперової роботи до доказів. Простіше я сказати не можу. Ранні моделі створювалися для ПЗ, що працює в людському темпі: політики на папері, погодження до розгортання, перевірки після того, як щось пішло не так. Агентні системи руйнують кожне з цих припущень. Вони працюють безперервно, діють автономно й створюють каскадні ефекти з машинною швидкістю.

Ми бачимо зсув до перевірюваності під час виконання як нової межі безпеки, підкріпленої криптографічними гарантіями поведінки на кожному етапі життєвого циклу агента — до, під час і після виконання. Та сама закономірність, яку ми бачили з HTTPS, стає стандартом для вебтрафіку. Ніхто вже не сперечається, чи потрібно шифрувати вебз’єднання. За кілька років ніхто не сперечатиметься, чи потрібно перевіряти виконання ШІ в процесі його роботи. Це стане базовою вимогою.

Дякую за чудове інтерв’ю. Читачі, які хочуть дізнатися більше, можуть відвідати OPAQUE.