Аарон Фулкерсон, генеральний директор OPAQUE – Серія інтерв’ю

Аарон Фулкерсон, генеральний директор OPAQUE, є довгостроковим підприємцем у сфері корпоративного програмного забезпечення та піонером відкритого джерела, чия кар’єра охоплює понад два десятиліття будівництва та масштабування технологічних платформ, орієнтованих на довіру, дані та цифрову трансформацію. До того, як приєднатися до OPAQUE у 2023 році, він заснував MindTouch, допомігши йому зростати у широко прийняту корпоративну платформу знань перед її придбанням компанією NICE Systems, а пізніше очолив запуск ServiceNow (NOW ) Impact, одного з найшвидше зростаючих бізнес-підрозділів в історії ServiceNow. На протяженні своєї кар’єри Фулкерсон працював на перетині нових технологій, корпоративного програмного забезпечення та відкритих екосистем, а також консультував численні технологічні стартапи та організації. Нещодавно він став відомим адвокатом Confidential AI, стверджуючи, що конфіденційність, управління та верифікована довіра будуть основними вимогами, коли системи штучного інтелекту будуть інтегровані в критичні корпоративні робочі процеси.

OPAQUE є компанією Confidential AI, яка виникла з відомої лабораторії UC Berkeley RISELab, тієї ж дослідницької екосистеми, яка допомогла створити технології, такі як Apache Spark і Databricks. Компанія розробила платформу, яка дозволяє підприємствам запускати моделі штучного інтелекту, агентів та робочі процеси на високочутливих даних, зберігаючи при цьому криптографічні гарантії конфіденційності та відповідності вимогам. Натомість вимагаючи від організацій вибирати між інноваціями штучного інтелекту та безпекою даних, OPAQUE використовує конфіденційне обчислення, зашифровані середовища виконання та апаратно-атестовану виконавчу систему, щоб забезпечити захист чутливої інформації до, під час та після обробки штучним інтелектом. Її технологія призначена для високорегульованих галузей, включаючи фінанси, страхування, охорону здоров’я та високі технології, з клієнтами та партнерами, серед яких ServiceNow, Anthropic, Accenture та інші корпоративні організації, які намагаються перевести проекти штучного інтелекту з пілотних програм у виробництво без розкриття власної або регульованої інформації.

Ви побудували та масштабували кілька корпоративних платформ за свою кар’єру, тому що спонукало вас зайняти посаду генерального директора в OPAQUE та зосередитися на довірі, конфіденційності та управлінні штучним інтелектом?

Я провів майже два десятиліття будівництва корпоративних платформ, спочатку в MindTouch, яка все ще використовується мільярдом користувачів щороку, а потім у ServiceNow, де я створив їхній найшвидше зростаючий продукт. Обидва вчили мене одному й тому ж уроку: найпотужніша технологія перемагає лише тоді, коли люди довіряють їй.

Коли я зустрів співзасновників OPAQUE Ралуку Аду Попу, Іона Стоїку та Рішабха Поддара, я побачив рідкісну комбінацію таланту та бачення. Ралука є однією з найкращих дослідників у сфері конфіденційності та безпеки. Іон заснував Databricks. Рішабх створив основні криптографічні системи, які стали основою OPAQUE.

У лабораторії UC Berkeley’s RISELab вони створили щось, що я негайно визнав як покоління. Криптографічні докази того, що дані залишаються приватними протягом кожного робочого процесу штучного інтелекту. Не обіцянки. Не політики. Докази.

Я подивився, куди рухається штучний інтелект, агенти діють автономно по всім корпоративним системам з швидкістю машини, і я побачив ту саму прогалину, про яку Вінт Серф попереджав протягом 30 років: немає шару довіри. Інтернет вижив без нього, оскільки люди були бар’єром. Веб-агентів не буде такого самого люксу.

З появою MCP (Протокол контексту моделі, стандарт, який дозволяє агентам штучного інтелекту безпечно доступитися до інструментів, застосунків та даних), як ви бачите зміну того, як підприємства розгортають та масштабують агентні штучні інтелекти?

MCP є важливим кроком у тому, як підприємства розгортають та масштабують агентні штучні інтелекти. Подумайте про це як універсальний конектор для робочих процесів штучного інтелекту. Він стандартизує, як агенти підключаються до інструментів, застосунків та даних, зменшуючи реальні тертя та прискорюючи експерименти.

Але стандартизація доступу сама по собі не робить агентні штучні інтелекти безпечними чи масштабованими. Коли ці з’єднання розширюються, з більшими агентами, більшими інструментами та більшими джерелами даних, площа поверхні витоку даних розширюється з кожним новим інтегруванням. Кожна точка підключення, яка не має виконання у часі виконання, є потенційним вектором експлуатації. Коли агенти штучного інтелекту взаємодіють з чутливими системами та власною логікою, шифрування у спочинку та мережеві контролі недостатньо. Безпековий кордон зміщується до часу виконання, і це зміщення стає більш терміновим, оскільки екосистема масштабується.

Майте верифікованість на цих важливих точках підключення буде місією-критичною для підприємства. Підприємства можуть масштабувати агентні штучні інтелекти, коли доступ у стилі MCP поєднується з криптографічними доказами того, який код був виконаний, де він був виконаний, і під яким політикою – до, під час та після виконання. Доступ плюс верифікованість. Це комбінація, яка розблоковує виробництво.

Як ви бачите найбільші прогалини сьогодні, коли мова йде про безпеку, виконання політики та довіру в системах, керованих агентами?

Ми завершили наш дослідження поверхні витоку штучного інтелекту 2026 року та опублікували підсумок наших результатів, “Дванадцять способів, як ваш стек штучного інтелекту втрачає дані“, який торкається цього питання. Ми визначили 46 векторів експлуатації по 8 категоріям, що охоплюють весь кордон довіри штучного інтелекту: обчислення, контроль, застосунки та передачу між ними. Це без урахування зловмисних акторів. Це сценарії, в яких нічого не пошкоджено, журнали виглядають чистими, а ваша система все одно втрачає дані.

Найбільші прогалини не в підключенні; MCP вирішує цю проблему. Прогалини в тому, що відбувається після підключення агента. Більшість організацій не можуть відповісти на три базові питання: Як наша система штучного інтелекту поводиться насправді? Хто контролює її? І як ми доводимо, що політики були виконані?

Наше дослідження показало, що межі налаштовуються, але ніколи не виконуються. Політика існує в документі, файлі конфігурації або налаштуванні часу розгортання, але система, яка працює, не обмежена нею. Виконавець штучного інтелекту розміщує матеріальну невідому інформацію на запрошенні на календар. Пілот RAG служить фінансовими даними рівня ради директорів молодшому аналітику. SDK постачальника безшумно виводить 10 мільйонів запитів за 12 місяців. У кожному випадку засоби контролю доступу були на місці. Дані все одно витекли.

До тих пір, поки підприємства не закриють прогалину між налаштованою політикою та виконаною політикою, MCP стандартизує передню двері. Але будинок все ще не охороняється.

Коли агенти штучного інтелекту отримують доступ до чутливих систем та власних даних, які нові ризики конфіденційності та відповідності з’являються, на які підприємства часто не готові?

Більшість підприємств думають про конфіденційність у термінах даних у спочинку або в транзиті. Ця модель ламає в агентських робочих процесах, оскільки найбільший ризик полягає у витоці даних під час їх використання.

Ось, що я маю на увазі. Виробник високопродуктивних автомобілів запускає штучний інтелект по всій своїй лінії зборки. Сирі дані здаються безпечними: показання датчиків, послідовності часу, перевірки якості. Але LLM тепер може відтворити власні виробничі процеси з цих даних. Що було шумом п’ять років тому, тепер є планом для конкурента.

Наше дослідження поверхні витоку штучного інтелекту документує цю схему по десятках сценаріїв. Інструменти оперативної телеметрії захоплюють повні вантажі штучного інтелекту за замовчуванням, і один європейський банк мав 2,1 мільйона запитів, що містять особисту інформацію, яка текла до екземпляра SaaS у США, оскільки ніхто не змінив значення APM за замовчуванням. Пам’ять агента втрачає контекст між сесіями. Ланцюгові сліди думок розкривають повні слідчі записи на платформах спостереження, доступних підзвітним особам. Традиційні кадри відповідності не були розроблені для виявлення цього типу витоку. Вони припускали, що люди переміщують дані з людською швидкістю.

Чому Confidential AI стає необхідним контрпунктом до MCP, і як він вирішує проблеми, які стандарти доступу самі по собі не можуть вирішити?

MCP вирішує, хто може доступитися до чого і як, тоді як Confidential AI вирішує, що відбувається після надання доступу. Вони є доповнюючими шарами.

Стандарти доступу самі по собі не можуть запобігти компрометації у часі виконання, зсуву політики або незаконному використанню даних. Подумайте про це так: MCP дає вам стандартизований спосіб підключення агентів до ваших систем. Confidential AI дає вам криптографічні гарантії того, що після підключення ці агенти можуть робити тільки те, на що вони авторизовані, і ви можете довести це.

Confidential AI забезпечує ці гарантії у часі виконання по даних, ідентифікатору, коду та комунікації. Він забезпечує верифікований доказ виконання та гарантує, що конфіденційність та виконання політики не зупиняються на кордоні доступу, а тривають, коли штучний інтелект активно мислить, генерує та діє. Без нього MCP є солідною основою. Але основа сама по собі не робить будівлю безпечною.

У практичному сенсі, що таке верифікована довіра для підприємства, яке запускає автономні агенти штучного інтелекту по критичним робочим процесам?

Верифікована довіра означає, що я можу довести, який код був виконаний, де він був виконаний, під якою політикою, які дані були доступні, і як система поводилася з часом.

У практиці візьміть страхову компанію, яка використовує агентів штучного інтелекту для обробки вимогних листів. До виконання апаратна атестація підтверджує ідентифікатор агента та цілісність середовища. Під час виконання криптографічне зв’язування політики в апаратно-обумовленому довіреному середовищі виконання (TEE) гарантує, що дані залишаються захищеними та що політики виконуються. Після виконання програма аудиту, яка не може бути змінена, реєструє точно, що відбулося.

Ризик у агентських робочих процесах не полягає в тому, що агент виявляється злому. Реальний ризик полягає в тому, що ви не можете довести, чи була політика виконана, чи чутливі дані були захищені під час роботи агентів – до, під час та після виконання. Це те, що таке верифікована довіра.

Як агентські системи працюють з швидкістю машини, чому традиційний людський нагляд руйнується, і як організації повинні переосмислити управління в цій новій середовищі?

Тривалий час інтернет мав невидимий бар’єр: нас. Люди читали вміст, натискали кнопки намерено та не діяли тихо по сотням систем одночасно.

Агентні штучні інтелекти знищують ці припущення за одну ніч. Агенти працюють безперервно, приймають рішення з швидкістю машини та можуть бути маніпульовані середовищами, розробленими для людей, але експлуатованими машинами. Веб-сторінка, яка несе шкоду, не повинна обманювати штучний інтелект так, як вона обманює людину; вона просто може йому вказівку.

При рівні ризику лише 1% на агента мережа з 100 агентів стикається з ризиком порушення безпеки в 63%. Масштабування до тисячі агентів означає рівень ризику в 99,99%. Людський нагляд у циклі не може впоратися з цими цифрами. Нагляд повинен перейти від реактивного огляду до гарантій у часі виконання. Це означає робочі процеси з нульовим рівнем довіри, виконання політики за замовчуванням та верифіковане виконання, яке не залежить від людини, яка ловить провал після факту.

Які найпоширеніші безпеки провали, які ви бачите, коли підприємства експериментують з агентними штучними інтелектами без вбудованого шару довіри?

Найчастіший шаблон, який я бачу, полягає в тому, що підприємства дозволяють агентам діяти та координуватися без будь-яких криптографічних гарантій щодо їх поведінки. Вони обробляють чутливі інтелектуальні власності, спираючись на надію.

Що відбувається далі, є передбачуваним, і ми задокументували конкретні шаблони в нашому дослідженні поверхні витоку штучного інтелекту. Компрометації у часі виконання обходять традиційні периметральні захисти, оскільки агент уже знаходиться всередині мережі. Автономні ланцюги агентів створюють каскадні провали. Використаний агент викликає ланцюгову реакцію по всіх пов’язаних системах. Власна логіка витікає через витік даних, який ніхто не подумав моніторити. Агенти втрачають здатність розрізняти корпоративну намірення від зловмисної інформації, оскільки немає верифікованого ідентифікатора чи зв’язування політики у часі виконання.

Це не гіпотетично. Ми відображили 46 векторів, по яких дані виходять за межі контролю, навіть якщо нічого не здається пошкодженим. Агенти штучного інтелекту генерують та обмінюються даними з швидкістю машини. Без верифікованих гарантій у часі виконання провали розширюються швидше, ніж будь-яка команда безпеки може виявити або реагувати.

Як провідні організації балансують потребу розблокування передових можливостей штучного інтелекту, зберігаючи при цьому свої найбільш чутливі активи даних?

Організації, які роблять це правильно, розглядають конфіденційність та управління як прискорювачі, а не гальма. Це ключовий висновок.

Що я бачу в полі, так це те, що провідні підприємства поєднують передові можливості штучного інтелекту з платформами конфіденційного штучного інтелекту, які забезпечують верифіковані гарантії, а не лише списки відповідності. Вони розблоковують чутливі дані для інновацій штучного інтелекту, забезпечуючи при цьому захист власної інформації, навіть коли робочі процеси працюють автономно.

Старе формулювання було можливістю проти безпеки. Організації, які рухаються найшвидше, відмовилися від цього компромісу цілком. Вони будують верифіковану довіру в основу своєї стратегії штучного інтелекту, дозволяючи їм використовувати свої найцінніші дані. В той же час конкуренти все ще застряли в пілотному режимі, запускаючи штучний інтелект на санітарних наборах даних, які не рухають стрілку.

На основі того, що ви бачите сьогодні, як ви очікуєте, що моделі управління штучним інтелектом у підприємствах будуть розвиватися протягом наступних кількох років, коли агентські системи переходять з пілотних програм у повне виробництво?

Управління буде розвиватися від паперу до доказу. Це найпростіший спосіб, яким я можу це висловити. Ранні моделі управління були розроблені для програмного забезпечення з людською швидкістю: політики на папері, затвердження перед розгортанням, огляди після того, як щось пішло не так. Агентські системи порушують кожне з цих припущень. Вони працюють безперервно, діють автономно та генерують каскадні ефекти з швидкістю машини.

Що ми бачимо, так це те, що управління рухається до верифікованості у часі виконання як нового кордону безпеки, підтримуваного криптографічними гарантіями, які доводять поведінку на всіх етапах життєвого циклу агента, до, під час та після виконання. Те саме, що ми бачили з HTTPS, стає стандартом для веб-трафіку. Ніхто не дискутує про те, чи шифрувати веб-з’єднання. За кілька років ніхто не буде дискутувати про те, чи верифікувати виконання штучного інтелекту у часі виконання. Це буде стандарт.

Дякую за велике інтерв’ю, читачам, які бажають дізнатися більше, слід відвідати OPAQUE.