Джонатан Мортенсен, засновник і генеральний директор Confident Security – Серія інтерв’ю

Джонатан Мортенсен, засновник і генеральний директор Confident Security, зараз очолює розробку прохідних приватних систем штучного інтелекту для галузей з суворими вимогами безпеки та відповідності. Він також є співзасновником South Park Commons, де досліджує майбутнє обчислень штучного інтелекту, пам’яті, приватності та власності. До створення Confident Security він був інженером-програмістом у Databricks, інтегруючи технологію bit.io у свою платформу даних з акцентом на багатокористувацькій безпеці, IAM/ACL, ізоляції VPC, шифруванні та власності даних. Раніше він заснував і обіймав посаду технічного директора bit.io, створюючи багатокloud, багаторегіонну серверну службу PostgreSQL, яка підтримувала сотні тисяч безпечних баз даних і була пізніше придбана Databricks.

Confident Security будує інфраструктуру, яка дозволяє підприємствам запускати потоки штучного інтелекту без розкриття конфіденційних даних. Її платформа спроєктована так, щоб запити, дані та виходи моделі залишалися повністю приватними, ніколи не реєструвалися та не повторно використовувалися, надаючи організаціям безпечний спосіб впровадження штучного інтелекту при дотриманні суворих нормативних та вимог відповідності.

Ви заснували Confident Security у 2024 році після створення bit.io і роботи у Databricks. Що спонукало вас до розуміння того, що штучний інтелект потребує фундаментально іншої підходу до приватності?

Мій досвід будівництва інфраструктури даних навчив мене цьому: якщо люди вводять конфіденційну інформацію в систему, довіри недостатньо. їм потрібні докази. Ми будували інфраструктуру, де клієнти володіли своїми даними, і ми надавали їм засоби для перевірки цього.

Коли я дивився, як компанії використовували великі мовні моделі, тих доказів не існувало. Працівники вставляли джерельний код, юридичні документи та медичні записи у моделі, які керувалися третіми сторонами, які вони не могли перевірити. Ми вже бачили випадки, коли приватні розмови випадково індексувалися в Інтернеті, і зміни політики, які раптом робили розмови тренувальними даними за замовчуванням. Це показало, наскільки хиткою є поточна модель приватності.

Якщо штучний інтелект має обробляти найбільш конфіденційну інформацію світу, нам потрібні гарантії, які не залежать від довіри до внутрішніх обіцянок постачальника. Це спонукало мене до створення Confident Security.

OpenPCC описується як “Signal для штучного інтелекту”. Чому було важливо, щоб цей шар приватності був відкритим, атестованим і міжопераційним з самого початку?

Шифрування від кінця до кінця не набуло популярності, поки не стало стандартом, який міг прийняти кожен. Ми хочемо того самого для приватності штучного інтелекту. Якщо тільки кілька компаній можуть надавати реальні гарантії, то приватність не буде масштабуватися.

OpenPCC є відкритим під ліцензією Apache 2.0, тому кожен може будувати на ньому або інспектувати його. Не існує секретної вимоги довіри. Атестація апаратного забезпечення забезпечує криптографічні докази про те, що запускається і де. І ми зробили так, щоб це працювало скрізь: будь-який хмарний провайдер, будь-який постачальник моделей, будь-який стек розробника.

Є величезна цінність у приватному фундаменті, який є послідовним і універсальним. Якщо ви використовуєте OpenPCC, ви знаєте, що ваші дані не видимі постачальникам моделей, регуляторам або навіть нам. Стандарт працює тільки тоді, коли вся екосистема може брати участь, тому ми спроєктували його так, щоб він був якомога більш інклюзивним з самого початку.

До Confident Security ви будували великомасштабні системи для багатокористувацької роботи, шифрування та власності даних. Як ці досвіди сформували архітектуру OpenPCC?

Ці системи підкріпили дві істини: якщо система може зберігати дані, врешті-решт вона це зробить, dù це відбувається через журнали, неправильну конфігурацію або юридичні запитів. І довіра не є моделлю приватності. Користувачам потрібна видимість і контроль.

OpenPCC працює у безстанційному режимі, тому запити зникають після обробки. Атестація дозволяє користувачам перевірити, куди прямують їхні дані та яке код запускається. І, ізолюючи контроль від даних, OpenPCC запобігає тому, щоб приватні входи jamais були оброблені як виконавчі інструкції.

Ці обмеження є тим, чого чекають підприємства: гарантії, що дані не з’являться в несподіваних місцях.

Ви стверджували, що більшість “приватних рішень штучного інтелекту” залежать від довіри до не透альних систем. Чому незалежна верифікація є суттєвою для справжньої приватності?

Більшість мов приватності сьогодні є фактично “просто довірте нам”. Це не достатньо, коли на кону національна безпека та регулювана інформація про здоров’я. Якщо користувач не може перевірити заяву, то це не гарантія – це маркетинг.

Верифікована приватність інша. Ви не довіряєте намірам оператора. Ви верифікуєте апаратне забезпечення, образ програмного забезпечення та гарантії обробки даних. Криптографія забезпечує межі. Журналів не існує, тому ніхто не може випадково витекти або викликати їх.

Коли приватність є аудитованою користувачем, ви створюєте фундаментально безпечнішу систему. Це підзвітність, заснована на математиці.

Ананс Google (GOOGL ) про “Приватний штучний інтелект” відбувся незабаром після OpenPCC. Ви публічно викликали їх надати TPU для незалежного тестування. Що спонукало це викликання, і що ви очікуєте знайти?

Щоб заявити про гарантії приватності, ви повинні дозволити спільноті перевірити їх. NVIDIA (NVDA ) вже дозволяє зовнішню верифікацію на своїх GPU H100, і ми навіть відкрили джерельний код бібліотеки атестації для заохочення прийняття.

Якщо Google хоче зробити подібні обіцянки щодо TPU, ми повинні мати можливість вимірювати і верифікувати ці обіцянки, а не просто читати про них у блог-пості. Ми шукали б ті самі контролі, які ми очікуємо від будь-якої системи приватності: суворі межі зберігання даних, аудитовану атестацію та жодних секретних шляхів, де журнали чи телеметрія можуть вийти. Заяви про приватність повинні витримувати перевірку.

Для читачів, незнайомих з механікою, що робить повністю зашифровані канали OpenPCC інші, ніж традиційне шифрування на стороні клієнта або конфіденційне обчислення?

Шифрування на стороні клієнта охороняє дані під час введення, а конфіденційне обчислення охороняє їх під час обробки, але все ще існують пробіли до і після того, де оператори або атакувальники можуть отримати доступ до конфіденційних даних.

OpenPCC закриває ці пробіли. Він створює запечатаний шлях від кінця до кінця між клієнтом і моделлю, який захищає запит, відповідь, ідентичність користувача та навіть метадані чи сигнали часу, які можуть тихо розкрити намір. Оператори не можуть розшифрувати нічого. Нічого не реєструється чи зберігається, навіть під час порушення безпеки.

Приватність не повинна залежати від того, чи постачальник робить правильну справу за лаштунками. Її потрібно забезпечувати криптографічно.

Як верифікована приватність змінює рівняння для регульованих галузей, таких як фінанси, охорона здоров’я та оборона?

Регульовані галузі мають найбільше вигоди від штучного інтелекту, але також найбільше втрачають, якщо щось витікає. Сьогодні 78% працівників вставляють внутрішні дані у інструменти штучного інтелекту, і один із п’яти випадків включає регулювану інформацію, таку як PHI чи PCI. Витік вже відбувається.

Верифікована приватність усуває найбільшу перешкоду. Конфіденційні запити ніколи не існують у відкритому вигляді всередині середовища постачальника моделі. Нічого не можна використовувати для навчання. Навіть законні запитів не можуть отримати доступ до того, чого система сама не бачить.

Команди ризику та відповідності нарешті мають шлях, де “так” стає замовчуванням замість “ні”.

Які були найбільшими інженерними викликами при проектуванні хмаро-агностичного шару приватності, який працює у будь-якій корпоративній структурі?

Конфіденційне обчислення та віддалена атестація все ще знаходяться на стадії дитинства, на мою думку. Кожен хмарний провайдер і постачальник голого металу робить щось трохи інше. Деякі провайдери, такі як AWS, навіть не мають необхідного апаратного забезпечення для цього. Тому кожна окрема функція, яку ми додаємо, є як 1000 ударів і ходіння по тонкій нитці. Але вся справа полягає в тому, щоб стати відкритим стандартом, тому нам потрібно зробити це так, щоб воно працювало для будь-якої хмари. Це відкритий код, тому я закликаю всіх додати ще більше підтримуваних платформ і конфігурацій!

Як виглядатиме світ з умовчуваною верифікованою криптографією, і як це може змінити баланс сил між підприємствами, хмарними постачальниками та постачальниками моделей?

Підприємства зберігають контроль над своєю найбільш цінною власністю: своїми даними. Постачальники моделей конкурують за продуктивність і вартість, а не за те, хто може накопичити найбільшу кількість власної інформації. Хмари забезпечують приватність замість того, щоб бути мовчазними спостерігачами її.

Це більш здоровий баланс сил. І вся екосистема виграє, коли безпека будується у фундамент замість того, щоб бути наклеєною зверху.

У майбутньому, де штучний інтелект стає універсальним і сильно регулюється, як ви бачите верифіковану приватність, яка змінює конкурентний ландшафт для підприємств, хмарних постачальників та розробників моделей?

Регулятори вже ставлять питання про те, як зберігається і використовується інформація користувачів. Приватність, заснована на довірі, не задовольнить їх надовго. Користувачі очікуватимуть гарантій приватності так само, як вони очікують шифрування у програмах обміну повідомленнями сьогодні.

Переможцями будуть компанії, які не просять користувачів компрометувати. Якщо ви можете довести приватність, ви заробляєте довіру організацій, які мають найбільш цінну інформацію у світі. Дані стають придатними для використання в місцях, де вони раніше були заблоковані.

Дякую за велике інтерв’ю, читачам, які бажають дізнатися більше, рекомендуємо відвідати Confident Security.