AI riêng tư và AI chủ quyền đang tái định hình ranh giới tin cậy xung quanh việc triển khai mô hình

Trong hầu hết thập kỷ qua, việc chạy một mô hình AI mạnh mẽ đồng nghĩa với việc gửi dữ liệu của bạn tới hạ tầng của người khác và hy vọng hạ tầng đó sẽ hoạt động tốt. Tuy nhiên, cách sắp đặt này đang suy sụp khi vấn đề tin tưởng ngày càng tăng giữa các chủ sở hữu mô hình, chủ sở hữu dữ liệu và nhà cung cấp hạ tầng. Các tổ chức trong lĩnh vực tài chính, y tế, chính phủ và quốc phòng ngày càng muốn chạy mô hình trong môi trường nội bộ của họ, dưới sự kiểm soát của mình, mà không mất quyền truy cập vào những gì đã làm cho mô hình mạnh mẽ từ đầu.

Đây là những gì AI riêng tư và AI chủ quyền cung cấp, và nó không còn là nhu cầu ngách. Thực tế, hơn 95% các tổ chức được khảo sát cho biết AI riêng tư và AI chủ quyền quan trọng đối với chiến lược của họ, mặc dù chỉ khoảng ba trong mười tổ chức hiện đang ưu tiên công việc này một cách cụ thể và ngắn hạn, theo NTT DATA’s 2026 Global AI Report. Một mô hình tương tự được mô tả in McKinsey’s research on sovereign AI ecosystems. Các lộ trình doanh nghiệp cho năm 2026 liệt kê chủ quyền trong hầu hết các trường hợp, nhưng ít tổ chức trong số đó thực sự có một lộ trình khả thi, trong đó nêu rõ các cấp độ khối lượng công việc.

Khoảng cách giữa tham vọng và thực thi phản ánh một căng thẳng thực sự, chưa được giải quyết, khi các doanh nghiệp muốn có các mô hình có thể chạy trong môi trường mà nhà cung cấp không kiểm soát, nhưng các nhà cung cấp mô hình đã xây dựng toàn bộ doanh nghiệp của mình dựa trên việc xây dựng, đào tạo và tinh chỉnh các mô hình.

Tại sao mô hình bảo mật cũ không thể chuyển giao

Bảo mật phần mềm truyền thống giả định có một sự tách biệt tương đối rõ ràng các biện pháp kiểm soát bảo mật. Nhà cung cấp bảo mật mã nguồn của mình trước khi phát hành; khách hàng bảo mật môi trường mà nó chạy. Các hợp đồng, kiểm soát truy cập và ranh giới mạng thực hiện phần còn lại.

Các mô hình AI độc quyền không phù hợp hoàn hảo với mô hình đó. “Sản phẩm” không phải là một tệp nhị phân tĩnh; nó là một tập hợp các trọng số, trong một số trường hợp lên tới hàng trăm tỷ tham số, đại diện cho hàng tháng đầu tư đào tạo và tài sản trí tuệ cốt lõi của nhà cung cấp. Khi các trọng số này được triển khai vào môi trường do khách hàng kiểm soát, nhà cung cấp thực chất đang chuyển giao IP và hy vọng các biện pháp kiểm soát xung quanh sẽ giữ vững.

Các điều khoản hợp đồng và chính sách truy cập không cung cấp nhiều bảo vệ trước quản trị viên hệ thống của khách hàng, một cụm máy cấu hình sai, hoặc một máy chủ bị xâm phạm. Và khi nhà cung cấp mô hình mở rộng triển khai tới trung tâm dữ liệu hoặc môi trường đám mây của người khác, nhiều biện pháp bảo vệ kỹ thuật thông thường không còn áp dụng.

Rủi ro thực sự nằm ở bộ nhớ

Phần bị đánh giá thấp nhất của vấn đề này là những gì xảy ra với mô hình khi nó thực sự đang chạy. Mã hoá dữ liệu khi ở trạng thái nghỉ hoặc trong quá trình truyền tải đã được áp dụng rộng rãi. Khoảng trống xuất hiện khi dữ liệu đang được sử dụng, ngay khi các trọng số được giải mã và tải vào GPU hoặc bộ nhớ hệ thống để thực hiện suy luận.

Các nhà nghiên cứu đã chứng minh các cuộc tấn công trích xuất dựa trên bộ nhớ đối với các mạng nơ-ron đã triển khai. A widely cited academic study cho thấy các kỹ thuật kênh phụ đối với phần cứng bộ nhớ có thể được sử dụng để tái tạo trọng số của mô hình mà không cần chạm tới các tệp gốc của nhà cung cấp. Bề mặt tấn công không phải là tệp mô hình nằm trên đĩa; mà là quá trình đang chạy trực tiếp, trạng thái mà mô hình phải có để có thể sử dụng.

Nhưng bạn thậm chí không cần một cuộc tấn công kênh phụ để trích xuất trọng số mô hình từ bộ nhớ. Một vụ leo thang đặc quyền bằng cách khai thác kernel có thể cho kẻ tấn công quyền quản trị hệ thống để sao chép các trọng số từ bộ nhớ.

Đối với nhà cung cấp mô hình, điều này đồng nghĩa với thời điểm rủi ro kinh doanh cao nhất, khi hạ tầng của người khác đang chạy IP của bạn, cũng là lúc các biện pháp bảo vệ truyền thống yếu nhất. Đó là vấn đề cốt lõi mà các triển khai AI riêng tư và AI chủ quyền phải giải quyết. Ai hoặc gì có thể kỹ thuật nhìn thấy mô hình khi nó đang chạy?

Máy tính bảo mật (Confidential Computing) mở ra con đường, nhưng có giới hạn thực tế

Câu trả lời đầy hứa hẹn nhất cho vấn đề này hiện nay là máy tính bảo mật (confidential computing): môi trường thực thi tin cậy (TEE) dựa trên phần cứng, giữ dữ liệu và trọng số mô hình được mã hoá ngay cả khi chúng đang được xử lý. Confidential Computing Consortium, một cộng đồng mở dưới Linux Foundation, định nghĩa điều này là bảo vệ dữ liệu đang được sử dụng bên trong một TEE đã được xác thực, có nghĩa là môi trường có thể chứng minh bằng mật mã những gì nó đang chạy trước khi bất kỳ khối lượng công việc nhạy cảm nào được giao cho nó.

Xác thực (Attestation) là yếu tố thực sự tạo ra niềm tin giữa nhà cung cấp mô hình và hạ tầng của khách hàng. Nó cho phép mô hình của nhà cung cấp kiểm tra dấu vân tay mật mã của môi trường mà nó sắp chạy và từ chối phát hành trọng số nếu môi trường đó không khớp với những gì đã được ủy quyền. Các nhà cung cấp đám mây lớn đã bắt đầu tích hợp tính năng này trực tiếp vào hạ tầng AI của họ; Google Cloud’s recent confidential computing updates, ví dụ, mở rộng xác thực trên cả phần cứng CPU và GPU, để các khối lượng công việc suy luận được xác minh đầu cuối trước khi bất kỳ khóa giải mã nào được phát hành.

Tuy nhiên, sẽ là một sai lầm nếu coi việc xác thực đã được giải quyết hoàn toàn. Bất kỳ công nghệ bảo mật nào chỉ mạnh nếu được triển khai đúng cách và an toàn.

Nhưng điều đó không có nghĩa là máy tính bảo mật là một lời hứa rỗng. Nó cho thấy lĩnh vực này vẫn còn mới, các công cụ vẫn đang phát triển, và các doanh nghiệp đánh giá nhà cung cấp nên đặt những câu hỏi cụ thể về cách thực hiện xác thực, chứ không chỉ xem nó có xuất hiện trên bảng thông số kỹ thuật hay không.

Triển khai an toàn, linh hoạt đang trở thành tiền đề, không chỉ là tính năng

Trường hợp kinh doanh để giải quyết vấn đề này ngày càng mạnh mẽ. Deloitte’s global enterprise research dự đoán khoản đầu tư tính toán AI chủ quyền sẽ gần 100 tỷ USD vào năm 2026, chủ yếu do các ngành được quy định không có con đường nào để áp dụng AI rộng rãi nếu không có nó. Đặt cược này phản ánh thực tế rằng các quy tắc lưu trữ dữ liệu, chế độ tuân thủ riêng ngành và áp lực địa chính trị hiện đã được tích hợp vào cách các tổ chức lớn lên kế hoạch hạ tầng AI của mình từ trước nhiều năm.

Đối với các nhà cung cấp mô hình, điều này thay đổi hoàn toàn mọi thứ. Khả năng chạy một mô hình một cách an toàn trong môi trường của khách hàng mà không phải nhượng quyền kiểm soát các trọng số đang chuyển từ một điểm khác biệt sang một yêu cầu cơ bản. Những nhà cung cấp không thể cung cấp một phiên bản nào đó sẽ bị loại trừ khỏi các ngành được quy định, có giá trị cao, hiện đang thúc đẩy chi tiêu AI doanh nghiệp.

Tất cả những điều này không loại bỏ được căng thẳng nền tảng giữa khả năng tiếp cận mô hình và bảo vệ IP. Có lẽ nó sẽ không bao giờ hoàn toàn biến mất. Tuy nhiên, hướng đi đã rõ ràng: các doanh nghiệp áp dụng AI ở quy mô lớn không còn sẵn sàng chấp nhận “tin chúng tôi” như một câu trả lời, và những người tìm ra cách đáp lại bằng bằng chứng mật mã sẽ là những người cạnh tranh và giành được thị trường này.