Modern AI körs på delad infrastruktur med hög prestanda. Enorma mängder känslig data och värdefulla modellvikter bearbetas i miljöer där kapacitet snabbt skiftar mellan olika kunder. Frågan blir oundviklig: hur skyddar man data och modeller medan de beräknas på hårdvara man inte helt kontrollerar?

Kryptering skyddar redan data som lagras och data som skickas över nätverk. Den svaga punkten har alltid varit data i bruk, alltså det ögonblick då informationen laddas in i minnet och bearbetas. Confidential computing finns för att täppa till just det hålet.

De tre tillstånden och det svåraste

Säkerhetsteam tänker vanligtvis på data i tre tillstånd: i vila (lagrad), i transit (på väg över nätverk) och i bruk (under beräkning). De två första har mogna krypteringsverktyg. Data i bruk är annorlunda. För att beräkna data måste systemet dekryptera den i minnet, där den blir läsbar för den som har tillräckliga rättigheter. I ett datacenter med flera hyresgäster innebär det en allvarlig risk, eftersom ett komprometterat lager i stacken kan läsa en annan kunds data eller extrahera en modell.

Vad confidential computing faktiskt innebär

Confidential computing är ett hårdvarubaserat tillvägagångssätt som kör känsliga beräkningar i ett skyddat område kallat Trusted Execution Environment (TEE). En TEE isolerar kod och data från allt annat på maskinen, inklusive privilegierad mjukvara som operativsystem och hypervisor. Inuti en TEE är minnet krypterat och bara auktoriserad kod ser klartexten. Målet är att krympa mängden komponenter man behöver lita på, så att inte ens en angripare med kontroll över värdmjukvaran kan läsa det som bearbetas.

TEE på processornivå

CPU-sidan av confidential computing är den mest etablerade. Intel SGX skapar små enklaver på processnivå. Intel TDX lyfter konceptet till hela virtuella maskiner genom isolerade tillitsdomäner. AMD erbjuder SEV och det nyare SEV-SNP, som krypterar minnet för virtuella maskiner och lägger till integritetsskydd. På Arm-sidan delar TrustZone processorn i en säker och en normal värld, medan den nyare Confidential Compute Architecture introducerar isolerade realms.

Implementationerna skiljer sig, men principen är densamma: minska den betrodda beräkningsbasen och håll data krypterad medan den befinner sig i minnet.

GPU-problemet

Det finns en hake för artificiell intelligens. Träning och inferens körs på GPU:er, inte på CPU:er. En TEE som bara täcker processorn lämnar GPU:n utanför skyddet, och det är just där modellen och datan faktiskt bearbetas.

Nyare hårdvara adresserar detta direkt. Nvidias Hopper-generation, inklusive H100, introducerade confidential computing på själva GPU:n. Det gör att data och modellvikter kan förbli skyddade medan GPU:n utför de tunga beräkningarna, i stället för att team tvingas välja mellan prestanda och integritet.

Heterogena system: CPU och GPU tillsammans

Den verkligt svåra delen är att koppla ihop en CPU-TEE och en GPU-TEE till en enda sammanhängande tillitsgräns. Data måste färdas mellan processorn och GPU:n via länkar som PCIe eller NVLink och förbli skyddad hela vägen. Det innebär vanligtvis krypterade överföringar och säkra mellanlagringsbuffertar så att klartext aldrig exponeras på bussen. CPU:n och GPU:n behöver dessutom autentisera varandra, och hela kedjan måste hålla mot en angripare som kontrollerar värdmiljön.

Attestering: bevis på att miljön går att lita på

Inget av detta har någon mening om den som skickar in data inte kan verifiera vad den skickar till. Den verifieringen kallas remote attestation (fjärrattestering).

Innan känslig data eller modellvikter släpps in i en TEE ber en förlitande part hårdvaran om bevis på att miljön är genuin och kör förväntad, omodifierad kod och firmware. Hårdvaran producerar en signerad mätning av miljön, som sedan kontrolleras mot kända giltiga värden. Om mätningen inte stämmer hålls tilliten tillbaka.

Attestering är hela modellens kärna. Utan den är en enklav bara ett påstående. Och här finns en detalj som lätt missas: attesteringen mäter firmware och komponenter på låg nivå, vilket innebär att hela systemet vilar på integriteten hos hårdvaran och firmware under det.

Hotmodeller och ärliga begränsningar

Confidential computing är konstruerat för att försvara mot starka angripare, inklusive ett komprometterat operativsystem, en illvillig hypervisor eller till och med någon med fysisk minnesåtkomst. Det är en hög ribba och ett verkligt framsteg.

Men det är inte absolut. Sidokanalsattacker, som härleder hemligheter från tidtagning, strömförbrukning eller mikroarkitekturellt beteende snarare än att läsa minnet direkt, förblir ett bestående orosmoment. Det finns också en prestandakostnad för minneskryptering och säker datarörelse som team måste väga mot det skydd man får.

Framför allt förutsätter varje TEE tyst att dess egen firmware och hårdvarurot av tillit är intakt. Om det antagandet faller, faller alla garantier ovanför det.

Grunden som allt vilar på

En TEE:s skydd är bara så starkt som firmware och hårdvara under den. Om en GPU:s firmware har manipulerats, om en förfalskad komponent slinker igenom leveranskedjan, eller om firmware inte saneras ordentligt mellan hyresgäster på delad infrastruktur, undermineras tillitsroten som attesteringen förlitar sig på.

NIST SP 800-223 belyser attacker mot kritiska hårdvarukomponenter, leveranskedjerisker från firmware som ändras snabbt, och utmaningen att validera firmware mellan körningar på delad beräkning. OpenAI:s egen vägledning för säker AI-infrastruktur listar betrodd beräkning för acceleratorer och hyresgästisolering bland sina kärnprinciper.

Enligt Eclypsium, en leverantör av säkerhet för AI-datacenter, fokuserar många aktörer på mjukvarubaserad leveranskedjesäkerhet medan betydligt färre adresserar leveranskedjesäkerhet för själva IT-infrastrukturen. Deras plattform säkrar infrastruktur under operativsystemet och ger kontinuerlig insyn i firmware, hårdvara och lågniväkomponenter över servrar, nätverksenheter och endpoints.

Slutsats

Confidential computing har kommit långt, från processnivåenklaver på CPU:n till fullständigt skydd på GPU:er och vidare till det svårare arbetet med att säkra heterogena CPU- och GPU-system hela vägen. För AI-datacenter som hanterar känslig data och kostsamma modellvikter håller det på att bli en basförväntan snarare än en lyx.

Men modellen håller bara om grunden håller. Betrodd exekvering och attestering vilar på antagandet att firmware och hårdvara är exakt vad de utger sig för att vara. Att säkra det lagret är det som gör varje skydd ovanför trovärdigt, och det bör stå i centrum för varje seriös säkerhetsplan för AI-infrastruktur.