DataEnclave მოდელს მონაცემებთან უშვებს — გასაღებები ოპერატორს არ რჩება

VAST Data-მ 22 სექტემბრის ანონსით DataEnclave-ის პრევიუ წარადგინა ნიუ-იორკში; მისი გამოშვება 2027 წლის პირველ კვარტალშია დაგეგმილი. VAST DataEngine-ის ეს შესაძლებლობა NVIDIA Confidential Computing-ს იყენებს, რათა დახურული მოდელის წონები და კომპანიის მონაცემები მხოლოდ ატესტირებულ, აპარატურულად იზოლირებულ გარემოში გაიშიფროს. მონაცემისა და მოდელის მფლობელები საკუთარ გასაღებებს ცალ-ცალკე მართავენ; გამოცხადებული არქიტექტურით, ისინი არც VAST-ს და არც გამოთვლითი ინფრასტრუქტურის ოპერატორს არ გადაეცემა.

ინიციატივაში დასახელებული მოდელების მომწოდებლებს შორის არიან Cohere, Deepgram და TwelveLabs, ხოლო ინტეგრირებული სისტემების პარტნიორებს შორის — Cisco და Supermicro. SiliconANGLE-ის რეპორტაჟში VAST-ის თანადამფუძნებელი ჯეფ დენვორთი ამბობს: „Model weights are fast becoming the most valuable intellectual property in the world“. შეთავაზება მიმართულია ბანკების, ჯანდაცვის ორგანიზაციებისა და სახელმწიფო უწყებებისკენ, რომელთა მგრძნობიარე მონაცემების გარე AI სერვისში გადატანა შეიძლება შეზღუდული იყოს. მოდელის მომწოდებელს, თავის მხრივ, სჭირდება გარანტია, რომ სხვის ინფრასტრუქტურაზე გაშვებისას მისი წონები ადმინისტრატორისთვის წაკითხვადი არ გახდება.

ვის ხელში რჩება გასაღებები

DataEnclave-ის ნდობის საზღვარი იწყება მანამდე, სანამ მოდელი ან მონაცემები გაიშიფრება. VAST Data-ს ტექნიკური აღწერით, მოდელის მომწოდებელს შეუძლია ატესტაციის სერვისი და გასაღებების მართვის სისტემა თავის სანდო გარემოში ამუშაოს. საწარმო საკუთარ პოლიტიკას აწესებს თავისი მონაცემებისთვის და დამოუკიდებლად წყვეტს, რა მიეწოდება მოდელს. ამგვარად, სერვერის ფლობა თავისთავად არ აძლევს მის ოპერატორს არც მოდელის და არც მონაცემის გაშიფვრის უფლებას.

ეს გამიჯვნა მნიშვნელოვანია მაშინაც, როცა სერვერები თავად მონაცემის მფლობელ ორგანიზაციას ეკუთვნის. ბანკს შეუძლია მოდელი საკუთარ GPU ინფრასტრუქტურაზე გაუშვას, მაგრამ მოდელის მომწოდებლის გასაღები ბანკის ადმინისტრატორს არ გადაეცემა. თუ დატვირთვას მესამე მხარის AI ინფრასტრუქტურა მასპინძლობს, ოპერატორი ორივე აქტივის მფლობელისგან ცალკე მხარეა. თითოეული მფლობელი თავისი გასაღების გაცემას საკუთარი წესებით აკონტროლებს, მიუხედავად იმისა, ვინ რთავს და ემსახურება მანქანას.

რა ხდება გაშიფვრამდე

ყოველი დატვირთვა იზოლირებულ ვირტუალურ მანქანაში იწყებს მუშაობას, თავდაპირველად გასაღებებისა და წვდომის მონაცემების გარეშე. გარემო აგროვებს აპარატურით ხელმოწერილ ცნობებს პროცესორის, გრაფიკული პროცესორის, პროგრამული გარემოსა და მასპინძლისთვის დაწესებული შეზღუდვების შესახებ. მფლობელის ატესტაციის სერვისი ამ მტკიცებულებას თავის პოლიტიკას ადარებს. გასაღები მხოლოდ შესაბამისობის შემდეგ გაიცემა და ისე იშიფრება, რომ მისი გამოყენება შემოწმებული გარემოს დაცულ მეხსიერებაში იყოს შესაძლებელი; უარყოფილი შემოწმებისას დაშიფრული მოდელის კონტეინერი ვერ გაიხსნება.

AI დატვირთვისთვის მხოლოდ პროცესორის მეხსიერების იზოლაცია საკმარისი არ არის. შესრულებისას მოდელის წონები, მოთხოვნები და შუალედური შედეგები გრაფიკული პროცესორის მეხსიერებაშიც ხვდება, ამიტომ DataEnclave დაცულ საზღვარში CPU-სა და NVIDIA-ს GPU-ს ერთად მოაქცევს. ამ საზღვარმა უნდა შეზღუდოს მასპინძელი ოპერაციული სისტემის, ჰიპერვიზორის, ადმინისტრატორისა და იმავე ინფრასტრუქტურაზე გაშვებული სხვა დატვირთვების წვდომა გაშიფრულ შიგთავსზე. სწორედ დაცულ მეხსიერებაში იშიფრება მოდელის კონტეინერი და წონები, შემდეგ კი მათთან მუშავდება დაშვებული მონაცემი.

ატესტაცია ყოველი ახალი გაშვებისას, მათ შორის დამატებითი ასლის შექმნისას, მეორდება. უკვე გაშვებული დატვირთვაც ხელახლა მოწმდება, როდესაც მას სხვა გასაღები სჭირდება. მოდელის მფლობელს შეუძლია საკუთარ ატესტაციის სერვისში მომავალი გაშვებებისთვის ნებართვა გააუქმოს. ეს ახალი გასაღების გაცემას აჩერებს; მექანიზმის აღწერიდან არ გამომდინარეობს, რომ ადრე გაშვებული დატვირთვაც იმავე წამს ავტომატურად შეწყდება.

რომელი მონაცემი აღწევს მოდელამდე

დაცული გამოთვლა არ ნიშნავს, რომ მოდელი ორგანიზაციის მთელ მონაცემთა ბაზას ხედავს. VAST-ის მიერ აღწერილ საბანკო სცენარში ძიება და მოთხოვნის მომზადება ბანკის საკუთარ სისტემებში, მოდელის იზოლირებული გარემოს გარეთ ხდება. მოდელის API-ში მხოლოდ მომზადებული მოთხოვნა შედის. თუ საეჭვო ოპერაციასთან დაკავშირებული ჩანაწერების შეჯამებაა საჭირო, პროგრამა ჯერ შესაბამის ამონარიდებს არჩევს და შემდეგ გზავნის მათ დასამუშავებლად.

მოდელის იზოლირებული გარემო გასაღებს მომწოდებლის ატესტაციის სერვისისგან გამავალი კავშირით ითხოვს. ამიტომ მოდელის მომწოდებელს ბანკის ქსელში ადმინისტრაციული შესასვლელი არ სჭირდება. ბანკის ქსელური წესები კვლავ განსაზღვრავს, სად შეუძლია გაშვებულ დატვირთვას პასუხის გაგზავნა. ეს საქართველოს რეგულირებული ორგანიზაციებისთვის არსებითი განსხვავებაა: მოდელი შეიძლება მივიდეს იმ გარემოში, სადაც მონაცემები უკვე ინახება, ნაცვლად იმისა, რომ მონაცემთა სრული მასივი გარე სერვისში გადაიტანონ.

მონაცემის შერჩევა მაინც ორგანიზაციისა და მისი აპლიკაციის პასუხისმგებლობად რჩება. თუ პროგრამა მოთხოვნაში ზედმეტ პერსონალურ ინფორმაციას ჩასვამს, მოდელი სწორედ ამ ინფორმაციას მიიღებს, მიუხედავად იმისა, რომ დამუშავებისას მეხსიერება იზოლირებულია. იგივე ეხება პასუხს: აპლიკაცია განსაზღვრავს მის მიმღებსა და შემდგომ გამოყენებას. აპარატურული დაცვა ადმინისტრატორის წვდომას ზღუდავს, მაგრამ ვერ წყვეტს, იყო თუ არა კონკრეტული მოთხოვნის შინაარსი მიზნისთვის აუცილებელი.

რა რჩება სანდო გარემოს მიღმა

ატესტაცია ეყრდნობა აპარატურისა და მისი პროგრამული უზრუნველყოფის მიერ გაცემულ მტკიცებულებას. მფლობელის პოლიტიკამ სწორად უნდა განსაზღვროს მისაღები გარემო და გასაღებების მართვის სერვისი თავადაც დაცული უნდა იყოს. ზედმეტად ფართო პოლიტიკამ შეიძლება გასაღები ისეთ დატვირთვას მისცეს, რომელსაც მფლობელი სინამდვილეში არ ენდობა. კონფიდენციალური გამოთვლა ასევე ვერ ამოწმებს მოდელის პასუხის სიზუსტეს ან იმას, რამდენად უსაფრთხოდ იყენებს პასუხს სხვა პროგრამა.

ოპერატორი დატვირთვის გაშვებასა და შეჩერებაზე კონტროლს ინარჩუნებს. დაცული მეხსიერება მის მიერ მონაცემის წაკითხვის შეზღუდვას ემსახურება და მომსახურების უწყვეტობას არ უზრუნველყოფს. საოპერაციო აღრიცხვაც ორ მხარეს აქვს: ინფრასტრუქტურის მხარეს ფიქსირდება დატვირთვის გაშვება და მისი კონფიგურაცია, ხოლო ატესტაციის სერვისი ინახავს ცნობებს შემოწმებისა და გასაღების გაცემის შესახებ. ეს ჩანაწერები მუშაობის კვალს აჩვენებს, მაგრამ თავად მოდელის ხარისხს არ აფასებს.

DataEnclave ჯერჯერობით პრევიუს ეტაპზეა. გამოცხადებული არქიტექტურის პრაქტიკული შეფასებისთვის მნიშვნელოვანი იქნება დამოუკიდებელი უსაფრთხოების აუდიტი და საწარმოო დატვირთვებზე მუშაობის შედეგები, რომლებიც ამ ეტაპზე წარმოდგენილი არ არის. განსაკუთრებით რეგულირებულ გარემოში სწორედ ისინი აჩვენებს, როგორ მუშაობს გასაღებების განცალკევება პროგრამული განახლებების, ახალი დატვირთვების და ყოველდღიური ადმინისტრირების პირობებში.