Vertrauliches Rechnen gewinnt durch KI an Bedeutung – Agenten stellen das Modell infrage

Confidential Computing beschreibt einen abgesicherten Bereich, in dem Daten vor Diebstahl geschützt werden sollen – unabhängig davon, ob sie ruhen, übertragen oder aktiv genutzt werden. Verschlüsselte Daten liegen dabei in gesicherten Umgebungen und werden durch gegenseitige Attestierungen sowie spezialisierte Hardware geschützt.

Mark Russinovich, Technikchef und stellvertretender Chief Information Security Officer bei Microsoft Azure, sagte auf dem Summit, die zentralen Bremsfaktoren für die Einführung – Geschwindigkeit, Kosten und die Komplexität von Workloads – seien inzwischen gelöst. Er räumte zugleich ein, dass er den Durchbruch von Confidential Computing über Jahre zu früh vorhergesagt habe, nun aber glaube, „dass ich in diesem Jahr richtigliegen könnte“.

Wie sich die Technik entwickelt hat, zeigte Russinovich am Beispiel Google: Zunächst habe der Anbieter Confidential Computing nur auf einzelnen GPUs unterstützt. Später sei die Unterstützung auf Nvidias neuere Blackwell-Chips ausgeweitet worden, womit die Leistungslücke geschlossen worden sei, die die Technik zuvor ausgebremst habe.

Die neue Herausforderung liegt laut Google Cloud in agentischer KI. Unternehmen setzten zunehmend ganze Heere von Agenten ein, wodurch ein neues Bedrohungsmodell entstehe, für das Confidential Computing nicht konzipiert worden sei. Porter sagte, Agenten vergäßen nicht: Wenn Modelle trainiert werden oder Eingaben ausführen, könnten sie die sensibelsten Geheimnisse eines Unternehmens behalten. Entscheidend seien dabei das Kontextfenster und der aktive Ausführungszustand.

Porter nannte als Beispiel einen KI-Agenten, der im Zuge einer möglichen Übernahme ein Unternehmen bewertet und dabei vertrauliche Finanz- und Geschäftsinformationen aufnimmt. Scheitert die Transaktion, vergesse der Agent diese Details womöglich nicht automatisch und entferne sie auch nicht von selbst aus seinem Gedächtnis.

Als Gegenmaßnahme schlug Porter einen eigenen Verschlüsselungsschlüssel für jeden Agenten vor. Damit ließen sich Kurzzeit- und Langzeitgedächtnis sowie gespeicherte oder verdichtete Daten schützen. Löschen ließen sich diese Informationen dann per „Krypto-Schreddern“ – also durch das Vernichten des Schlüssels statt der Daten selbst. „Wir haben alle Lego-Bausteine und alle Fähigkeiten, um das umzusetzen“, sagte Porter.

Dion Harris, Senior Director für High-Performance- und AI-Factory-Lösungen bei Nvidia, sagte Dark Reading, Nvidias Hardware sei für Confidential Computing mit agentischer KI bereit. Unabhängig von den offenen Agenten-Fragen betonte Russinovich, Confidential Computing sei inzwischen so weit fortgeschritten, dass Unternehmen und Staaten Zusicherungen erhalten könnten, dass niemand ihre Modelle, Daten oder Agenten einsehen könne.

Als derzeit prominenteste Einführung nannte der Bericht Apple: Das Unternehmen kündigte im Mai an, Confidential Computing in seiner Private Compute Cloud einzusetzen, um den KI-Zugriff über Milliarden Geräte hinweg abzusichern. Apple hatte PCC bereits 2024 vorgestellt, die Einführung aber wegen des langsameren Siri-Rollouts, offener Sicherheitszusagen und Hardware-Herausforderungen verzögert.

Sanchit Vir Gogia, CEO von Greyhound Research, sagte Dark Reading, Apple habe für Confidential Computing mit seiner bisherigen Tradition gebrochen, intern entwickelte Werkzeuge zu bevorzugen. Ursprünglich habe die PCC-Sicherheitsarchitektur auf Apple silicon basiert. Die neue Umsetzung umfasst nun Google Cloud, Nvidias Confidential Computing auf Blackwell-GPUs, Intel-CPUs mit Trust Domain Extension (TDX) sowie Googles Titan-Sicherheitschip. Damit gebe es mindestens zwei voneinander unabhängige sichere Hardware-Wurzeln des Vertrauens.

Gogia bezeichnete Confidential AI als mehrschichtige Architektur über Hardware, Cloud, Beschleuniger, Attestierung und Modellbereitstellung hinweg. Am Beispiel des iPhone erläuterte er, dass das Gerät eine Vertrauensgrenze zu einem Server aufbaut, an den es geschützte Daten sendet. Die Nvidia-GPU weise sich als sichere Umgebung aus, empfange die Daten, entschlüssele und verarbeite sie auf der GPU, verschlüssele sie erneut und sende sie an das Telefon zurück.

Auch ServiceNow nutzt die Technik bereits produktiv. Laut Kellie Romack, Chief Digital Information Officer, erhalten 9.000 Vertriebsmitarbeiter dadurch schnelle Antworten auf provisionsbezogene Anfragen wie Prognosen und Einkommen. Diese Anfragen enthielten typischerweise geschützte Informationen wie Vergütungsdaten, personenbezogene Daten und Kundendaten zu abgeschlossenen Geschäften. Früher mussten die Beschäftigten Tickets an die Vergütungs- und Finanzabteilung senden, ein manueller Prozess von vier Tagen. Das neue System analysiert die sensiblen Daten in sicheren Enklaven und liefert Antworten binnen acht Sekunden. Es läuft auf Nvidias H100-GPUs, dem Confidential-AI-Computing-Framework von Opaque Systems und Microsofts Azure Cloud.