Конфиденциальный AI: кто видит запрос и кто разрешает действие

Конфиденциальный запуск модели решает только часть задачи корпоративного AI. Даже если оператор вычислений не читает запрос, агенту ещё нужно правильно определить пользователя, выбрать доступные ему документы и получить разрешение на действие. Октябрьские материалы Brave, Twilio, Docker и CNCF позволяют разделить эти обязанности до покупки платформы.

Brave 15 октября представила защищённый путь запросов к GLM в Leo: шифрование на устройстве, аттестацию среды и вычисление внутри TEE. Это описание конкретного маршрута, его нельзя автоматически распространять на все модели браузера. В тот же день Twilio изложила подход к идентичности агентов, связывающий действия с владельцем и ограниченными полномочиями. Docker 14 октября разобрала риски автономного исполнения, а публикация CNCF от 8 октября предлагает выражать изменения системы как проверяемое следующее состояние. Последний текст является авторским архитектурным подходом, а не обязательным стандартом CNCF.

Четыре границы, которые нельзя склеивать

Шифрование транспорта ограничивает перехват по дороге. Конфиденциальные вычисления добавляют границу внутри инфраструктуры провайдера. Делегирование определяет, от чьего имени совершается действие. Исполнительный контур решает, допустимо ли конкретное изменение сейчас. Одна успешная проверка не заменяет остальные.

Предположим, сотрудник просит объяснить договор. Защита запроса важна, но сначала сервер должен убедиться, что сотруднику разрешено читать именно этот договор. После ответа может появиться просьба изменить срок. Право прочитать файл ещё не даёт права изменить обязательство компании. Это новая операция с собственными условиями.

Отсюда следует практическое устройство интеграции. Приложение выбирает разрешённые данные до передачи модели; инструмент принимает ограниченный набор параметров; отдельная политика проверяет действие перед выполнением. Модель может предложить решение, но не должна становиться единственным хранителем правил доступа.

Что аттестация не доказывает

Аттестация связывает доверие с определённой средой и исполняемым кодом в рамках заявленной схемы. Она не доказывает правильность ответа и не превращает вредоносную инструкцию в безопасную. Агент в защищённой среде может неверно понять документ и предложить нежелательное действие. Конфиденциальность такого решения сохранится, а ущерб от исполнения останется возможным.

Есть и граница наблюдаемости. Если команда обещает не хранить читаемые запросы, нельзя незаметно восстановить их в логах инструментов. Для расследования обычно полезнее сохранить идентификатор запуска, версию политики, разрешённую операцию, результат проверки и технический код ошибки. Содержание документа требует отдельного решения о необходимости, доступе и сроке хранения.

Защищённый контур также не освобождает от проверки устройства пользователя и внешних инструментов. Если ответ затем отправляется в обычную почту, защита исходного inference не описывает весь путь информации. Для закупки нужен маршрут данных от ввода до конечного получателя, включая резервные провайдеры и обработку отказов.

Условный сценарий: помощник по договорам

Это пример проектирования. Помощник читает договоры одного подразделения, объясняет условия и готовит проект изменения. Рекомендуемая граница: доступ к документам привязан к сотруднику; модель получает только необходимые фрагменты; изменение появляется как черновик с точными полями и основанием. Исполняющий сервис повторно проверяет права и актуальную версию записи.

Если сотрудник подтвердил новый срок, а договор успел измениться, старое подтверждение нельзя применять к новой редакции автоматически. Нужно показать различие и получить решение заново. Если срок действия полномочий закончился, агент прекращает выполнение и сохраняет понятный статус задачи. Продолжать под общим административным ключом было бы подменой договорённости.

Такой проект потребует больше работы, чем подключение чата к папке, зато границы можно проверить. Перед пилотом полезно разыграть отозванный доступ, чужой документ в поиске, истёкшее подтверждение и недоступность защищённого inference. Результат проверки должен быть воспроизводимым отказом либо корректной эскалацией.

Эта архитектура связана с разбором бизнес-логики, статусов и прав. Кейс собственного API показывает контекст связанных приложений. Можно обсудить границы доступа вашего помощника, начав с операций и данных, которым действительно требуется защита.