Resumo

  • Em prévia, o VAST DataEnclave propõe executar modelos proprietários com dados empresariais em infraestrutura de terceiros sem entregar ao operador a chave de nenhum dos ativos; o lançamento é esperado para o primeiro trimestre de 2027.
  • A atestação assinada pelo hardware produz evidência do estado medido de CPU, GPU e software. Ela não concede direito de negócio: fornecedor do modelo e empresa precisam controlar políticas independentes de liberação.
  • A aceitação comercial deve exigir evidência recente e ligada à finalidade, comportamento definido em falhas, prazo de revogação medido, registros conciliáveis e uma saída que leve políticas e recibos a outro verificador.

Há uma parcela do mercado de IA que permanece fechada por duas recusas legítimas. A empresa não pode enviar prontuários, projetos, operações ou dados soberanos para um serviço externo. O desenvolvedor não aceita colocar os pesos de seu modelo sob administração do cliente ou da nuvem. A capacidade computacional está disponível, mas nenhuma das partes quer financiar o negócio entregando seu ativo mais sensível à outra.

O anúncio do DataEnclave oferece uma divisão diferente. Máquinas virtuais confidenciais e ambientes de execução confiáveis cobrem CPU e GPU. A carga produz evidência assinada pelo hardware; um verificador a compara com valores de referência; a chave só é liberada se o proprietário do ativo aceitar o resultado. Segundo a VAST, memória da máquina convidada, memória da GPU e tráfego NVLink podem ficar ocultos do operador, de administradores e de outros locatários.

O fornecedor do modelo mantém seu servidor de atestação e seu sistema de gestão de chaves. A empresa mantém o próprio domínio de chaves, escolhe dados, prompts e fontes de recuperação e governa a saída pela rede. O operador continua responsável por colocação, energia, conectividade e disponibilidade, porém não deve receber os segredos. A proposta não elimina confiança; ela a reparte entre papéis com poderes diferentes.

Ainda não há resultado de produção. O produto está em prévia, e a VAST prevê entrega no primeiro trimestre de 2027 por ela e por fabricantes participantes, entre eles Cisco e Supermicro. A distribuição de 24 de setembro repete o calendário e lista apoios do ecossistema. Isso não comprova compra, integração certificada, implantação, desempenho ou receita. As fontes não informam cliente, latência, vazão, impacto sobre uso da GPU, preço, contrato ou economia realizada.

Estado comprovado não significa uso autorizado

A documentação de atestação da NVIDIA trata o processo como verificação criptográfica de afirmações sobre hardware e software. Sua arquitetura de referência para modelos proprietários conecta imagem assinada, valores de referência, nonce recente, avaliação da evidência e corretor de chaves. Evidência antiga, firmware ou medições inesperados, material de endosso revogado e estado não aprovado devem ser recusados.

Esses testes estabelecem uma identidade técnica. Não encerram a decisão comercial. A máquina pode ser autêntica e estar no estado previsto, mas atender ao locatário errado, a um uso não consentido, a uma jurisdição excluída ou a uma versão de dados que perdeu validade. A atestação tampouco prova que o modelo é correto, legal, seguro para a aplicação ou incapaz de revelar dados por uma interface permitida.

O RFC 9334 separa quem produz Evidence, quem a avalia e quem usa o Attestation Result para decidir uma ação específica. Também separa o dono da política do Verifier do dono da política da Relying Party. Um endosso do fabricante pode ajudar a autenticar o equipamento sem ser suficiente para autorizar um recurso.

No DataEnclave, pelo menos duas partes dependentes tomam decisões. O fornecedor libera ou não os pesos do modelo. A empresa abre ou não um conjunto de dados, uma fonte de busca, um prompt ou uma chave. Ambos podem exigir CPU, GPU e imagem aprovados, mas o primeiro talvez acrescente identidade do cliente e versão do modelo, enquanto o segundo acrescenta finalidade, localidade, retenção e saída. O rótulo “atestado” não deve converter a política do verificador em consentimento automático dos dois proprietários.

Atualidade é uma janela, não uma garantia permanente

A VAST diz que a atestação ocorre em cada início, inclusive de uma nova réplica, e se repete quando uma carga em execução precisa de outra chave. Assim, uma instância nova não herda silenciosamente a confiança da primeira. Um nonce recente também reduz o risco de reaproveitar evidência passada.

Mesmo assim, o RFC 9334 reconhece a corrida temporal: o estado pode mudar logo depois da medição. Por quanto tempo uma chave permanece útil dentro da máquina confidencial? Qual alteração obriga nova verificação? Uma política atualizada alcança a carga existente, a próxima renovação de chave ou somente a próxima inicialização? O que acontece se o verificador ficar indisponível, o material de endosso expirar ou uma correção urgente alterar os valores medidos?

A revogação torna a diferença concreta. A VAST afirma que retirar uma autorização impede novas máquinas virtuais confidenciais de receber as chaves necessárias ao modelo. O material público examinado não estabelece que uma instância já ativa termine de imediato nem que uma chave presente em memória protegida se torne inutilizável no mesmo momento. Não é alegação de falha. É o limite entre impedir a próxima inicialização e interromper a execução atual. O comprador deve medir esse intervalo.

Sigilo não compra continuidade

No texto técnico da VAST, a empresa declara que confidencialidade e integridade não garantem disponibilidade. O operador pode se recusar a executar a carga ou pará-la. Uma organização pode manter seus dados secretos e ainda perder a inferência por manutenção, pane, escassez de capacidade ou disputa comercial.

O padrão de falha deve variar conforme a etapa. Uma nova inicialização sem evidência recente deve, em geral, permanecer fechada. Uma operação médica ou industrial que já começou talvez precise de um período curto preautorizado, encerramento seguro ou alternativa local quando o verificador some. Continuar para sempre e desligar abruptamente criam danos distintos. Em ambientes sem conexão externa, valores de referência, revogações e endossos precisam ser atualizados sem que o isolamento transforme confiança em informação vencida.

A VAST descreve dois registros. A infraestrutura preserva o ciclo de vida da carga; o proprietário do modelo ou do dado preserva a atestação e a liberação de chave, incluindo evidência, política aplicada e mudanças. Um mostra quando a máquina começou, escalou ou parou. O outro mostra por que o segredo foi entregue ou negado.

Um recibo conciliável deve vincular imagem, referências, evidências de CPU e GPU, nonce, locatário, finalidade, jurisdição, versão do ativo, versão da política, decisão, identificador da chave e evento de ciclo de vida. Recusas, verificadores indisponíveis e paradas do operador também precisam aparecer. Um histórico só de sucessos esconde rejeições indevidas e a pressão para enfraquecer controles a fim de restaurar o serviço.

A política precisa sair junto com o dado

Mesmo com arquivos cifrados e móveis, pode surgir um novo aprisionamento. Repositórios de referência, regras do verificador, integrações com corretores de chaves, exceções e recibos podem ser mais difíceis de deslocar que os próprios pesos. Se apenas o provedor original entende o histórico, ele se torna porteiro do encontro entre modelo e dados.

O teste de saída deve vir antes da produção: exportar política e referências, reavaliar um recibo representativo com um segundo verificador, mover uma rota de liberação para outro corretor e conciliar os registros depois da mudança. Portabilidade não significa que dois verificadores sempre concordam. Significa conseguir reconstruir qual evidência existia, qual política decidiu e por que o resultado ocorreu.

Limite da evidência

Arquitetura, separação das chaves, momentos da atestação, formulação sobre revogação, registros duplos, limite de disponibilidade e prazo vêm do comunicado da VAST, do artigo técnico e da versão distribuída. A NVIDIA fornece contexto de implementação na arquitetura de referência e na documentação. O RFC 9334 fornece o modelo independente de papéis e políticas. Os testes de aceitação e a leitura econômica são análise editorial.