The Pulse

VAST Data presenta un runtime isolato a livello hardware per l’IA riservata

VAST Data ha presentato DataEnclave, un runtime per l’IA riservata basato su NVIDIA Confidential Computing. Il sistema è progettato per consentire ai modelli proprietari di elaborare dati aziendali sensibili, proteggendo sia i pesi dei mode

AI.info Team · Scritto con l’IA · verificato · 2026-09-23

Secondo VAST Data, le aziende non dovrebbero essere costrette a inviare informazioni sensibili a un servizio di IA esterno, così come i fornitori di modelli non dovrebbero dover collocare pesi proprietari su infrastrutture che non controllano. La risposta dell’azienda è DataEnclave, un runtime isolato a livello hardware, annunciato il 22 settembre, progettato per far lavorare insieme modelli e dati protetti senza consentire a nessuna delle due parti di accedere alle risorse dell’altra.

DataEnclave è una nuova funzionalità di IA riservata all’interno di VAST DataEngine e VAST AI Operating System. Basata su NVIDIA Confidential Computing, utilizza ambienti di esecuzione attendibili su CPU e GPU, attestazione crittografica e gestione indipendente delle chiavi per controllare quando i modelli e i dati cifrati possono essere decifrati.

VAST sta presentando il sistema in anteprima e lo distribuirà nel primo trimestre del 2027 attraverso VAST Data e i produttori di apparecchiature originali aderenti, tra cui Cisco e Supermicro.

VAST affronta il problema della fiducia tra modelli e dati

Le organizzazioni soggette a regolamentazione nei servizi finanziari, nella sanità e nel settore pubblico conservano spesso i dati più sensibili in ambienti sottoposti a controlli rigorosi. L’invio di questi dati a un servizio di IA ospitato esternamente può entrare in conflitto con le norme di sicurezza, i requisiti di sovranità dei dati o le policy interne. Le aziende che sviluppano modelli affrontano il problema opposto: collocare pesi proprietari su infrastrutture di proprietà dei clienti o di terzi può esporli agli amministratori che gestiscono l’hardware.

VAST descrive DataEnclave come un modo per separare la proprietà dal controllo dell’infrastruttura. Un fornitore di modelli può distribuire un modello cifrato nel cluster di GPU di un’azienda, mentre quest’ultima mantiene i propri dati nel proprio ambiente. Il modello e i dati vengono decifrati solo all’interno di una macchina virtuale riservata, dove, secondo VAST, il sistema operativo host, l’hypervisor, gli amministratori dell’infrastruttura e gli altri carichi di lavoro non possono accedere ai loro contenuti non cifrati.

«I modelli stanno diventando una risorsa che il sistema operativo deve gestire, allo stesso modo in cui gestisce i dati», ha dichiarato Renen Hallak, fondatore e amministratore delegato di VAST Data. «Questo significa sapere quale modello è adatto a quale compito, che cosa può vedere, chi può usarlo e secondo quali regole, e fare tutto questo entro gli stessi confini di sicurezza e operativi che un’azienda applica a tutto il resto».

L’attestazione precede il rilascio delle chiavi

DataEnclave non rilascia le chiavi dei modelli o dei dati al semplice avvio di un carico di lavoro. Il runtime produce prima una prova firmata dall’hardware che descrive l’ambiente, compresi l’hardware, il firmware, il software e le restrizioni applicate all’host. Un server di attestazione controllato dal fornitore del modello o dal proprietario dei dati verifica che la prova sia conforme alla propria policy di sicurezza.

Le chiavi vengono rilasciate solo dopo che l’ambiente ha superato la verifica. Arrivano cifrate, in modo da poter essere decifrate solo all’interno della memoria protetta della macchina virtuale riservata approvata. Se la verifica fallisce, il carico di lavoro cifrato non può essere avviato.

Il processo consente inoltre ai proprietari di mantenere il controllo dopo la distribuzione. Secondo la descrizione tecnica di VAST, l’attestazione avviene all’avvio di ogni carico di lavoro, per ogni nuova replica e ogni volta che un carico di lavoro in esecuzione richiede un’altra chiave. Un fornitore di modelli può quindi impedire che nuove istanze ricevano le chiavi se una licenza scade o una distribuzione non soddisfa più i suoi requisiti, senza dover contare sull’intervento dell’operatore dell’infrastruttura.

DataEnclave utilizza le funzionalità di confidential computing di NVIDIA per proteggere la memoria del sistema guest, la memoria della GPU e il traffico NVLink. Il sistema supporta le piattaforme NVIDIA Hopper, Blackwell e Rubin e può operare in ambienti connessi o completamente isolati dalla rete, utilizzando servizi di attestazione basati sul progetto Trustee della Cloud Native Computing Foundation oppure attraverso l’infrastruttura di IA riservata di Fortanix.

Chiavi separate mantengono il controllo nelle mani di entrambe le parti

Il sistema assegna responsabilità diverse all’azienda e al fornitore del modello. Le aziende possono mantenere il controllo delle chiavi dei propri dati e dei modelli sottoposti a fine-tuning attraverso integrazioni che consentono di utilizzare il proprio sistema di gestione delle chiavi. I fornitori di modelli mantengono il controllo delle chiavi dei propri modelli di base e possono decidere quali ambienti verificati le ricevono.

Nell’esempio fornito da VAST, una banca distribuisce un modello proprietario sul proprio cluster di GPU. Il sistema di ricerca della banca consulta documenti interni e invia estratti selezionati al servizio di inferenza del modello. Gli amministratori della banca possono gestire i server, ma secondo VAST non possono accedere all’immagine del container decifrata né ai pesi del modello. Il fornitore del modello, a sua volta, non riceve i dati originali della banca e vede solo le informazioni che la banca inserisce in un prompt.

L’azienda chiarisce anche i limiti di ciò che DataEnclave garantisce. L’isolamento hardware può proteggere la riservatezza e l’integrità durante l’elaborazione, ma un operatore dell’infrastruttura può comunque rifiutarsi di eseguire un carico di lavoro o interromperne uno già in esecuzione. Gli sviluppatori di ciascun servizio di IA rimangono responsabili dei dati che entrano ed escono attraverso le sue API.

Sviluppatori di modelli e partner infrastrutturali partecipano all’anteprima

VAST annovera Cohere, CrowdStrike, Deepgram, Factory, Fundamental, NVIDIA e TwelveLabs tra le aziende di modelli e tecnologia che sostengono l’annuncio. I loro potenziali casi d’uso spaziano dai sistemi vocali e di cybersicurezza agli agenti di programmazione, ai modelli tabulari e all’analisi video.

«I dati aziendali sono essenziali per un’IA accurata e utilizzabile, e mantenerli riservati è fondamentale per proteggere la proprietà intellettuale nell’era degli agenti», ha dichiarato Justin Boitano, vicepresidente di Enterprise AI di NVIDIA. «L’integrazione di NVIDIA Confidential Computing da parte di VAST Data offre protezione sia alle aziende sia agli sviluppatori di modelli, fornendo sicurezza, identità, autorizzazioni, governance e conformità come fondamenta dell’architettura degli agenti».

Lo stesso runtime sicuro può supportare ambienti isolati per gli agenti di IA attraverso VAST AgentEngine. Queste sandbox sono progettate per limitare i dati, i sistemi e gli strumenti a cui un agente può accedere, registrando al contempo le azioni che compie. Secondo l’azienda, gli eventi di attestazione, i rilasci delle chiavi e le attività del ciclo di vita delle enclave vengono registrati in un registro di audit resistente alle manomissioni e interrogabile in VAST DataBase, senza esporre i modelli o i dati protetti.

La distribuzione è prevista per l’inizio del 2027

Quanto annunciato rimane un’anteprima, non un prodotto disponibile al pubblico. DataEnclave sarà distribuito nel primo trimestre del 2027 attraverso VAST Data e i partner OEM aderenti, tra i quali Cisco e Supermicro sono stati indicati come fornitori iniziali.

La proposta immediata è più circoscritta della promessa generale di eseguire qualsiasi carico di lavoro di IA in modo riservato: i proprietari dei modelli devono comunque definire le proprie policy, gestire un servizio di attestazione o affidarsi a uno di essi e controllare ciò che le proprie API espongono. Il runtime proposto cambia però il momento in cui viene stabilita la fiducia. Anziché basarsi solo su contratti che vietano agli amministratori di esaminare dati o pesi dei modelli, DataEnclave è progettato per non rilasciare le chiavi di decifratura a meno che l’ambiente hardware e software non produca prove accettabili.