Por ello, la computación confidencial cifra los datos en la memoria, impide que se modifiquen y evita que operadores o proveedores tomen copias. “Así pues, la computación confidencial te proporciona esa protección, la última protección del cifrado 'en uso' y la confidencialidad ‘en uso’, de modo que el único momento en que los datos están ‘in the clear’ es cuando se encuentran dentro de la CPU que se está procesando, y nadie puede verlos a excepción de la CPU en ese momento”, explica Raghu a WIRED.
Salud, banca y modelos que valen millones
En industrias como salud, finanzas o farmacéutico se manejan dos tipos de activos sensibles. El primero son los datos personales, como historiales médicos, tratamientos o información bancaria, sujetos a regulaciones estrictas como la ley de IA de la Unión Europea o la normativa DORA para servicios financieros. El segundo son los modelos de IA que estas industrias entrenan con sus propios datos, los cuales pueden llegar a ser propiedad intelectual muy valiosa. Algunas empresas, señala Raghu, gastan miles de millones de dólares en crearlos.
Por eso, el riesgo no consiste únicamente en que alguien robe los datos utilizados para entrenar una IA. También existe el peligro de que alguien copie o extraiga el modelo. Frente a estos riesgos, la computación confidencial aporta dos grandes beneficios. El primero es la protección de la confidencialidad e integridad de datos y modelos frente al dueño de la infraestructura. El segundo es la posibilidad de demostrar esa protección con pruebas verificables. “No es necesario que confíes en el proveedor", dice Raghu. "Aquí tienes una prueba criptográficamente verificable que demuestra que estás utilizando computación confidencial”.
Agréganos a tus Fuentes Preferidas en Google para seguir nuestro contenidoArrowEl proceso tiene tres pasos, explica Raghu, un experto en atestación al ser arquitecto en jefe de Intel Trust Authority. Primero, el hardware entrega evidencia criptográfica de que el entorno es auténtico. Trust Authority verifica que la firma sea genuina y la clave no haya expirado. Segundo, se compara una “medición” (un hash del código en ejecución) con la esperada, para confirmar que corre exactamente el código previsto. Tercero, se evalúan las políticas del cliente, por ejemplo, “digamos que tienes un conjunto de políticas que dice: necesito ejecutarlo en una nube de Google ubicada en Estados Unidos y necesito ejecutarlo en computación confidencial y en un entorno de Intel, que es Gen 5 en lugar de Gen 4”. Si todo coincide, el servicio emite un token firmado que el cliente puede mostrar a reguladores, auditores o socios.
Raghu lo compara con un pasaporte emitido por el gobierno: un documento firmado por una autoridad oficial que cualquiera puede aceptar como prueba de identidad. De manera similar, la atestación genera una especie de “pasaporte” criptográfico, el cual funciona igual ya sea en Microsoft, Google, IBM Cloud o en servidores propios.
El reto de los agentes autónomos
Est introducción a la computación confidencial concluye con la IA agéntica. Hasta ahora, explica Raghu, el software era determinista, es decir, entradas definidas, salidas definidas, y un modelo de amenazas que se podía probar antes del lanzamiento. Los agentes de IA, en cambio, tienen comportamientos no deterministas y dinámicos, lo que complica ese análisis.
La computación confidencial no resuelve todos esos problemas, pero ofrece una base sólida sobre la cual construir controles. Permite crear identidades de agente de alta integridad, sobre las que se puede levantar una infraestructura de llaves públicas. También permite registrar de forma inmutable y auditable qué hizo cada agente, qué herramientas usó y qué políticas se aplicaron. E incluso sirve para demostrar que un agente está comunicándose con las herramientas y servidores correctos, incluidos los servidores MCP (Model Context Protocol) que conectan a los modelos con distintas capacidades externas.