Un contratto riservato viaggia verso il cloud attraverso una connessione cifrata e viene conservato su dischi cifrati. Poi arriva il momento delicato: per riassumerlo, confrontarlo o usarlo in una risposta, il computer deve elaborarne il contenuto. Nelle architetture tradizionali i dati vengono quindi decifrati nella memoria del server. È lì che amministratori con privilegi elevati, software compromesso o errori dell’infrastruttura possono teoricamente intercettarli. Il confidential computing nasce per restringere proprio questa finestra, proteggendo i cosiddetti dati “in uso”. Lo strumento centrale è il Trusted Execution Environment, spesso abbreviato in TEE: un ambiente di esecuzione isolato dal resto del sistema attraverso funzioni integrate nel processore. Il codice autorizzato lavora sui dati in chiaro dentro questo perimetro; il sistema operativo, l’hypervisor che gestisce le macchine virtuali e altri processi li vedono cifrati o non possono leggerli. A seconda della tecnologia, il perimetro può racchiudere una piccola enclave applicativa oppure l’intera memoria di una macchina virtuale riservata. Non è un nuovo tipo di intelligenza artificiale: è una base di sicurezza su cui far girare modelli e applicazioni esistenti. Questa differenza determina anche quanto software debba essere considerato affidabile: un perimetro più ampio semplifica la migrazione di un servizio, ma include più codice nella parte che deve rimanere integra.
Perché è importante
- La normale cifratura protegge i dati quando sono archiviati o trasmessi; il confidential computing prova a proteggerli anche mentre vengono elaborati.
- L’attestazione può verificare in modo crittografico hardware, firmware e software prima di consegnare chiavi o informazioni sensibili.
- Una enclave non corregge prompt sbagliati, permessi eccessivi, vulnerabilità dell’applicazione o risultati inesatti del modello.
Il momento in cui la cifratura normalmente si ferma
La distinzione conta perché l’AI aumenta sia il valore sia il movimento delle informazioni. Un assistente aziendale può ricevere email, documenti, credenziali temporanee e dati del CRM; un modello ospitato nel cloud può contenere pesi proprietari che il produttore non vuole esporre. Gli agenti AI iniziano a usare strumenti e dati aziendali, quindi la vecchia protezione del perimetro non basta più. Difendere il file prima e dopo l’elaborazione, lasciandolo scoperto proprio quando serve, equivale a chiudere due porte e dimenticare la terza. L’isolamento hardware è soltanto metà del progetto. L’altra metà si chiama attestazione: un meccanismo crittografico con cui l’ambiente dimostra la propria identità e il proprio stato. Prima di inviare il documento o la chiave che lo decifra, un servizio può controllare che la macchina utilizzi l’hardware previsto, che l’avvio sicuro sia attivo e che il software non sia stato sostituito. Se la misurazione non corrisponde alla politica approvata, il segreto non viene rilasciato. La fiducia smette così di dipendere unicamente dal contratto con il provider e viene appoggiata a una prova verificabile. La politica può stabilire anche regione, versione minima e configurazione consentita: il dato entra soltanto se l’ambiente presenta tutte le condizioni previste, non perché qualcuno dichiara di averle rispettate.
La documentazione di Google Cloud mostra quanto il controllo sia concreto e anche quanto sia tecnico. I rapporti possono provenire dal processore sicuro AMD SEV-SNP, dal modulo Intel TDX o dal TPM virtuale; per le GPU si possono verificare driver, dispositivo e firmware video. Google segnala pure un problema noto che può causare una mancata corrispondenza nell’attestazione GPU e indica come soluzione un arresto completo della macchina. È un dettaglio prezioso: il confidential computing non è una formula magica, ma una catena di componenti, versioni e verifiche che deve continuare a funzionare nelle operazioni quotidiane. Microsoft applica lo stesso principio al suo confidential ledger. La connessione TLS termina dentro un’enclave Intel SGX, ma la sola cifratura del canale non prova che il destinatario remoto sia davvero un nodo legittimo e non modificato. L’autenticazione del nodo aggiunge la verifica dell’hardware e della misura del codice. È la differenza tra spedire una busta chiusa a un indirizzo e accertarsi, prima della consegna, che dall’altra parte ci siano proprio il luogo e il programma autorizzati. Per un flusso AI serio, la seconda garanzia è quella che consente di automatizzare il rilascio di dati sensibili senza affidarsi a un controllo manuale ogni volta.
Perché l’AI rende questa architettura più utile e più difficile
L’uso più immediato è l’inferenza riservata: l’azienda invia prompt e documenti a un modello eseguito in un ambiente attestato, mentre il fornitore protegge anche i pesi del modello. Il vantaggio diventa maggiore quando più parti vogliono collaborare senza consegnarsi i dati originali. Banche diverse potrebbero cercare segnali di frode; ospedali potrebbero contribuire a un’analisi comune; aziende della stessa filiera potrebbero confrontare anomalie. Il calcolo avviene sul materiale condiviso, ma l’infrastruttura riduce ciò che ogni partecipante e lo stesso gestore cloud possono osservare. L’arrivo delle GPU riservate ha reso praticabili carichi molto più pesanti, ma sposta il problema da una singola enclave a un sistema completo. Prompt, cache del modello, risultati intermedi e pesi attraversano CPU, GPU, memoria, rete e storage. Ogni passaggio deve mantenere identità, cifratura e attestazione. Il Confidential Computing Consortium ha finanziato nel luglio 2026 una ricerca sui possibili canali laterali nei servizi LLM su GPU: tempi delle operazioni, consumi o gestione della cache potrebbero rivelare lunghezza dei prompt e confini delle richieste. La protezione della memoria riduce molte minacce; non rende invisibile ogni comportamento del sistema.
C’è poi un limite logico. L’attestazione può provare che è stato eseguito proprio il codice autorizzato; non prova che quel codice sia corretto, che il modello non inventi o che la politica aziendale sia sensata. Lo stesso Consortium sottolinea che l’isolamento non dimostra da solo come un dataset sia stato trattato o quale regola sia stata rispettata. Valutare un agente prima di affidargli un processo resta necessario: test sugli output, permessi minimi, controllo delle fonti e registri delle azioni lavorano a un livello diverso e complementare rispetto alla protezione hardware. Anche un agente perfettamente attestato può seguire un’istruzione malevola contenuta in un documento, inviare un risultato al destinatario sbagliato o usare più dati del necessario. La riservatezza dell’esecuzione non equivale alla correttezza della decisione.
Cosa puoi farci concretamente
- Chiedere al fornitore quale tecnologia protegge CPU e GPU e quale parte del flusso resta fuori dall’ambiente riservato.
- Verificare se l’attestazione viene controllata prima del rilascio delle chiavi, non soltanto dichiarata nella documentazione commerciale.
- Costruire un test con dati sintetici e misurare prestazioni, registri, gestione degli errori e possibilità di revocare l’accesso.
La prova dei fatti
La prima domanda non è “avete il confidential computing?”, ma “che cosa proteggete esattamente?”. Alcuni servizi cifrano l’intera memoria della macchina virtuale, altri isolano soltanto una porzione dell’applicazione; una CPU protetta non implica automaticamente che lo siano GPU, storage temporaneo, registri e strumenti esterni chiamati dall’agente. Serve una mappa del percorso: dove entrano i dati, quando vengono decifrati, quali componenti possono osservarli e dove finisce il perimetro attestato. Una casella selezionata nel catalogo cloud non sostituisce questa ricostruzione. Occorre includere anche telemetria e assistenza: un log troppo dettagliato può copiare fuori dal perimetro proprio il contenuto che l’enclave avrebbe dovuto custodire. La seconda riguarda chi controlla la prova. Un’architettura robusta lega il rilascio delle chiavi all’esito dell’attestazione e conserva una politica aggiornata sulle versioni ammesse. Occorre sapere che cosa succede dopo un aggiornamento, chi approva una nuova misura, come vengono revocate credenziali e quali registri restano disponibili. Anche prestazioni e costi vanno misurati: cifratura, isolamento e verifiche possono aggiungere complessità o limitare alcune configurazioni. Un test con dati sintetici permette di confrontare latenza, compatibilità e comportamento in caso di attestazione fallita senza esporre informazioni reali.
La valutazione editoriale di Opéria Tech è netta: il confidential computing è una delle tecnologie più concrete per ridurre la fiducia cieca richiesta dal cloud AI. Non autorizza però a dimenticare sicurezza applicativa, qualità del modello e governo dei dati. Il risultato migliore nasce da più strati: cifratura in transito e a riposo, ambiente riservato durante il calcolo, attestazione prima delle chiavi, identità limitate, test e responsabilità chiare. Se un fornitore sa spiegare tutti questi passaggi senza nascondersi dietro una sigla, la tecnologia sta probabilmente risolvendo un problema reale.
Fonti
Documenti, comunicati e pubblicazioni consultati per ricostruire dati e contesto.
