Seminar Confidential AI – Modelle, Inferenz und Training in geschützten Ausführungsumgebungen

Confidential AI verbindet moderne AI-Verfahren mit hardwaregestützter Isolation. Dadurch lassen sich Trainingsdaten, Prompts, Embeddings, Modellgewichte und Zwischenergebnisse auch während der Verarbeitung besser gegen Betreiberzugriffe und kompromittierte Infrastrukturkomponenten schützen. Das Seminar zeigt, wie eine durchgängige Vertrauenskette von der Plattformattestierung bis zur kontrollierten Freigabe von Daten und Schlüsseln aufgebaut wird.

Seminarprofil

Im Mittelpunkt steht die technische Umsetzung vertraulicher AI-Workloads. Neben dem Sicherheitsmodell werden CPU- und GPU-basierte Ausführungsumgebungen, Attestation, MLOps-Integration, Datenzugriff, Modellschutz, Beobachtbarkeit und Leistungsbewertung behandelt.

Zielgruppe

Das Seminar richtet sich an Fachkräfte, die sensible oder regulierte Daten für AI nutzen, proprietäre Modelle schützen oder AI-Dienste auf fremdverwalteter Infrastruktur nachvollziehbar absichern müssen.

Seminarinhalte

Bedrohungsmodell für AI

• Schutzbedarf von Trainingsdaten, Prompts, Vektoren, Modellgewichten, Adaptern und Ergebnissen
• Angreiferrollen: Cloud- oder Rechenzentrumsbetreiber, Host-Administrator, Hypervisor, Nachbar-Workload und kompromittierte Pipeline
• Grenzen bei Prompt Injection, Modell- und Datenabfluss über Ausgaben, Anwendungslücken, Seitenkanälen und Verfügbarkeit
• Abgrenzung zu Verschlüsselung ruhender und übertragener Daten, föderiertem Lernen und datenschutzwahrender Kryptografie

CPU- und GPU-Vertrauenszonen

• Confidential VMs mit AMD SEV-SNP, Intel TDX und Arm CCA als Ausführungsbasis
• Hopper- und Blackwell-basierte vertrauliche GPUs, Protected PCIe und zusammengesetzte Attestation von CPU und Beschleuniger
• Aktuelle Gerätepfade mit Bounce Buffer sowie TEE-I/O über AMD Trusted I/O oder Intel TDX Connect, soweit die Plattform dies unterstützt
• Trusted Computing Base, Firmware, Treiber, Runtime, Framework und Modellserver
• Auswahl zwischen VM-, Container-, Enclave- und GPU-basierten Architekturen

Vertrauliche Inferenz und RAG

• Geschützte Modellbereitstellung und kontrollierte Entschlüsselung von Modellartefakten
• Sichere Verarbeitung von Prompts, Systemanweisungen, Embeddings und Kontextdokumenten
• Vertrauliche Vektorsuche und Zugriff auf externe Datenquellen
• Mandantentrennung, Workload-Identität und kurzlebige Berechtigungen für Modellendpunkte

Training und gemeinschaftliche Datennutzung

• Training und Fine-Tuning mit Daten mehrerer Organisationen ohne Offenlegung gegenüber der Infrastruktur
• Sichere Datenräume, Policy-gesteuerte Freigaben und kontrollierte Ergebnisweitergabe
• Schutz von Checkpoints, Optimizer-Zuständen, Adaptergewichten und Exportformaten
• Integritätsnachweise für Trainingsumgebung, Code, Datenfreigaben und Modellversionen

Agentische AI und verifizierbare Ausführung

• Schutz von Agentenspeicher, Systemkontext, Werkzeugzugängen, API-Schlüsseln und kurzlebigen Anmeldeinformationen
• Bindung von Agentenidentität, Modell, Richtlinien und zulässigen Werkzeugen an eine attestierte Workload
• Kontrollierte Außenwirkungen, minimale Berechtigungen und Trennung zwischen Planung, Freigabe und Ausführung
• Reifegrad aktueller Ansätze für attestierte Inferenz- und Ausführungsnachweise ohne Verwechslung von Entwurf und Standard

Attestation und Schlüsselbereitstellung

• Prüfung von Plattform, Firmware, Gast, Container-Image und GPU vor der Datenfreigabe
• Bindung von Nonces, Sitzungsschlüsseln und Workload-Identitäten an Attestation Evidence
• Policy-basierte Freigabe aus KMS, HSM oder Key Broker Service
• Fehlerbilder durch veraltete Referenzwerte, TCB-Änderungen, Zertifikatsketten und nicht passende Messwerte

MLOps und Betrieb

• Vertrauliche Build-, Deployment- und Rollback-Prozesse
• Protokollierung, Metriken und Traces ohne Preisgabe sensibler Inhalte
• Kapazitätsplanung für verschlüsselten Speicher, I/O, GPU und Netzwerkpfade
• Patch-, Incident-, Backup- und Wiederanlaufverfahren für vertrauliche AI-Dienste

Praktische Übungen

• Schutzbedarfs- und Datenflussanalyse für eine RAG-Anwendung
• Attestation eines CPU-GPU-Workloads auswerten und Freigaberegeln formulieren
• Modellartefakt erst nach erfolgreicher Attestation entschlüsseln und laden
• Vertraulichen Inferenzdienst mit kontrolliertem Secret-Zugriff bereitstellen
• Leistungs- und Sicherheitsmessung zwischen geschützter und ungeschützter Ausführung durchführen
• Betriebs- und Störungsfall für einen vertraulichen AI-Endpunkt bearbeiten