Новая «Private Intelligence» от OpenAI отвечает на растущую обеспокоенность бизнеса: кто может видеть данные вашего ИИ?

OpenAI расширяет свою инфраструктуру с нулевым хранением данных в рамках новой масштабной инициативы под названием Private Intelligence. Она объединяет уже доступную усовершенствованную систему проверки безопасности с сохранением конфиденциальности и готовящуюся архитектуру конфиденциальных вычислений, призванную сделать сами выводы ИИ более защищёнными и проверяемыми.

Об инициативе объявили на DevDay 2026 от OpenAI на фоне того, как опасения по поводу утечек данных и раскрытия интеллектуальной собственности становятся всё более актуальными для корпоративных клиентов ИИ.

Недавние публикации The Information показали, что такие компании, как Palantir, Nvidia и Booz Allen Hamilton, ограничивают или пересматривают использование передовых моделей из опасений, что конфиденциальная информация в конечном счёте может принести пользу компаниям, предоставляющим эти ИИ-системы.

Отдельно, споры вокруг недавнего прорыва OpenAI в математике, связанного с уравнениями Навье — Стокса вызвали у исследователей похожие вопросы: может ли неопубликованная работа, введённая в ИИ-системы, тем или иным образом повлиять на будущие модели.

Ответ OpenAI — архитектура, призванная установить более чёткую техническую границу между конфиденциальными данными клиентов и самой OpenAI.

Компания называет эту масштабную инициативу Private Intelligence. Она включает в себя Zero Data Retention с Private Safety Processing — или ZDR с PSP — и предварительную версию второй технологии под названием Private Inference.

По словам OpenAI, первая технология позволяет автоматически проверять безопасность, не предоставляя сотрудникам компании доступ к исходному содержимому данных клиентов. Private Inference, запуск которой OpenAI обещает этой осенью, объединит конфиденциальные вычисления со строгими проверяемыми средствами контроля.

Это разграничение занимало заметное место в презентации генерального директора Сэма Альтмана на DevDay. На слайде, показанном во время основного выступления, Private Intelligence была разделена на две составляющие: «ZDR с Private Safety Processing», описанную как усовершенствованная проверка безопасности без хранения содержимого данных клиентов, и «Private Inference», отмеченную как предварительная версия и описанную как конфиденциальные вычисления с проверяемыми средствами контроля во время обработки.

Для компаний, которым приходится сопоставлять возможности всё более мощных моделей ИИ с риском раскрытия проприетарного кода, исследований или информации о клиентах, этот компромисс приобретает стратегическую важность.

Ответ OpenAI на проблему нулевого хранения данных и проверки безопасности

OpenAI уже предлагает Zero Data Retention, или ZDR, подходящим клиентам API. Согласно стандартной политике, запросы клиентов и ответы моделей не попадают в журналы мониторинга злоупотреблений, а для поддерживаемых вызовов API предусмотрен режим без сохранения данных. OpenAI утверждает, что бизнес-данные не используются для обучения моделей, если клиенты явно не согласятся на это.

Сложность заключается в мониторинге безопасности. По мере того как передовые модели приобретают способность выполнять более продолжительную и автономную работу, OpenAI утверждает, что некоторые злоупотребления или опасное поведение можно обнаружить, только рассматривая несколько взаимодействий в совокупности.

Когда в августе OpenAI представила предварительную версию Private Safety Processing, компания заявила, что существующие проверки безопасности, совместимые с ZDR, в основном анализируют отдельные взаимодействия, из-за чего OpenAI сложнее выявлять закономерности в более длинной последовательности.

Private Safety Processing — это попытка OpenAI сохранить обе возможности. В рамках новой архитектуры ZDR с Private Safety Processing содержимое данных клиентов, отобранное классификатором безопасности или в соответствии с утверждённой политикой выборочной проверки, шифруется и помещается в хранилище под контролем клиента. OpenAI хранит индекс с операционными метаданными и ссылкой на сохранённую запись, а не собственную незашифрованную копию содержимого данных клиента.

Таким хранилищем может быть корзина AWS S3, контейнер Azure Blob или Google Cloud Storage; система также может использовать авторизацию Enterprise Key Management, управляемую клиентом.

Впоследствии зашифрованное содержимое может быть извлечено для автоматической проверки в среде, которую OpenAI называет «средой выполнения проверки безопасности с аппаратным подтверждением».

Эта защищённая среда устроена так, чтобы быть единственной рабочей нагрузкой, способной расшифровать записи, и не допускать доступа сотрудников OpenAI к исходным материалам клиентов.

Из среды в незашифрованном виде могут передаваться только заранее определённые сигналы безопасности и утверждённые операционные метаданные. Более подробные результаты перед передачей из неё снова шифруются.

Иными словами, OpenAI пытается отделить способность своих систем оценивать наличие опасной активности от возможности сотрудников компании видеть, чем именно занимается клиент.

OpenAI утверждает, что материалы, обработанные с помощью PSP, нельзя использовать для обучения моделей или передавать другим подразделениям OpenAI либо её партнёрам.

В формулировке «нулевое хранение данных» есть важный нюанс

Однако в этой архитектуре есть нюанс, который корпоративным специалистам по безопасности стоит учитывать. ZDR с PSP не означает, что после получения результата нигде не остаётся зашифрованной копии запроса или ответа.

Вместо этого, согласно документации OpenAI по PSP, защищённые записи сохраняются в хранилище под контролем клиента на 30 дней, чтобы система автоматической проверки безопасности могла их проанализировать. В течение этого срока клиенты должны обеспечивать работу соответствующего хранилища, разрешений и авторизации ключей.

Разница заключается в контроле и доступности. OpenAI утверждает, что не хранит собственную копию защищённого содержимого, её сотрудники не могут просматривать записи, а клиент контролирует среду хранения и, если это настроено, авторизацию ключей.

Это существенно отличается от ситуации, когда OpenAI сама хранит читаемые журналы мониторинга злоупотреблений, однако при оценке требований законодательства, правовых норм и внутренних политик хранения компаниям, вероятно, придётся учитывать необходимость клиентского хранилища.

Опасения больше не носят гипотетический характер

Анонс OpenAI прозвучал на фоне серии заметных споров о том, что именно разработчики ИИ могут узнать из взаимодействия с клиентами.

Ранее в этом месяце заявление OpenAI о том, что её агенты решили давнюю задачу существования и гладкости решений уравнений Навье — Стокса, вызвало дискуссию о неопубликованных математических исследованиях.

Математик Нью-Йоркского университета Тристан Бакмастер и исследователь Anthropic Левент Альпёге работали над связанными задачами, используя несколько продуктов на основе ИИ, в том числе Codex от OpenAI.

Позже OpenAI сообщила, что проверила, могли ли запросы Бакмастера в Codex повлиять на её результат, и пришла к выводу, что его запросы за два месяца до объявления не могли повлиять на систему, в том числе через обучение.

Но этот эпизод выявил более широкую проблему: даже если компании обещают не изучать напрямую данные организаций, пользователи всё равно могут хотеть более веских доказательств того, что проприетарная информация, введённая в систему ИИ, не попадёт в обучение, оценку моделей или конкурирующие исследования.

The Financial Times описала связанное с научными исследованиями опасение как потенциальную проблему «подсмотреть и присвоить», указав не только на спор вокруг уравнений Навье — Стокса, но и на случай в вычислительной биологии с участием Anthropic: исследователь задался вопросом, могла ли неопубликованная работа, использованная с ИИ-ассистентом, повлиять на более поздние результаты, полученные с помощью ИИ.

Как отмечалось в публикации, прямых доказательств такой передачи нет, однако эти споры заставляют исследователей внимательнее относиться к происхождению данных и конфиденциальной работе с помощью ИИ.

Palantir, Nvidia и Booz Allen уже дают отпор

Похожие опасения возникают и на корпоративном рынке.

The Information сообщила в этом месяце, что Palantir, Nvidia и Booz Allen Hamilton начали ограничивать использование моделей или добиваться более строгих договорных гарантий из опасений, что OpenAI или Anthropic могут узнать что-либо из проприетарной информации клиентов.

По данным издания, некоторые корпоративные клиенты требуют более строгих гарантий ZDR или рассматривают возможность более изолированного развёртывания. Microsoft также использует эти опасения как конкурентное преимущество, предлагая частную инфраструктуру ИИ.

В той же публикации говорилось, что OpenAI и Anthropic заверяют корпоративных клиентов: по умолчанию они не обучают модели на информации, охватываемой корпоративными соглашениями, если только клиенты не согласятся на это. Однако обе компании по-прежнему собирают некоторые виды метаданных, и, по словам отдельных корпоративных клиентов, это различие остаётся недостаточно чётким.

Например, оператор связи C Spire заключил соглашения и с OpenAI, и с Anthropic, запрещающие обучение моделей на его данных, но при этом допускающие сбор технических данных об использовании, сообщало издание The Information. Этот пример показывает, что граница между содержимым данных клиента, метаданными и данными для совершенствования моделей может оставаться размытой даже в рамках корпоративных договоров.

Private Intelligence призвана сократить этот разрыв в доверии

На этом фоне Private Intelligence выглядит не просто очередной стандартной функцией безопасности.

Представляя в августе предварительную версию Private Safety Processing, сама OpenAI заявила, что клиенты просят о предсказуемых гарантиях защиты по мере развития систем ИИ, особенно в случаях, когда требования безопасности в противном случае могли бы вынудить их разрешить провайдеру ИИ хранить конфиденциальные материалы.

Поэтому расширение инициативы, представленное на DevDay, появилось вовремя. Договорные обещания провайдера не обучать модели на корпоративных данных по-прежнему важны. Но для компаний, работающих с исходным кодом, секретной информацией, неопубликованными исследованиями, юридическими документами или другой ценной интеллектуальной собственностью, технические механизмы контроля могут внушать больше уверенности, чем одни лишь формулировки политик.

Private Safety Processing пытается воплотить это обещание в архитектуре: хранилище под контролем клиента, управляемая клиентом авторизация, проверка с аппаратным подтверждением, автоматический, а не ручной анализ и строго ограниченный объём информации, передаваемой OpenAI.

Private Inference может развить эту концепцию ещё дальше. Пока OpenAI раскрыла сравнительно мало подробностей о готовящейся системе. Компания лишь сообщила, что та объединит конфиденциальные вычисления с проверяемыми средствами контроля и появится этой осенью.

Поэтому пока остаются без ответа важные вопросы: какие модели и конечные точки API будут поддерживаться, охватит ли система рабочие нагрузки ChatGPT Enterprise наряду с инференсом через API, какое оборудование для доверенного выполнения будет использовать OpenAI, что клиенты смогут независимо подтвердить или проверить и сколько будет стоить услуга.

От ответов на эти вопросы будет зависеть, насколько значимым окажется новый уровень защиты конфиденциальности на практике. Но общее направление уже очевидно. По мере того как поставщики передовых моделей просят компании доверить ИИ-системам всё более конфиденциальные задачи — не только обобщение документов, но и написание проприетарного кода, работу с внутренними системами, анализ исследований и принятие решений, — клиенты начинают требовать чего-то большего, чем «поверьте нам, мы не обучаемся на ваших данных».

С помощью Private Intelligence OpenAI начинает отвечать на этот запрос так: «Вам не придётся позволять нам видеть ваши данные».