見出し画像

TEEという地下室——Googleが2026年6月に「AIの信頼」をどう作り変えようとしているか

野崎秀吾

「クラウドにデータを預けるのは、他人の家の金庫に現金を入れるようなものだ」とよく言われる。鍵は持っている。でも、その家の主人が金庫をこじ開けないと、どうやって証明する?

2026年6月23日、Google Cloudがこの古い問いに対する回答をまとめて出してきた。Confidential Computing Summit(2026年6月23〜24日開催)に合わせた発表で、書いたのはSam Lugani(Confidential ComputingのProduct Lead)とRanjit Narjala(同Engineering Lead)。タイトルは「Verifiable, private AI」——検証可能で、プライベートなAI。(実はこの数週間前、AppleがWWDC 2026で同じ方向の先手を打っていた。その話は後半で出てくる。)

これは単なる新機能のお知らせではない。「AIにデータを処理させるとき、その処理環境を信用しなくていい世界」を作ろうとしている話だ。順を追って解説する。


そもそもConfidential Computingとは何なのか

技術用語を一つだけ先に押さえておく。TEE(Trusted Execution Environment、信頼実行環境)だ。

データの保護には三つの状態がある。保存中(at rest)、転送中(in transit)、そして使用中(in use)。最初の二つは暗号化で守るのが当たり前になった。問題は三つ目。CPUが計算するためには、データを一度復号してメモリに展開しないといけない。この「使っている最中」の一瞬、データは丸裸になる。クラウド事業者の管理者も、ハイパーバイザー(仮想化の土台)も、その気になれば覗ける。

TEEは、このメモリ空間をハードウェアレベルで隔離する仕組みだ。CPUの中に鍵のかかった部屋を作り、その中でだけデータを復号する。部屋の外からは——たとえそれがクラウドの運営者でも——中身が暗号化されたままに見える。Googleの説明によれば、Confidential Computingは使用中のデータをハードウェアベースのTEEの中で暗号的に保護し、データの完全性を検証可能にする技術だ。

ここで効いてくるのが「検証可能(verifiable)」という言葉。鍵のかかった部屋がある、というだけでは足りない。「いま自分が話している相手は、本当にその部屋の中にいるのか」を暗号的に証明できないと意味がない。この証明の仕組みをattestation(認証)と呼ぶ。今回の発表は、煎じ詰めればこのattestationをどこまで広げ、どこまで独立させるか、という話に集約される。

発表は大きく四つの柱で構成されていた。一つずつ見ていく。

柱1:Confidential AIを「全世界」で動かす——G4 VMのプレビュー

一番のニュースはこれだろう。NVIDIA RTX PRO 6000 Blackwell GPUを積んだConfidential G4 VMがプレビュー公開された。Confidential VMだけでなく、Kubernetes環境(Confidential GKE Nodes)でも使える。

なぜこれが大きいのか。これまでのConfidential Computingは、主にCPUの中の話だった。だがAIの推論や学習はGPUでやる。GPUの中、そしてCPUとGPUの間を行き来するデータが守られていなければ、AIワークロードを保護したことにならない。

G4はそこを埋めてきた。土台になっているのは第5世代AMD EPYC Turin CPUで、AMD SEVというハードウェアセキュリティ機能を使う。Googleの説明では、このアーキテクチャはTEE内部での処理中にデータを保護するだけでなく、CPUとGPUの間を流れるデータも暗号化する。つまり、AIの計算経路まるごとを暗号化されたトンネルの中に入れる、ということだ。

そして売りは「グローバル規模」。標準のG4が使えるGoogle Cloudの全リージョンで、Confidential G4も使える。しかも課金モデルも豊富で、オンデマンド、リザベーション、DWS Flex Start、Spot/Preemptibleまで揃っている。

この点について、Super ProtocolのCOO、Yulia Gontar氏のコメントが添えられている。組織が複数のインフラ環境にまたがってAIをスケールさせると、データと実行に対するプライバシーとコントロールの維持がますます難しくなる——という課題認識を述べた上で、AIワークフローがエージェント・データソース・インフラの境界をまたぐようになった今、一貫したConfidential AIの動作モデルを提供できる点を評価している。

もう一つ、Vertebrae社のCEO、Andy Qin氏のコメントが具体的で面白い。同社のプロダクトは機密性の高い業務上の会話を処理するため、CPUとGPUの両方がTEEの中で動いていることをハードウェア署名付きで証明(attestation)できる必要があった、と述べている。

ここに注目してほしい。彼らが求めているのは「CPUもGPUも信頼された環境で動いている」というハードウェア署名付きの証明だ。「信じてください」では足りない。「証明してみせろ」という要求に応える基盤、それがG4の本質だと思う。

用途としてGoogleが挙げているのは、AI推論、ファインチューニング、HPC(高性能計算)、そして極めて制限の厳しいデータ・機密モデル・プライベートなプロンプトを扱うケース。しかも性能への影響は最小限だという——ただし、この「最小限」が具体的に何%なのかは今回の発表では示されていない。実環境でのベンチマークは、使う側が自分で確かめる必要がある。

柱2:プロンプトそのものを暗号化する——Prompt Encryption SDKのオープンソース化

これは個人的に一番唸った発表だ。Prompt Encryption SDKがオープンソースで公開された(GitHub: google/prompt-encryption-sdk)。

実行環境を暗号化しても、まだ穴がある。プロンプトとレスポンスそのものだ。あなたがAIに投げる質問、AIが返す答え——その中身が機密情報だったら? 環境だけ守っても、入口と出口で漏れたら意味がない。

このSDKは、推論ライフサイクル全体を暗号化する。プロンプトはクライアントを出た瞬間からTEEで処理されるまで暗号的に保護され、モデルの応答も同じようにクライアントに戻るまで守られる。

仕組みはこうだ。クライアントアプリにClient SDKを組み込み、TEE内で動く推論サーバーにServer SDKを組み込む。両者がattested TLSセッション——認証付きのTLS接続——を確立する。これによってクライアントは、サーバーが検証済みのConfidential Computing環境で、認可されたワークロードを動かしていることを確信できる。その上で暗号化したプロンプトを送る。復号して処理できるのは、そのサーバーだけだ。

要するに、こういうことだ。「正しい部屋」とだけ秘密の通路を繋ぎ、その通路の中だけで会話する。途中で誰かが盗み聞きしても、暗号文しか流れていない。

オープンソースで出してきた意図も読める。暗号プロトコルは、中身が公開されて検証されてはじめて信用される。「ブラックボックスを信じろ」では、verifiable(検証可能)という看板と矛盾する。GitHubのリポジトリとCodelab(チュートリアル)が同時に公開されているので、手を動かして確かめられるようになっている。

柱3:Apple Private Cloud Computeが、Google Cloudの上で動く

これは少し毛色が違う、提携の話だ。そして時系列を正しておく必要がある。

口火を切ったのはAppleのほうで、2026年6月8日、WWDC 2026での次世代Apple Intelligence発表と同時にPrivate Cloud Compute(PCC)をAppleのデータセンターの外へ広げると打ち出した。Googleはその4日後の6月12日に、協業の技術詳細を別記事で公開している(著者はAmit Patilとほか1名のエンジニアリング責任者)。そして6月23日のSummit発表で、この提携を四つの柱の一つとして改めて位置づけた。主従でいうとAppleが主、Googleが従だ。

ここでまず驚くべき事実がある。Appleは今年、GoogleのGeminiファミリーの技術を使って、次世代のApple Foundation Modelsを構築したとApple自身が明言している。Apple Intelligenceを支えるモデルが、オンデバイスからクラウドまで広がる中で、エージェント的なツール利用や複雑な推論といった最も重い処理を、AppleはGoogleとNVIDIAと組んでGoogle CloudのNVIDIA GPU上に載せた。

プライバシーを看板にするAppleが、競合とも言えるGoogleのクラウドを「自社基準を満たす場所」として選んだ——という当初の見立ては、半分しか当たっていなかった。実態はもっと深い。モデルの中身のレベルで両社は組んでいる。

では、Appleはプライバシーの看板を下ろしたのか。下ろしていない。ここがこの提携の肝だ。

Appleは、PCCの5つの中核要件は一切変えていないと宣言している。ステートレス計算(処理後にデータを残さない)、強制可能な保証、特権ランタイムアクセスの排除、ノンターゲッタビリティ(特定個人を狙い撃ちできない)、そして検証可能な透明性。変わったのは実装だけだ——NVIDIA Confidential Computing、Intel TDXを載せたIntel CPU、そしてGoogleのTitanチップ。要件は据え置き、土台だけ他社のシリコンに差し替えた、という構図だ。

Google側の記事を読むと、この土台の役割分担が見える。Titanチップは、ブートプロセスとハードウェアプラットフォーム自体の完全性を担保するハードウェアのroot of trustとして、フリート全体に展開されている。その上にIntel TDXとNVIDIA Confidential Computingが乗り、CPUからGPUまでの計算経路全体を保護する——柱1のG4で見た「計算経路まるごと暗号化」と、まったく同じ思想がここでも貫かれている。そしてPCCの透明性を支えるオープンソースのホストスタックは、AppleとGoogleが共同で設計した。第三者がシステムのセキュリティ特性を独立して検査・検証できるようにするためだ。

しかもAppleは、Confidential Computingだけに依存していない、とはっきり書いている。ファームウェアからホスト・ゲストのOSスタック、アプリケーションコードまで、すべてを信頼コンピューティングベース(TCB)の一部とみなし、検証可能な透明性と特権アクセス排除の対象に含める。サプライチェーン攻撃に備えて、PCCフリート上の全Google Cloudハードウェアを暗号的に検証可能な追記専用台帳で管理する。

ここに注目してほしい。Appleは、ユーザーデータ流出に悪用されうるコンポーネントについて、ソフトウェアの認証(attestation)を独立した複数ベンダー由来の、最低二つのroot of trustに錨を下ろす、と述べている。

これは柱4でGoogleが打ち出したIntel Trust Authorityの思想と、まったく同じDNAだ。「一つの主体を信じる」のではなく、「独立した複数の主体が、それぞれ検証する」。信頼の起点を一箇所に集めない。AppleとGoogleが別々の発表で、同じ設計原理に到達している——というより、同じ原理の上で握手している。

検証可能性の中身も具体的だ。Appleは、Apple silicon上のPCCと同じく全バイナリを公開検査に供する。研究用ツールを提供し、Apple Security Bounty Programを通じて、研究モードのライブPCCノードへのアクセスを開放する。「検証可能(verifiable)」を、外部の研究者が実際に手を動かして確かめられる状態にする、ということだ。

ただし、まだ全部が動いているわけではない。Appleは「夏のプレビュー期間を通じて、保護機能の完全なセットへ段階的に近づけていく」と書いている。完成形ではない。いまは移行の途中だ。

少し俯瞰すると、この提携の意味が見えてくる。守るべきものが「自社のインフラ」から「検証可能な実行環境」へと移ったとき、誰のシリコンで、誰のデータセンターで動くかは二次的な問題になる。プライバシーの牙城だったAppleが、その牙城を「ハードウェアの場所」ではなく「検証可能な仕組み」の上に作り直している。境界が、溶けている。

柱4:土台を広げる——C4対応、Live Migration、Confidential Spaceの強化

残りは地味だが重要な「基盤拡張」の話をまとめて。派手さはないが、Confidential Computingを「特殊な選択肢」から「デフォルトの一部」にしていく動きだ。

Intel TDXがC4マシンシリーズに対応(まもなくプレビュー)。最新の第6世代Intel Xeonプロセッサがベースで、Intel TDXを使ってハードウェア隔離されたTrust Domain(TD)を作る。アプリとデータを、土台のホストやハイパーバイザーから守る。Googleが強調しているのは「数クリックで、コード変更なしにオンにできる」という点だ。導入の摩擦を限りなくゼロに近づけている。

C3DベースのConfidential VMでLive Migrationが一般提供(GA)開始。これは運用上かなり効く。クラウドのハードウェアメンテナンスは避けられない。従来、Confidential VMはこのメンテナンス時に止める必要があった。Live Migrationによって、暗号化されたゲストメモリを露出させずに、ワークロードを中断せずに計画メンテナンスができるようになった。長時間動かし続けるConfidentialアプリにとっては、これがないと本番運用に乗せづらかった部分だ。

そしてConfidential Spaceの強化が三点。Confidential Spaceは、複数の組織が互いにデータを見せ合わずに共同計算できる環境だ。設計思想の核は「ワークロードの運用者すら信頼境界から外す」こと。認可され検証されたワークロードだけがデータにアクセスできる、という暗号的保証を与える。

  • Intel Trust Authority(ITA)との統合がGA。これが今回の隠れた目玉だと思う。ITAは独立したattestation検証サービスだ。つまり、認証の検証をクラウド事業者(Google)から切り離せる。鍵がワークロードに渡される前に、Intelのハードウェアに根ざした認証で環境の完全性を独立検証できる。「Googleが『大丈夫です』と言っているから大丈夫」ではなく、「Intelという別の主体が検証している」。信頼の出どころを分散させる動きだ。

  • NVIDIA Hopper(H100)GPUのサポートがGA。複数の当事者がデータを持ち寄って、H100の性能を使いながら、各自のデータを互いからもGoogleからも守ったまま学習・推論できる。フェデレーテッドラーニング(連合学習)や暗号化RAGといった用途が開ける。

  • 金融機関での採用例も挙がっている。Symphony社のOlivier Richaud氏は、Confidential Spaceによってオンプレミスのサービスと同等かそれ以上のセキュリティ保証を金融機関に提供できる、と述べている。インドのオープン金融エコシステムでの活用を語るSahamati社のコメントもある。

この発表全体を貫く一本の線

四つの柱を並べてみて気づくのは、全部が同じ方向を向いているということだ。「信頼の対象を、事業者から、検証可能な仕組みへ移す」。

これまでクラウドのセキュリティは、結局のところ「事業者を信じる」話だった。Googleが、AWSが、Azureが、悪いことをしない——その前提に乗っていた。Confidential Computingは、この前提そのものを外そうとしている。事業者を信じなくても、ハードウェアの認証で「この環境は正しい」と証明できれば、それでいい。

ITAの統合(柱4)が象徴的だ。検証する主体すらGoogleから切り離す。Appleが独立した二つのroot of trustに認証を錨づける(柱3)のも、Prompt Encryption SDKをオープンソースにする(柱2)のも、同じ思想だ。中身を見せて、別の主体に検証させて、誰でも確かめられるようにする。Apple PCCの提携が成立するのも、信頼が「誰のサーバーか」から「検証可能な実行環境か」へ移ったからだ。

少し引いて見ると、これはAIの普及とセットで起きている。AIに機密データを食わせたい需要は爆発的に増えている。医療記録、財務データ、個人のプロンプト。でも「クラウドの中の誰かが見ているかもしれない」という不安が、その需要にブレーキをかけてきた。Confidential Computingは、そのブレーキを外す部品だ。Googleの言葉を借りれば、AI時代においてConfidential Computingはクラウドの必須レイヤーになりつつある。

残る問い

楽観だけで締めるのは誠実じゃないので、留保も書いておく。

性能への影響を「最小限」としているが、具体的な数値は今回示されていない。暗号化と隔離にはコストがかかる。それがGPU AIワークロードでどの程度なのかは、使う側が実測するしかない。

それから、attestationを「独立」させたといっても、最終的にはIntelやNVIDIAやAMDといったハードウェアベンダーのルートを信じることにはなる。信頼の起点が事業者からシリコンメーカーに移っただけだ、という見方もできる。誰も信じなくていい仕組みなど存在しない。信じる相手を選び直しているだけだ——そう言うと身も蓋もないが、その「選び直し」にこそ意味がある、と僕は考える。Appleが二つの独立したルートを要求したのは、まさに「一社では足りない」という判断だ。

G4のプレビュー、C4の近日プレビュー、ITAとH100のGA、そしてApple PCCの夏のプレビュー。ステータスを並べると、まだ「全部本番で使える」状態ではない。だが方向ははっきりしている。2027年あたりにこの発表を読み返したとき、「ああ、あのへんが転換点だったのか」と思う日が来るかもしれない。来ないかもしれない。いまは、その入口だ。

出典

元発表

  • Verifiable, private AI: Google Cloud expands Confidential Computing frontiers — Google Cloud Blog(2026年6月23日, Sam Lugani / Ranjit Narjala) https://cloud.google.com/blog/products/identity-security/verifiable-trust-in-the-ai-era-whats-new-in-confidential-computing 本記事の元発表。四つの柱(G4 VM・Prompt Encryption SDK・Apple PCC連携・基盤拡張)を公表。「使用中のデータをハードウェアベースのTEEで保護し、完全性を検証可能にする」という定義と、「AI時代にConfidential Computingはクラウドの必須レイヤーになりつつある」という総括が記事の骨子に対応。

柱1:Confidential G4 VM 関連

柱2:Prompt Encryption SDK 関連

  • Prompt Encryption SDK — GitHub(google/prompt-encryption-sdk) https://github.com/google/prompt-encryption-sdk オープンソース公開されたSDK本体。プロンプト/レスポンスをクライアント↔TEE間でエンドツーエンド暗号化し、attested TLSセッションを確立する。柱2の核心であり、「中身が公開され検証可能であること自体がverifiableの看板と整合する」という論点の根拠。

  • Prompt Encryption SDK Codelab — Google Developers https://codelabs.developers.google.com/prompt-encryption-sdk#0 同SDKを試すチュートリアル。「手を動かして確かめられる」に対応。

柱3:Apple Private Cloud Compute 連携 関連

  • Expanding Private Cloud Compute — Apple Security Blog(2026年6月8日, Apple SEAR / User Privacy / Core OS / ASE / AIML) https://security.apple.com/blog/expanding-pcc/ Apple側の一次情報にして、この提携の発火点(WWDC 2026の文脈、Google Summit発表より15日早い)。AppleがGeminiの技術で次世代Apple Foundation Modelsを構築したこと、PCCの5中核要件(ステートレス計算・強制可能な保証・特権ランタイムアクセス排除・ノンターゲッタビリティ・検証可能な透明性)は不変で実装のみ刷新したこと、独立ベンダー由来の最低二つのroot of trustに認証を錨づけること、全バイナリ公開とApple Security Bounty Programによる研究者アクセス、夏のプレビュー期間中の段階的展開——柱3の事実関係すべての根拠。

  • Powering the next era of Confidential AI — Google Cloud Blog(2026年6月12日, Amit Patil / Andrés Lagar-Cavilla) https://cloud.google.com/blog/products/identity-security/powering-the-next-era-of-confidential-ai/ Apple PCC × Google Cloud 連携をGoogle側から扱う記事。Apple発表の4日後に公開。Titanチップをハードウェアroot of trustとしてフリート全体に展開し、ブートとプラットフォームの完全性を担保すること、Intel TDX + NVIDIA Confidential ComputingでCPU-GPU間の計算経路全体を保護すること、PCC透明性のためのオープンソースホストスタックをApple・Google共同設計したこと——柱3後半のGoogle側実装内訳の根拠。

  • Intel TDX 概要 — Intel https://www.intel.com/content/www/us/en/developer/tools/trust-domain-extensions/overview.html 柱3・柱4で登場するIntel TDXの技術概要。Trust Domainの定義元。

  • NVIDIA Confidential Computing — NVIDIA https://www.nvidia.com/en-us/data-center/solutions/confidential-computing/ GPU側のConfidential Computing技術。柱3のスタック構成要素。

  • Titanium ハードウェアセキュリティアーキテクチャ — Google Cloud ドキュメント https://docs.cloud.google.com/docs/security/titanium-hardware-security-architecture Titanチップを核とするGoogle独自基盤。柱3の多層防御の土台。

柱4:基盤拡張 関連

イベント

いいなと思ったら応援しよう！

野崎秀吾 Tokyo WFH Radioという新しく生まれた可処分時間を使って何かに取り組むプロジェクトもやっておりますので、ご興味お持ち頂けたら是非！