Confidential Inferenceとは — Claudeの推論を暗号化したまま実行する仕組み

Confidential Inferenceとは何か — 推論中も暗号化を維持する技術

Confidential Inferenceは、AnthropicがPattern Labsと共同で研究している技術で、ユーザーデータを処理の瞬間を除いて常に暗号化された状態に保つ仕組みです。2025年6月18日に公開されたレポートで、その仕組みが説明されています。

狙いは2つあります。①モデル重みのセキュリティ — Claudeのような最先端モデルを、能力の高い攻撃者から守る。RANDが発表した「Securing AI Model Weights」の報告書が指摘する脅威も念頭にあります。②ユーザーデータのセキュリティ — 機密情報が本当に外部から読み取れない状態にあることを、暗号技術で証明可能にする。

Anthropicは毎日、数百万人のユーザーから機密性の高い情報(独自コードから企業の非公開戦略まで)を託されています。この技術は「信頼して任せていい」という状態を、運用上の約束ではなく暗号学的に保証しようとする試みです。Anthropicは公開時のレポートで「まだ研究の初期段階であり、具体的な設計や機能にどうつながるかを予測するのは時期尚早」と明記しており、製品化された機能ではありません。

暗号化されたデータはどこで平文に戻るのか

Confidential Inferenceの前提は「機密データは処理される瞬間以外は常に暗号化されている」ことです。これを実現するために、Anthropicは確立された機密コンピューティング(confidential computing)の手法を採用しています。ソフトウェアの安全性を証明する信頼の連鎖を構築し、その証明をもとに暗号鍵を使えるソフトウェアを厳格に制限する仕組みです。

ユーザーデータが平文(暗号化されていない状態)で扱われる箇所は2つに限られます。

モデルの重み(パラメータ)については、平文で扱われるのは推論サーバーだけです。今回のレポートは推論サーバー側に焦点を当てています。

すべてのアクセラレータが機密コンピューティングに完全対応しているわけではないため、Anthropicは小さく安全な「モデルローダー兼呼び出し役」をこの上に実装する構成を検討しています。このローダーは暗号化データを受け取って復号しアクセラレータへ送る、アクセラレータへの呼び出しを行い暗号化された結果を返す、という2つの単純な仕事だけを担います。復号済みデータに触れられるのはこの「信頼された」ローダーだけで、システムの残り部分はすべて「信頼されない」側として扱われます。

推論サーバーの大部分は「信頼されない」側で動作します。ここは頻繁に変更されますが、変更がシステム全体のセキュリティに影響しない設計です。信頼されたローダーはハイパーバイザーで隔離された別の仮想マシン上で稼働し、推論サーバーからは「仮想アクセラレータ」として見えます。この仮想アクセラレータは、Anthropicの安全な継続的インテグレーション(CI)サーバーによって署名されたプログラムしか受け付けません。つまり実行されるコードは必ず複数のエンジニアによるレビューを経ています。

信頼された環境であることはどう証明されるのか

レポートが定義する「信頼された環境」は3つの特徴を持ちます。①ハードウェアによって他のワークロードから隔離された暗号化メモリ ②デバッグ機能の無効化 ③正しいコードが実行されていることの暗号学的な証明。

①は物理的な攻撃や悪意あるハイパーバイザーからの一部の攻撃を防ぎますが、暗号化されたホストメモリをアクセラレータと共有するための機能はまだ十分に確立されていません。Anthropicはこの部分については、当面クラウド事業者の物理データセンターとハイパーバイザーのセキュリティに依存するとしています。

②と③は、信頼できるプラットフォームモジュール(TPM)を信頼の起点として使う、広く採用されている機密コンピューティングの手法で実現できます。TPMはブートプロセスの各段階を測定し、最終結果を表すハッシュを報告します。このハッシュが、ローダーサーバーが期待通りに隔離され、署名・レビュー済みのコードを実行し、関連するデバッグ機能を無効化していることの証明(アテステーション)になります。鍵サーバーはこの証明を検証し、受信者が安全であると証明できた場合にのみ復号鍵を渡します。

①の限界を踏まえると、この仕組みは暗号学的な保証と運用上の信頼が併存する過渡期の設計だと理解しておくのが実態に近いといえます。

「信頼できる環境かどうか」の最終判断は鍵サーバーに委ねられます。Anthropicは、他の関係者が信頼されたコードを検証し、独立した鍵サーバーを管理するモデルも検討しており、これが実現すればデータごとにより強い機密性の保証を提供できる可能性があるとしています。

今後の拡張として何が検討されているか

レポートは「Future directions」として、モデルがさらに高性能になるにつれて信頼されたローダー層に追加の安全対策が必要になる可能性に触れています。具体例として挙げられているのは、平文のモデル重みを保持するサーバーに対する追加の通信帯域制限(egress bandwidth limitations)と、安全性を判定するクラシファイアの署名がなければ推論を実行できないようにする仕組みの2つです。いずれも「こういう機能が検討に値するかどうかの議論を喚起したい」という位置づけで、確定した実装計画ではありません。

この2つの案は方向性が異なります。帯域制限は「盗み出されたデータの量を物理的に絞る」発想で、署名付きクラシファイアは「危険な出力そのものを実行前に止める」発想です。Confidential Inferenceが暗号化と検証で「誰が読めるか」を制御する技術だとすれば、この拡張案は「読める立場にある側が何をできるか」をさらに絞り込む発想だと整理できます。

企業のデータガバナンス担当者は何を見ておくべきか

Confidential Inferenceがまだ研究段階だとしても、Anthropicがモデル重みとユーザーデータの両方を暗号化保護の対象にしている点は、Claudeの導入可否を判断する材料になります。レポートの結論部分は、保護対象のデータが辿る流れを4段階で整理しています。①リクエストはAnthropicのサーバーに届く前の時点で暗号化されている ②APIサーバーに届いた時点で復号・処理され、次に渡す前に再暗号化される ③推論サーバーはリクエストを暗号化されたまま扱い、信頼されたローダーに送る直前にのみ復号する ④完了した応答はローダーを出る前に暗号化され、APIサーバー経由で呼び出し元に戻る。モデルの重みについては、暗号化して保存し、ローダーで復号し、そこから外に出さないというさらに単純な扱いです。

この設計思想は、既存のClaude API advisorツールの結果暗号化のように個別機能で暗号化を実装する動きとも方向性が一致しています。企業がClaudeに機密情報を入力する際の安全性を検討するときは、現行提供されている保護策とConfidential Inferenceのような将来の研究方向を分けて評価するのが実務上は安全です。前者は今日の契約・設定で確認できる事実、後者はAnthropicが目指す方向性という違いがあります。

Anthropicはレポートの末尾で、ハードウェア設計者に対しても機密コンピューティング機能をチップに組み込むよう呼びかけています。アクセラレータ自体にハードウェアの信頼の起点があれば、この種のシステムの信頼境界を大きく縮小できるという理由です。裏を返せば、現状はハードウェア側の対応が発展途上であることも示しています。

モデル重みのセキュリティとユーザーデータのセキュリティは、脅威の性質が異なる点にも注意が必要です。前者はモデルそのものを盗み出そうとする外部・内部の攻撃者を想定した対策で、RANDの報告書が扱うのもこちらの文脈です。後者は、Anthropicの従業員やインフラ運用者を含め、誰であってもユーザーの入力内容を平文で見られないようにするという、社内ガバナンスにも関わる対策です。同じ暗号化技術基盤の上に、性質の異なる2つの保護対象が乗っている構成だと理解すると、レポートの説明が追いやすくなります。

まとめ

Confidential Inferenceは、Claudeの推論処理中もユーザーデータとモデル重みを暗号化されたまま扱い、信頼された環境でしか復号されないことを暗号学的に証明しようとする研究です。APIサーバーと推論サーバーの2箇所だけが平文データに触れ、その中でもさらに小さく隔離された「信頼されたローダー」だけが実際の復号を行う設計になっています。TPMによるアテステーションと鍵サーバーによる検証が、この信頼を裏付ける仕組みです。ただしAnthropic自身が公開時のレポートで「具体的な機能への道筋を予測するのは時期尚早」としている通り、製品として提供されている機能ではありません。データガバナンスの判断材料にする場合は、この技術の方向性と、実際に契約書やDPAに明記されている現行の保護策とを混同しないことが重要です。