Red Hat y Duality combinan contenedores confidenciales y aprendizaje federado
El fabricante y la firma de tecnologías de mejora de la privacidad montan sobre OpenShift una arquitectura para entrenar modelos sin que los datos salgan de su jurisdicción.
Red Hat y Duality Technologies han presentado una arquitectura conjunta para lo que llaman IA soberana: entrenar y ejecutar modelos sobre datos que por normativa o por contrato no pueden salir de una jurisdicción concreta. La propuesta combina el motor de privacidad de Duality con OpenShift y contenedores confidenciales, y se apoya en capacidades que ya vienen en los procesadores de Intel y AMD.
Las dos empresas no han publicado versiones, precios ni resultados de rendimiento. Lo que han enseñado es el diseño y los casos de uso.
Cuatro capas
El argumento de partida lo conoce cualquiera que haya montado un pipeline de datos: el cifrado en reposo y en tránsito cubre dos estados, pero no el tercero, el dato en uso. Para entrenar o inferir hay que descifrar en memoria, y ahí queda expuesto a volcados de memoria, al administrador del sistema o a un vecino ruidoso en un entorno multiinquilino. La IA soberana, en la definición del fabricante, exige que el hardware, los datos de entrenamiento, los pesos intermedios y la salida final queden bajo control legal y administrativo local.
La primera capa es OpenShift como orquestador de contenedores confidenciales, proyecto en sandbox de la CNCF que Red Hat impulsa. Estos contenedores usan entornos de ejecución de confianza basados en hardware —TDX de Intel o SEV de AMD— para aislar la carga en enclaves de memoria. Aunque alguien consiguiera root en el sistema operativo anfitrión o en el hipervisor, el contenido del enclave sigue cifrado. La atestación por hardware verifica la firma del contenedor antes de ejecutar nada.
La segunda capa es el aprendizaje federado: en vez de arrastrar los datos a un repositorio central, Duality lleva el entrenamiento a la fuente. Cada nodo calcula actualizaciones locales sobre su propia infraestructura y solo viajan los parámetros intermedios cifrados.
La tercera protege esa agregación. El aprendizaje federado a secas deja los gradientes expuestos a ataques de ingeniería inversa, así que la agregación se hace o bien con cifrado homomórfico completo (FHE), que permite operar sobre datos cifrados sin descifrarlos, o bien dentro de un contenedor confidencial, de modo que ni el operador del servidor ve lo que está agregando.
La cuarta es privacidad diferencial: se añade ruido acotado matemáticamente a pesos y salidas para que nadie pueda deducir si un registro concreto estaba en el conjunto.
Casos de uso
Red Hat enumera cuatro escenarios: cadenas de tiendas que comparten datos de ventas sin identificarse, bancos que colaboran en detección de blanqueo sin intercambiar información personal, hospitales que entrenan modelos diagnósticos y estudios de asociación del genoma sin salirse de HIPAA ni del RGPD, y agencias de defensa que comparten indicadores de inteligencia entre entornos clasificados.
El interés real está en la pieza de contenedores confidenciales, que es open source y no depende de Duality: quien tenga que cumplir requisitos de soberanía puede evaluarla por separado. Lo que falta por ver es si alguien publica números, cuánto cuesta en rendimiento meter la carga dentro de un enclave y qué se pierde al añadir ruido diferencial.
