原文タイトル：《IOSG Weekly Brief｜AI の十字路：なぜウォール街は ChatGPT と Claude たちに「ノー」と言うのか？ #336》 原文来源：IOSG Ventures
7 月 1 日、Palantir CEO Alex Karp が CNBC で 20 分間の、いくつかのメディアに「精神崩壊」と評されたインタビューを行った。Karp によれば、企業は最先端の研究機関に token のプレミアムを払っている一方で、自社の IP がモデル提供者に流れていくのを見て見ぬふりしているという。彼はこれを「alpha の移転」と呼び、その移転はアーキテクチャ層で起きていると主張する。クローズドモデルに送られるすべてのリクエストは、平文としてサービス提供者のサーバーに届くからだ。番組の放送数日前に Palantir は NVIDIA との連携を発表し、顧客が自社で管理する環境でオープンな Nemotron モデルを動かすことに加え、9 つの AI 主権宣言も添えた。CNBC の番組が放送された後、PLTR は 8% 急騰した。
過去 20 年間、企業はプロトコル層での信頼を通じてクラウドソフトを採用し、それでうまくいってきた。各 SaaS ベンダーは企業データの断片しか見られず、多くのケースで顧客データを中核製品に還元する強い動機もない。Salesforce は営業チャネルを、Workday は人事を、Jira は開発と反復を、AWS は保存と計算の土台を提供する。だが今日の AI ワークフローは、生産力を最大化するために、ワークフローが要求するあらゆる「家財道具」を一度にアップロードし、さらに各部門をつなぐ構造化された文脈もまとめて提供することを求める。善意はさておき、上流のサービス提供者は今や、これらのデータを新機能のために使えるようになり、サーバーに置きっぱなしにして埃をかぶらせる必要はなくなった。
誰も減速していない。Anthropic の年換算売上は 5 月に 470 億ドルへ達し、2025 年末の 90 億ドルから大きく跳ね上がった。OpenAI は 2 月に 9 億件の週次アクティブユーザーを突破した。両社とも今年の春に新ラウンドの資金調達を完了し、評価額は 1 兆ドルに迫り、さらに高い時価総額での IPO が見込まれている。長年続いてきたプライバシーや IP に関する告発があっても、両社はいささかも勢いを失っていない。
一部の企業はすでに行動に移している。2023 年 2 月、ChatGPT が公開されてから 3 か月足らずのうちに、ウォール街の主要銀行はその利用を制限した。2023 年 5 月、三星のエンジニアがチップのソースコードを ChatGPT に漏えいさせた後、同社は全ネットワークで生成 AI を禁止した。これに対し OpenAI は当年 8 月に ChatGPT Enterprise を投入し、商用データでの学習に使わないことを約束し、さらにゼロデータ保持 (zero-data-retention, ZDR) n プロトコルを併せて提供した。この後者は以後、企業調達の標準要件になった。
だが契約は会社アカウントだけを縛る。IBM は、2025 年までに影の AI（従業員が個人アカウントで会社データを、承認されていない AI ツールに投入すること）が、データ漏えい事案の 5 分の 1 にまで関与していることを発見した。さらに、影の AI のヘビー利用は漏えいコストを平均で 67 万ドル余計に押し上げる。セキュリティ研修会社 Anagram の 2025 年調査では、4 分の 1 の従業員が、タスクをより早く終えるために、AI 利用ポリシーに違反する意思があると回答した。
企業なら少なくともお金で道を買うことができる。ZDR 契約、学習しないサービスプラン、そして政府または Palantir の顧客であれば主権展開。だが、私たちのような一般ユーザーにとって、プライバシー AI は重要かどうかは今なお議論の余地があり、裁判所の召喚状が届くまで決着しない。
2025 年 5 月、1 通の裁判所命令が OpenAI に、ユーザーがすでに削除したコンシューマー向けチャットも保存させた。11 月には、裁判官がさらに、そこに含まれる 2000 万件のデータを『ニューヨーク・タイムズ』の弁護士に引き渡し、ディスカバリー（証拠開示）用資料として提供するよう命じた。続いて刑事事件だ。Palisades 大火の放火被告の ChatGPT 記録が証拠として提出され、フロリダの一家惨殺事件の宣誓供述書では、容疑者による死体の取り扱い方法に関する質問が引用された。Sam Altman も 2025 年 7 月のインタビューで、ChatGPT の会話は法律上の特権に保護されないことを認めている。訴訟では OpenAI は「ユーザーのチャット記録の提出を求められる可能性がある」。
ポイントは、プライベートな会話が必要なのは犯罪者だけではないということだ。人々と AI の対話は記録され、召喚できる。多くのユーザーが存在を知らない監視面の一つがここにある。Kolmogorov Law の 2025 年 10 月の、米国の AI ユーザー 1000 名への調査では、50% がこれらの対話が召喚され得ることを知らず、また 3 分の 2 が、これらのチャットは弁護士や医師と同等の保護を受けるべきだと考えていた。
自社ホスティング、または検証可能な環境で動かすオープンソースモデルは急速に追い上げているが、最強クラスの一部は汎用能力において依然、最先端のクローズドモデルから約 4 か月遅れている。これにより tokenmaxxing を狙う企業や個人は岐路に立つ。プライバシーのために数か月分のモデル品質を諦めるのか、それとも敏感な素材を Anthropic のサーバーに送り続けるのか。競合がまさにそのやり方で生産力の優位を奪っているからだ。
現時点で市場に完璧な解決策はない。各陣営がギャップを縮める試みを整理したレポートは、検証可能なプライバシーのもとで、最先端の知能が企業や一般ユーザーに届くまでどれほど遠いのかを観測している。
プライバシー AI は単一のエンジニアリングではない。しかし現市場にある各メカニズムは、扱っている「同じ出来事」をどう処理するかが異なるだけだ。あなたの端末から 1 つの prompt が出て、ネットワークを通って、モデルを動かしている機械に届き、そして 1 つの返信が返ってくる。違いは、平文がこの経路のどこに存在するのか、そこで誰がそれを読み取れるのか、そして返信の秘密性を何によって検証するのかにある。
この層では、あなた以外の誰かがあなたの平文 prompt を読めてしまう。その先に何が起きるかは、ひとえに一つの約束にかかっている。
· 契約型ゼロ保持は企業向けのソリューションだ。サービス提供者はあなたが誰かを知り、あなたの prompt を処理したうえで保持しないと約束する。実行は契約と評判に依存する。
· 匿名プロキシはあなたが誰かを消すが、あなたが何を言ったかは暗号化しない。下流のサービス提供者は依然として自社のポリシーに従って平文を処理する。各社の条項はさまざまだ。たとえば Duck.ai（DuckDuckGo のチャットボット製品）のような代理はモデル提供者と削除に関する契約を交わす。一方で Venice は、ユーザーに対して「サービス提供者がすべて保持する前提で使う」ことを求めるが、どちらも相互に検証の手段がない。
機械から機械へ向かう各区間はすべて TLS 上で走る。これは通信路だけを暗号化するもので、受け取る側はすべての情報を読むことができる。中継は通常 Oblivious HTTP（RFC 9458）で、この「知る権利」を分割する。原理は、友人にメモを渡してもらうようなものだ。友人は誰が渡したかは知っているが内容は読めない。受取人は内容は読めるが、誰が書いたかは知らない。OHTTP は 2024 年 1 月から IETF の標準になっており、現在すでに多くの会社が、Cloudflare と Fastly から借りた OHTTP 中継上で、本番トラフィックを回している。
これが、クローズドモデルにアクセスして得られるプライバシーの上限である。その理由は算術の問題だ。いまのフラッグシップ級トレーニングにかかるコストは 10 億ドル規模だが、これらの実験室が近万億ドルの評価額を賭けているのは、モデル重みの独占である。モデル能力の差がどれくらい続くかが、そのプレミアムが続く期間を決める。だから実験室は重みファイルを国家機密のように守る。
Meta は受動的に、この実験をすでに行ってきた。2023 年 2 月にリリースされた LLaMA は当初、研究者にのみ提供されていたが、1 週間も経たないうちに重みがシード形式で 4chan に漏えいした。さらに 1 週間後には、llama.cpp が最小の 7B モデルを MacBook 1 台でローカル回答できるようにし、3 日後には Stanford が同じモデルを用いて、600 ドルにも満たない微調整でチャットアシスタント Alpaca を作り上げた。この漏えいは Llama の運用コストを電気代レベルにまで引き下げ、ファイルを入手した誰もが家で動かせるようにした。2023 年 7 月、Meta は Llama 2 を、7 億月間アクティブユーザーの除外条項を付けた商用ライセンスとして正式にオープンソース化した。重みが動き、プレミアムも一緒に走った。
最先端の実験室は理論上、クローズドモデルの推論に attestation（遠隔証明）を付けることもできる。しかし attestation で証明できるのは、どのコードが prompt を読んだかであって、そのコードがそれを使って何をしたかまでは証明できない。サーバーがデータを保持しているかどうかを確かめるには、提供コード（serving code）を監査し、それをハードウェアが報告するハッシュへと組み替える必要がある。だが提供コードを渡してしまえば、利益率を支えるバッチ処理やキャッシュのノウハウも渡すことになる。そしてそれらは、次世代の各モデルに移植される。Apple と Meta が、iPhone と WhatsApp の背後にあるサービススタックに対して遠隔証明をできるのは、利益がデバイスと広告にあり、公開サービスコードを出してもコストがほとんどかからないからだ。
これが、フラッグシップモデルの重みとサービスコードが外部運営者の手に渡らない理由である。外部運営者がいなければ、第三者による attestation もない。attestation がなければ、検証可能なプライバシーはオープンソースモデルの上にしか存在できない。
このカテゴリでは、信頼の約束の代わりに、ハードウェア、暗号学、または物理に基づく証明を使う。ただしそれぞれ、プライバシーを引き上げるために異なるコストが必要で、まず第一に、それらはオープンソースモデルしか動かせない。
· TEE（信頼できる実行環境）機密計算は推論をハードウェア enclave（チップ上にあり、機械の運営者すら開けられない密閉された空間）に入れて走らせる。チップは attestation に署名し、どのモデルのどのコードが実行されたかを明記する。
· prompt は終点でのみ封じる。代理を経由する経路上には、平文を読める役割が残ってしまう。そしてプロキシによる記録や中継内容の漏えいを防ぐのは、プロトコルだけだ。
· **E2EE（エンドツーエンド暗号化）**は読める中継を封じる。ユーザー端末は enclave の鍵で prompt を暗号化し、中間の各ホップが運ぶのは、enclave だけが解ける封印された封筒にすぎない。
· 信頼はクライアントに落ちる。prompt を暗号化し、attestation を検証するコードは同時に、その保証を取り消す能力も持つ。したがって検証可能な E2EE は、証明された enclave だけでなく、同じく公開され再現可能なクライアントコードも必要になる。
· TEE に比べて E2EE は簡潔ではなく、工学的な負担という代償を伴う。そのため機能統合が遅れる。E2EE はプロキシを盲送の使いに変える。結果として、平文を読むことでしか動かない機能はすべて、クライアントの鍵の周りで作り直す必要があるか、あるいは enclave 内部でのみ作り直さなければならない。
· **FHE（完全準同型暗号、MPC の変種も含む）**は、受信を信頼できる当事者自体を取り除く。サーバーは、永遠に開けられないロックボックスの中で暗号文に対して計算を行い、鍵はあなたの手元にある。MPC（多者間安全計算）は prompt を秘密の取り分に分解して複数者に配り、すべての参加者が共謀しない限り同等の効果が得られる。
· 代償は速度だ。FHE は本来足し算と掛け算しかできないため、transformer を動かすための非線形ステップは、高コストをかけて作り直す必要がある。暗号文上の推論コストは、明文の 1 万〜10 万倍。小型モデルでも 1 トークンごとに数秒から数分かかり、暗号化なしならミリ秒で済む。
· 暗号化演算のために設計されたチップはギャップを縮めることが期待されるが、最初のプロトタイプの完成は 2026 年初頭で、その商用版はさらに数年待つ必要がある。
· ローカル推論は、この経路そのものを消し去る。モデルは自分のハードウェア上で動くため、中継もサーバーも、サービス提供者も存在せず、検証要件もない。
· 明らかな代償はコストとモデル能力だ。gpt-oss-120b は Artificial Analysis 指数で GLM-5.2 の約半分のスコアだが、容量は 65GB で、市販のフラッグシップ級ゲーム用 GPU 2 枚分の VRAM 合計を上回る。しかも GLM-5.2 の全精度版は 8 カードのデータセンターノードでしか動かせず、GPU だけで 30 万ドル超かかる。
しかし、これらの構造的制約の外側で、enclave に推論を入れるコストは圧縮されている。単一カード推論において、enclave クラウドの事業者 Phala のベンチマークでは、enclave モードの H100 のスループット損失は平均で 7% に満たない。一方、大規模モデルではゼロに近い。主なコストは enclave の中で計算することではなく、データをチップへ運び込むことだからだ。複数カード推論では、NVIDIA の新世代 GPU Blackwell はチップ間トラフィックの直接暗号化に対応している。古い H100 で同等の効果を得るには、CPU ホストに回り込ませる必要があり、必要帯域は 7 分の 1 になる。NVIDIA 自社の Blackwell ベンチマークでは、397B モデルは enclave モードでのスループット損失が 8% 未満だ。これらの進展により、プライバシー推論そのものの性能損耗は、もはや決定的な制約ではなくなっている。
実際、enclave 自体は運営者に追加の実行コストをほとんど課さない。2023 年以降に出荷された各 H100 には enclave モードが標準搭載されている。追加コストは暗号化によるスループット損失であり、追加チップではない。現時点でも Azure 上の機密 H100 SKU のレンタル価格は 1 時間あたり 8.90 ドルで、enclave を使わない場合は 6.98 ドル。伝統的なクラウド施設に対する上乗せは 27% 相当だ。対して、Phala のように enclave を専門に提供する運営者では、機密モードの H100 は 1 時間あたり 3.80 ドルから貸し出されており、Lambda の一般 SXM カードの 3.99 〜 4.29 ドルの価格帯を下回る。ホスティング API 方式では、NEAR AI が attestation 付きエンドポイントで gpt-oss-120b を、入力 1,000,000 トークンあたり 0.15 ドル、出力 1,000,000 トークンあたり 0.55 ドルで提供しており、明文ルートの Amazon Bedrock、Together、Groq と同水準だ。複数チップ並列が必要なモデルでも、NEAR AI は GLM 5.2 において Fireworks と価格が同じで、より大きい Kimi K2.6 では入力が 15% 安く、出力が 4% 安い。
これらの新しいプライバシー推論サービスが、利益を燃やしてシェアを取りにいくかもしれない（この言葉は、市場で成長を狙う会社ならどれも当てはまる）としても、構造的な流れははっきりしている。プライバシーのコストは、消費者にも運営者にも下がってきている。
性能の上振れコストは圧縮されていても、最先端モデルと SOTA のオープンソースモデルの間には、目に見える距離がまだある。生産力を最大化したい主体が最前線に残るには、最先端の実験室を信じて、自分の IP が盗まれないことを前提にする必要がある。
ギャップはまだある。しかし Bridgewater 傘下の AIA Labs と Thinking Machines は 6 月 30 日に、1 つのケースを提示した。専門家によるラベル付けの微調整を使うことで、精度とコストの両面で最先端モデルを上回るオープンモデルが存在する、というものだ。
研究では、チームが Tinker（Thinking Machines のホスト型微調整 API サービス）上で Qwen3-235B を微調整した。彼らはまず、ベンダーからラベル付きデータを購入し、そのデータで第一ラウンドを学習。その後、意見の食い違うサンプルを会社の投資担当者に回して再ラベル付けした。学習は強化学習（GRPO）で、さらに 3 つの改変を加えた。round-robin batching（各タスクが順番に 1 バッチずつ出す）、CISPO loss（単一回答がモデルを引きずり込む距離の上限を制限）、on-policy distillation（現時点で最適な checkpoint に固定し、より弱い複製へ学習が流れないようにする）。
タスクはすべて、投資担当者の日常ワークフローから取った。ニュースが C-suite レベルの投資専門家にとって重要かどうか、中央銀行文書が将来の金利変動の方向を示唆しているかどうか、文書やメール内のテンプレ文言はどこから始まるか。スコアは独立したテストセットから得た。最先端モデルは単純な prompt で平均スコアが約 50%。専門家の prompt を付けても 78.2% に留まり、投資担当者が設定した 80% の合格ラインを下回った。微調整後の Qwen は 84.7% を得た。原文の定義に従えば、これは最先端の最良モデルより誤りが 29.8% 少ないことに相当し、推論コストは 13.8 倍低い。
https://thinkingmachines.ai/news/learning-to-replicate-expert-judgment-in-financial-tasks/
このケースは、オープンソースモデルが精度とコストで勝てることを示している。ただし、学習プロセスはまだ私的（private）ではない。学習中に使われた専門家によるラベル付けは Bridgewater の私的データであり、Tinker の第三者サービスを経由して、ZDR プロトコルと同じ信頼レイヤーに落ちてくる。さらにファンドは算力もレンタルし、その学習はファンドが一度も掌握していないマシン上で実行される。この配合（レシピ）を手に入れたいが、信頼の前提を背負いたくない買い手にとって、今日の選択肢はほとんどない。むき出しの GPU クラスタを借りて、学習プロセスがクラウド運営者に読める状態にする。クラスターを買い取ってデータの置き場問題は解決できても、コストは跳ね上がる。
attestation 付きのルートはようやく到来した。3 月、Workshop Labs と Tinfoil が Silo を公開した。Tinfoil の enclave 上で走る、単一の 8 カードノード用の後処理スタックで、鍵は顧客だけが管理する。記事が提示した enclave のコストは、2 時間の学習に 11 分余計にかかるというもの。そしてこのスタックは、基盤となる重みを凍結し、その上で小型の adapter だけを学習することで、1 兆パラメータ級モデル（Kimi K2 Thinking）にも載せられるという。難所は強化学習が各コンポーネント間でデータを行き来させる必要がある点で、まさにデータ移送こそ enclave コストがかかる部分だ。
Silo 公開から 1 か月も経たずに Workshop Labs は Thinking Machines に買収され、enclave 上で Bridgewater 式の RL ループに必要な部品一式は、いまや同じ会社名のもとに集約されている。
もう一つの問題が、すべての私的推論メカニズムの外側に横たわっている。これらのメカニズムは各自で、prompt がモデルに届くまでの経路を扱っている。一方、agent が開始する外部ツール呼び出しのたびに生まれる推論層は、モデルが到達できない領域だ。最近の harness engineering の潮流はこの問題を倍化させている。モデルの周りに接続される各ツール、メモリリポジトリ、データソースはすべて、平文として自分のワークフロースライスを読ませるための別の目的地になっている。カレンダーサーバーは予定を読む。DB サーバーはクエリを読む。完全にローカルな agent であっても、訓練データセット以外の何かを得ようとすれば、結局は検索語を平文で検索エンジンへ渡す必要がある。サーバーが平文を読めないなら答えられず、結果として質問に応えられない。
主流の解法は依然としてプロトコル層に寄せる発想だ。Runlayer や MintMCP のような会社は、中央のゲートウェイでツールのトラフィックをすべて制御し、リクエストが外へ出る前に個人の身元情報（PII）を隠す。ゲートウェイは同時に、どのサーバーがトラフィックを受け取れるかを決め、審査されていないものは門前払いし、さらに各呼び出しの目的地と内容を記録して証跡（取証）に備える。これらの統制に独立監査（SOC 2）が付いていたとしても、ツールサーバーは回答するために平文クエリを読む必要がある。それをサーバーが複製するかどうかは、自社の保持（留存）条項次第であり、さらに harness 内のあらゆるツールにまたがって行われる。加えて、ゲートウェイ自体も経路上に増える「信頼できる読み取り側」であって、検証ではない。
構造層のソリューションは中間層に切り込む。たとえば Phala は MCP server を TEE に直接ホストする。ディレクトリはウォレット、コード実行、データソースをカバーし、ユーザーは運営者を信じるのではなく attestation の一式でプライバシー宣言を検証できる。だが TEE にホストされたツールも、結局はクエリを平文でサービス提供者に渡さなければならない。enclave が封じるのは使い（信使）であって、目的地ではない。
少数の目的地は「読まずに回答する」ことを学んでいる。ただしそれは構造化クエリに限られる。Apple は iPhone 向けにプライベート情報検索を提供し、電話番号を迷惑電話のデータベースと照合する際に番号を露出させる必要がない。Microsoft も Edge ブラウザでパスワードに同じ方式を使った。MongoDB の Queryable Encryption は、クライアントがフィールドを離れる前に暗号化し、サーバーは暗号文だけで等値・範囲マッチングを行えるようにする。
しかしオープン形式の検索では、今日いちばん良い答えは「信頼」に留まる。検証可能な暗号検索はまだ実験室を出ていない。Brave は自社の 40 億ページのインデックス（Google のものではない）上で、ゼロデータ保持を約束しているが、それでもプロトコル層に依存している。Exa はニューラルインデックスを構築し、ユーザーのキーワードを語義（セマンティクス）へ埋め込み、語義に基づくマッチで結果を並べる。しかし埋め込みのステップは依然 Exa のサーバー上で平文から計算される。MIT の 2023 年の Tiptoe 論文は 3.6 億のウェブページ上で、クエリを開示せずにランキングを完了させるが、検索のたびに大量のサーバー計算力を燃やす必要があり、並べ替え品質は暗号化しない検索に劣る。Apple の 2024 年の Wally 論文は、実際のクエリを多数のダミーに紛れ込ませて通信コストを最大 31 倍まで圧縮できるとしたが、この数学は数百万の同時クエリで初めて安くなる。だがその規模は、今日どのプライベート検索システムも持っていない。
暗号検索は実現できる。ただし性能と価格が、まだ商用に耐える水準へ届いていない。
プライベート AI の需要は増えている。Venice AI は最近、登録ユーザー 350 万人と、月間 1.3 兆トークンのスループットを突破し、その後新たに、評価額 10 億ドルの Series A の株式資金調達を完了した。Proton はその直接の競合で、チャット製品 Lumo はリリースから 1 年以内にユーザーが 1000 万人を突破した。インフラ面では、Phala は現在 OpenRouter 上で日次 20 〜 30 億トークンを回している。Duck.ai は gpt-oss-120b と Gemma を Tinfoil の enclave にルーティングし、ユーザー代理に限らない検証可能なプライバシーを提供する。これはまだ自社ホスティング分を含んでいないが、それも含めれば、おそらく私的推論の最大のチャネルになる。モデルが自分のハードウェアで動き、利用の痕跡を残さないからだ。
だが主流 AI の大波の中で見ると、プライバシー AI はごく一部にすぎず、このギャップが縮まるのは、前線の実験室がわざわざその需要を満たそうとしたときだけだ。5 月、Google は全プロダクトで 3200 万億トークンを処理した。これで計算すると、Venice の 1 か月のスループットは Google の約 18 分に相当する。去年 11 月、Google は Private AI Compute (PAC) を投入し、Gemini を動かす一部機能を、会社自身と隔離された密封 TPU enclave の中で実行するようにした。さらに設計は NCC Group が独立監査する仕組みも用意されている。ただし PAC は、パーソナライズ推奨や録音の要約といった少数の Pixel 機能のみをカバーし、数億人が使う Gemini のアプリ全体はカバーしていない。Google が監査側に設計を出すのは、これらの機能が端末と広告で収益化でき、token を売って稼ぐ必要がないからだ。
現状のホスティング案も完璧ではない。E2EE で最高のプライバシーを得たいなら、サービス提供者が読めない場所で新機能を作り直すのを待たなければならない。価格が妥当な後学習（後トレーニング）で、最良の微調整結果を得るには、結局第三者サプライヤーへの信頼が必要になる。自社ホスティングならすべてのサービス提供者を一気に切り離せるが、ローカルで最強のオープンソースモデルを動かすと、つながれているその家（物理的な建物）のコストより高くつく可能性がある。
欠点は欠点として、私的 AI はすでに「実在し、かつ負担可能な」選択肢になっており、残るギャップも縮んでいる。一般消費者向けでは、Lumo と Venice 上で、ログなしの約束のもとオープンモデルのプライベートチャットは 1 円もかからない。Venice または Tinfoil の 18〜20 ドルのサブスクでも、同じチャットを enclave に封じるので、ChatGPT のサブスクより高いわけではない。企業ワークフローでは、attestation 付きのエンドポイントは、明文ルートよりもむしろ安くなりつつある。NEAR の E2EE API のようなエンドポイントでは暗号化されたコンテキストを enclave に持ち込めるようになり、記憶、ファイルアップロード、カスタム指示も、今日では E2EE の上で動かせる。attestation 付きの後学習については、NVIDIA が近日リリースする Vera Rubin NVL72 により、機密計算が Blackwell の 8 カードノードから 72 カードのラックへ拡張され、最先端の RL ループを IP を露出せずに回すことがより現実的になる。
しかし、肝心の価値の取り込みは、これらの価格圧縮が起きているレイヤーの外にある。プライバシーはすでに存在している場所ではほぼ無料だが、まだ主流の agentic ワークフローを覆えていない。このギャップを埋めるには時間がかかり、そしてその差は、まだ解かれていない「レポートに残された半分」にある。enclave に閉じ込めた学習ループ、端から端まで封じられたツール呼び出し、見えない語彙（検索インデックス）。誰が最初にこれらのうち一つを完成させるかが、売れるのはあらゆる価格競争でも商品化できないものになる。プライバシー AI を追う資本が買うべきは、あの「スイッチ」ではなく、欠けているピースだ。
だから、信頼か検証か？ 念入りな実行や念入りな agent が必要なタスクでは信頼を選ぶ。なぜなら、各ツール呼び出しがそもそも明文を enclave では封じられない目的地へ持ち込むからであり、最先端モデルがこれらのループでその価格に見合う成果を出せるからだ。一方で、ある会社を競合と区別する高次の思考（戦略、計画、長年の専門経験から抽出された判断）という、まさに論争の的になっている alpha では検証を選ぶ。前へ進む道は、自社で管理できる境界の中で、これらの独自洞察を使ってオープンソースモデルを微調整することにある。alpha が存在する領域では、専門家が調整したオープンモデルが精度とコストの両面で最先端をすでに上回っており、プライバシー環境でそれを構築するためのインフラも、1 ノードずつ整ってきている。
原文リンク
律動 BlockBeats が募集中の職種を確認するにはクリック
律動 BlockBeats 公式コミュニティに参加しましょう：
Telegram 購読グループ：https://t.me/theblockbeats
Telegram 交流グループ：https://t.me/BlockBeats_App
Twitter 公式アカウント：https://twitter.com/BlockBeatsAsia
1.16M 人気度
225.93K 人気度
72.07K 人気度
763.15K 人気度
184.17K 人気度
IOSG：なぜウォール街の人々はChatGPTやClaudeたちに「ノー」と言うのか？
なぜ私的AIが必要なのか
7 月 1 日、Palantir CEO Alex Karp が CNBC で 20 分間の、いくつかのメディアに「精神崩壊」と評されたインタビューを行った。Karp によれば、企業は最先端の研究機関に token のプレミアムを払っている一方で、自社の IP がモデル提供者に流れていくのを見て見ぬふりしているという。彼はこれを「alpha の移転」と呼び、その移転はアーキテクチャ層で起きていると主張する。クローズドモデルに送られるすべてのリクエストは、平文としてサービス提供者のサーバーに届くからだ。番組の放送数日前に Palantir は NVIDIA との連携を発表し、顧客が自社で管理する環境でオープンな Nemotron モデルを動かすことに加え、9 つの AI 主権宣言も添えた。CNBC の番組が放送された後、PLTR は 8% 急騰した。
過去 20 年間、企業はプロトコル層での信頼を通じてクラウドソフトを採用し、それでうまくいってきた。各 SaaS ベンダーは企業データの断片しか見られず、多くのケースで顧客データを中核製品に還元する強い動機もない。Salesforce は営業チャネルを、Workday は人事を、Jira は開発と反復を、AWS は保存と計算の土台を提供する。だが今日の AI ワークフローは、生産力を最大化するために、ワークフローが要求するあらゆる「家財道具」を一度にアップロードし、さらに各部門をつなぐ構造化された文脈もまとめて提供することを求める。善意はさておき、上流のサービス提供者は今や、これらのデータを新機能のために使えるようになり、サーバーに置きっぱなしにして埃をかぶらせる必要はなくなった。
誰も減速していない。Anthropic の年換算売上は 5 月に 470 億ドルへ達し、2025 年末の 90 億ドルから大きく跳ね上がった。OpenAI は 2 月に 9 億件の週次アクティブユーザーを突破した。両社とも今年の春に新ラウンドの資金調達を完了し、評価額は 1 兆ドルに迫り、さらに高い時価総額での IPO が見込まれている。長年続いてきたプライバシーや IP に関する告発があっても、両社はいささかも勢いを失っていない。
一部の企業はすでに行動に移している。2023 年 2 月、ChatGPT が公開されてから 3 か月足らずのうちに、ウォール街の主要銀行はその利用を制限した。2023 年 5 月、三星のエンジニアがチップのソースコードを ChatGPT に漏えいさせた後、同社は全ネットワークで生成 AI を禁止した。これに対し OpenAI は当年 8 月に ChatGPT Enterprise を投入し、商用データでの学習に使わないことを約束し、さらにゼロデータ保持 (zero-data-retention, ZDR) n プロトコルを併せて提供した。この後者は以後、企業調達の標準要件になった。
だが契約は会社アカウントだけを縛る。IBM は、2025 年までに影の AI（従業員が個人アカウントで会社データを、承認されていない AI ツールに投入すること）が、データ漏えい事案の 5 分の 1 にまで関与していることを発見した。さらに、影の AI のヘビー利用は漏えいコストを平均で 67 万ドル余計に押し上げる。セキュリティ研修会社 Anagram の 2025 年調査では、4 分の 1 の従業員が、タスクをより早く終えるために、AI 利用ポリシーに違反する意思があると回答した。
企業なら少なくともお金で道を買うことができる。ZDR 契約、学習しないサービスプラン、そして政府または Palantir の顧客であれば主権展開。だが、私たちのような一般ユーザーにとって、プライバシー AI は重要かどうかは今なお議論の余地があり、裁判所の召喚状が届くまで決着しない。
2025 年 5 月、1 通の裁判所命令が OpenAI に、ユーザーがすでに削除したコンシューマー向けチャットも保存させた。11 月には、裁判官がさらに、そこに含まれる 2000 万件のデータを『ニューヨーク・タイムズ』の弁護士に引き渡し、ディスカバリー（証拠開示）用資料として提供するよう命じた。続いて刑事事件だ。Palisades 大火の放火被告の ChatGPT 記録が証拠として提出され、フロリダの一家惨殺事件の宣誓供述書では、容疑者による死体の取り扱い方法に関する質問が引用された。Sam Altman も 2025 年 7 月のインタビューで、ChatGPT の会話は法律上の特権に保護されないことを認めている。訴訟では OpenAI は「ユーザーのチャット記録の提出を求められる可能性がある」。
ポイントは、プライベートな会話が必要なのは犯罪者だけではないということだ。人々と AI の対話は記録され、召喚できる。多くのユーザーが存在を知らない監視面の一つがここにある。Kolmogorov Law の 2025 年 10 月の、米国の AI ユーザー 1000 名への調査では、50% がこれらの対話が召喚され得ることを知らず、また 3 分の 2 が、これらのチャットは弁護士や医師と同等の保護を受けるべきだと考えていた。
自社ホスティング、または検証可能な環境で動かすオープンソースモデルは急速に追い上げているが、最強クラスの一部は汎用能力において依然、最先端のクローズドモデルから約 4 か月遅れている。これにより tokenmaxxing を狙う企業や個人は岐路に立つ。プライバシーのために数か月分のモデル品質を諦めるのか、それとも敏感な素材を Anthropic のサーバーに送り続けるのか。競合がまさにそのやり方で生産力の優位を奪っているからだ。
現時点で市場に完璧な解決策はない。各陣営がギャップを縮める試みを整理したレポートは、検証可能なプライバシーのもとで、最先端の知能が企業や一般ユーザーに届くまでどれほど遠いのかを観測している。
プライバシーは現在どう実現されるのか
プライバシー AI は単一のエンジニアリングではない。しかし現市場にある各メカニズムは、扱っている「同じ出来事」をどう処理するかが異なるだけだ。あなたの端末から 1 つの prompt が出て、ネットワークを通って、モデルを動かしている機械に届き、そして 1 つの返信が返ってくる。違いは、平文がこの経路のどこに存在するのか、そこで誰がそれを読み取れるのか、そして返信の秘密性を何によって検証するのかにある。
プロトコル層のプライバシー
この層では、あなた以外の誰かがあなたの平文 prompt を読めてしまう。その先に何が起きるかは、ひとえに一つの約束にかかっている。
· 契約型ゼロ保持は企業向けのソリューションだ。サービス提供者はあなたが誰かを知り、あなたの prompt を処理したうえで保持しないと約束する。実行は契約と評判に依存する。
· 匿名プロキシはあなたが誰かを消すが、あなたが何を言ったかは暗号化しない。下流のサービス提供者は依然として自社のポリシーに従って平文を処理する。各社の条項はさまざまだ。たとえば Duck.ai（DuckDuckGo のチャットボット製品）のような代理はモデル提供者と削除に関する契約を交わす。一方で Venice は、ユーザーに対して「サービス提供者がすべて保持する前提で使う」ことを求めるが、どちらも相互に検証の手段がない。
機械から機械へ向かう各区間はすべて TLS 上で走る。これは通信路だけを暗号化するもので、受け取る側はすべての情報を読むことができる。中継は通常 Oblivious HTTP（RFC 9458）で、この「知る権利」を分割する。原理は、友人にメモを渡してもらうようなものだ。友人は誰が渡したかは知っているが内容は読めない。受取人は内容は読めるが、誰が書いたかは知らない。OHTTP は 2024 年 1 月から IETF の標準になっており、現在すでに多くの会社が、Cloudflare と Fastly から借りた OHTTP 中継上で、本番トラフィックを回している。
これが、クローズドモデルにアクセスして得られるプライバシーの上限である。その理由は算術の問題だ。いまのフラッグシップ級トレーニングにかかるコストは 10 億ドル規模だが、これらの実験室が近万億ドルの評価額を賭けているのは、モデル重みの独占である。モデル能力の差がどれくらい続くかが、そのプレミアムが続く期間を決める。だから実験室は重みファイルを国家機密のように守る。
Meta は受動的に、この実験をすでに行ってきた。2023 年 2 月にリリースされた LLaMA は当初、研究者にのみ提供されていたが、1 週間も経たないうちに重みがシード形式で 4chan に漏えいした。さらに 1 週間後には、llama.cpp が最小の 7B モデルを MacBook 1 台でローカル回答できるようにし、3 日後には Stanford が同じモデルを用いて、600 ドルにも満たない微調整でチャットアシスタント Alpaca を作り上げた。この漏えいは Llama の運用コストを電気代レベルにまで引き下げ、ファイルを入手した誰もが家で動かせるようにした。2023 年 7 月、Meta は Llama 2 を、7 億月間アクティブユーザーの除外条項を付けた商用ライセンスとして正式にオープンソース化した。重みが動き、プレミアムも一緒に走った。
最先端の実験室は理論上、クローズドモデルの推論に attestation（遠隔証明）を付けることもできる。しかし attestation で証明できるのは、どのコードが prompt を読んだかであって、そのコードがそれを使って何をしたかまでは証明できない。サーバーがデータを保持しているかどうかを確かめるには、提供コード（serving code）を監査し、それをハードウェアが報告するハッシュへと組み替える必要がある。だが提供コードを渡してしまえば、利益率を支えるバッチ処理やキャッシュのノウハウも渡すことになる。そしてそれらは、次世代の各モデルに移植される。Apple と Meta が、iPhone と WhatsApp の背後にあるサービススタックに対して遠隔証明をできるのは、利益がデバイスと広告にあり、公開サービスコードを出してもコストがほとんどかからないからだ。
これが、フラッグシップモデルの重みとサービスコードが外部運営者の手に渡らない理由である。外部運営者がいなければ、第三者による attestation もない。attestation がなければ、検証可能なプライバシーはオープンソースモデルの上にしか存在できない。
構造層のプライバシー
このカテゴリでは、信頼の約束の代わりに、ハードウェア、暗号学、または物理に基づく証明を使う。ただしそれぞれ、プライバシーを引き上げるために異なるコストが必要で、まず第一に、それらはオープンソースモデルしか動かせない。
· TEE（信頼できる実行環境）機密計算は推論をハードウェア enclave（チップ上にあり、機械の運営者すら開けられない密閉された空間）に入れて走らせる。チップは attestation に署名し、どのモデルのどのコードが実行されたかを明記する。
· prompt は終点でのみ封じる。代理を経由する経路上には、平文を読める役割が残ってしまう。そしてプロキシによる記録や中継内容の漏えいを防ぐのは、プロトコルだけだ。
· **E2EE（エンドツーエンド暗号化）**は読める中継を封じる。ユーザー端末は enclave の鍵で prompt を暗号化し、中間の各ホップが運ぶのは、enclave だけが解ける封印された封筒にすぎない。
· 信頼はクライアントに落ちる。prompt を暗号化し、attestation を検証するコードは同時に、その保証を取り消す能力も持つ。したがって検証可能な E2EE は、証明された enclave だけでなく、同じく公開され再現可能なクライアントコードも必要になる。
· TEE に比べて E2EE は簡潔ではなく、工学的な負担という代償を伴う。そのため機能統合が遅れる。E2EE はプロキシを盲送の使いに変える。結果として、平文を読むことでしか動かない機能はすべて、クライアントの鍵の周りで作り直す必要があるか、あるいは enclave 内部でのみ作り直さなければならない。
· **FHE（完全準同型暗号、MPC の変種も含む）**は、受信を信頼できる当事者自体を取り除く。サーバーは、永遠に開けられないロックボックスの中で暗号文に対して計算を行い、鍵はあなたの手元にある。MPC（多者間安全計算）は prompt を秘密の取り分に分解して複数者に配り、すべての参加者が共謀しない限り同等の効果が得られる。
· 代償は速度だ。FHE は本来足し算と掛け算しかできないため、transformer を動かすための非線形ステップは、高コストをかけて作り直す必要がある。暗号文上の推論コストは、明文の 1 万〜10 万倍。小型モデルでも 1 トークンごとに数秒から数分かかり、暗号化なしならミリ秒で済む。
· 暗号化演算のために設計されたチップはギャップを縮めることが期待されるが、最初のプロトタイプの完成は 2026 年初頭で、その商用版はさらに数年待つ必要がある。
· ローカル推論は、この経路そのものを消し去る。モデルは自分のハードウェア上で動くため、中継もサーバーも、サービス提供者も存在せず、検証要件もない。
· 明らかな代償はコストとモデル能力だ。gpt-oss-120b は Artificial Analysis 指数で GLM-5.2 の約半分のスコアだが、容量は 65GB で、市販のフラッグシップ級ゲーム用 GPU 2 枚分の VRAM 合計を上回る。しかも GLM-5.2 の全精度版は 8 カードのデータセンターノードでしか動かせず、GPU だけで 30 万ドル超かかる。
しかし、これらの構造的制約の外側で、enclave に推論を入れるコストは圧縮されている。単一カード推論において、enclave クラウドの事業者 Phala のベンチマークでは、enclave モードの H100 のスループット損失は平均で 7% に満たない。一方、大規模モデルではゼロに近い。主なコストは enclave の中で計算することではなく、データをチップへ運び込むことだからだ。複数カード推論では、NVIDIA の新世代 GPU Blackwell はチップ間トラフィックの直接暗号化に対応している。古い H100 で同等の効果を得るには、CPU ホストに回り込ませる必要があり、必要帯域は 7 分の 1 になる。NVIDIA 自社の Blackwell ベンチマークでは、397B モデルは enclave モードでのスループット損失が 8% 未満だ。これらの進展により、プライバシー推論そのものの性能損耗は、もはや決定的な制約ではなくなっている。
実際、enclave 自体は運営者に追加の実行コストをほとんど課さない。2023 年以降に出荷された各 H100 には enclave モードが標準搭載されている。追加コストは暗号化によるスループット損失であり、追加チップではない。現時点でも Azure 上の機密 H100 SKU のレンタル価格は 1 時間あたり 8.90 ドルで、enclave を使わない場合は 6.98 ドル。伝統的なクラウド施設に対する上乗せは 27% 相当だ。対して、Phala のように enclave を専門に提供する運営者では、機密モードの H100 は 1 時間あたり 3.80 ドルから貸し出されており、Lambda の一般 SXM カードの 3.99 〜 4.29 ドルの価格帯を下回る。ホスティング API 方式では、NEAR AI が attestation 付きエンドポイントで gpt-oss-120b を、入力 1,000,000 トークンあたり 0.15 ドル、出力 1,000,000 トークンあたり 0.55 ドルで提供しており、明文ルートの Amazon Bedrock、Together、Groq と同水準だ。複数チップ並列が必要なモデルでも、NEAR AI は GLM 5.2 において Fireworks と価格が同じで、より大きい Kimi K2.6 では入力が 15% 安く、出力が 4% 安い。
これらの新しいプライバシー推論サービスが、利益を燃やしてシェアを取りにいくかもしれない（この言葉は、市場で成長を狙う会社ならどれも当てはまる）としても、構造的な流れははっきりしている。プライバシーのコストは、消費者にも運営者にも下がってきている。
オープンソースモデルはどう勝つ？
性能の上振れコストは圧縮されていても、最先端モデルと SOTA のオープンソースモデルの間には、目に見える距離がまだある。生産力を最大化したい主体が最前線に残るには、最先端の実験室を信じて、自分の IP が盗まれないことを前提にする必要がある。
ギャップはまだある。しかし Bridgewater 傘下の AIA Labs と Thinking Machines は 6 月 30 日に、1 つのケースを提示した。専門家によるラベル付けの微調整を使うことで、精度とコストの両面で最先端モデルを上回るオープンモデルが存在する、というものだ。
研究では、チームが Tinker（Thinking Machines のホスト型微調整 API サービス）上で Qwen3-235B を微調整した。彼らはまず、ベンダーからラベル付きデータを購入し、そのデータで第一ラウンドを学習。その後、意見の食い違うサンプルを会社の投資担当者に回して再ラベル付けした。学習は強化学習（GRPO）で、さらに 3 つの改変を加えた。round-robin batching（各タスクが順番に 1 バッチずつ出す）、CISPO loss（単一回答がモデルを引きずり込む距離の上限を制限）、on-policy distillation（現時点で最適な checkpoint に固定し、より弱い複製へ学習が流れないようにする）。
タスクはすべて、投資担当者の日常ワークフローから取った。ニュースが C-suite レベルの投資専門家にとって重要かどうか、中央銀行文書が将来の金利変動の方向を示唆しているかどうか、文書やメール内のテンプレ文言はどこから始まるか。スコアは独立したテストセットから得た。最先端モデルは単純な prompt で平均スコアが約 50%。専門家の prompt を付けても 78.2% に留まり、投資担当者が設定した 80% の合格ラインを下回った。微調整後の Qwen は 84.7% を得た。原文の定義に従えば、これは最先端の最良モデルより誤りが 29.8% 少ないことに相当し、推論コストは 13.8 倍低い。
このケースは、オープンソースモデルが精度とコストで勝てることを示している。ただし、学習プロセスはまだ私的（private）ではない。学習中に使われた専門家によるラベル付けは Bridgewater の私的データであり、Tinker の第三者サービスを経由して、ZDR プロトコルと同じ信頼レイヤーに落ちてくる。さらにファンドは算力もレンタルし、その学習はファンドが一度も掌握していないマシン上で実行される。この配合（レシピ）を手に入れたいが、信頼の前提を背負いたくない買い手にとって、今日の選択肢はほとんどない。むき出しの GPU クラスタを借りて、学習プロセスがクラウド運営者に読める状態にする。クラスターを買い取ってデータの置き場問題は解決できても、コストは跳ね上がる。
attestation 付きのルートはようやく到来した。3 月、Workshop Labs と Tinfoil が Silo を公開した。Tinfoil の enclave 上で走る、単一の 8 カードノード用の後処理スタックで、鍵は顧客だけが管理する。記事が提示した enclave のコストは、2 時間の学習に 11 分余計にかかるというもの。そしてこのスタックは、基盤となる重みを凍結し、その上で小型の adapter だけを学習することで、1 兆パラメータ級モデル（Kimi K2 Thinking）にも載せられるという。難所は強化学習が各コンポーネント間でデータを行き来させる必要がある点で、まさにデータ移送こそ enclave コストがかかる部分だ。
Silo 公開から 1 か月も経たずに Workshop Labs は Thinking Machines に買収され、enclave 上で Bridgewater 式の RL ループに必要な部品一式は、いまや同じ会社名のもとに集約されている。
Harness 層のプライバシー
もう一つの問題が、すべての私的推論メカニズムの外側に横たわっている。これらのメカニズムは各自で、prompt がモデルに届くまでの経路を扱っている。一方、agent が開始する外部ツール呼び出しのたびに生まれる推論層は、モデルが到達できない領域だ。最近の harness engineering の潮流はこの問題を倍化させている。モデルの周りに接続される各ツール、メモリリポジトリ、データソースはすべて、平文として自分のワークフロースライスを読ませるための別の目的地になっている。カレンダーサーバーは予定を読む。DB サーバーはクエリを読む。完全にローカルな agent であっても、訓練データセット以外の何かを得ようとすれば、結局は検索語を平文で検索エンジンへ渡す必要がある。サーバーが平文を読めないなら答えられず、結果として質問に応えられない。
主流の解法は依然としてプロトコル層に寄せる発想だ。Runlayer や MintMCP のような会社は、中央のゲートウェイでツールのトラフィックをすべて制御し、リクエストが外へ出る前に個人の身元情報（PII）を隠す。ゲートウェイは同時に、どのサーバーがトラフィックを受け取れるかを決め、審査されていないものは門前払いし、さらに各呼び出しの目的地と内容を記録して証跡（取証）に備える。これらの統制に独立監査（SOC 2）が付いていたとしても、ツールサーバーは回答するために平文クエリを読む必要がある。それをサーバーが複製するかどうかは、自社の保持（留存）条項次第であり、さらに harness 内のあらゆるツールにまたがって行われる。加えて、ゲートウェイ自体も経路上に増える「信頼できる読み取り側」であって、検証ではない。
構造層のソリューションは中間層に切り込む。たとえば Phala は MCP server を TEE に直接ホストする。ディレクトリはウォレット、コード実行、データソースをカバーし、ユーザーは運営者を信じるのではなく attestation の一式でプライバシー宣言を検証できる。だが TEE にホストされたツールも、結局はクエリを平文でサービス提供者に渡さなければならない。enclave が封じるのは使い（信使）であって、目的地ではない。
少数の目的地は「読まずに回答する」ことを学んでいる。ただしそれは構造化クエリに限られる。Apple は iPhone 向けにプライベート情報検索を提供し、電話番号を迷惑電話のデータベースと照合する際に番号を露出させる必要がない。Microsoft も Edge ブラウザでパスワードに同じ方式を使った。MongoDB の Queryable Encryption は、クライアントがフィールドを離れる前に暗号化し、サーバーは暗号文だけで等値・範囲マッチングを行えるようにする。
しかしオープン形式の検索では、今日いちばん良い答えは「信頼」に留まる。検証可能な暗号検索はまだ実験室を出ていない。Brave は自社の 40 億ページのインデックス（Google のものではない）上で、ゼロデータ保持を約束しているが、それでもプロトコル層に依存している。Exa はニューラルインデックスを構築し、ユーザーのキーワードを語義（セマンティクス）へ埋め込み、語義に基づくマッチで結果を並べる。しかし埋め込みのステップは依然 Exa のサーバー上で平文から計算される。MIT の 2023 年の Tiptoe 論文は 3.6 億のウェブページ上で、クエリを開示せずにランキングを完了させるが、検索のたびに大量のサーバー計算力を燃やす必要があり、並べ替え品質は暗号化しない検索に劣る。Apple の 2024 年の Wally 論文は、実際のクエリを多数のダミーに紛れ込ませて通信コストを最大 31 倍まで圧縮できるとしたが、この数学は数百万の同時クエリで初めて安くなる。だがその規模は、今日どのプライベート検索システムも持っていない。
暗号検索は実現できる。ただし性能と価格が、まだ商用に耐える水準へ届いていない。
展望
プライベート AI の需要は増えている。Venice AI は最近、登録ユーザー 350 万人と、月間 1.3 兆トークンのスループットを突破し、その後新たに、評価額 10 億ドルの Series A の株式資金調達を完了した。Proton はその直接の競合で、チャット製品 Lumo はリリースから 1 年以内にユーザーが 1000 万人を突破した。インフラ面では、Phala は現在 OpenRouter 上で日次 20 〜 30 億トークンを回している。Duck.ai は gpt-oss-120b と Gemma を Tinfoil の enclave にルーティングし、ユーザー代理に限らない検証可能なプライバシーを提供する。これはまだ自社ホスティング分を含んでいないが、それも含めれば、おそらく私的推論の最大のチャネルになる。モデルが自分のハードウェアで動き、利用の痕跡を残さないからだ。
だが主流 AI の大波の中で見ると、プライバシー AI はごく一部にすぎず、このギャップが縮まるのは、前線の実験室がわざわざその需要を満たそうとしたときだけだ。5 月、Google は全プロダクトで 3200 万億トークンを処理した。これで計算すると、Venice の 1 か月のスループットは Google の約 18 分に相当する。去年 11 月、Google は Private AI Compute (PAC) を投入し、Gemini を動かす一部機能を、会社自身と隔離された密封 TPU enclave の中で実行するようにした。さらに設計は NCC Group が独立監査する仕組みも用意されている。ただし PAC は、パーソナライズ推奨や録音の要約といった少数の Pixel 機能のみをカバーし、数億人が使う Gemini のアプリ全体はカバーしていない。Google が監査側に設計を出すのは、これらの機能が端末と広告で収益化でき、token を売って稼ぐ必要がないからだ。
現状のホスティング案も完璧ではない。E2EE で最高のプライバシーを得たいなら、サービス提供者が読めない場所で新機能を作り直すのを待たなければならない。価格が妥当な後学習（後トレーニング）で、最良の微調整結果を得るには、結局第三者サプライヤーへの信頼が必要になる。自社ホスティングならすべてのサービス提供者を一気に切り離せるが、ローカルで最強のオープンソースモデルを動かすと、つながれているその家（物理的な建物）のコストより高くつく可能性がある。
欠点は欠点として、私的 AI はすでに「実在し、かつ負担可能な」選択肢になっており、残るギャップも縮んでいる。一般消費者向けでは、Lumo と Venice 上で、ログなしの約束のもとオープンモデルのプライベートチャットは 1 円もかからない。Venice または Tinfoil の 18〜20 ドルのサブスクでも、同じチャットを enclave に封じるので、ChatGPT のサブスクより高いわけではない。企業ワークフローでは、attestation 付きのエンドポイントは、明文ルートよりもむしろ安くなりつつある。NEAR の E2EE API のようなエンドポイントでは暗号化されたコンテキストを enclave に持ち込めるようになり、記憶、ファイルアップロード、カスタム指示も、今日では E2EE の上で動かせる。attestation 付きの後学習については、NVIDIA が近日リリースする Vera Rubin NVL72 により、機密計算が Blackwell の 8 カードノードから 72 カードのラックへ拡張され、最先端の RL ループを IP を露出せずに回すことがより現実的になる。
しかし、肝心の価値の取り込みは、これらの価格圧縮が起きているレイヤーの外にある。プライバシーはすでに存在している場所ではほぼ無料だが、まだ主流の agentic ワークフローを覆えていない。このギャップを埋めるには時間がかかり、そしてその差は、まだ解かれていない「レポートに残された半分」にある。enclave に閉じ込めた学習ループ、端から端まで封じられたツール呼び出し、見えない語彙（検索インデックス）。誰が最初にこれらのうち一つを完成させるかが、売れるのはあらゆる価格競争でも商品化できないものになる。プライバシー AI を追う資本が買うべきは、あの「スイッチ」ではなく、欠けているピースだ。
だから、信頼か検証か？ 念入りな実行や念入りな agent が必要なタスクでは信頼を選ぶ。なぜなら、各ツール呼び出しがそもそも明文を enclave では封じられない目的地へ持ち込むからであり、最先端モデルがこれらのループでその価格に見合う成果を出せるからだ。一方で、ある会社を競合と区別する高次の思考（戦略、計画、長年の専門経験から抽出された判断）という、まさに論争の的になっている alpha では検証を選ぶ。前へ進む道は、自社で管理できる境界の中で、これらの独自洞察を使ってオープンソースモデルを微調整することにある。alpha が存在する領域では、専門家が調整したオープンモデルが精度とコストの両面で最先端をすでに上回っており、プライバシー環境でそれを構築するためのインフラも、1 ノードずつ整ってきている。
律動 BlockBeats が募集中の職種を確認するにはクリック
律動 BlockBeats 公式コミュニティに参加しましょう：
Telegram 購読グループ：https://t.me/theblockbeats
Telegram 交流グループ：https://t.me/BlockBeats_App
Twitter 公式アカウント：https://twitter.com/BlockBeatsAsia