Arm unterstützt CoSERV: Eine gemeinsame API soll Vertrauen in Confidential AI skalierbar machen

Warum Attestierung nicht mehr nur Sache des Rechenzentrums ist

Laut Arm war Attestierung traditionell eine interne Angelegenheit von Infrastrukturanbietern. Betreiber prüfen die Integrität von Servern und entscheiden, ob Dienste laufen oder sich mit anderen Ressourcen verbinden dürfen. Diese Entscheidungen bleiben innerhalb der verwalteten Infrastruktur.

KI-Systeme verändern dieses Bild. Arm weist darauf hin, dass sie zunehmend CPUs, GPUs und andere Beschleuniger, Firmware, Software und Dienste mehrerer Zulieferer kombinieren, während immer mehr Beteiligte ein Interesse daran haben, ob dem System vertraut werden kann. Modellanbieter wollen sicherstellen, dass wertvolle Modelle nur in angemessen geschützten Umgebungen laufen. Nutzer wollen, dass ihre Daten bei der Verarbeitung geschützt sind. Infrastrukturanbieter müssen weiterhin die zugrunde liegende Plattform überprüfen.

Die Folge, so Arm: Vertrauensentscheidungen können beim Bereitstellen von Workloads und beim Aufbau einzelner Verbindungen anfallen, und die dafür nötigen Informationen können aus vielen Quellen der Hardware- und Software-Lieferkette stammen.

Die Integrationssteuer der vielen Sprachen

Mit Remote Attestation kann ein System Nachweise über seine Identität und seinen Zustand erzeugen, damit eine andere Partei entscheiden kann, ob sie ihm vertraut. Arm betont, dass der Nachweis allein nicht genügt. Ein Verifizierer braucht zusätzlich verlässliche Informationen, um ihn zu bewerten, etwa Endorsements, die Informationen über die Hardware belegen, oder Referenzwerte, die den erwarteten Zustand von Firmware und Software beschreiben.

In einem heterogenen KI-System können diese Quellen von mehreren Zulieferern stammen, jeweils mit eigenem Mechanismus. Arm nennt das Ergebnis eine „Integrationssteuer“: eine wachsende Zahl herstellerspezifischer Schnittstellen, Formate und Quellen, die jeder Verifizierer verstehen muss. Verifizierer können zudem entfernte Dienste sein oder lokal in einer Anwendung oder auf einem Endgerät laufen. Ohne einen gemeinsamen Weg, Verifizierer mit den benötigten Informationen zu versorgen, droht mit jeder neuen Kombination aus Komponenten und Zulieferern eine weitere Individuallösung.

IETF RATS und die Rolle von CoSERV

Arm verweist auf die Arbeitsgruppe Remote ATtestation procedureS (RATS) der Internet Engineering Task Force, die einen Architekturrahmen für Attestierung bereitstellt und Standards für Formate, Interaktionsmodelle und Mechanismen entwickelt. Die Gruppe hat Standards in unterschiedlichen Reife- und Verbreitungsstadien hervorgebracht, darunter das Entity Attestation Token (EAT) und das Concise Reference Integrity Manifest (CoRIM).

Diese Arbeiten konzentrierten sich bislang auf Datenformate und grobe Interaktionsmuster. Arm argumentiert, das Ökosystem brauche nun vollständige APIs. CoSERV, der Concise Selector for Endorsements and Reference Values, ist ein angenommenes Arbeitspaket der RATS-Arbeitsgruppe. Laut Arm soll er ein gemeinsamer Übermittlungsmechanismus sein, über den Verifizierer Endorsements und Referenzwerte aus potenziell komplexen Quellen der Lieferkette erhalten.

Arm zufolge geht es nicht darum, vorzuschreiben, wie jeder Zulieferer seine Vertrauensinformationen erzeugt, sondern Verifizierern einen einheitlicheren Zugang zu ermöglichen. Über eine einzige API kann ein Verifizierer relevante Artefakte abfragen, in Bündeln zusammenfassen und für geeignete Zeiträume zwischenspeichern. Standardmäßige HTTP-Caching-Semantik kann unnötigen Netzwerkverkehr bei Artefakten verringern, die oft genutzt werden, sich aber selten ändern. Für Entwickler habe diese Schicht das Potenzial, viele Punkt-zu-Punkt-Integrationen durch wiederverwendbare Werkzeuge und Schnittstellen zu ersetzen, so Arm.

Open Source als Testfeld

Standards müssen laut Arm in realen Implementierungen funktionieren. Arm, Fujitsu, Linaro und weitere Partner arbeiten an Veraison, einem Open-Source-Projekt, das als Testfeld für entstehende Attestierungsstandards dient und wiederverwendbare Softwarekomponenten für Entwickler von Attestierungssystemen bereitstellt.

Das Unternehmen beschreibt eine Rückkopplungsschleife: Standards prägen die Implementierung, die Implementierung wirft praktische Fragen auf, die sich aus Spezifikationen allein kaum erkennen lassen, und diese Erkenntnisse helfen, die Standards vor der breiten Einführung zu verfeinern.

CoSERV befindet sich noch in der Entwicklung. Arm weist darauf hin, dass der Status vor einem RFC bedeutet, dass die Spezifikation nicht final ist. Das lasse Herstellern und Implementierern Raum, den Ansatz zu testen und Anforderungen aus der Praxis einzubringen. Beim OCP geben Arm und Fujitsu mehr Einblick in die Arbeit und erklären, warum ein gemeinsamer Ansatz für die Verteilung von Endorsements und Referenzwerten für Confidential Computing und Confidential AI wichtig ist.

Was das für das Ökosystem bedeutet

Arm sieht Confidential AI als ein Beispiel für einen breiteren Wandel hin zu heterogeneren Systemen und komplexeren Lieferketten, in denen Vertrauen nicht mehr darauf beruhen kann, dass jeder Hersteller, jede Plattform und jeder Verifizierer individuelle Verbindungen zu allen anderen Beteiligten aufbaut.

Für Entwickler von Attestierungsinfrastruktur lautet das praktische Versprechen: weniger maßgeschneiderte Integrationen und mehr wiederverwendbare Komponenten. Für den Markt insgesamt lautet die Botschaft, dass starke Vertrauensanker und sichere Einzelkomponenten allein nicht ausreichen: Es braucht auch gemeinsame Mechanismen. Da CoSERV noch nicht final ist, hängt das Ergebnis davon ab, wie viel Input und wie viele Tests es von Herstellern und Implementierern erhält.