CoreWeave startet Zero Trust AI Framework: Kunden behalten die Kontrolle über Schlüssel und Zugriffe

Warum sich die Cloud-Sicherheit laut CoreWeave ändern muss

CoreWeave argumentiert, dass agentische KI die Anforderungen der Kunden an die Cloud-Sicherheit verändert hat. Agenten rufen Kontext ab, nutzen Tools und Speicher, erzeugen Traces und lösen Aktionen in anderen Systemen aus. Reinforcement Learning kann zudem die Inferenz in die Trainingsschleife ziehen, sodass Rollout-Generierung, Reward-Logik, aktualisierte Checkpoints und neues Modellverhalten Teil eines gemeinsamen Betriebspfads werden.

Sensible Daten liegen damit nicht mehr hinter einer einzelnen Anwendungsgrenze. Laut CoreWeave bewegen sie sich durch Prompts, Embeddings, Gewichte, Traces, Ausgaben, Evaluierungsprotokolle und Laufzeitsysteme. Das Unternehmen weist darauf hin, dass man bei der Nutzung eines Cloud-Anbieters diesem oft Zugriff und Einblick anvertraut. Ein Anbieter kann Verschlüsselungsschlüssel verwalten, privilegierten Zugriff auf Server behalten, die Ausführungsumgebung steuern oder eigene KI-Modelle anbieten, die möglicherweise aus Kundeninteraktionen lernen.

CoreWeave zufolge geht das Framework einen anderen Weg. Kunden, die sensible KI-Workloads betreiben, sollen mehr Kontrolle über jene Teile des Stacks behalten, die den Zugriff bestimmen, und die Sicherheitssysteme einsetzen können, denen sie bereits vertrauen, statt ihre Architektur um ein vom Anbieter vorgegebenes Modell herum neu aufzubauen.

Sechs Ebenen, beginnend bei Schlüsseln und Support-Zugriff

Das Framework vereint sechs Ebenen: Remote Key Encryption (RKE), Support Access Management (SAM), Confidential Computing, Remote Attestation, Schutz von Modelldaten und geschützte Datenbewegung. Die Quelle beschreibt die ersten vier im Detail.

Zero Key Access. Mit RKE nutzen Kunden Schlüssel aus der Infrastruktur, die sie bereits betreiben, sei es ein Software-Schlüsselmanager, ein Hardware-Sicherheitsmodul oder ein KMS in einer anderen Cloud, während ihre Workloads bei CoreWeave laufen. Die Schlüssel, die ruhende Daten schützen, bleiben beim Kunden. Bestehende Nutzer, Gruppen und Identitätsanbieter lassen sich mit RKE-geschützten Ressourcen und CoreWeave IAM föderieren. CoreWeave erklärt, dass es die Daten nicht entschlüsseln kann, wenn ihm der Schlüssel oder die Berechtigung zu dessen Nutzung fehlt. Außerdem müssten Kunden weder neue Automatisierung für das Schlüsselmanagement aufbauen noch auf ein neues Cloud-KMS wechseln, bevor sie sensible Trainings- und Inferenz-Workloads betreiben. In den Worten des Unternehmens: „Zero Key Access turns encryption from a provider-managed promise into a customer-controlled safeguard.“

Zero Node Access. Mit SAM entscheiden Kunden, wann CoreWeave für Supportzwecke auf die Infrastruktur zugreifen darf. Der Zugriff wird für einen definierten betrieblichen Bedarf freigegeben und endet, sobald die autorisierte Tätigkeit abgeschlossen ist, statt als dauerhaft verfügbar zu gelten.

Attestierung und Confidential Computing

Die dritte Ebene, Zero Trust Infrastructure, stützt sich auf Attestierungsdienste, die das System unterhalb eines Workloads mithilfe hardwarebasierter Vertrauensanker überprüfen. Laut CoreWeave kann die Attestierung automatisierte Entscheidungen steuern: Ein Workload, ein Schlüsselmanagementsystem oder eine Orchestrierungsebene kann gültige Nachweise verlangen, bevor Geheimnisse freigegeben, Daten entschlüsselt oder die Ausführung gestattet wird.

Die vierte Ebene, Zero In-Use Access, dreht sich um Confidential Computing. CoreWeave verweist darauf, dass viele sensible Unternehmensdaten wegen Vorgaben wie der DSGVO, dem EU AI Act und nationalen Datensouveränitätsregeln on premises bleiben, während die leistungsfähigsten Modelle bislang über Cloud-APIs erreichbar sind. Das Unternehmen will Confidential Computing auf den NVIDIA-Plattformen Blackwell und Vera Rubin unterstützen, um Modelle, Daten und Code während der Verarbeitung zu schützen.

Laut der Quelle bietet Blackwell hardwarebasierte Isolation, kryptografische Attestierung und Inline-Verschlüsselung über NVIDIA NVLink. NVIDIA Rubin baut darauf mit Systemen wie NVIDIA HGX Rubin NVL8 auf, und NVIDIA Vera Rubin NVL72 erweitert NVIDIAs Confidential Computing der dritten Generation über CPUs, GPUs und das NVLink-Fabric eines ganzen Racks. CoreWeave plant, Confidential Computing für ausgewählte Bare-Metal-Umgebungen zu unterstützen, und arbeitet an weiteren Bereitstellungsmodellen, darunter Kubernetes-basierte KI-Workloads. Dabei handelt es sich um Pläne und Absichten, nicht um Funktionen, die als allgemein verfügbar ausgewiesen werden.

Das Unternehmen unterscheidet die beiden Technologien: Die Attestierung prüft, ob sich die Infrastruktur in einem erwarteten Zustand befindet, bevor ihr vertraut wird, während Confidential Computing den Workload während der Ausführung isolieren und schützen soll.

Kein Training mit Kundendaten und was das für Unternehmen bedeutet

Die fünfte Ebene trägt den Titel Zero Model Data: CoreWeave trainiert nicht mit Ihren Daten. Dave McCarthy, Group Vice President, Cloud and Datacenters, Enterprise Infrastructure bei IDC, ordnete das Framework als Antwort auf die Anforderungen regulierter Daten ein. In seinen Worten: „This shifts trust from provider promises to technical controls, a critical step for enterprises deploying proprietary AI at scale.“

Für Organisationen in regulierten Branchen oder mit besonders sensiblem geistigem Eigentum lautet das Angebot, dass die Sicherheitskontrollen beim Kunden bleiben, während CoreWeave die leistungsstarke KI-Cloud liefert. CoreWeave behauptet zudem, der Ansatz könne Kunden helfen, sensible Workloads schneller statt langsamer voranzubringen, weil sie bestehende Schlüsselinfrastruktur, Identitätssysteme und Richtlinien weiterverwenden können.

Der hier vorliegende Quelltext äußert sich nicht zu Preisen, Verfügbarkeitsterminen oder den Details der Ebenen Schutz von Modelldaten und geschützte Datenbewegung, sodass diese Fragen offen bleiben.