Обычный HTTPS шифрует канал до сервера и на этом останавливается: провайдер видит открытый текст промпта, исходные изображения и готовое видео на своей стороне. Обещание «мы не логируем запросы» остается политикой компании, проверить его извне нельзя.
Проверяемая граница приватности собирается из трёх слоёв. CPU TEE изолирует память виртуальной машины от гипервизора и хоста. GPU attestation подтверждает, что ускоритель работает в confidential mode, а его прошивка и драйвер совпадают с ожидаемыми. Workload attestation доказывает, что развёрнут именно тот образ, который заказал клиент, и что ключ шифрования принадлежит аттестованному воркеру, а не посреднику. Уберите любой слой, и цепочка доверия разваливается: без workload attestation провайдер подменит образ, без GPU attestation перехватит данные на ускорителе, без CPU TEE прочитает память виртуальной машины.
Отвечаю сразу на главный вопрос. Подтверждённого описания готового open-source-решения или провайдера, который в 2026 году полностью закрывает все три слоя без собственного security-стека и постоянно работающего кластера, в доступных материалах нет. Отправная точка разбора - обсуждение на r/LocalLLaMA, где автор описывает сценарий: MacBook Air M4 с 16 ГБ выполняет оркестрацию, удалённая NVIDIA GPU гоняет открытую видеомодель вроде Kandinsky 6.0 Pro, оплата идёт по факту использования. Дальше разбираем три варианта из этого обсуждения и открытые вопросы к каждому.
Что значит «проверяемая приватность» и почему HTTPS её не заменяет
HTTPS защищает данные в пути. Как только пакет дошёл до сервера, шифрование снимается и провайдер получает открытый текст. Дальше все гарантии держатся на юридических обещаниях: политике конфиденциальности, договоре, репутации. Для обычных задач этого хватает, для приватных изображений или коммерческих промптов - нет, потому что проверить исполнение обещания технически невозможно.
Confidential computing меняет модель доверия. Данные расшифровываются только внутри аппаратно изолированной среды (TEE), куда не имеет доступа ни гипервизор, ни операционная система хоста, ни администратор провайдера. Клиент получает криптографическое доказательство того, что среда настоящая и в ней работает нужный код. Логику secure enclave и хранения ключей на стороне клиента подробно разбирали в материале о Private AI Compute от Google: там та же идея, только применительно к ассистенту, а не к GPU-инференсу.
Три слоя аттестации: CPU TEE, GPU attestation, workload attestation
Разложим «проверяемую приватность» на три независимых компонента, каждый из которых закрывает свой участок атаки.
- CPU TEE. Intel TDX изолирует память виртуальной машины на уровне процессора. Гипервизор и хост-система не могут прочитать содержимое этой памяти, даже если у них есть root-доступ. Для пользователя это означает, что код и данные инференса защищены от провайдера на CPU-стороне.
- GPU attestation. NVIDIA attestation подтверждает, что ускоритель работает в confidential computing mode, а версии прошивки и драйвера соответствуют ожидаемым. Без этого слоя данные, попадая на GPU, оказываются в открытом виде для того, кто контролирует карту.
- Workload attestation. Самый недооценённый слой. Он связывает измеренный образ (хеш загрузчика, ядра и guest image) с публичным ключом, которому клиент отправляет данные. Если этого слоя нет, провайдер может подменить образ на любой другой, и клиент об этом не узнает.
Три замка на одной двери: снимите один, и дверь открыта, сколько бы замков ни осталось. Провайдер может заявлять два слоя из трёх, и это всё равно не даст проверяемой границы.
Почему measured boot и кастомный guest image - узкое место
Measured boot фиксирует хеши каждого этапа загрузки: загрузчика, ядра, guest image. Эти измерения попадают в attestation report, и именно их клиент сверяет со своими ожиданиями. Проблема в том, что измерить можно только тот образ, который провайдер позволяет загрузить.
Если провайдер даёт лишь стоковый guest image, аттестовать получится только его. Свой пайплайн видеоинференса с Kandinsky 6.0 Pro в проверяемую границу так не упакуешь. По материалам обсуждения, автор как раз ждёт от поддержки VoltageGPU разъяснений о measured boot и возможностях кастомного guest image - на момент сбора данных это открытый вопрос, а не решённая задача. Тот же вопрос стоит задать любому провайдеру до оплаты.
Chutes: RTX PRO 6000 96 ГБ за $1.80/час с TEE evidence endpoints и E2EE
Chutes заявляется как доступ к RTX PRO 6000 с 96 ГБ VRAM за $1.80/час, с endpoint'ами TEE-доказательств и поддержкой E2EE. Это самая низкая цена среди трёх рассматриваемых вариантов, и 96 ГБ памяти с запасом хватает для видеомоделей класса Kandinsky 6.0 Pro.
Открытые вопросы, которые автор сформулировал сам: проверяет ли стандартный клиент Chutes аттестацию независимо и можно ли полностью аттестовать кастомный видеоворкер. Пока на них нет подтверждённых ответов. Заявленный набор функций выглядит как нужный, но заявленный и проверенный - разные вещи.
Что дают TEE evidence endpoints на практике
TEE evidence endpoint - это способ получить attestation report от воркера. Внутри отчёта есть измерения образа, состояние GPU и подпись аппаратного корня доверия. Клиент присылает свой nonce, воркер включает его в отчёт, и клиент проверяет три вещи: что подпись валидна, что nonce совпадает и что публичный ключ воркера привязан к измеренному образу.
Ценность появляется только тогда, когда клиент реально валидирует отчёт. Если стандартный клиент Chutes просто получает его и ни с чем не сверяет, проверки нет. Собственная валидация означает код проверки на стороне клиента, то есть часть того самого security-стека, которого автор хотел избежать.
E2EE между клиентом и воркером: где заканчивается гарантия
E2EE в контексте confidential GPU означает шифрование канала от клиента до аттестованного воркера, где ключ известен только воркеру внутри TEE. Гарантия держится ровно до того момента, пока ключ выдаёт сам аттестованный воркер. Если ключ раздаёт посредник, граница приватности смещается: посредник знает ключ и теоретически может расшифровать данные.
Требование автора звучит однозначно: ключ шифрования должен принадлежать аттестованной нагрузке, а не посреднику. В доступных материалах нет деталей того, как именно Chutes выдает ключи. Это первый вопрос, который стоит прояснить до того, как доверять E2EE в маркетинговом описании.
VoltageGPU: RTX PRO 6000 Confidential VM за $3.80/час на Intel TDX и NVIDIA attestation
VoltageGPU предлагает RTX PRO 6000 в Confidential VM за $3.80/час, с Intel TDX и NVIDIA attestation. Это больше чем вдвое дороже Chutes, но оба ключевых слоя - CPU TEE и GPU attestation - заявлены явно.
Intel TDX + NVIDIA attestation: что это даёт вместе
Intel TDX изолирует память виртуальной машины на CPU-стороне, NVIDIA attestation подтверждает confidential mode на ускорителе. Вместе они закрывают два слоя из трёх. Третий слой, workload attestation, зависит от того, даёт ли провайдер загрузить кастомный образ и получить его измерение. Без этого клиент не докажет, что развёрнут именно его пайплайн.
Два слоя из трёх - это заметно лучше, чем ничего, но всё ещё не полная проверяемая граница. Изоляция работает, а подтверждения того, что внутри изоляции крутится нужный код, нет.
Кастомный guest image и measured boot: что уточнять у поддержки
Список вопросов, на которые нужны прямые ответы до оплаты:
- Можно ли загрузить собственный guest image?
- Как формируется измерение образа и можно ли его сверить на клиенте?
- Можно ли привязать публичный ключ воркера к этому измерению?
- Выдаётся ли attestation report с клиентским nonce?
- Проверяется ли отчёт стандартными инструментами NVIDIA?
Без положительных ответов на первые три пункта вариант не закрывает задачу, даже при наличии TDX и NVIDIA attestation. Тогда $3.80/час - это просто более дорогая VM с частичной аттестацией.
Google Cloud: H100 Spot с dstack или Confidential Space
Google Cloud рассматривается в двух конфигурациях: H100 Spot с dstack или Confidential Space. По материалам обсуждения, это единственный вариант, где прямо упоминается потенциально более полная цепочка аттестации нагрузки. Платить за это приходится сложностью: цена H100 Spot в доступных материалах не указана, а настройка требует времени.
dstack: open-source, но требует настройки
dstack - open-source-инструмент, который разворачивает конфиденциальные workload'ы. Он даёт больше контроля и прозрачности, чем управляемые сервисы, но готовым решением «из коробки» не считается: нужно разбираться с конфигурацией, образами и проверкой аттестации. По сути это конструктор для тех, кто готов собрать часть security-стека сам.
Confidential Space: управляемый вариант с меньшим контролем
Confidential Space - управляемый сервис Google для конфиденциальных вычислений. Он снижает объём ручной настройки, но ограничивает контроль над образом и цепочкой аттестации. Для тех, кто не хочет возиться со сборкой security-стека, это плюс. Для тех, кому нужен кастомный видеоворкер с полной аттестацией, ограничение может стать проблемой. Деталей реализации, которых нет в источниках, здесь не привожу.
Сравнение трёх вариантов: цена, слои аттестации, сложность
| Провайдер | GPU и цена | Заявленные слои | Открытые вопросы |
|---|---|---|---|
| Chutes | RTX PRO 6000 96 ГБ, $1.80/час | TEE evidence endpoints, E2EE | Проверяет ли стандартный клиент аттестацию; аттестуется ли кастомный видеоворкер |
| VoltageGPU | RTX PRO 6000 Confidential VM, $3.80/час | Intel TDX, NVIDIA attestation | Measured boot, загрузка кастомного guest image |
| Google Cloud | H100 Spot, цена не указана | dstack или Confidential Space, потенциально полная цепочка workload attestation | Сложность настройки, объём ручных проверок |
Ни один вариант в материалах не подтверждён как полностью закрывающий все три слоя без своего security-стека. Критерий выбора простой. Приоритет цена и вы готовы сами валидировать attestation report - смотрите на Chutes. Нужны явно заявленные TDX и NVIDIA attestation и вы готовы платить вдвое - смотрите на VoltageGPU. Нужна максимально полная цепочка аттестации и вы готовы разбираться с dstack или Confidential Space - смотрите на Google Cloud.
Как запустить Kandinsky 6.0 Pro на удалённой GPU с MacBook Air M4
16 ГБ объединённой памяти MacBook Air M4 не хватит для локального запуска видеомодели уровня Kandinsky 6.0 Pro. Удалённая GPU здесь не роскошь, а необходимость. Схема из обсуждения такая: Mac выполняет оркестрацию и получает итоговое видео, удалённый воркер прогоняет весь пайплайн видеоинференса.
Минимальный воркер vs полноценный ComfyUI: что выбрать для аттестации
Автор рассматривает минимальный удалённый воркер, который запускает весь пайплайн видеоинференса, а не полноценный бэкенд ComfyUI. С точки зрения аттестации логика простая: чем меньше кода в образе, тем проще его измерить и тем меньше поверхность атаки. ComfyUI с плагинами и зависимостями тянет за собой длинную цепочку измерений, которую сложнее зафиксировать и проверить.
Это не значит, что ComfyUI нельзя использовать. Это значит, что для проверяемой приватности минимальный воркер выигрывает: короче образ, стабильнее измерение, понятнее, что именно подписано.
Оркестрация с Mac: что проверять до отправки данных
Порядок действий, при котором приватные данные не уходят раньше проверки:
- Получить attestation report от воркера.
- Проверить nonce, подпись и измерение образа.
- Убедиться, что публичный ключ воркера привязан к этому измерению.
- Только после этого шифровать данные публичным ключом воркера и отправлять.
Пропущен хотя бы один шаг, и граница приватности не проверена: вы снова доверяете обещаниям. Конкретные библиотеки и команды в источниках не приводятся, здесь их выдумывать не буду.
Чек-лист: как проверить провайдера конфиденциальных GPU
Список вопросов, по которым можно оценить любого провайдера до оплаты:
- Выдаёт ли провайдер attestation report с клиентским nonce?
- Проверяется ли отчёт стандартными инструментами NVIDIA?
- Можно ли загрузить кастомный guest image?
- Как формируется измерение образа и можно ли его сверить на клиенте?
- Привязан ли публичный ключ воркера к измерению?
- Что именно шифруется в E2EE и кто выдаёт ключ?
- Есть ли endpoint для TEE evidence?
- Какие ограничения по холодному старту и оплате по факту использования?
Если внятных ответов нет хотя бы на половину пунктов, проверяемой границы приватности нет. Тут работает простое правило: молчание провайдера по конкретному вопросу - это тоже ответ, только не в его пользу.
Реальный опыт с Chutes, dstack и другими: что известно и чего не хватает
Честно: подтверждённого описания реального опыта с Chutes, dstack или другими confidential GPU-провайдерами в доступных материалах нет. Ни по ограничениям, ни по времени холодного старта, ни по фактическим затратам. Автор обсуждения сам просит поделиться таким опытом, и это подтверждает, что подтверждённых данных пока мало.
Что делать в такой ситуации - измерять самому и требовать цифры от провайдера. Минимальный набор метрик: время холодного старта от запроса до готового инференса, фактическая стоимость часа с учётом простоя, доля успешных проверок attestation, ограничения по размеру образа. Эти четыре числа дают более честную картину, чем любое описание в документации.
Экономика: когда переплата за конфиденциальный GPU оправдана
Цены из материалов: Chutes - $1.80/час, VoltageGPU - $3.80/час, цена H100 Spot на Google Cloud не указана. Переплата оправдана тогда, когда на удалённую GPU уходят данные, утечка которых критична: приватные изображения, коммерческие промпты, персональные данные, внутренние материалы. Если данные не чувствительны, обычный инстанс дешевле и проще.
Оплата по факту использования снижает порог входа, но холодный старт и простой съедают бюджет. Ориентироваться только на цену за час нельзя: важно считать фактическую стоимость, включая время ожидания. Как считать эффективность GPU и почему одна цифра без методики ничего не значит, разбирали в отдельном материале про заявления о 100% эффективности GPU.
Практический вывод для сценария с Kandinsky 6.0 Pro: сначала выберите провайдера и выясните, можно ли загрузить кастомный образ и получить его измерение. Затем упакуйте пайплайн в минимальный воркер. Потом настройте проверку attestation report на Mac. И только после этого отправляйте приватные данные. Пока эти три шага не пройдены, любая цена за час остается ценой за обычную арендованную GPU.