IOSG：なぜウォール街はChatGPTやClaudeに「ノー」と言っているのか？

この記事を読むのに必要な時間は 45 分

長年にわたるプライバシーと知的財産権に関する非難にもかかわらず、両社は勢いをまったく失っていない。しかし、一部の企業はすでに行動を起こしている。

原文タイトル：『IOSG Weekly Brief｜AIの岐路：なぜウォール街はChatGPTやClaudeに「ノー」と言っているのか？ #336』
原文出典：IOSG Ventures

なぜプライベートAIが必要なのか

7月1日、PalantirのCEO Alex Karp氏がCNBCで、一部メディアに「精神崩壊」と呼ばれた20分間のインタビューを行った。Karp氏によると、企業はフロンティアラボにトークンプレミアムを支払いながら、自社のIPがモデルプロバイダーに流出するのを目の当たりにしているという。彼はこの流出を「アルファの移転」と呼び、その移転はアーキテクチャ層で起きていると指摘する。クローズドソースモデルに送られるすべてのリクエストは、平文でサービスプロバイダーのサーバーに届くのだ。番組放送の数日前、PalantirはNVIDIAと提携し、顧客が管理する環境でオープンなNemotronモデルを実行することを発表し、9項目からなるAI主権宣言も添えていた。CNBC番組放送後、PLTRは8%上昇した。

過去20年間、企業はプロトコルレベルの信頼に基づいてクラウドソフトウェアを採用し、それは機能してきた。各SaaSベンダーは企業データの一部しか見えず、顧客データをコア製品にフィードバックする動機もほとんどなかった。Salesforceは営業パイプライン、Workdayは人事、Jiraは開発イテレーション、AWSはストレージとコンピューティング基盤を見ていた。しかし今日のAIワークフローは、生産性を最大化するために、全データを一度にアップロードし、部門をつなぐ構造化コンテキストも含めることを主張する。善意はさておき、上流のサービスプロバイダーは今や、これらのデータをサーバーで眠らせるのではなく、新機能に活用できるようになった。

誰も減速していない。Anthropicの年換算収益は5月に470億ドルに達し、2025年末の90億ドルから大幅に増加した。OpenAIは2月に週間アクティブユーザー数が9億を突破した。両社は今年春に新たな資金調達ラウンドを完了し、評価額は1兆ドル近くに迫り、さらに高い時価総額でのIPOが見込まれている。長年にわたるプライバシーとIPに関する告発も、両社の勢いを損なうことはなかった。

一部の企業はすでに行動を起こしていた。2023年2月、ChatGPT公開から3ヶ月も経たないうちに、ウォール街の主要銀行はその使用を制限した。2023年5月、サムスンのエンジニアがチップのソースコードをChatGPTに漏洩した後、同社は全社的に生成AIを禁止した。これに対応して、OpenAIは同年8月にChatGPT Enterpriseをリリースし、商用データをトレーニングに使用しないこと、およびゼロデータ保持（ZDR）プロトコルを約束した。これはその後、企業調達の標準要件となった。

しかし、契約は企業アカウントのみをロックしていた。IBMは、2025年までにシャドーAI（従業員が個人アカウントで企業データを未承認のAIツールに投入すること）がデータ漏洩事件の5件に1件に関与し、重度のシャドーAI利用により漏洩コストが平均67万ドル増加することを発見した。セキュリティトレーニング企業Anagramの2025年の調査では、従業員の4割がタスクを迅速に完了するためにAI利用ポリシーに違反しても構わないと回答した。

企業は少なくとも金で解決できる。ZDR契約、非トレーニングサービスオプション、政府やPalantirの顧客であれば主権展開も可能だ。しかし、一般ユーザーにとって、プライバシーAIの重要性は今なお議論の的であり、裁判所の召喚状が届くまではその真価が問われない。

2025年5月の裁判所命令により、OpenAIはユーザーが削除したコンシューマー向けチャットまでも保存することを余儀なくされた。11月には、裁判官がそのうち2000万件をニューヨーク・タイムズの弁護士に証拠開示資料として引き渡すよう命じた。続いて刑事事件：Palisades大火災の放火被告のChatGPT記録が証拠となり、フロリダの二重殺人事件の宣誓供述書では、容疑者が死体処理方法について質問した記録が引用された。Sam Altmanも2025年7月のインタビューで、ChatGPTの会話は法的特権の保護を受けず、訴訟においてOpenAIはユーザーのチャット履歴を「引き渡すよう求められる可能性がある」と認めた。

重要なのは、犯罪者だけがプライベートな会話を必要とするわけではないということだ。人々のAIとの会話が保存され、召喚可能であることは、大多数のユーザーが存在を知らない監視の一面である。Kolmogorov Lawが2025年10月に実施した1000人の米国AIユーザー調査では、50%がこれらの会話が召喚可能であることを知らず、同時に3分の2がこれらのチャットは弁護士や医師への相談と同等の保護を受けるべきだと考えている。

セルフホスト型や検証可能な環境で動作するオープンソースモデルは急速に追いつきつつあるが、最も強力なものでも汎用能力では最先端のクローズドソースモデルに約4ヶ月遅れをとっている。これにより、tokenmaxxingを追求する企業や個人は岐路に立たされている。プライバシーのために数ヶ月のモデル品質を犠牲にするか、競合他社が生産性の優位性を獲得するために行っているように、機密素材をAnthropicのサーバーに送り続けるかだ。

現在、市場には完璧なソリューションは存在しない。本レポートでは、各社がギャップを縮めるための取り組みを整理し、証明可能なプライバシーの下での最先端インテリジェンスが企業や一般ユーザーに届くまでにどれだけの距離があるかを観測する。

プライバシーは現在どのように実現されているか

プライバシーAIは単一のエンジニアリングではありませんが、現在市場にある各メカニズムは同じイベントを処理しています。つまり、プロンプトがデバイスを離れ、ネットワークを通り、モデルを実行するマシンに到達し、応答を返すという流れです。各メカニズムの違いは、この経路上のどこに平文が存在するか、誰がそれを読めるか、そして応答のプライバシーを何で検証するかにあります。

プロトコルレベルのプライバシー

この層では、あなた以外の誰かがあなたの平文プロンプトを読み取ることができ、その後何が起こるかはすべて約束に依存します。

· 契約ベースのゼロ保存はエンタープライズ向けのソリューションです。サービスプロバイダーはあなたの身元を知り、プロンプトを処理し、保存しないことを約束します。その実行は契約と評判に依存します。

· 匿名プロキシはあなたの身元を消去しますが、あなたが何を言ったかは暗号化しません。下流のサービスプロバイダーは依然として自社のポリシーに従って平文を処理します。各社の条件は異なり、例えばDuck.ai（DuckDuckGoのチャットボット製品）のようなプロキシはモデルプロバイダーと削除契約を結びますが、Veniceはユーザーにサービスプロバイダーがすべてを保存すると仮定するよう促しますが、どちらも検証できません。

マシン間の各経路はTLS上で動作し、これはパイプのみを暗号化し、受信側はすべての情報を読むことができます。リレーは通常、Oblivious HTTP（RFC 9458）を使用してこの知る権利を分割します。原理は友人にメモを渡すようなものです。友人は誰が渡したか知っていますが内容は読めず、受取人は内容を読めますが誰が書いたかはわかりません。OHTTPは2024年1月からIETF標準となり、現在多くの企業がCloudflareやFastlyからレンタルしたOHTTPリレー上で本番トラフィックを実行しています。

これがクローズドソースモデルにアクセスする際に得られるプライバシーの上限でもあります。その理由は算数の問題です。現在、フラッグシップモデルのトレーニングには数十億ドル規模のコストがかかり、これらのラボの数兆ドル規模の評価額はモデルの重みの独占に賭けられています。モデルの能力差が続く限り、プレミアムも続くため、ラボは重みファイルを国家機密のように守っています。

Metaはすでに受動的にこの実験を行いました。2023年2月にリリースされたLLaMAは当初研究者のみに公開されましたが、1週間も経たないうちに重みがシード形式で4chanに流出しました。さらに1週間後、llama.cppにより最小の7BモデルがMacBook上でローカルに応答できるようになり、3日後にはスタンフォードが同じモデルを600ドル未満でファインチューニングしてチャットアシスタントAlpacaを作成しました。この流出によりLlamaの実行コストは電気代まで下がり、ファイルを入手した誰もが自宅で実行できるようになりました。2023年7月、Metaは7億月間アクティブユーザー除外条項付きの商業ライセンスでLlama 2を正式にオープンソース化しました。重みが流出し、プレミアムも消え去りました。

最先端のラボは理論上、クローズドソースモデルの推論に対してattestation（リモート証明）を提供できるが、attestationが証明できるのはどのコードがプロンプトを読み取ったかだけであって、そのコードがそれを使って何をしたかは証明できない。サーバーがデータを保持しているかどうかを確認するには、サービングコードを監査し、それをハードウェアが報告するハッシュに再構築する必要がある。しかし、サービングコードを一度提供すれば、ラボは利益率を支えるバッチ処理やキャッシュ技術も明け渡すことになり、これらの技術は将来のモデル世代にも引き継がれる。AppleやMetaがiPhoneやWhatsAppのサービススタックに対してリモート証明を提供できるのは、彼らの利益がデバイスや広告にあり、サービングコードを公開するコストがほぼゼロだからだ。

これが、フラッグシップモデルの重みやサービングコードが外部の運営主体に渡らない理由である。外部運営主体がなければ、サードパーティによるattestationは存在せず、attestationがなければ、検証可能なプライバシーはオープンソースモデルにのみ存在する。

構造レベルのプライバシー

このカテゴリの各メカニズムは、ハードウェア、暗号、または物理ベースの証明を用いて信頼の約束を置き換えるが、それぞれプライバシー向上のために異なる代償を払う。その第一は、オープンソースモデルでのみ動作可能であることだ。

· TEE（信頼できる実行環境）機密計算は、推論をハードウェアenclave（マシン運営者でさえ開けられないチップ上の密閉区画）内で実行し、チップはどのモデルとコードが実行されたかを示すattestationに署名する。

· プロンプトはエンドポイントでのみ封じられる。プラットフォームプロキシを経由する経路上には、平文を読み取れる役割が依然として存在し、プロキシが中継内容を記録または漏洩するのを防ぐのはプロトコルのみである。

· E2EE（エンドツーエンド暗号化）は、読み取り可能な中継を封鎖する。ユーザーデバイスはenclaveの鍵でプロンプトを暗号化し、中間の各ホップはenclaveのみが開封できる密封された封筒を運ぶ。

· 信頼はクライアント側に置かれる。プロンプトを暗号化し、attestationを検証するコードは、その保証を取り消す能力も持つ。したがって、検証可能なE2EEには、証明されたenclaveと同様に、オープンで再現可能なクライアントコードが必要である。

· TEEのシンプルさと比較して、E2EEの代償はエンジニアリング負荷であり、これが機能統合を遅らせる。E2EEはプロキシを盲目的なメッセンジャーに変えるため、平文を読むことで機能するすべての機能は、クライアント鍵を中心に再構築されるか、enclave内部でのみ再構築される必要がある。

· FHE（完全準同型暗号、およびMPCバリアント）は、信頼できる第三者を完全に排除します。サーバーは決して開けることのできない鍵付きの箱の中で暗号文に対して計算を行い、鍵はあなただけが保持します。MPC（マルチパーティ計算）は、プロンプトを秘密の断片に分割して複数の関係者に分配し、全参加者が共謀しない限り、同様の効果が得られます。

· 代償は速度です。FHEは本来、加算と乗算しか実行できないため、トランスフォーマーの動作に必要な非線形ステップは、高コストで再構築する必要があります。暗号文での推論コストは平文の1万倍から10万倍に達し、小規模モデルでもトークンあたり数秒から数分かかりますが、暗号化しない場合はミリ秒で済みます。

· 暗号演算専用にカスタマイズされたチップがこのギャップを縮める可能性がありますが、最初のプロトタイプのデモ完了は2026年初頭であり、商用バージョンにはさらに数年かかります。

· ローカル推論は、この経路を直接削除します。モデルはユーザー自身のハードウェア上で動作し、中継、サーバー、サービスプロバイダー、検証要件は一切ありません。

· 明らかな代償はコストとモデル能力です。gpt-oss-120bはArtificial Analysis指数でGLM-5.2の約半分のスコアですが、サイズは65GBで、市販のトップクラスのゲーミンググラフィックカード2枚分のVRAMを超えます。一方、フル精度のGLM-5.2は8枚のGPUを搭載したデータセンターノードでのみ動作可能で、GPUだけで30万ドル以上かかります。

しかし、これらの構造的な制約の一方で、推論をエンクレーブ内に配置するコストは縮小しています。シングルGPU推論では、エンクレーブクラウドプロバイダーPhalaのベンチマークによると、エンクレーブモードのH100のスループット損失は平均7%未満であり、大規模モデルではほぼゼロに近くなります。これは、主要なコストがデータをチップに移動することにあり、内部での計算にはないためです。マルチGPU推論では、NVIDIAの次世代GPU Blackwellがチップ間トラフィックの直接暗号化をサポートしており、旧型のH100で同じ効果を得るには、帯域幅が7分の1に低下するCPUホスト経由の迂回が必要です。NVIDIA自身のBlackwellでのベンチマークでは、397Bモデルのエンクレーブモードでのスループット損失は8%未満です。これらの進展により、プライバシー推論自体のパフォーマンス損失はもはや決定的な制約ではなくなりました。

実際、エンクレーブ自体は運用者に追加の運用コストをほとんど発生させません。2023年以降のすべてのH100にはエンクレーブモードが標準搭載されており、追加コストは暗号化によるスループット損失であり、追加のチップではありません。現在、Azure上の機密H100 SKUのレンタル価格は依然として1時間あたり8.90ドルで、エンクレーブを無効にした場合は6.98ドルであり、従来のクラウドインフラに比べて27%の割増となります。一方、Phalaのようなエンクレーブ専門のプロバイダーでは、機密モードのH100が1時間あたり3.80ドルからレンタル可能であり、Lambdaの通常のSXMカードの価格帯3.99～4.29ドルを下回っています。マネージドAPIソリューションでは、NEAR AIがattestation付きのエンドポイントでgpt-oss-120bを100万トークンあたり入力0.15ドル、出力0.55ドルで提供しており、平文ルートのAmazon Bedrock、Together、Groqと同等です。マルチチップ並列が必要なモデルでも、NEAR AIはGLM 5.2でFireworksとまったく同じ価格設定であり、より大規模なKimi K2.6では入力が15%安く、出力が4%安くなっています。

これらの新しいプライバシー推論サービスプロバイダーは、利益を削ってシェアを奪っている可能性があるが（これは市場で成長を目指すどの企業にも当てはまる話だが）、構造的な流れとして、プライバシーのコストは消費者と運営者の双方で低下している。

オープンソースモデルはどう勝つのか？

パフォーマンスのオーバーヘッドが圧縮されているとはいえ、最先端モデルとSOTAオープンソースモデルの間には依然として目に見えるギャップがある。生産性を最大化しようとする主体が最前線に留まるためには、最先端のラボが自社のIPを盗まないと信頼する必要がある。

ギャップはまだ存在するが、Bridgewater傘下のAIA LabsとThinking Machinesは6月30日に、専門家のアノテーションでファインチューニングされたオープンモデルが、精度とコストの両方で最先端モデルを上回った事例を示した。

研究では、チームはTinker（Thinking Machinesのホスティング型ファインチューニングAPIサービス）上でQwen3-235Bをファインチューニングした。まずサプライヤーからアノテーションを調達し、このデータで第一ラウンドのトレーニングを行い、その後、不一致サンプルを会社の投資担当者に再アノテーションのために転送した。トレーニングには強化学習（GRPO）を採用し、さらに3つの修正を加えた：ラウンドロビンバッチング（各タスクから順番にバッチを出す）、CISPO損失（単一の回答がモデルを引き離せる上限を制限）、オンポリシー蒸留（現在の最適チェックポイントに固定し、モデルが弱いコピーから学習しないようにする）。

タスクはすべて投資担当者の日常業務フローから抽出された：あるニュースがCスイート級の投資プロフェッショナルにとって重要かどうか、中央銀行の文書が将来の金利変動の方向性を示唆しているかどうか、文書やメール内のテンプレート的な定型文がどこから始まるか。スコアは独立したテストセットから算出され、シンプルなプロンプトでの最先端モデルの平均スコアは約50％、専門家プロンプトを追加しても78.2％にとどまり、投資担当者が設定した80％の閾値を下回った。一方、ファインチューニングされたQwenは84.7％を獲得し、原文の表現によれば、これは最先端の最良モデルよりも29.8％少ないエラーで、推論コストは13.8倍低いことに相当する。

https://thinkingmachines.ai/news/learning-to-replicate-expert-judgment-in-financial-tasks/

この事例は、オープンソースモデルが精度とコストで優位に立てることを証明したが、トレーニングプロセスは依然として非公開ではない。プロセスで使用された専門家によるアノテーションはBridgewaterのプライベートデータであり、Tinkerのサードパーティサービスを経由し、ZDRプロトコルと同じ信頼階層に位置する。ファンドはさらに計算リソースをレンタルし、トレーニング全体を自らが制御したことのないマシン上で実行した。このレシピを手に入れたいが信頼前提を受け入れたくないバイヤーにとって、今日の選択肢は限られている。ベアGPUクラスターをレンタルすれば、トレーニングプロセスはクラウド運営者にとって読み取り可能となる。クラスターを購入すればデータホスティングの問題は解決するが、コストが跳ね上がる。

attestationを備えたアプローチがようやく到来した。3月、Workshop LabsとTinfoilはSiloをリリースした。これはTinfoil enclave内で動作し、単一の8GPUノード上で動作するポストトレーニングスタックであり、鍵は顧客のみが管理する。記事によると、enclaveのコストは2時間のトレーニングに対して11分の追加時間であり、このスタックはベースウェイトを凍結し、その上で小型のアダプターのみをトレーニングすることで、1兆パラメータモデル（Kimi K2 Thinking）を収容できる。課題は、強化学習が各コンポーネント間でデータを頻繁に移動させる必要があり、このデータ移動こそがenclaveのコストの要因であることだ。

Siloのリリースから1ヶ月も経たないうちに、Workshop LabsはThinking Machinesに買収され、enclave内でBridgewaterスタイルのRLループを実行するために必要なコンポーネントは、現在すべて同一企業の傘下にある。

ハーネス層のプライバシー

すべてのプライベート推論メカニズムの外側に、もう一つの問題が横たわっている。これらのメカニズムはそれぞれ、プロンプトからモデルへの経路を管理するが、エージェントが開始する外部ツール呼び出しのたびに、推論層がまったく触れることのできない経路が開かれる。最近のハーネスエンジニアリングの流行は問題を何倍にも拡大しており、モデルの周囲に接続された各ツール、メモリベース、データソースは、それぞれが自身のワークフロースライスを平文で読み取る宛先となる。カレンダーサーバーはスケジュールを読み取り、データベースサーバーはクエリを読み取る。完全にローカルなエージェントであっても、トレーニングセット以外の何かを必要とする場合、検索クエリを平文で検索エンジンに渡す必要があり、サーバー側が平文を読めなければ質問に答えることはできない。

主流の解決策は依然としてプロトコル層に依存している。RunlayerやMintMCPのような企業は、中央ゲートウェイを使用してすべてのツールトラフィックを管理し、リクエストが外部に出る前に個人識別情報（PII）をマスキングする。ゲートウェイは同時に、どのサーバーがトラフィックを受け取れるかを決定し、未審査のものを遮断し、各呼び出しの宛先と内容を証拠保全のために記録する。これらの管理が独立した監査（SOC 2）を受けていても、ツールサーバーは応答するために平文のクエリを読み取る必要があり、コピーを保持するかどうかは各社の保持ポリシーに依存し、さらにハーネス内のすべてのツールに適用される。さらに、ゲートウェイ自体も経路上に追加される信頼に依存する読み取り主体であり、検証ではない。

構造レベルのソリューションは中間層に到達している。例えば、PhalaはMCPサーバーを直接TEEにホスティングし、ウォレット、コード実行、データソースをカバーするディレクトリを提供する。ユーザーは運営者を信頼する代わりに、単一のattestationでプライバシー宣言を検証できる。しかし、TEEでホストされたツールは最終的にクエリを平文でサービス提供者に渡さなければならず、enclaveが封じるのは使者だけであって、目的地ではない。

ごく一部の目的地だけが、読まずに回答する方法を習得しているが、それは構造化クエリに限られる。AppleはiPhone向けにPrivate Information Retrievalを提供し、着信番号をスパム電話データベースと照合する際に番号を露出させない。MicrosoftはEdgeブラウザのパスワードに同じ方式を採用している。MongoDBのQueryable Encryptionは、クライアントがフィールドを送信前に暗号化し、サーバーが暗号文のみで等値および範囲マッチングを実行できるようにする。

しかし、オープンエンド検索に関しては、今日の最良の答えは信頼に留まっており、検証可能な暗号化検索はまだ実験室を出ていない。Braveは自社の400億ページのインデックス（Googleのものではない）上でゼロデータ保持を約束しているが、それでもプロトコル層に留まる。Exaはニューラルインデックスを構築し、ユーザーのキーワードをセマンティック埋め込みに変換し、セマンティックマッチングで結果をランク付けするが、この埋め込みステップは依然としてExaのサーバー上で平文から計算される。MITの2023年のTiptoe論文では、3.6億のウェブページ上でクエリを露出させずにランク付けを実現したが、検索ごとに大量のサーバー計算リソースを消費し、ランク品質は非暗号化検索に劣る。Appleの2024年のWally論文では、実際のクエリを一連のダミークエリに隠すことで、通信コストを最大31倍削減できるが、この数学的仕組みは数百万の同時クエリが発生して初めて安価になり、その規模を今日のプライベート検索システムは持っていない。

暗号化検索は実現可能だが、性能と価格の両面でまだ商用化には至っていない。

展望

プライベートAIへの需要は高まっている。Venice AIは最近、350万人の登録ユーザーと月間1.3兆トークンのスループットを突破し、その後、評価額10億ドルのSeries A株式資金調達を完了した。Protonはその直接の競合であり、そのチャット製品Lumoはローンチから1年以内にユーザー数が1000万人を超えた。インフラ面では、Phalaは現在OpenRouter上で1日あたり平均20〜30億トークンを処理している。Duck.aiはgpt-oss-120bとGemmaをTinfoilのenclaveにルーティングし、ユーザーエージェントを超えた検証可能なプライバシーを提供する。これはセルフホスティングを考慮に入れていない。セルフホスティングはおそらくプライベート推論の最大のチャネルであり、モデルが自身のハードウェア上で実行され、使用痕跡を一切残さないからだ。

しかし、主流のAIの大きな潮流の中で、プライバシーAIはごく一部に過ぎず、このギャップは最先端の研究所がその需要を満たそうとする場合にのみ埋まる。5月、Googleの全製品は3200兆トークンを処理した。これに基づけば、Veniceの1か月のスループットはGoogleの約18分に相当する。昨年11月、GoogleはPrivate AI Compute（PAC）を立ち上げ、Geminiが動く一部の機能を、自社から隔離された密閉型TPUエンクレーブ内で実行し、NCC Groupによる独立監査を受ける設計とした。問題は、PACがパーソナライズドレコメンデーションや録音サマリーなど一部のPixel機能のみをカバーし、数億人が利用するGeminiアプリには適用されない点だ。Googleが設計を監査機関に委ねられるのは、これらの機能がデバイスや広告で収益化されており、トークン販売に依存していないからだ。

現在のホスティングソリューションも完璧ではない。E2EEで最高レベルのプライバシーを得たいユーザーは、サービスプロバイダーが読み取れない場所で新機能が再構築されるのを待たねばならない。プライベートハーネスはサービス層で依然としてプロトコルに依存する。手頃な価格のポストトレーニングで最高のファインチューニング結果を得るには、依然としてサードパーティベンダーを信頼する必要がある。セルフホスティングはすべてのサービスプロバイダーを一気に排除するが、ローカルで最強のオープンソースモデルを実行するコストは、それを収容する建物よりも高くなる可能性がある。

欠点はあれど、プライベートAIはすでに現実的で手頃な選択肢となっており、残るギャップも縮まりつつある。一般消費者にとって、LumoやVeniceでは、ログ非保存の約束のもとでオープンモデルのプライベートチャットが無料で利用でき、VeniceやTinfoilの18～20ドルのサブスクリプションでは、同じチャットをエンクレーブに封入でき、ChatGPTのサブスクリプションと変わらない価格だ。企業のワークフローでは、アテステーション付きのエンドポイントが、現在では平文ルートよりもさらに安価になっている。NEARのE2EE APIのようなエンドポイントは、暗号化されたコンテキストをエンクレーブに取り込むことができ、メモリ、ファイルアップロード、カスタム指示が今日すでにE2EE上で動作している。アテステーション付きのポストトレーニングに関しては、NVIDIAが近日発売予定のVera Rubin NVL72が、機密コンピューティングをBlackwellの8カードノードから72カードラックに拡張し、最先端のRLループをIPを露出させずにより実現可能にする。

しかし、重要な価値獲得は、これらの価格圧縮の階層の外側にある。プライバシーは既に存在する場所ではほぼ無料だが、主流のエージェンティックワークフローにはまだカバーされていない。エンクレーブのレンタル・販売に特化した事業者は、標準チップ上のスイッチを握っているに過ぎず、それは堀（モート）ではなく、プロトコル層のゲートウェイは従来のミドルウェアと同列で競合する。守るべき陣地は、このレポートでまだ解決されていない半分、すなわちエンクレーブ内に閉じ込められたトレーニングループ、エンドツーエンドで封鎖されたツール呼び出し、トークンが見えない検索インデックスである。これらのいずれかを最初に実現した者は、価格競争では商品化できないものを販売することになる。プライバシーAIを追う資本は、スイッチではなく、そのギャップを買うべきだ。

では、信頼か、それとも検証か？再実行やエージェント主体のタスクには信頼を選ぶべきだ。なぜなら、ツール呼び出しのたびに平文がエンクレーブの封じ込めの及ばない場所に渡されるからであり、最先端モデルはこうしたループの中でその価格に見合う性能を発揮するからだ。一方、企業を競合他社と差別化する高度な思考には検証を選ぶ。戦略、計画、そして長年の専門経験から抽出された判断こそ、まさに議論の的となるアルファ（α）である。今後の道筋は、企業が自ら制御できる範囲内で、これらの独自の洞察を用いてオープンソースモデルを微調整することにある。企業のアルファが存在する領域では、専門家が調整したオープンモデルがすでに精度とコストの両面で最先端を凌駕しており、プライバシー環境下でそれを構築するためのインフラも、ノードごとに整備されつつある。