How it works
機密エンクレーブが処理を実行する流れ
ステップ 1 / 5
エンクレーブ生成
CPUがハードウェアで隔離された領域（TEE）を確保します。そのメモリはチップだけが持つ鍵で暗号化されます。
詳しい解説
データの「第三の状態」を守る
暗号化は長らく「保存時」と「通信時」を守ってきましたが、実際に計算する瞬間、データはメモリ上で平文に戻ります。機密計算はこの「使用時」の空白を、CPU内部の隔離領域（TEE, 信頼実行環境）で埋めます。ここでのメモリは暗号化・アクセス制限され、OSやクラウド事業者でさえ覗けません。
要はリモート・アテステーション
隔離だけでは「本当に正しいコードが安全な環境で動いているか」を外部は確認できません。そこでハードウェアが実行コードの測定値に署名し、利用者はその証明を検証してから初めて鍵やデータを渡します（RA-TLSなど）。この検証こそが、事業者を信頼せずに処理を委ねられる根拠です。
GPUもエンクレーブに加わった
従来はCPU中心でしたが、NVIDIA H100/H200以降のGPUが機密計算に対応し、VRAM（HBM）への書き込みを暗号化しながらAI推論をエンクレーブ内で完結できるようになりました。IntelとNVIDIAはCPU-TEEとGPU-TEEを一度に検証する「複合アテステーション」も整備しています。
それでも残る信頼の前提
安全性の根拠は最終的にハードウェア製造元とその実装への信頼に依存します（TCB=信頼すべき土台）。VMレベルのTEEは移行が容易な反面TCBが大きく、プロセス単位のエンクレーブは小さいが移植が重い、という設計の綱引きがあります。加えてサイドチャネル攻撃はモデルの外側にあり、継続的な緩和が必要です。
主要パラメータ・設計要素
エンクレーブの種類
プロセス単位（Intel SGX）か、VM単位（AMD SEV-SNP・Intel TDX）か、Arm CCAのRealm／TrustZoneか。粒度が保護範囲と移行しやすさを決めます。
リモート・アテステーション
実行コードの測定値と署名チェーンで「何が動いているか」を外部検証。秘密を渡す前の検証が生命線（RA-TLS）。
メモリ暗号化
エンクレーブごとの鍵をCPU内に保持し、メインメモリやVRAMを透過的に暗号化。H100はHBMをAES-256-GCMで保護。
TCB（信頼の土台）
信頼せざるを得ない要素の総量。小さいほど攻撃面が狭い。VMレベルは大きく、プロセスレベルは小さい傾向。
サイドチャネル
タイミング・キャッシュ・投機実行を通じた漏洩はTEEの保証の外。マイクロコードとソフト両面の緩和が要る。
産業・ユースケース
この技術が実際に価値を生んでいる領域と、その使われ方。
クラウド・機密VM
主要クラウドはConfidential VM/機密コンテナを提供し、メモリを暗号化した隔離実行環境でワークロードを動かす。ハイパーバイザや運用者からも処理中データを保護する。
金融・規制ワークロード
銀行や決済事業者が規制対象データを扱う処理をTEE内で実行し、リモート認証(attestation)で正しいコードが動いていることを証明する。委託先にも中身を見せずに監査可能性を得る。
医療・データ協業
複数機関の患者データをTEE内でのみ結合・解析し、分析コードは検証済みのものだけが動く。生データは外に出ず、承認された集計結果だけがエンクレーブから取り出される。
秘匿AI推論
機密の入力やモデル重みをエンクレーブ内で扱う秘匿推論。GPUのConfidential Computing対応により、プロンプトやモデルをクラウド運用者から隠したままLLM推論を実行できる。
ブロックチェーン・鍵保管
暗号資産のカストディやウォレットが、秘密鍵の生成・署名をTEE内に閉じ込める。鍵がエンクレーブ外の平文に現れないため、ホストが侵害されても鍵漏洩を防ぐ。
最新の動向
GPU機密計算が主流化。NVIDIA H100/H200やBlackwellが暗号化VRAMで動き、CPUだけでなくAI推論そのものをエンクレーブ内に置けるようになった。
CPU-TEEとGPU-TEEを一度に検証する複合アテステーションが整備（Intel Trust Authority × NVIDIA）。
移行の容易さから、プロセス単位のSGXよりVM単位のTEE（AMD SEV-SNP・Intel TDX・Arm CCA）による「機密VM」が主役になりつつある。
Confidential Computing Consortium（Linux Foundation傘下）が40超の企業でアテステーションと相互運用の標準化を進めている。
規制業界向けのLLM推論や多者間モデル活用を狙った「機密AI」が、クラウド各社の製品カテゴリとして立ち上がっている。
ベンチマーク・実測の目安
H100でのTEE有効化の性能オーバーヘッド
7%未満（大モデル・長系列ではほぼゼロ）
arXiv 2409.03992『Confidential Computing on NVIDIA Hopper GPUs』のベンチマーク結果。
オーバーヘッドの主因
TEE計算そのものではなくCPU↔GPUのPCIe転送
同 arXiv 2409.03992。暗号化計算より、エンクレーブ境界を越えるデータ移動が支配的。
業界コンソーシアムの規模
40超の会員組織
Confidential Computing Consortium 公式サイト（confidentialcomputing.io）の記載。
※数値は各出典に基づく参考値です。前提条件により大きく変わります。実装時は一次情報をご確認ください。