InfraAcademy Blog

暗号化しても、計算する一瞬は無防備。2026年、『使用中のデータ』を守るコンフィデンシャル・コンピューティング

公開日: 2026-09-01 更新日: 2026-09-01 | #AI #クラウド #セキュリティ

Linuxをブラウザで試してみる

Linux・ネットワーク・AWSを、環境構築なしで実践学習できます

こんにちは、インフラエンジニアのryuです。

データを守る、と聞いてまず思い浮かべるのは暗号化ではないでしょうか。

保存するディスクを暗号化する。通信をTLSで暗号化する。ここまでは、もう当たり前になりました。

でも、ひとつだけ抜け落ちている場所があります。

それは、データを実際に計算している、その一瞬です。

CPUが足し算をするにも、AIモデルが推論をするにも、暗号化されたデータは一度メモリの上で元に戻さないと処理できません。金庫の中身も、数えるときは机の上に出しますよね。まさにその瞬間が、これまでずっと無防備だったのです。

この「使っている間のデータ」を守る技術が、コンフィデンシャル・コンピューティングです。2026年、AIとGPUの普及を追い風に、一部の金融・医療の特殊技術から、クラウド全体の当たり前へと一気に近づいてきました。今日はこの話をしていきます。

データには『3つの状態』がある。守れていないのは、どれ？¶

セキュリティの世界では、データを3つの状態に分けて考えます。この整理を知ると、コンフィデンシャル・コンピューティングが埋めている「穴」がはっきり見えてきます。

まずは表で並べてみましょう。

データの状態	どこにある	守り方（従来）
保管中（at rest）	ディスク・DB・バックアップ	ディスク暗号化、DB暗号化
通信中（in transit）	ネットワーク上	TLS／VPN で暗号化
使用中（in use）	CPU／GPU のメモリ上	ほぼ無防備だった

保管中と通信中は、長い時間をかけて守り方が確立されました。あなたがふだん設定しているストレージ暗号化やTLSが、まさにそれです。

問題は3つめの「使用中」でした。

計算のためにメモリへ展開された瞬間、データは平文（暗号化されていない状態）に戻る。ここを覗ける立場の人がいれば、暗号化はすり抜けられてしまう。

「覗ける立場」というのは、たとえばクラウドの管理者や、乗っ取られたハイパーバイザー（仮想マシンを動かす土台のソフト）です。あなたのVMのメモリを、土台の側からダンプできてしまう。これが長年の弱点でした。

コンフィデンシャル・コンピューティングは、この3つめの穴をふさぐための技術だと考えてください。

コンフィデンシャル・コンピューティングとは？ — 中身の見えない金庫で計算する¶

ひとことで言うと、CPUやGPUの中に「外からは中身が見えない作業部屋」を作り、その中だけでデータを平文に戻して計算する仕組みです。

部屋の外に置かれている間、メモリ上のデータはハードウェアが自動で暗号化しています。部屋の主（あなたのプログラム）以外は、クラウド管理者だろうとハイパーバイザーだろうと、中を読めません。

引っ越しでたとえるなら、こうです。これまでは大家さん（クラウド事業者）が合鍵を持っていて、いつでも部屋に入れました。コンフィデンシャル・コンピューティングでは、あなたが入居した瞬間に鍵が作り直され、その鍵は部屋の中の金庫から一歩も出ません。大家さんはもう入れない、という状態を、ハードウェアの力で作るのです。

この「作業部屋」を支えているのが、次の2つの仕組みです。

TEE（信頼された実行環境）という『鍵のかかった作業部屋』¶

作業部屋の正体は、TEE（Trusted Execution Environment＝信頼された実行環境）と呼ばれるものです。

CPUに組み込まれたメモリ暗号化エンジンが、データをメモリへ書き出す前に暗号化し、計算に使うときだけ復号します。暗号鍵はCPUの中で生成され、外へは出ません。だからメモリを丸ごと吸い出しても、暗号文の羅列しか手に入らないわけです。

いまのサーバー向けCPUには、この仕組みが載っています。インテルのIntel TDX、AMDのAMD SEV-SNPが代表格で、VM一台まるごとをこの保護された箱に入れられます。クラウドの「Confidential VM」は、この上に成り立っています。

昔の技術（インテルのSGXなど）はアプリの一部だけを小さな箱に入れる方式で、プログラムを大きく書き換える必要がありました。守れる範囲は狭いのに、手間は大きい。これでは広まりにくかったのです。

いまはVM単位で丸ごと包めるので、既存のアプリをほぼそのまま持ち込めます。特別な作り込みをしなくても、いつものOSやミドルウェアがそのまま金庫の中で動く。この「手間の小ささ」が、普及を大きく後押ししました。

アテステーション — 『本当に安全な部屋か』を遠隔で確かめる¶

もうひとつ、地味だけど本質的な仕組みがアテステーション（遠隔検証）です。

いくら安全な部屋だと言われても、「本当にその部屋で、改ざんされていないプログラムが動いているのか」を確かめられなければ、信じて機密データを渡せません。

アテステーションは、TEEが「私はこういうハードウェアで、こういう中身を動かしています」という証明書を暗号署名つきで発行する仕組みです。データを送る側は、その署名を検証してから、はじめて鍵やデータを渡します。

これは、ゼロトラストの考え方とよく似ています。「社内だから」「クラウドだから」で信用するのではなく、毎回きちんと本人確認をしてから通す。アテステーションは、その本人確認をハードウェアのレベルで行うものだと考えるとしっくりきます。

なぜ2026年、急に注目されているのか¶

この技術自体は前から研究されていました。では、なぜいま一気に本命になったのか。理由は大きく2つあります。

Confidential Computing Consortium が公表したIDCの調査（2025年）では、回答した企業の約75%がコンフィデンシャル・コンピューティングの導入を進めていると報告されました。ニッチから主流へ、という流れが数字にも表れはじめています。

AIが『他人のデータ』を預かって動く時代¶

ひとつめの理由は、AIです。

生成AIの学習や推論では、患者の診療データ、顧客の取引履歴といった、外に出せないデータを大量に扱います。しかも、その計算はたいてい他社のクラウドや共用のGPU基盤の上で行われます。

「自分のデータを、自分の管理下にないマシンで計算させる」——これはまさに、使用中のデータが無防備になる典型的な場面です。

さらに、複数の会社がデータを持ち寄って一緒に分析したい、という場面も増えています。たとえば銀行どうしが不正送金の兆候を突き合わせたい。でも生のデータは互いに見せたくない。こういうとき、金庫の中でだけ計算して結果だけを取り出せれば、データを見せ合わずに協力できます。使用中の保護は、こうした新しい使い方の土台にもなっているのです。

だからこそ、AIの計算そのものを金庫の中で回したい、というニーズが強くなりました。この流れは、AI推論基盤の設計でも避けて通れないテーマになっています。実際、前述の調査でも、規制対象のデータを守りながらAIを動かす目的での採用が伸びていると報告されています。

GPUにも金庫を — コンフィデンシャルGPUの登場¶

ふたつめの理由が、GPUの進化です。

AIの計算はGPUが主役です。ところが、CPUだけを金庫にしても、データがGPUへ渡った瞬間にまた無防備になってしまう。ここが長らくの壁でした。なぜAIにGPUが要るのかはGPUの役割の解説も合わせて読むと分かりやすいです。

NVIDIAは、H100（Hopper世代）以降のGPUにコンフィデンシャル・コンピューティング機能を載せ、この壁を越えました。GPUのメモリ（VRAM）へ書き込むデータをAES-256-GCMという方式で暗号化し、その鍵はGPUの中で生成されてチップの外へ出ません。

さらに新しいBlackwell世代（B200など）では、GPU同士をつなぐNVLinkの通信まで暗号化されます。CPUのIntel TDXやAMD SEV-SNPと組み合わせることで、CPUからGPUまでを一続きの金庫にできる、というわけです。

つまり2026年は、「AIという最大の需要」と「GPUまで守れるようになった技術」が、ちょうどかみ合った年なのです。

インフラエンジニアは、どう関わればいい？¶

では、私たちインフラエンジニアは何をすればいいのでしょうか。うれしいことに、入り口はそれほど高くありません。

主要なクラウドは、すでにConfidential VMを提供しています。多くの場合、VMを作るときにオプションを一つ有効にするだけで、その上のOSやアプリはほぼそのまま動きます。

3クラウドの提供状況を、ざっくり整理してみましょう。

クラウド	提供機能の例	土台の技術
Google Cloud	Confidential VM	AMD SEV-SNP／Intel TDX
Microsoft Azure	Confidential VM／コンテナ	AMD SEV-SNP／Intel TDX
AWS	Nitro System による分離	専用ハードウェア

たとえばGoogle Cloudなら、通常のVM作成コマンドに機密モードのフラグを足すだけ、というイメージです。

# Google Cloud で Confidential VM を作る例（--confidential-compute を足すだけ）
gcloud compute instances create my-confidential-vm \
  --zone=asia-northeast1-a \
  --machine-type=n2d-standard-2 \
  --confidential-compute \
  --maintenance-policy=TERMINATE \
  --image-family=ubuntu-2404-lts-amd64 \
  --image-project=ubuntu-os-cloud

大事なのは、細かいオプション名を暗記することではありません。「使用中のデータも守るという選択肢が、いまはコマンド一つで手に入る」と知っていることです。ほんの数年前まで専門家の領域だったものが、これだけ身近になった。この変化の速さこそ、いまこの技術を追う価値がある理由です。

そのうえで、実務では次のような観点が効いてきます。

まず、すべてを金庫に入れる必要はありません。守るべきは、個人情報やAIの学習データなど、外に出たら本当に困るものです。どのデータがどの状態でどこを通るのか。この整理ができる人が、いちばん強い。

次に、アテステーション（本人確認）の設計です。金庫を用意しても、中身が正しいことを検証しないまま鍵を渡しては意味がありません。これはネットワークやセキュリティの基礎がそのまま活きる領域です。土台を固めたい方は、InfraAcademyのネットワーク学習ロードマップから始めると、こうした新しい技術の理解もぐっと速くなります。

そして、性能とのバランス。暗号化する以上、わずかな性能低下は避けられません。どのワークロードに使うかは、見極めが要ります。このあたりの費用対効果の考え方は、サプライチェーンのセキュリティ対策と同じで、「守る対象を絞って、確実に守る」が基本です。

もう一つ、頭に入れておきたい勘違いがあります。コンフィデンシャル・コンピューティングは、アプリのバグや設定ミスまで守ってくれる魔法ではない、ということです。守ってくれるのはあくまで「使用中のメモリを外から覗かせない」という一点です。弱いパスワードを使えば破られますし、アプリに穴があればそこから漏れます。土台のハードウェアが硬くなるぶん、その上で動くアプリの品質や、鍵の管理、権限の設計といった基本の重みは、むしろ増すのだと考えてください。新しい防御を足しても、基礎の手入れを怠ってはいけない。これは、どのセキュリティ技術にも共通する原則ですね。