Модель - це програма. Програма виконується на конкретному компʼютері. Варіантів три: сервер провайдера в датацентрі, сервер твоєї організації, твій власний компʼютер.
Датацентр - це будівля з тисячами серверів. Хмара - це оренда обчислень у такому датацентрі. Коли ти пишеш у чат асистенту, обробка відбувається там. Великі моделі живуть у датацентрах, бо потребують спеціальних процесорів з великою памʼяттю - таке залізо не ставлять в офіс.
Свій сервер і свій компʼютер запускають лише моделі з відкритими вагами. Контроль тут повний: дані не покидають твій контур. Обмеження теж є: моделі менші, залізо і обслуговування твої.
У кроці 1 біля власного сервера стоїть "контроль: повний". Це часто читають як "безпечно". Слово означає інше. Контроль означає: всі рішення твої. Разом з рішеннями твоїми стають і всі помилки.
Свій сервер потребує роботи, яку хмарний провайдер виконує непомітно: оновлення системи, налаштування доступів, резервні копії, моніторинг, фізична охорона заліза. Це не разовий список. Це постійні процеси. Кожен пропущений пункт відкриває шлях до даних.
Два типові механізми відмови. Перший - неправильні налаштування. Приклад: відкриті сховища Amazon S3. Компанії роками тримали клієнтські дані у сховищах, доступних будь-кому за прямим посиланням. Сканери знаходять такі сховища автоматично, тисячами. Це не злам. Це двері, які ніхто не зачинив.
Другий - фізичний доступ. Сервер в офісі можна вилучити під час обшуку або винести під час крадіжки. Диск читається на іншій машині. Датацентр великого провайдера влаштований інакше: дані розподілені між машинами, диски зашифровані, фізичний доступ контролюється і логується.
Підсумок симетричний. Правильно побудований власний контур безпечніший за хмару. Правильна побудова коштує: люди, час, гроші, постійна увага. Хмарний провайдер продає саме цю роботу. Тому вибір "своє чи хмара" - це не вибір між "безпечно" і "небезпечно". Це вибір, хто виконує роботу з безпеки: твоя команда чи провайдер. Відповідь залежить від того, чи є в тебе ця команда.
Клієнтів у хмари більше, ніж фізичних серверів. Тому один сервер ділять на багато віртуальних машин. Віртуальна машина - це програмна копія компʼютера: зі своєю часткою процесора, своєю памʼяттю і своїм диском.
Розподіл виконує гіпервізор - програма між залізом і віртуальними машинами. Гіпервізор виділяє кожній машині її ресурси і не пускає одну машину в память іншої. Машина не бачить, хто працює поруч, і не може туди зазирнути.
Оренда в хмарі - це оренда таких машин. На одному фізичному сервері працюють машини різних клієнтів. На цій ізоляції стоїть уся хмарна індустрія: банки, пошта і державні реєстри працюють на таких самих машинах у таких самих датацентрах.
Частина задач асистента - виконання коду: порахувати таблицю, зібрати документ, перевірити дані. Код виконується не в моделі. Модель пише код, а виконує його окреме середовище.
Це середовище називають пісочницею. Пісочниця - маленька ізольована машина: створюється під задачу, отримує лише передані їй файли, не має доступу назовні, після завершення знищується разом з усім вмістом.
Хмарний агент працює так само, лише довше: він отримує віртуальну машину на час задачі. Твого компʼютера ця машина не бачить. Вона бачить те, що ти передав у задачу, і нічого більше.
Локальний агент - інший випадок. Він працює прямо на твоєму компʼютері і бачить те, що дозволено в його налаштуваннях. Тут межі задає користувач, і їх варто задати явно: які папки доступні, які команди дозволені.
Для зберігання відповідь "так", і давно. Наскрізне шифрування працює так: дані шифруються ще на твоєму пристрої, ключ лишається в тебе, сервер зберігає лише шифроблоки. За цією схемою працюють месенджери з наскрізним шифруванням і частина сховищ.
Для обробки моделлю відповідь здебільшого "ні". Модель читає відкритий текст. Зашифрований запит модель обробити не може. Тому хмарний асистент бачить зміст запиту - це технічна умова обробки, а не рішення провайдера.
Виняток, який зараз розвивається, - confidential computing. Процесор має захищену зону: анклав. Дані розшифровуються лише всередині анклава. Оператор сервера доступу до цієї зони не має. Атестація дозволяє перевірити це криптографічно: пристрій переконується, що на сервері працює саме заявлений код.
Робочий приклад - Apple Private Cloud Compute: запити з iPhone обробляються в хмарі, але в середовищі, куди Apple за власною архітектурою зазирнути не може. Виробники процесорів додають таку саму можливість для серверних GPU. Для великих LLM-сервісів це поки виняток, не стандарт.
Лист у хмарній пошті проходить той самий шлях, що запит до асистента: TLS у дорозі, відкритий для сервісу зміст під час обробки, шифрування у сховищі з ключами провайдера. Файл у хмарному диску влаштований так само.
Тому рівень довіри до хмарного асистента на бізнес-плані такий самий, як до хмарної пошти на бізнес-плані. Юридичні фірми роками тримають клієнтське листування в хмарній пошті - модель довіри та сама. Відмінність одна: в асистентів є окреме питання навчання на даних. Воно перевіряється в політиці тарифу - крок 4 сторінки безпеки.
Локальна модель у цьому порівнянні - як файл на власному диску: зміст не покидає твоє залізо.
Обсяг і чутливість даних узгоджуються з контуром. Що сильніший контур - то більше даних у нього можна передавати.
Споживчий чат: окремі документи без чутливих даних; строки і навчання залежать від налаштувань акаунта. Бізнес-план: робочі матеріали справи; без навчання за замовчуванням. API з zero data retention: регулярні потоки документів; сервіс не зберігає ні запити, ні відповіді. Локальна модель: без обмежень за чутливістю, включно з матеріалами під найсуворішою таємницею.
Це та сама трирівнева схема зі сторінки безпеки, розгорнута в бік обсягу даних.