2020年代半ば時点で、データセンター向けの一部のGPUは、CPUのTEEと組み合わせて機密コンピューティングに使える機能を備えている。この仕組みの考え方として、正しいものはどれか。

正解：B. GPUも自分の状態をアテステーションで証明し、CPUのTEEとGPUの間でやり取りするデータは、暗号化と改ざんの検出をしてから送る

AIの学習や推論ではモデルやデータをGPUで処理するので、CPUのTEEだけでは処理中のデータを守りきれません。そこで、GPUのファームウェアや設定をアテステーションで証明し、検証者が確かめてから鍵を渡して、GPUもTEEの一部として扱います。CPUとGPUの間のデータは、ハイパーバイザが管理するメモリやPCIeの経路を通るので、両者が共有する鍵で暗号化と改ざんの検出をしてから送ります。GPUの中では復号したデータで計算し、ホストの側からGPUの内部のメモリを読めないように制限します。

• A. 暗号化しないで渡すと、ハイパーバイザに読まれてしまい、機密コンピューティングになりません。
• B. 正しい。GPUを証明したうえで、経路を守って信頼する範囲を広げます。
• C. GPUは暗号文のままでは計算できません(準同型暗号とは違います)。中では復号したデータで計算します。