デジタル知能による翻訳です。ポーランド語原文が優先します。不自然な箇所があれば、その部分を選択し、翻訳へのコメントをお送りください。

Suveria：デジタル知能とのプライベートな作業

2026年10月31日版。本ドキュメントは、Suveriaに関するマニフェストの原則を展開するものです。すなわち、私たちがどのようにプライバシーを守りたいと考えているか、デジタル知能との作業がどのように機能すべきか、どれほどのコストがかかり、それをどのように検証するかについて記述します。ここに記述されたアーキテクチャは設計段階のものです。既存の技術やプロバイダーのドキュメントへの言及は、私たちがそれをSuveriaで稼働させたことを意味しません。私たちの試行の結果は第9章に、常に日付、構成のバージョン、および測定の範囲とともに追記していきます。

本稿は、2026年10月31日付のポーランド語原文をデジタル知能が翻訳したものです。版の間に相違がある場合は、ポーランド語の原文が優先します。

1. Suveriaとは何か、何のために作られるのか#

Suveriaは、閉ざされた扉の向こうの自宅にいるかのように、人がデジタル知能と対話し、自らの資料に取り組み、以前の思考へと立ち返ることのできるインターネット上のプライベートな空間となることを目指しています。マニフェストにその価値観が記されているポズナンのNovus Ignis財団が、世界中のあらゆる場所にいる人々を念頭に置いて設計しています。オープンなデジタル知能モデルを基盤とし、独自のソフトウェアはオープンなコードを備えたデジタル公共財として提供したいと考えています。

Suveriaが作られるのは、健康、人間関係、仕事、お金、人生設計についての問いなど、私たちがデジタル知能との対話に委ねる事柄がますます増えているからです。多くの一般的なサービスでは、そのような対話の内容はプロバイダーのサーバーへと送られ、プロバイダーがそれを読み取ることができ、その保護はプロバイダーの規則とプロバイダーへの信頼に依存しています。私たちは、人に対するこれほど深い洞察がいつか収益化されたり、影響力を行使するために利用されたりするのではないかと恐れることなく、最も大切な事柄について対話できるようにしたいと考えています。また、誰もが実際に利用した分を支払い、何に対して支払っているのかを確認でき、自らの支出の上限を設定できるようにしたいと考えています。

Suveriaにおいて、私たちは以下のことができるようにしたいと考えています。

最初のリリースは、検証可能なプライバシーを選択の理由とする人々に向けられています。

私たちは、Suveriaでの最初の日から、自分のペースで整えられるプライベートな工房で自宅にいるような穏やかな感覚を得られるようにしたいと考えています。ユーザーは自分の事情や目標をアシスタントに伝えられるようになります。また、他のデジタル知能サービスとの過去の対話のアーカイブや自分のメモをSuveriaへ移せるようにしたいと考えています。そのようなアーカイブはユーザーの端末上で暗号化され整理されたまま保たれ、リモートのモデルへは現在の質問のために選択された範囲のみが送られるものとします（第3章）。

サービスの価値は、目標を達成し、プライバシーを保ち、自ら決定を下す助けとなるかどうかによって測られます。条件は明確で容易にアクセスできるものとし、ユーザーは自らの支出を管理し、自分の資料をエクスポートして離脱できるものとします。

インフラを運用する私たち自身からの保護も含めた完全なプライバシーは、設計全体が従う目標です。保護は財団への信頼ではなく、独立して検証できる安全対策に基づくものとします。そのため、すべてのリリースにおいて、何が、誰から、どのような条件で保護され、どのような弱点が残るのかを具体的に記述します。

出発点は、明確に記述された保護レベル、支出上限、および結果のエクスポート機能を備えた、単一のモデルとのテキスト対話および選択したドキュメントでの作業です。記憶、検索、外部連携（インテグレーション）、アクションの実行といったさらなる機能には、それぞれ別個の権限範囲が与えられます。データを送信する前にどこへデータが送られどのような規則が適用されるかを人が確認できる限り、一つの使いやすい画面で複数の作業モードを結びつけることができます。

最初のリリースが何を利用するかは、開始前に財団がどれだけの資金を集められるかにかかっています。最も可能性が高いのは外部プロバイダーの機密APIです。そのようなサービスは今日米国で利用可能であり、初期段階ではその機密性はプロバイダーの表明であり、私たちがそれを検証していきます。機密環境で独自のサーバーを借りるのに十分な資金が集まれば、最初のリリースから直ちにその上で稼働させることができます。第9章の試行で肯定的な結果が得られるまでは、これらのいずれの選択肢も「機密」ではなく「表明された保護」として表示します。第2章では目標とする保護について説明します。これが欧州の人々の個人データ保護にとって何を意味するかは、パイロット版の開始前に記述します。

Suveriaの利用は、モデルの訓練に対話を使用することへの同意ではありません。ユーザーのコンテンツは別個の十分な説明に基づく同意がある場合にのみ研究用資料に入り、残りの資料は学習用教材とモデルベンチマークのホワイトペーパーで説明するとおり、財団の公開された成果や利用根拠が明確な他の情報源から得られます。

Suveriaは、対話と決定の共有空間であるOmniforumを補完します。一方はプライベートな工房を与え、もう一方は公共の演壇を与えます。両プロジェクトが生まれる土台となった価値観は、財団のマニフェストに記述されています。以下では順に次の事柄を示します。

2. 何を何から保護するのか#

私たちは、対話とファイルの内容、履歴と記憶、鍵、精算データ、および接続時刻、ネットワークアドレス、リクエストの大きさといったメタデータを保護します。これらの領域はそれぞれ異なる対策を必要とします。

2.3節で説明する五つの作業選択肢のそれぞれが誰から保護するのかを、以下の表に示します。サーバーを用いる選択肢における保護は、リモートマシン上でどのソフトウェアがどの保護モードで動作しているかについてのハードウェア署名付き証明であるアテステーションに基づいています。各セルは本ドキュメントの以降の章に基づいて記入しました。「プロバイダーの表明」とは、私たち自身の検証が完了するまでは保護を確認しないことを意味します。

誰から保護するかネットワーク未接続の端末上のローカルモデルネットワーク接続された端末上のローカルモデルサーバー上の機密環境での処理外部プロバイダーの機密APIモデルプロバイダーの外部API
プロバイダーの管理者該当せず：端末上での処理モデル自体には該当せず。外部連携時は選択したサービスによる保護する：サーバー管理者が覗き見ることのできないハードウェア隔離プロバイダーの表明、要検証保護しない：プロバイダーが内容にアクセス可能
同一マシン上の他の顧客該当せず該当せず保護する：隔離は他の顧客にも及ぶプロバイダーの表明、要検証プロバイダーによる：顧客の分離はハードウェア隔離なしのソフトウェアによる
ネットワークの監視者該当せず：ネットワーク通信なし部分的な保護：外部連携のネットワーク通信は評価が必要部分的な保護：内容は通信経路上で暗号化。メタデータ（時刻、アドレス、パケットの大きさとリズム）には別個の対策が必要（第3章）部分的な保護：接続鍵がアテステーションと紐づいている場合、機密環境と同様部分的な保護：内容は通信経路上で暗号化、メタデータは左記と同様
サーバーへの物理的アクセスを持つ人物サーバーには該当せず。端末への物理的アクセスが重要サーバーには該当せず。端末への物理的アクセスが重要保護しない：他社のデータセンターではプロバイダーがアクセス権を持つ。自社機器では可視化された物理的管理保護しない：プロバイダーがアクセス権を持つ保護しない：そもそもプロバイダーが内容にアクセス可能
財団該当せず：財団は処理に関与しない該当せず：財団は処理に関与しない保護する：隔離は運営者としての私たちにも及び、保存データの鍵はユーザーが保持内容を保護する設計：ゲートウェイは内容を見ずにリクエストを精算。暗号化がどこで終わるかはパイロット前に提示（第3章）私たちからは内容を保護する設計：内容を見ずに精算。プロバイダーは内容を閲覧可能
プロセッサの製造元端末のハードウェアへの信頼による端末のハードウェアへの信頼による保護しない：アテステーションは誠実でなければならない製造元の鍵に依拠する保護しない：左記と同様プロバイダーが内容にアクセスできるため無関係

機密コンピューティングは攻撃のコストを変えます。管理者のリモートアクセスの代わりに、ハードウェアへの物理的な介入が必要になるのです。

以下では、独自の機密環境を用いる目標の選択肢がどのように機能するかを説明します。他の選択肢がどう異なるかは2.3節の表に示します。メッセージがたどる経路の各区間において、これが実際に何を意味するかは以下のとおりです。

機密コンピューティングは、感染したユーザーのコンピュータを修復するものではありません。また、サーバーへの物理的アクセスを持つすべての人から保護するものでもありません。2025年、研究者たちは1,000ドル未満の部品で作られたメモリバス接続装置によってIntelおよびAMDのソリューションからアテステーション鍵を抽出でき、それによってNVIDIAの機密コンピューティングにおけるアテステーションも偽造できることを示しましたが、プロセッサ製造元はそのような攻撃を自らの保護範囲外とみなしています。1 ハードウェア製造元、暗号技術の正しさ、アプリケーションコード、およびアップデートプロセスへの依存も残ります。プロバイダーは内容を読み取れない場合であってもサービスを拒否することができます。したがって脅威モデルは、内容の閲覧、メタデータからの推論、動作の変更、およびサービスの中断を区別し、保護が機能するために誰が誠実でなければならないかを各選択肢について示す必要があります。

他社のデータセンターを利用する限り、ハードウェアへの物理的アクセスはプロバイダーが持っており、私たちがそれを検証することはできません。このことは各選択肢において明言します。自社機器を用いる場合（8.2節のステップ3〜4）には、以下の方法によってこのアクセスを可視化したいと考えています。

保守および部品の交換は、事前告知された公開の手続きとして行われます。可視化された物理的管理はリスクを減らし多くの事象の検知を可能にしますが、マシンの全履歴や納品前の介入がないことを証明するものではなく、上述のような攻撃はアテステーション証拠の偽造につながる可能性があります。そのため、筐体の開放、部品の交換、計画外の再起動、またはその他の不審な事象の後には、当該マシンでのプライベートな内容の処理を一時停止します。セッション鍵とアプリケーション鍵を交換しますが、ハードウェア・アテステーションの土台に疑義がある場合、新しいアテステーションだけでは信頼は回復しません。再稼働の条件と証拠はあらかじめ記述します。ユーザーのデータを暗号化する鍵は別個の保護と回復手段を持っているため、このような手続きによって人々のプライベートな成果が失われることはありません。

2.1. 自身の端末と任意のサーバー#

プライベートな対話、ファイル、記憶の基本的な保管場所は、適切な鍵で内容を読み取るデータ集合である暗号化コンテナ内の、ユーザーの端末とします。これはローカル・ファースト（local-first）のアプローチです。データはまず端末に保存され、サーバーはバックアップと同期を支えることができます。2 保存された資料は財団のサービスの利用を終えた後も利用可能なまま残るものとし、リモートモデルを必要とする作業は選択した計算サービスの利用可能性に依存します。

選択したサーバーへの任意の保存は、バックアップと端末間の変更の同期に役立てられます。内容は送信前に端末上で暗号化され、コピーを保管する運営者はそれを読み取るための鍵を持たず、暗号化された記録のみを受け取るようにします。ユーザーは保管プロバイダーと読み取り権限を持つ端末を選択します。転送されるコピーの時刻やサイズといったメタデータの露出も別途制限します。

2.2. 鍵とアクセスの回復#

プライベートなコンテナの鍵はユーザーの管理下に留まります。回復手続きは、アクセスを回復させるのが2台目の端末なのか、保存された回復鍵なのか、あるいは意識的に選択された別の仕組みなのか、そしてそれが誰に読み取りの可能性を与えるのかを明確に示します。運営者側でのアカウント回復によってコンテナの内容のロックが解除されることはありません。鍵のすべてのコピーと回復手段を失うことはデータの恒久的な喪失を意味し得るため、仕組みの選択にあたってはデータ復元の試行を行い、わかりやすい説明書に記述します。

私たちは、組み合わせ可能な複数の回復方法を検討しています。すでにアクセス権を持つ2台目の端末、紙またはパスワードマネージャーに記録された回復鍵、ハードウェアキー、そしてたとえば3人のうち任意の2人が揃えばアクセスを回復できるが1人では誰もデータを読み取れないようにする信頼できる複数人への鍵の分割です。財団は鍵もその断片も保管しないため、ユーザーに代わってアクセスを回復することも、そのデータを引き渡すこともできません。

初期段階では、2台目の端末と紙に書き留めた鍵を推奨し、信頼できる人々への鍵の分割は希望者のための選択肢とします。

2.3. 保護の選択肢#

それぞれが異なる脅威から保護するため、五つの作業選択肢を比較したいと考えています。

選択肢処理が行われる場所評価すべき点
ネットワーク未接続の端末上のローカルモデルユーザーの端末上端末の状態、物理的アクセス、記憶媒体およびデータのコピー
ネットワーク接続された端末上のローカルモデルローカル、および外部連携時は選択したサービス内アプリの権限、アップデート、ネットワーク通信、および外部連携へ渡されるデータの範囲
サーバー上の機密環境での処理アテステーションで構成が確認されるリモート環境内環境の検証、管理者のアクセスおよびハードウェアへの物理的アクセス、通信と処理の保護、メタデータと鍵
外部プロバイダーの機密APIアテステーションで構成が確認されるべきプロバイダーの機密環境内接続鍵がアテステーションに紐づいているか、アテステーションがプロセッサとGPUをカバーしているか、特定のリクエストを特定のマシンに紐づけられるか、誰がハードウェアへの物理的アクセスを持つか、データ保持と法域。独自の検証までは機密性をプロバイダーの表明として扱う
モデルプロバイダーの外部API外部プロバイダー側プロバイダーの規約、内容へのアクセス、データ保持と法域。機密実行の約束はこの選択肢には適用しない

サーバーの独立した検証にはインストール型のアプリケーションが必要です。ブラウザでは、サーバーを検証するコードが毎回運営者から配信されるため、この方法は保護レベルが低いものとして表示します。

ネットワークに接続された端末は隔離されたサーバー環境よりも多くの攻撃点を持つ可能性があるため、計算の場所だけで安全性が決まるわけではありません。具体的な構成が検証される前に「完全なプライバシー」というラベルが与えられる選択肢はありません。すべての対話において、ユーザーはどの選択肢で作業しているかを確認でき、選択肢の変更にはユーザーの意識的な決定が必要です。外部APIに自分のAPIキーを使えば利用分の精算はできますが、プロバイダーに対する機密性は確保されません。この選択肢はプライベートなSuveriaのデフォルトではなく、内容を送信する前に、プロバイダーがそれをモデルの訓練に使用し得るかどうか、またどのくらいの期間保管するかを表示します。

また、この一覧にはまだ入っていない方向性として「信頼できる群れ（スウォーム）」も分析しています。これは、家族、友人、小さなコミュニティなど、互いに知り合い信頼し合っている数人の人々の機器上でモデルが動作し、各自が自分のコンピュータの計算能力を少しずつ提供するというものです。このような選択肢のプライバシーは技術ではなくそれらの人々への信頼に依拠します。彼らのコンピュータは処理される内容を見ることができるためであり、私たちはまさにそのようにこれを説明します。これはまだ分析を始めたばかりのアイデアですが、探求したい道筋の一つです。

安全なサーバーであっても乗っ取られたスマートフォンから読み取られたテキストを守ることはできず、より安全なスマートフォンであってもサーバーを修復することはできないため、私たちは端末の保護と合わせてアプリケーションを設計します。Suveriaのアプリケーションは、たとえばGrapheneOS上などGoogleのサービスなしで動作し、Google Playストアの外でも入手でき、再現可能なビルドを備えるようにしたいと考えています。すなわち、誰もが公開されたソースコードから自らアプリケーションをビルドし、インストールするものと同一のファイルが得られたことを確認できるようにします。アプリケーション自体にも安全対策を計画しています。スクリーンショットのブロック、入力テキストを学習しないキーボードモード、クラウドバックアップからのプライベートデータの除外、通知内容の非表示、およびアプリロックです。財団のウェブサイトでは、自身の端末を保護するためのガイドを3段階で用意します。基本設定とアップデートから、作業と鍵のより強力な隔離を経て、オープンなファームウェアを備えたコンピュータ上のQubes OSなど最も高い要件を持つ人々のための検証済み構成までです。Suveriaの利用に指定の機器の購入は必要なく、OSの名称は端末全体の認証を意味するものではありません。

すべての対話において、私たちは「保護カード」(Charta Tutelae) を表示します。これは、その対話のプライバシーが依存する要素の一覧であり、各要素は以下の三つの状態のいずれかで示されます。

「私たちによる検証済み」の状態には最終確認日が付され、有効期限があります。定められた期間内に再確認が行われなければ、「表明」の状態へと戻ります。プロバイダーでのインシデントや未確認の構成変更など、信頼の既知の破綻については別途表示します。カードはすべての人にとって同じであり価格に左右されず、一つでも「表明」にとどまる要素がある選択肢には「完全なプライバシー」という名称を付けません。第2章冒頭の表と本節の選択肢の表は選択肢を一般的に説明するものであり、保護カードはその特定の対話における状態を示します。

3. 端末からモデルまでの経路#

Suveriaは以下の複数の部分から構成される設計となっています。

ゲートウェイは機密マシン内で動作するものとします。パイロット版の前に、ユーザーの端末が管理する暗号化がどこで終わるのか、ゲートウェイが内容を見るかどうか、そして見る場合にはそれが機密環境の内側に限られることを、アプリケーション内で示します。

暗号化された保管と機密処理には、それぞれ別個の安全対策が必要です。サーバー上で動作するモデルは、タスクを遂行するために、保護された計算環境内で読み取れる内容を必要とし、ファイルのコピーの暗号化だけではこの段階を保護できません。3 アプリケーションは、プライベートなコンテナ全体の鍵を渡すことなく、当該作業のために選択された範囲のみを提供します。セッションの説明は、内容が計算のために利用可能になる場所、運営者の閲覧を制限する仕組み、および結果が返された後にデータがどう扱われるかを示します。

提案するセッションの流れは以下のとおりです。

  1. アプリケーションが承認済みリリースの記述を取得し、稼働環境の特定の特性に関する暗号学的証明であるアテステーションを確認します。
  2. ハードウェア、保護状態、およびソフトウェアの測定値が公開ポリシーと一致しているかを確認します。データ受信者の鍵はこの証明に紐づいていなければなりません。
  3. 確認が成功した後、承認済み環境との暗号化接続を確立します。不一致がある場合はデータの送信を停止し、別の選択肢への切り替えには意識的な選択を必要とします。
  4. 環境はネットワークとツールへのアクセスが制限された状態でリクエストを処理し、結果を返し、公開ポリシーに従って作業用データを削除します。
  5. 対話または記憶の保存は、ユーザーが選択した範囲においてのみ行われます。

アテステーションは何が起動されたかを確かめる助けとなりますが、それ自体でそのコードが安全であることを証明するものではありません。コードレビュー、ソースコードからのソフトウェアの再現可能なビルド（2.3節で説明）、承認済みバージョンの登録簿、および独立した検証の可能性が必要です。Apple Private Cloud Computeのアーキテクチャは、保護をソフトウェア・リリースの透明性とどう結びつけるかについての私たちの参照点ですが、私たちのプロジェクトの認証ではありません。3

信頼が一人の人物や財団のみに依存しないよう、リリースを以下のように保護したいと考えています。

ブラウザではサーバーを確認するコードが毎回運営者から配信されるため、完全な保護の選択肢は、署名付きの検証可能なリリース、欠陥のあるバージョンへのロールバック防止保護、および安全な鍵保管を備えたインストール型のアプリケーション向けに設計しています。ブラウザ版はその保護レベルがより低いことを明確に記述します。再現可能なビルドはリリースとコードとの比較を可能にしますが、コード自体および構成の評価は依然としてレビュー、監査、およびバグ報奨金（バグバウンティ）によって支えられ、すべてのインシデントは公開登録簿に記録されます。

ユーザーのアドレスの露出を抑えるため、特定の信頼モデルのもとで送信者に関する知識とリクエストの内容に関する知識とを分離するOblivious HTTPに基づく仲介（リレー）を検討することができます。4 仲介者間の共謀、トラフィック相関、および実装の詳細は依然として評価を必要とするため、このプロトコルの使用自体を完全な匿名性としては記述しません。

暗号化と機密コンピューティングは、応答が流れるパケットの長さやリズムを隠しません。2024〜2025年の研究は、ネットワークの監視者がそれらから対話のテーマ、そして時には内容を復元できることを示しました。56 そのため機密モードでは、応答を一定のサイズと一定のリズムのフレームで送信し、クエリキャッシュをユーザー間で共有せず、投機的デコーディング（speculative decoding）を無効にしたいと考えています。これらの対策には多少の遅延と帯域幅のコストがかかるため、それを試算に織り込みます。

また、システムの各部分の動作可能性を制限することによってインフラを保護します。すなわち、資源の上限、タスクの隔離、および対話を処理するノードからの外部向け接続のデフォルトでのブロックです。このブロックは、アテステーションでフィンガープリントが見えるソフトウェアの一部とします。これを変更するとフィンガープリントが変わるため、アプリケーションは接続を拒否します。プロバイダーのネットワーク規則は保証としてではなく、第二の層として扱います。許可された外部アクションは、ユーザーが定めた権限を持つ別個のツール層を通過します。導入前に、これらの境界の有効性、インシデントの検知方法、および必要最小限のメタデータの範囲を確認します。目的は、対話内容の機密性を保ちつつ共有資源の安全を確保することです。

ユーザーがメールボックスなど他者からのメッセージを含む情報源を接続する場合には、特に慎重を期します。他者のメッセージには、プライベートな記憶を開示するようモデルを誘導しようとする隠れた命令が含まれている可能性があります。そのため、外部からの内容はユーザーの命令から切り離します。それらを整理する際、アシスタントは人間の確認なしに自らメッセージを送信したり、ウェブアドレスを開いたり、「個人のカノン」を変更したりすることはできません。

Suveriaの動作について私たちが知っていることはすべて、誰もが知ることができます。サービスの開始とともに、サービスの動作に関して私たちが収集するすべてのデータの種類の一覧を、目的と保管期間とともに公開し、データ自体は合算された形式で提供します。すなわち、トークン消費量、使用されたモデル、マシンの負荷、キューでの待ち時間、障害、およびコストです。誰もが私たちが見るのと同じ場所でそれらを見ることができます。集計の公開前には、そこから特定の個人の行動を識別できないかを確認し、最小グループ規模、公開の遅延、および除外するデータを定めます。一覧外のデータは収集しません。万一そうでないことが判明した場合には、重大なインシデントとして扱い公に記述します。

4. プライベートな内容を閲覧しない悪用の制限#

尊厳の保護は、私たちのツールの利用結果によって影響を受ける可能性のある人々にも適用されます。悪用に対しては、プライベートな対話を読み取ることなく対処したいと考えています。すなわち、アシスタント自身が従う原則、ツールとネットワーク接続の権限の境界、資源の上限、および大量のアカウント作成からの保護を通じて対処します。プライベートな内容への隠れたアクセス経路は作りません。それはすべての人の保護を弱めてしまうからです。

アカウントは、完全にプライベートな方法（メールアドレスなしの自身の端末上の鍵）から利便性の高い方法（外部プロバイダーを通じたログイン）まで、複数の方法で作成できるようにします。各方法について、選択の前に、財団外の誰がアカウント作成を知りどのようなデータを見るのか、またそのプロバイダーが消滅したときにどうなるのかを示します。アカウントの作成方法は参加者の権利に影響を与えず、Omniforumでの投票権はアカウントに追加される別個の資格証明となります。

プライバシーと悪用の制限は別個に評価します。私たちは、財団が特定の個人について引き渡せるようなデータを持たないようにSuveriaを設計しています。内容はユーザーの鍵で暗号化され、サービスの動作に関するデータは第3章で説明した公開範囲内でのみ収集し、個人データは決済と会計において法律が求める最小限に抑え、その範囲も公開します。もし誰かが特定の個人のデータを私たちに要求してきた場合、この公に記述された最小限を超えてはデータを持っていないと誠実に答えられるようにしたいのです。悪用に対するすべての安全対策について、どのようなデータを必要とし、どのくらいの期間保管し、誠実な参加者にどのような影響を与え、誤ったブロックにどう異議を申し立てられるかを記述します。

また、被害を受けたと考える人々からの通報をどのように受け付け、対話の内容へアクセスすることなくその際何ができるかについても記述します。たとえば、ツールの権限やアカウントの資源を制限すること、私たちが保管している範囲内で精算データやメタデータを確認すること、あるいはどこに助けを求めるべきかの情報を通報者に伝えることです。このようなサービスの運営者の法的義務については、開始前に別個の分析が必要です。

これらの安全対策はテストすべき目標および選択肢であり、そのいずれもすべての悪用を検知するわけではありません。それぞれについて、どの脅威に対応し、何を検知できず、運営者がプライベートな対話を閲覧することなく何を確認できるかを示します。この評価の結果が、当該機能の提供条件を定めます。

対話が生命や健康への脅威に関わる場合、アシスタントはプライベートな環境の外へ何も送信することなく、緊急通報番号など利用可能な支援についての情報を提示するものとします。

4.1. アシスタントの公開された指示と共有ライブラリ#

アシスタントがどう振る舞うかは、その基本指示（システムプロンプト）と作業方法、すなわちタスクをどうステップに分け、記憶を活用し、回答を確認するかによっても決まります。Suveriaにおいて、人は常に自分のアシスタントの指示全文を読むことができるものとします。共有インフラは、ベンチマークの公開試験を通過したモデルと設定のみを提供するものとし、この最小基準の上で、穏やかな思考の整理からアシスタントが推論の抜けを指摘する厳密な対話に至るまで、ユーザーが作業スタイルを選択します。私たちは、参加者がOmniforumで改善しベンチマークで検証する、検証済み指示のオープンなライブラリを運用したいと考えています。

5. 複数のGPU上での計算#

第6章のモデルは1枚のGPUには収まらないため、GPU間の接続においても保護を確認する必要があります。PCIeバスがプロセッサとGPUを結び、NVLinkおよびNVSwitchがGPU同士を結びます。

モデルが複数のGPUを利用する場合、データもそれらの間を流れるため、GPU自体と接続の双方について保護を確認しなければなりません。機密サービスを発注するにはGPUの名称だけでは不十分であり、適切なマシン、プロセッサ、接続トポロジー、ファームウェア、ドライバ、およびランタイム・ソフトウェアを確認し、そのうえでそれらの共同動作を検証する必要があります。7

PPCIe v2のドキュメントで説明されているHopper Protected PCIeモードでは、NVLinkおよびNVSwitchネットワークはシステムの信頼された部分に属するため、PCIeの暗号化はGPU間のすべての接続の暗号化を意味しません。8 NVIDIA R595のドキュメントは、Blackwell世代のGPUについて、NVLink接続の暗号化と単一の機密仮想マシン内での最大8枚のGPUのサポートを備えたマルチGPU機密コンピューティング・モードを記述しています。9 これは構成を確認するための土台であり、B200のすべてのレンタルにこの機能が含まれていることの証明ではありません。リリースごとに互換性マトリクスが異なるため、任意に選んだバージョンを組み合わせて構成を作ることはしません。

プロバイダーへの問い合わせには以下の項目が含まれます。

独自のアプリケーションでの試行を経た後に初めて提供条件を比較します。「セキュア（secure）」という商業上の表示はこれらの情報の代わりにはなりません。

6. モデル、記憶、ツール#

プロジェクトの基盤は、独自に実行できるオープンなモデルです。Suveriaは世界中の人々がそれぞれの言語で利用できるようにすることを目指しているため、モデルの選択にあたっては、多言語での品質、意図の理解、信頼性、ライセンス、コスト、および求められる保護アーキテクチャで実行できる可能性を考慮します。必要に応じて、汎用モデルと並行して、特定の言語をより巧みに扱うモデルを稼働させることもできます。オープンウェイトは一部の用途を可能にしますが、データやモデル作成プロセス全体のオープン性を決定づけるものではありません。10

第一の候補は、サービスへの利用も許すMITライセンスのモデルであるDeepSeek-V4.1-Flashです。11 大規模ですが経済的です。開発元は、学習中に調整された数値である主要部分のパラメータ数を5,520億、追加のEngramメモリを1,960億パラメータとしていますが、続く各単語の処理で動作するのは80億〜160億パラメータのみであるため、高速かつ安価に応答します（第8章の試算）。ただし、すべてのパラメータがGPUメモリに収まる必要があるため、少なくとも4枚の最新GPUが必要です。このモデルのパラメータはすでに各数値の桁数を減らした経済的な形式で保存されています。このような保存方法は量子化（クォンタイゼーション）と呼ばれ、必要なメモリを減らしますが品質を低下させる可能性があるため、バージョンごとに私たち自身のタスクでこれを検証します。また、より小さなモデルとも比較し、より大きなモデルを選ぶのは、人々にとって重要なタスクにおいて明確に優れた性能を示す場合のみとします。

第二の候補は、2026年10月23日に公開されたMoonshot AI社のKimi K3.1 Proです。開発元はこれを約3兆パラメータと最大100万トークンのコンテキストを持つKimi K3の追加訓練版として説明しており、完全なウェイト（重み）を2026年11月4日より前に公開すると予告していますが、ライセンスはまだ発表されていません。12 比較に用いる詳細データは前世代のモデルカードからのものです。Kimi K3は2.8兆パラメータを持ち、各トークンで動作するのは1,040億パラメータであり、Open Source Initiativeに承認されていない独自ライセンスを採用しています。13 2026年10月28日版のArtificial Analysisインデックスでは、Kimi K3.1 ProはDeepSeek-V4.1-Flashの32ポイントに対して46ポイントを獲得していますが、数倍高価で低速です。14 Kimi K3のウェイトファイルは約1.56 TBを占め、実行にはコンテキストと計算のための追加メモリが必要となるため、GPUメモリの合計値だけではモデルが動作するかどうかを判断しません。SGLangエンジンのレシピは8枚のB300上でのKimi K3の検証済み構成を記述していますが、これはまだKimi K3.1や機密構成のテストではありません。1516 ウェイトの公開後、そのサイズと形式、ライセンス、エンジンのレシピ、特定の構成での収容能力、および機密APIでの利用可能性を確認します。ウェイトが公開されなかった場合やライセンス条件が不適切であると判明した場合も含め、その結果を日付とともに本ドキュメントの最初の更新として追記します。

モデルの変更または廃止は事前に告知します。対話履歴はユーザーの手元に残り、後継モデルの選択、データのエクスポート、または作業の終了を選ぶことができます。対話内ではモデル変更の時点がわかるようにし、プライベートな文脈を新しいモデルへ引き継ぐにはユーザーの決定を必要とします。

アシスタントが応答する際の原則は、各リリースとともに全文を公開します。モデル自体も、避けるテーマなど作成者の選択を内包しているため、ベンチマークでそれらを確認しモデル選択時に記述します。

過去の対話の記憶はユーザーの同意のもとで機能し、明示的に編集可能なものとします。元の発言、モデルの要約、およびユーザーが確認した情報を区別します。すべての記録は削除または修正でき、その由来を確認でき、どのタスクで使用してよいかを指定できます。アシスタントは自らの提案と、人が意識的に自分のものとして認めた立場とを明確に区別します。

アクションの実行には、特定の目的と期間を定めて付与される権限が必要です。ウェブページやドキュメントの内容は分析対象のデータであり、これらの権限を変更する命令ではありません。外部アクション、支出、公開、および削除には、見合った確認手続きとユーザーが閲覧できるアクションログが必要です。

6.1. 思考の望遠鏡と個人のカノン#

「思考の望遠鏡」(Telescopium Mentis) のアイデアは、ある時代に社会のなかで受け入れ可能とみなされるアイデアの範囲を表す概念である「オーバートンの窓」から生まれました。一人の個人においては、ある時点で自分にとって許容できると考える思考の範囲に関わります。望遠鏡はその一人の人のためだけのそのような窓となることを目指しています。さまざまな時点における自分自身の思索と価値観の記録と、それらが時間とともにどう変化したかを見ることができます。

思考の望遠鏡は、自分自身の推論へと立ち返るために役立てられます。すなわち、当時何を知っていたのか、何を望んでいたのか、そしてなぜ考えを変えたのかです。また、ユーザーが選択した出来事、世界に関する情報、および自らの行動を、自分が自分のものとして認める原則と価値観を書き留めた集まりである「個人のカノン」と照らし合わせる助けにもなり得ます。比較はユーザー自身が記述または指定した状況に関するものであり、対象資料と範囲を決めるのはユーザー自身です。モデルは、確認済みの情報と解釈および不確実性とを区別しながら、引用された原則の出典と出来事の記述とともにあり得る関連性を示します。提案された解釈は修正または却下でき、過去の立場はその時点と文脈を考慮して評価します。

気づかれた緊張関係は、原則そのもの、価値の対立、周囲の条件、人間の限界、あるいはモデルの不適切な解釈に関わるものであるかもしれません。人は理想を維持しつつ現在の不徹底さを受け入れることも、信念を精緻化することも、行動や環境の変化を検討することも、あるいは問いを開かれたままにしておくこともできます。カノンは自らの選択を理解する助けとなるためのものであり、道徳性の採点や一貫性の公開ランキングを作ることはしません。プライベートな熟考はプライベートなまま保たれ、その記録は公開や投票を意味しません。

最初は慎重に始めます。最初のバージョンでは、思考の望遠鏡はたとえば立ち返りたい決定などユーザー自身が指定した一つの状況に対してのみ機能し、日常の生活を常時追跡することはしません。どのくらいの頻度で利用し、どのメモや記憶を提供し、いつそれらを削除するかはユーザーが判断します。この試行では、示される関連性が理解しやすいか、自らの選択を自分で掌握しているという感覚を与えるか、そして絶えず自分を問い詰めなければならないという圧力をツールが生み出さないかを確認します。熟考の後に「自分は常に自分の原則に従って行動できているわけではない」と受け入れることや、その問いを開かれたままにしておくことも良い結果として認めます。ツールは自分自身を理解する助けとなるべきであり、決着を強いるものであってはなりません。

6.2. オープンな形式、移行、およびツールの連携#

私たちはSuveriaを、オープンなコードとドキュメントを備えたデジタル公共財として発展させたいと考えています。参照点はDigital Public Goods Allianceの基準です。17 データ移行形式には公開された仕様記述、バージョン、およびバージョン変更時の情報保持規則があります。第一に既存のオープン標準を利用し、必要な拡張は文書化します。

エクスポートには、選択された原文、履歴、出典、関連性、およびユーザーの言葉・モデルの整理・作成者が確認した意味の区別、ならびに「個人のカノン」の構造が含まれます。ダウンロードしたパッケージは、権限を持つ人物が復号した後、Suveriaの有効なアカウントがなくても読み取ることができます。

プログラム同士が通信するための文書化された方法であるAPIは、自作のものも含め他のツールで資料を扱えるようにするためのものです。ユーザーはデータの範囲と許可するアクションを選択し、外部連携の権限を取り消すことができます。権限の取り消しはそれ以降のアクセスを停止させますが、以前に渡されたコピーがどうなるかは受信者側にも依存します。

プライベートな空間は、共同プロジェクトのための作業にも役立てることができます。ユーザーは検収または公開のために引き渡したい資料を選択し、ツールはそこからアクセス鍵、パスワード、個人データ、および未修正の脆弱性に関する情報をローカルで取り除く手助けをします。私費で賄われた資源の利用は、作業中の対話の開示を必要としません。財団の共有資源から資金提供を受けるタスクにおいては、公開記録の範囲、ペンネームの選択、および資料の準備は、財団の工房（ワークショップ）の原則（11.1節）によってあらかじめ定められます。また、Suveriaでの思索から一つの問いや論拠を意識的に取り出し、Omniforumで公開することもできます。マニフェストで「Ignisの儀式」(Caerimonia Ignis) として説明されているこのステップには、常に別個の決定が必要です。

7. 規模：30人から全人類まで#

アカウント数だけでは必要なインフラは決まりません。重要なのは活動頻度、質問と回答の長さ、同時セッション数、許容できる待ち時間、およびツールのコストです。以下の例は試行のための負荷モデルであり、需要予測や提供条件の提示ではありません。

前提：N人のそれぞれが毎日アクティブで1日に20回のリクエストを行い、平均的なリクエストは1,500入力トークンと600出力トークンを含み、1か月は30日とします。トークンとはモデルが処理するテキストの単位であり、その長さは言語によって異なります。実際の負荷では、より長いコンテキスト、ドキュメント処理、推論（リーズニング）トークン、および補助的な呼び出しを加算する必要があります。

アクティブ人数月間リクエスト数月間入力量月間出力量1日を通じた平均生成量世界規模シナリオにおける時間ピーク（平均の約1.51倍）
30人18,0002,700万トークン1,080万トークン4.2トークン/秒6.3トークン/秒
100人60,0009,000万3,600万13.9トークン/秒20.9トークン/秒
1,000人600,0009億3億6,000万138.9トークン/秒209トークン/秒
10万人6,000万900億360億13,889トークン/秒20,921トークン/秒
100万人6億9,000億3,600億138,889トークン/秒209,208トークン/秒
10億人6,000億900兆360兆1億3,890万トークン/秒2億920万トークン/秒
100億人6兆9,000兆3,600兆13億9,000万トークン/秒20億9,000万トークン/秒

私たちはSuveriaを、多言語で利用可能な世界規模のサービスとして計画しています。参加者がタイムゾーン間にどのように分布するかはわからないため、測定によって検証される二つのシナリオを比較します。世界規模のシナリオでは、2025年のITU統計によるインターネット利用者数に比例した地域別シェアと、各タイムゾーンで同一と仮定した1日の波形（夕方のピークと静かな夜間）を採用します。18 タイムゾーン同士が互いの谷を部分的に埋め合うため、時間ピークは平均の約1.51倍、最小トラフィックは約0.49倍となります。たとえば欧州など単一の地域に集中したシナリオでは、ピークは平均の約1.87倍となり、夜間はほぼゼロになります。このような分布は大規模になっても起こり得るものであり、自社マシンの稼働率の低下と機密APIへのより頻繁な依存、あるいはピーク時の待ち時間の増加を意味します。両方の数値は私たちの前提から導かれたものであり、将来の参加者の観察結果ではありません。1時間内の短い急増は可視化された待ち時間を伴う短いキューによって平準化し、自社マシンの容量を超えるトラフィックは機密APIが引き継ぐことができます。95パーセンタイルおよび99パーセンタイルを含む待ち時間は、キューの上限および上限到達後の挙動とともにパイロット版で測定します。負荷試験には、平均トラフィックの5倍など新規参加者の急激な流入も含めます。これは合計の出力スループットであり、個々の対話の遅延（レイテンシ）の測定や入力処理コストの代わりにはなりません。テストは一つの都合の良いクエリではなく、セッションの分布、長いコンテキスト、障害、およびキューを再現するべきです。

ピーク倍率は最も負荷の高い1時間と平均とを比較するものです。これは1日を24時間に分けたモデルから導かれています。一つの1日の波形を8つの地域間でずらし、想定したシェアに従って合算します。これは試算用のシナリオであり、個々のクエリの待ち時間を計算するものではありません。

この試算が世界規模でどのように見えるかを確認するため、思考実験を行ってみましょう。もし100億人のそれぞれが採用したプロファイルどおりにSuveriaを利用したとすると、ピーク時には毎秒約21億出力トークンが必要になります。DeepSeek-V4.1-Flashで測定されたB200 GPU 1枚あたり毎秒約930トークンという性能では、約225万枚のGPUが必要となり、サーバー込みでGPU 1枚あたり約1.75 kW（測定なしの私たちの仮定）とすると、約4 GWの電力が必要になります。10億人なら約22万5,000枚のGPUと0.4 GW、100万人なら約225枚のGPUです。比較として、Epoch AIは2026年初頭に、世界で稼働しているデジタル知能向けの計算能力はH100 GPU換算で1,500万枚を超え、10 GW以上の電力を必要としていると推計しました。19 これは単純化した計算です。採用したプロファイルは軽量であり、集中的な作業、より大きなモデル、および画像処理には何倍もの能力が必要になり、またハードウェアもモデルも急速に変化します。しかし、桁の規模（オーダー）は示しています。すべての人にこの範囲でデジタル知能の日常的な支援を提供するとすれば、必要な計算能力と電力は、今日すでに世界で稼働している規模を下回る計算になります。これは簡略化された試算であり、そのようなインフラがこの目的のために利用可能であることの証明ではありません。

8. コストと日付入りの試算#

固定予約の月額コストは、第一近似として次のように表せます。GPU枚数 × 1 GPU時間あたりの価格 × 支払時間数に、メモリ、ディスク、データ転送、セキュリティ、監視、運用、決済、および税金を加えたものです。提供条件にこれらの項目のどれがすでに含まれているかを確認する必要があります。24時間稼働の場合、1か月は672〜744時間であり、730時間が平均的な近似値です。

試算では五つのコスト選択肢を比較します。ローカルモデル、レンタル機器上の自社インスタンス、プロバイダーが保護を表明し検証を要する機密コンピューティング環境内の自社インスタンス、外部プロバイダーの機密API、および通常の外部APIです。コストの選択肢は2.3節の保護の選択肢に対応しており、機密性のないマシンのレンタルは価格の参照点としてのみ示し、Suveriaの選択肢としては扱いません。ローカルモデルのコストはユーザーの端末に依存するため、ここではまだ見積もりません。同じ範囲の品質、可用性、および保護を並べて比較します。採算分岐点は、登録アカウント数で割ったGPUコストではなく、実際の利用率で割ったサービス全体のコストです。外部APIはユーザーのニーズのテストを容易にしますが、そのプロバイダーはデータアクセスに関する独自の規則を持っているため、機密実行の約束をそこには適用しません。

8.1. 日付入りの試算：2026年10月29日時点#

マニフェストは、比較的少数の継続的な参加者であっても、共有インフラは検証可能な安全対策に基づくプライバシー保護を備えつつ、閉鎖的なサービスよりも支出1ドルあたり多くの計算能力とデジタル知能を提供できるという仮説を立てています。以下は2026年10月29日時点の価格によるその試算です。前提：第7章の利用プロファイル（1日20リクエスト、各600出力トークン）および世界規模シナリオ（時間ピークが平均の約1.51倍）、税抜き価格、レンタル価格換算用の月730時間。1マシンあたりの人数とは、時間ピーク時にそのマシンが処理できる参加者数を意味します。すなわち、毎秒出力スループット × 86,400 /（20 × 600 × ピーク倍率）です。許容人数は測定された応答待ち時間によっても決まります。括弧内には欧州集中シナリオ（倍率約1.87）を示します。DeepSeek-V4.1-Flashについては、4枚のB200 GPU上でのプロバイダーLambdaによる測定値、すなわち64同時リクエスト時に毎秒約3,714出力トークンを採用します。20 この測定は投機的デコーディングを有効にして行われていますが、機密モードでは私たちはこれを使用したくありません（第3章）。私たちの9月の推計によれば、その場合スループットは最大で約30%低下する可能性があり、1人あたりのコストも同じ割合で上昇します。H200およびB300 GPUについてはこのモデルの測定値がないため、モデルのコピー1つを収容する各GPUセット（8 × H200または8 × B300マシンの半分）が4枚のB200 GPUと同じ性能を達成すると仮定します。これは楽観的な仮定です。H200は前の世代であり、機密モードは処理を遅くする可能性があり、またLambdaの測定は私たちのプロファイルよりも長いリクエストに関するものだからです。そのため、このスループットの半分とした慎重な選択肢も併記します。

モデルのウェイトは約511 GBを占め、vLLMエンジンは約614 GBのGPUメモリを推奨しています。4枚のH200（564 GB）では足りないため、H200上で1つのコピーを動かすには8枚のGPUが必要です。この構成に対するエンジン開発元のレシピは10月29日時点で検証中であり、またH200 GPUではB200やB300とは異なりGPU間の接続（NVLink）がハードウェア暗号化されません。

選択肢機密性月額コスト1マシンあたり人数1人あたり純計算コスト
DeepSeek APIなし、プロバイダーが内容を閲覧可能従量課金単一マシンには該当せず。プロバイダーの上限と可用性による0.35〜0.70 USD
DeepSeek-V4.1-Flashを用いた機密API（Confidential AI、Tinfoil、Phala）プロバイダーが表明、要検証従量課金単一マシンには該当せず。プロバイダーの上限と可用性による0.70〜1.25 USD
Kimi K3.1 Pro API（Moonshot）なし従量課金単一マシンには該当せず。プロバイダーの上限と可用性による5.40 USD
Kimi K3を用いた機密API（Phala、NEAR AI）プロバイダーが表明、要検証従量課金単一マシンには該当せず。プロバイダーの上限と可用性による8.10〜8.91 USD
レンタル機密マシン 8 × H200（Phala）、DeepSeek、モデルコピー1つプロセッサとGPUのアテステーション、要検証180日契約で23,506 USD、オンデマンドで32,266 USD約17,750人（14,300人）、容量仮定1.32〜1.82 USD（1.64〜2.25）
同上、慎重な選択肢：スループット半分プロセッサとGPUのアテステーション、要検証同上約8,900人（7,150人）、容量仮定2.65〜3.64 USD（3.29〜4.51）
レンタル機密マシン 8 × B300（Phala）、Kimi K3プロセッサとGPUのアテステーション、要検証45,552〜47,888 USD約4,800〜7,600人（3,900〜6,200人）、容量仮定約6〜10 USD（7.4〜12.4）
機密性未確認の 4 × B200（Lambda）、DeepSeek確認済み機密性なし19,827 USD約17,750人（14,300人）1.12 USD（1.38）
機密性未確認の 8 × B200（Lambda）、DeepSeek、4枚ずつのコピー2つ確認済み機密性なし39,070 USD約35,500人（28,700人）、2コピーの性能仮定1.10 USD（1.36）

これらの数値の出典：API価格はDeepSeek、Moonshot、Confidential AI、Tinfoil、Phala、およびNEAR AIの価格表から。2122232425 機密マシンの価格はPhalaの価格表から。26 LambdaでのB200レンタルは4枚構成インスタンスで1 GPU時間あたり6.79 USD、8枚構成インスタンスで6.69 USD。27 Kimiの収容能力は、毎秒約1,000〜1,600出力トークンを示す8枚のB300上でのKimi K3に関する第三者測定から採用しています。15 期間契約における月額は毎月払いを意味しません。Phalaは全期間の前払いを求めており、早期解約時の返金がないため、8 × H200マシンの180日契約は発注時に139,104 USDの現金、8 × B300マシンの180日契約は269,568 USDの現金を必要とします。26

ここから導かれること：

自社サーバーの購入：8枚のB300 GPUを搭載したSupermicroの完成品サーバーは、2026年9月時点で約66万3,000 USDでした。29 このような購入の月額コストを次のように推計します。

項目月額
サーバーの5年償却約11,000 USD
サーバーの4年償却約13,800 USD
コロケーション約1,900〜3,000 USD
ネットワーク、部品、保守（推計）約1,500 USD
合計約14,000〜18,000 USD

このようなサーバーにはDeepSeekのコピーが2つ収まり、世界規模シナリオで約3万5,000人（欧州シナリオで約2万8,000人）を、1人あたり約0.41〜0.52 USDで処理できます。これらの前提のもとでは、購入は1.11〜1.25 USDの機密APIに対してアクティブ人数約1万2,000〜1万7,000人から、最安の表明価格（0.70 USD）に対しては約2万1,000〜2万6,000人から安くなります。この試算にはこの構成の維持および測定の総コストは含まれていません。購入には前払いの現金、24時間態勢の人間の当直、および何年にもわたる安定した需要も必要であり、その場合ハードウェアへの物理的アクセスは財団が持つことになります（第2章）。これらは私たちの推計であり、提供条件の提示ではありません。

2026年10月29日時点におけるマニフェストの仮説の状態：試算は私たちを仮説へと近づけますが、それを確定するものではありません。表明された機密性とアテステーションを備えた処理はすでに公開価格表で利用可能であり、採用した利用プロファイルでは1人あたり月額約0.70〜1.25 USDかかるため、少人数のグループが原価でそこから始めることができ、私たちの前提においてはアクティブ人数が1万人台から数万人の規模で自社インフラの方が安くなる可能性があります。決着をつけるのは第9章の試行で検証する三つの事柄です。すなわち、これらのサービスの機密性が独立した検証を通過するか、利用可能なモデルの品質が人々がSuveriaに求めるタスクにとって十分か、そして実際のトラフィック・プロファイルがどのようなものかです。価格に重大な変更があったとき、および各試行の後には試算を更新し、以前の版も保存します。

8.2. インフラの段階と決定カード#

私たちはインフラを段階的に発展させます。各段階は次の段階へ進む義務を伴わずにそれ自体で参加者に価値を提供します。まずは機密APIと機密マシン内のプライベート環境（開始前に十分な資金が集まれば、直ちに次の段階から始めることもできます）、次に自社の機密マシンのレンタル、さらに機器の購入と外部データセンターへの設置、そして遠い将来、優位性が示されれば自前の建物です。次の段階への移行は測定されたデータによって正当化されます。すなわち、サービスの総コスト、実際のトラフィック、ピーク時の応答時間、安全対策を維持し障害に対応する能力、そして購入の場合には修理、機器の交換、および責任を引き継ぐ人々のための資金です。必要なモデルが機密APIで利用できない場合や、動作するものに対する完全な管理権を持ちたい場合にも、自社マシンのレンタルは意味を持ち得ます。

各移行は決定カードによって記述します。何が得られるか、総コスト、リスク、開始および撤退の条件、データと鍵の移行方法、ならびに準備金の原則および今後の柱の立ち上げ原則（財団の運営原則のホワイトペーパー第8章）との整合性です。トラフィックのピーク時に自社マシンと機密APIとを組み合わせることは、それぞれの経路が承認された保護レベルを持っている場合にのみ許容し、より弱い選択肢への切り替えにはユーザーの別個の意識的な決定を必要とします。最初の測定はより小さなモデルを載せた1枚の機密GPU上で計画し、次の測定は完全なモデルが収まるマシン上で計画しています。

すべてを最高のピークに合わせてサイズ設定することなく、トラフィックに合わせて計算能力を調整します。可視化された待ち時間を伴う短いキューを設計し、その実際の時間、上限、および上限到達後の挙動をパイロット版で測定します。より長いピークに対する柔軟な計算能力は、承認された保護レベル、ユーザーの同意、および支出上限が保たれることを条件として、第一に機密APIが提供します。そのような経路がない場合には、待ち時間または利用不能について誠実に知らせます。時間単位のレンタルが意味を持つのは、機密APIに存在しないか機密APIでは明確に高価なモデルについて、かつプロバイダーが実際に機密マシンの迅速な起動と解放を許す場所に限られます。静かな時間帯における自社マシンの余剰計算能力は、Omniforum向けの解説作成など財団のタスクに活用したいと考えています。API価格換算でのその価値は予算への収入ではないため、そのようなタスクには独自の目的と予算を設定します。最初のパイロット版の後、二つのモードを検証したいと考えています。アシスタントとの通常の作業のための「対話」モードと、ドキュメントの翻訳など急がないタスクのための「急がない」モードです。「急がない」モードでは、おおよその開始時間帯、コスト見積もり、最大予算、完了分の精算を伴うキャンセルの可能性、および同じ保護情報を表示します。このような作業の低価格化は、固定費を二重計上することなく、公開されたコスト配分方法から導かれる場合にのみ可能です。

8.3. 対話の内容を用いない利用測定#

実際の利用分を精算するため、タスクの遂行に必要な資源を測定し、固定費の分担分を明確に記述します。精算メーターはコストの確認に必要なデータのみに限定され、請求書の発行に対話の内容は不要です。試行においては、測定の正確さ、ユーザーによる確認方法、開示されるメタデータの範囲、および支出上限に達した後のサービスの挙動を確認します。請求、端数処理、前払金、および返金の原則については財団の運営原則のホワイトペーパーで説明します。

参加者が設定した支出上限は、事後の警告としてではなく境界線として機能するものとします。一部のプロバイダーは進行中のリクエストを完了後に初めて精算するため、上限を超えることがあります。たとえばTinfoilはそのように説明しています。23 そのため私たちは「予約枠（リザベーション）」を設計しています。リクエストを送信する前に、Suveriaのゲートウェイは進行中の他のリクエストを考慮しつつ、残高からその最大許容コストを取り置き、並行リクエスト数と応答の長さを制限します。完了後に実際のコストを精算し、未使用の予約枠を解放します。これは構築し検証すべき要件であり、すでに稼働している機能ではありません。

9. 検収試行と結果ログ#

いかなるリリースであれ「機密」と呼ぶ前に、少なくとも以下の項目を文書化します。

結果には構成のバージョンと、私たちが保護の突破を試みたシナリオが含まれます。

私たちは、Suveriaのすべてのリリースが、機密サービスの独立した検証機関の少なくとも一つのすべての証拠ゲートを通過するようにしたいと考えています。すなわち、可用性を保ちつつ、ハードウェアとセキュリティ状態、証拠の鮮度、保護された環境への接続鍵の紐づけ、実行中のプログラムの同一性、コードの由来、および特定のマシンへのリクエストの紐づけを確認することです。結果は観測日、基準のバージョン、および特定のリリース・モデル・リクエスト経路に対する証拠とともに公開し、検証機関の利害関係も結果と合わせて記述します。いかなるランキングにおける順位も約束しません。検証の通過は、ある時点において、公開された制約のもとで、記述された検査に合格したことを意味し、監査や私たち自身の試行の代わりにはなりません。

独自の機密選択肢を立ち上げた際には、モデルの機密実行を検証するすべての独立したディレクトリにSuveriaを申請し、アテステーション確認用のエンドポイントを提供します。最初の例はconfidentialinference.net（2026年10月31日時点）です。36 掲載はディレクトリ側の判断であるため約束しませんが、申請すること、質問に答えること、および悪い結果も含めて日付とともに結果を公開することを約束します。ディレクトリが検証するのは外部から見えるもの、通常はアテステーションと接続チャネルのみであり、コードや構成の監査、あるいはサイドチャネルの評価の代わりにはなりません。

保管と移行の試行には以下の項目が含まれます。

段階：

  1. 機微ではない資料を用いたユーザビリティ・テスト
  2. 保護の技術的試行
  3. 明確な条件のもとでの限定パイロット版
  4. 段階的な規模の拡大

パイロット版の前に、応答の最初の単語までの時間、測定されたプロファイルにおける1人あたり計算コスト、および学習用教材とモデルベンチマークのホワイトペーパーによるモデルの品質という三つの閾値を定め公開します。これら三つをすべて満たしたとき、パイロット版が成功したと認めます。

モデル、ファームウェア、またはアカウントへのログイン方法の変更には再認定が必要となる場合があり、アップデートが合意された保護をひそかに弱めるようなことがあってはなりません。すべてのリリースには以下の公開カードがあります。

欠陥が発見された場合には、露出の制限、影響を受けた人々への通知、および検証可能な修正へとつなげます。

試行は開かれた形で行いたいと考えています。セキュリティ、暗号技術、インフラ、アプリケーションに携わる人々、そして広い聴衆に技術を紹介するクリエイターの方々にも、テストの共同設計や、架空のデータを用いた専用のテストアカウント上での保護突破の試みに参加していただくよう呼びかけます。批判的な方々も歓迎します。宣伝のために金銭を支払うことはせず、すべての協力関係は便益登録簿（財団の運営原則のホワイトペーパー第7章）に従って表示します。失敗したものも含め、結果は結果ログに記録されます。関与をご希望の方は、件名を「[Dołącz] Próby Suverii」として salve@novusignis.org までご連絡ください。

最も重要な試行：機密環境の外側（ゲートウェイ、ディスク、ネットワーク、ログ）で運営者権限を持つチームが、秘密の文字列が隠されたテストアカウントの対話を読み取ろうと試みます。私たち自身を含め誰か一人でもそれを抽出できたなら、試行は失敗です。

Suveriaの最初のリリースは、その構成を手伝ってくれる数人の人々に提供します。もしそれが機密APIを利用する場合、その保護カード（2.3節）には、モデルが外部プロバイダー側で動作していること、アテステーションはプロバイダーが表明しており私たちがまだ検証していないこと、そしてメタデータは保護されていないことが率直に記されます。最初の人々はサービスの運用も手伝うため、私たちが最初に公開する結果は、運営者が何をなし得たかの記述を伴う上述の最も重要な試行となります。

結果ログ。 2026年10月29日時点の状態：記述したいずれの試行もまだ実施しておらず、GPUも借りておらず、Suveriaでモデルを稼働させてもいません。今後のすべての結果は、試行が失敗したときも含め、日付、構成、シナリオ、および結論とともにここに追記していきます。

未決着のまま残っている事項は以下のとおりです。

財団の運営原則のホワイトペーパーは予算、請求、および説明責任について記述し、学習用教材とモデルベンチマークのホワイトペーパーはモデルの振る舞いの評価について記述しています。

Novus Ignis財団、ポズナン、KRS 0001269575。ウェブサイトおよびマニフェスト：novusignis.org。連絡先：salve@novusignis.org。

注記#

  1. TEE.fail: Breaking Trusted Execution Environments via DDR5 Memory Bus Interposition. ジョージア工科大学、パデュー大学、およびSynkhronixによる研究（2025年10月28日公開）。DDR5メモリバスへの物理的接続によるIntel TDXおよびSGX、ならびにAMD SEV-SNPのアテステーション鍵の抽出と、NVIDIA機密コンピューティングへの影響。サーバーへの物理的アクセスを必要とし、IntelおよびAMDはそのような攻撃を保護範囲外とみなしている。解説：The Hacker News。2026年10月28日閲覧。 ↩
  2. Kleppmann, Wiggins, van Hardenberg and McGranaghan (2019): Local-first software: You own your data, in spite of the cloud. 論考。プライマリ・コピーをユーザーの端末上に保管する原則と、暗号化コピーを含むサーバーの補助的役割について。 ↩
  3. Apple: Private Cloud Compute. アーキテクチャの説明。機密性をソフトウェア管理およびシステムの透明性と結びつける例。 ↩ ↩
  4. RFC 9458: Oblivious HTTP. 仕様書。特定の信頼モデルのもとでの送信者に関する知識とリクエストに関する知識の分離。完全な匿名性ではない。 ↩
  5. Weiss, Ayzenshteyn, Amit and Mirsky (2024): What Was Your Prompt? A Remote Keylogging Attack on AI Assistants. 学術論文（USENIX Security 2024、プレプリント arXiv 2403.09751）。応答ストリームの暗号化パケットの長さから、ネットワーク監視者がアシスタントの応答のテーマ、および部分的に内容を復元する。2026年10月30日閲覧。 ↩
  6. McDonald and Bar Or (2025): Whisper Leak: a side-channel attack on Large Language Models および Microsoftによる解説（2025年11月7日）. 研究論文および開発元の説明。暗号化された応答ストリームにおけるパケットのサイズとリズムから対話のテーマを識別可能であり、一部のプロバイダーはパケットへのランダムなパディングを追加した。2026年10月30日閲覧。 ↩
  7. NVIDIA：機密コンテナのサポート対象プラットフォーム. 開発元ドキュメント。プロセッサ、GPU、およびソフトウェアの構成全体の要件。 ↩
  8. NVIDIA: Protected PCIe v2, Introduction. 開発元ドキュメント。PPCIe v2モードではNVLinkおよびNVSwitchネットワークはシステムの信頼された部分に属し、PCIeの保護はGPU間のすべての通信の暗号化を意味しない。 ↩
  9. NVIDIA: Trusted Computing Solutions 595. 開発元ドキュメント。接続の保護を含む、Blackwell世代の複数GPU上での機密コンピューティング・モード。互換性のある構成を必要とする。 ↩
  10. OSI: Open Source AI Definition. 定義。オープンウェイトはオープンシステムの定義全体を満たしているかどうかを決定づけるものではない。 ↩
  11. DeepSeek-V4.1-Flash：モデルカード. 開発元ドキュメント。アーキテクチャ、MITライセンス、およびモデルの表明された能力。Suveriaの性能測定ではない。 ↩
  12. Moonshot：Kimi K3.1 Proの発表 および Kimi：K3.1 Proの説明（2026年10月24日）. 開発元ドキュメント。Kimi K3の追加訓練版、約3兆パラメータ、コンテキスト100万トークン、ウェイトは2026年11月4日より前に公開予定、ライセンス未発表。OpenRouterによるAPI価格：100万トークンあたり2 / 10 USD。 ↩
  13. Kimi K3：モデルカード. 開発元ドキュメント。2.8兆パラメータ、アクティブ1,040億、コンテキスト約100万、MXFP4、Kimi K3 License。 ↩
  14. Artificial Analysis：Kimi K3.1 Pro と DeepSeek V4.1 Flash 1017. 独立した比較。2026年10月28日のインデックスv5：46および32、速度は毎秒約36および178トークン。2026年10月29日閲覧。 ↩
  15. Spheron：Kimi K3のデプロイ（2026年10月19日）. プロバイダーのガイド。ウェイトファイル1,560.94 GB、モデルが収まる構成。2026年10月29日の第三者測定のまとめによれば8 × B300上で毎秒約1,000〜1,600トークンの容量であり、ばらつきが大きい。 ↩ ↩
  16. SGLang：Kimi K3用レシピ. エンジンのドキュメント。8 × B300上でのKimi K3の検証済み構成。Kimi K3.1や機密モードには該当しない。 ↩
  17. Digital Public Goods Alliance: standard. 基準。デジタル公共財の評価基準。設計上の方向性であり、DPGAからの認定取得ではない。 ↩
  18. ITU：Facts and Figures 2025、インターネット利用. 国際統計。2025年における世界の地域別インターネット利用者割合（約60億人、人口の74%）。私たちの試算における地域別シェアは「割合 × 地域人口」による近似値。 ↩
  19. Epoch AIのデータに関するThe Decoderの記事（2026年1月8日） および Epoch AI: AI Chip Users. 独立研究機関によるまとめ。デジタル知能向けの稼働計算能力はNVIDIA H100換算で1,500万枚超、電力需要は10 GW超。推計であり実測値ではない。 ↩
  20. Lambda：DeepSeek-V4.1-Flash 性能測定結果. プロバイダーによる測定。4 × B200、vLLM、テンソル並列度4、投機的デコーディング、1リクエストあたり約8,192入力トークンおよび1,024出力トークン。64同時リクエスト時に合計毎秒3,713.9出力トークン、1対話あたり平均毎秒66.8トークン。測定日の記載なし。2026年10月28日閲覧。 ↩
  21. DeepSeek：API価格表（中国語版）. プロバイダーの価格表。モデルdeepseek-flash（V4.1-Flash-1017）：キャッシュミス時の入力はオフピーク時1 CNY、ピーク時2 CNY、出力は100万トークンあたり4 CNYおよび8 CNY。USDへの換算は補助的情報源であるeeselのまとめによる。2026年10月28日閲覧。 ↩
  22. Confidential AI：価格表. プロバイダーの価格表（2026年10月26日時点の価格）。DeepSeek V4.1 Flash：100万トークンあたり入力0.30 USD、キャッシュ入力0.03 USD、出力1.20 USD。8 × B300マシンは時間あたり60 USD、最低3か月、数日以内に割り当て。機密性はプロバイダーによって表明されており、私たちによる検証は未実施。 ↩ ↩
  23. Tinfoil：価格表. プロバイダーの価格表。DeepSeek-V4.1-Flashは100万トークンあたり入力0.65 USD、出力1.45 USD。支出上限の説明あり。2026年10月29日閲覧。 ↩ ↩
  24. Phala：機密モデル. プロバイダーの価格表。DeepSeek V4.1 Flash 1017：0.75 / 1.60 USD、Kimi K3：100万トークンあたり3 / 15 USD。プロバイダーの説明によれば、ゲートウェイのアテステーションと応答の確認あり。2026年10月29日閲覧。 ↩
  25. NEAR AI：価格表. プロバイダーの価格表。Kimi K3：100万トークンあたり3.30 / 16.50 USD。トップページには異なる価格の記載があり、相違は要確認。2026年10月29日閲覧。 ↩
  26. Phala：機密GPU および 価格表. プロバイダーの価格表。8 × H200：オンデマンドで時間あたり44.20 USD、180日契約で32.20 USD。8 × B300：65.60 USD（30日）、62.40 USD（180日）。Intel TDXとNVIDIA機密コンピューティング。欧州内のマシンなし。2026年10月29日閲覧。期間契約は前払いであり、早期解約時の返金なし。 ↩ ↩
  27. Lambda：インスタンス価格表. プロバイダーの価格表。NVIDIA B200 SXM6 180 GB：4枚構成インスタンスで1 GPU時間あたり6.79 USD、8枚構成インスタンスで6.69 USD。H100 SXM 80 GB：3.99 USD。オンデマンド価格、税抜き、機密モードなし。2026年10月29日閲覧。 ↩
  28. VoltageGPU：価格表 および 証拠の範囲. プロバイダーの価格表および表明。8 × H200は秒単位精算で時間あたり64.62 USD。公開された証拠にはこの構成やNVSwitchスイッチのアテステーションは含まれていない。 ↩
  29. Supermicro：サーバー AS-8126GS-NB3RT-01-G2 および GPU Per Hour：NVIDIAサーバー価格. 製造元の提供価格および価格まとめ。8枚のB300 GPUを搭載した完成品サーバー：662,845.95 USD（2026年9月21日）。 ↩
  30. Azure：NCC40ads H100 v5 マシン価格表 および シリーズの説明. プロバイダーの価格表。H100 NVL 94 GB GPU 1枚を備えた機密マシン。時間あたり6.98 USD（East US 2）〜8.90 USD（West Europe）、Linux、従量課金。2026年10月28日閲覧。 ↩
  31. Privatemode (Edgeless Systems). プロバイダーの提供サービス。欧州連合内のサーバーとリモート・アテステーションを備えた機密API。オープンモデルの選択肢は米国のプロバイダーより少なく、価格は非公開。機密性はプロバイダーによって表明されており、私たちによる検証は未実施。2026年10月30日閲覧。 ↩
  32. Confidential Inference Directory：手法と観測結果. 機密推論を提供する企業がスポンサーとなっている独立ディレクトリ。2026年10月29日14:00:19 UTCの観測において、95経路中エンドツーエンドで検証された経路は0。 ↩
  33. Phala：機密マシン価格表. プロバイダーの価格表。tdx.large（4仮想プロセッサ、8 GBメモリ）：時間あたり0.23 USD、ディスクは1 GB・1時間あたり0.000139 USD。2026年10月29日閲覧。 ↩
  34. サブスクリプション価格：ChatGPT Plus、Claude Pro、Google AI Pro、Kimi Plus（geotoolboxによるまとめ）。DeepSeekのチャットは無料（説明）。USD建て月額、税抜き。Kimi Plusは19 USD。2026年10月28〜29日閲覧。 ↩
  35. SemiAnalysisの分析に関するBigGo Financeの記事（2026年10月7日）. 業界分析。200 USDのプランは集中的な作業においてAPI定価で約12,000 USD相当を提供。利益率の推計であり、企業の公表データではない。 ↩
  36. confidentialinference.net：信頼された実行環境（TEE）内でモデルを稼働させるプロバイダーの比較サイト（日付入りのアテステーション確認付き）。Enclava社がスポンサーとなっており、閲覧時点で11のプロバイダーを掲載。2026年10月31日閲覧。 ↩

ソースファイル： content/ja/whitepaper-suveria.md · 変更履歴 · 変更を提案する