Suveria: частная работа с цифровым интеллектом

Версия от 31 октября 2026 г. Документ развивает положения манифеста, касающиеся Suveria: как мы хотим защищать приватность, как должна быть устроена работа с цифровым интеллектом, сколько это стоит и как мы это проверим. Описанная архитектура является проектом. Упоминание существующей технологии или документации поставщика не означает, что мы запустили её в Suveria. Результаты наших испытаний мы добавляем в главу 9, всегда с датой, версией конфигурации и областью измерения.

Перевод польского оригинала от 31 октября 2026 г., выполненный цифровым интеллектом. При расхождениях между версиями определяющим является польский текст.

1. Что такое Suveria и зачем она создаётся#

Suveria должна стать частным пространством в интернете, где человек разговаривает с цифровым интеллектом, работает над собственными материалами и возвращается к прежним мыслям, как у себя дома за закрытыми дверями. Её проектирует Фонд Novus Ignis из Познани, ценности которого описаны в манифесте, с мыслью о людях из любой точки мира. В её основе лежат открытые модели цифрового интеллекта, а собственное программное обеспечение мы хотим предоставлять как цифровое общественное благо с открытым исходным кодом.

Suveria создаётся, потому что разговорам с цифровым интеллектом мы доверяем всё больше: вопросы о здоровье, отношениях, работе, деньгах и жизненных планах. Во многих популярных сервисах содержание таких разговоров попадает на серверы поставщика, который может его прочитать, а его защита зависит от правил поставщика и доверия к нему. Мы хотим, чтобы можно было говорить о самом важном без страха, что настолько глубокое знание о человеке когда-нибудь будет монетизировано или использовано для влияния на него. Мы также хотим, чтобы каждый платил за то, чем действительно пользуется, видел, за что платит, и самостоятельно устанавливал предел расходов.

В Suveria мы хотим дать возможность:

• разговаривать с цифровым интеллектом о личных и профессиональных вопросах, видя, где обрабатывается разговор и кто может его увидеть;
• работать над собственными документами и файлами, а результаты сохранять и переносить в другое место в открытых форматах;
• хранить разговоры, файлы и память ассистента прежде всего на собственных устройствах, зашифрованными ключом, который остаётся под контролем пользователя;
• с собственного согласия пользоваться памятью прежних разговоров, возвращаться к прежним основаниям решений и создавать Личный Канон (Canon Personalis), то есть собрание собственных принципов и ценностей;
• выбирать способ работы, от модели на собственном устройстве до конфиденциальной среды на сервере, с ясной информацией о том, от чего защищает каждый из них;
• платить за фактическое использование, с самостоятельно установленным лимитом расходов;
• дорабатывать мысль в частном пространстве, а затем осознанно вносить её в общий разговор в Omniforum.

Первый выпуск мы адресуем людям, для которых проверяемая приватность является причиной выбора.

Мы хотим, чтобы уже первый день в Suveria давал спокойное ощущение, что ты у себя дома, в частной мастерской, обустраиваемой в собственном темпе. Пользователь сможет рассказать ассистенту о своих делах и целях; мы также хотим дать возможность перенести в Suveria собственные заметки и архивы прежних разговоров с другими сервисами цифрового интеллекта. Такой архив должен оставаться зашифрованным и упорядоченным на устройстве пользователя, а удалённой модели должна передаваться только часть, выбранная для текущего вопроса (глава 3).

Ценность сервиса мы измеряем тем, помогает ли он достичь цели, сохранить приватность и самостоятельно принимать решения. Условия должны быть ясными и легкодоступными, а пользователь должен контролировать свои расходы, иметь возможность экспортировать собственные материалы и уйти.

Полная приватность, в том числе по отношению к нам как людям, обслуживающим инфраструктуру, является целью, которой мы подчиняем проект. Защита должна опираться на меры безопасности, которые можно независимо проверить, а не на доверие к фонду. Поэтому каждый выпуск конкретно описывает, что защищено, от кого, при каких условиях и какие пробелы остаются.

Отправная точка: текстовый разговор с одной моделью и работа с выбранным документом, с ясно описанным уровнем защиты, лимитом расходов и экспортом результата. Дополнительные возможности, такие как память, поиск, интеграции и выполнение действий, получают отдельный объём разрешений. Один удобный интерфейс может объединять несколько режимов работы, если человек видит, куда попадут данные и какие правила действуют, прежде чем их отправит.

То, чем воспользуется первый выпуск, зависит от того, сколько средств фонд соберёт до его запуска. Наиболее вероятен конфиденциальный API внешнего поставщика; такие сервисы сегодня доступны в США, а их конфиденциальность на старте является заявлением поставщика, которое мы будем проверять. Если средств хватит на аренду собственных серверов в конфиденциальной среде, первый выпуск может сразу работать на них. До положительного результата испытаний из главы 9 каждый из этих вариантов мы обозначаем как заявленную защиту, а не конфиденциальную. Глава 2 описывает целевую защиту. Что из этого следует для защиты персональных данных людей из Европы, мы опишем до запуска пилотного проекта.

Использование Suveria не является согласием на использование разговоров для обучения моделей. Пользовательское содержание попадает в исследовательские материалы исключительно с отдельного осознанного согласия, а остальные материалы поступают из открытых результатов работы фонда и других источников с ясным основанием использования, как описано в whitepaper материалов и бенчмарка.

Suveria дополняет Omniforum, общее пространство разговора и решений: одна даёт частную мастерскую, другая публичную трибуну. Ценности, из которых вырастают оба проекта, описывает манифест фонда. Далее мы последовательно показываем:

• что мы защищаем и от чего, где находятся данные и ключи (глава 2);
• как сообщение проходит от устройства до модели и как это проверить (3);
• как мы ограничиваем злоупотребления без чтения частных разговоров (4);
• как работают вычисления на нескольких видеокартах (5);
• какие модели, память и инструменты мы планируем (6);
• сколько вычислительной мощности нужно, от 30 человек до всего человечества (7);
• сколько это стоит, в расчёте с указанием даты (8);
• как мы проверим, работают ли обещания: приёмочные испытания и журнал результатов (9).

2. Что мы защищаем и от чего#

Мы защищаем содержание разговоров и файлов, историю и память, ключи, расчётные данные и метаданные, например время соединения, сетевой адрес и размер запроса. Каждая из этих областей требует своих мер.

От кого защищает каждый из пяти вариантов работы, описанных в пункте 2.3, показывает приведённая ниже таблица. Защита в серверных вариантах опирается на аттестацию, то есть подписанное аппаратурой подтверждение того, какое программное обеспечение работает на удалённой машине и в каком режиме защиты. Мы заполнили ячейки на основании последующих глав этого документа; «заявление поставщика» означает, что до собственной проверки мы не подтверждаем защиту.

Конфиденциальные вычисления меняют стоимость атаки: вместо удалённого доступа администратора требуется физическое вмешательство в аппаратуру.

Ниже мы описываем, как должен работать целевой вариант с собственной конфиденциальной средой; чем отличаются остальные варианты, показывает таблица в пункте 2.3. Что это означает на практике на последовательных участках пути сообщения:

• На устройстве пользователя текст доступен для чтения, потому что пользователь его пишет и читает. Его защищают приложение, запрашивающее только необходимые разрешения, обновления и осторожное обращение с резервными копиями. Мы не защитим его, если на телефоне или компьютере работает вредоносное программное обеспечение.
• По пути к серверу сообщение зашифровано так, что прочитать его может только проверенное место обработки. Прежде чем приложение его отправит, оно проверяет, работает ли на другой стороне именно то программное обеспечение, которое мы опубликовали.
• На сервере модели нужно прочитать содержание, чтобы ответить, поэтому она делает это в закрытой аппаратной среде, внутрь которой не могут заглянуть администратор сервера или другие клиенты. Мы проверяем, распространяется ли эта изоляция на процессор, видеокарты, память и соединения между ними.
• При хранении история разговоров и память ассистента зашифрованы ключом, который находится у пользователя. Мы проверяем копии, восстановление доступа и удаление.
• При обслуживании сервиса расчёты, диагностика и сообщения об ошибках работают без содержания разговоров, а каждый вид собираемых данных открыт (глава 3).
• При работе с внешними инструментами, когда ассистент должен сделать что-то за пределами Suveria, например найти информацию в интернете, он отправляет только то, на что пользователь дал согласие, и показывает, куда.

Конфиденциальные вычисления не исправляют заражённый компьютер пользователя. Они также не защищают от каждого, у кого есть физический доступ к серверу: в 2025 г. исследователи показали, что устройство, подключённое к шине памяти и собранное из деталей стоимостью менее тысячи долларов, позволяет извлечь ключи аттестации в решениях Intel и AMD и благодаря этому подделать подтверждение также в конфиденциальных вычислениях NVIDIA, а производители процессоров считают такие атаки выходящими за пределы своей защиты.¹ Остаются также зависимости от производителей аппаратуры, корректности криптографии, кода приложения и процесса обновления. Поставщик может отказать в обслуживании, даже если не способен прочитать содержание. Поэтому модель угроз должна различать доступ к содержанию, выводы из метаданных, изменение работы и прерывание обслуживания, а при каждом варианте указывать, кто должен быть честным, чтобы защита работала.

Пока мы пользуемся чужими серверными центрами, физический доступ к аппаратуре есть у поставщика, и мы не можем это проверить; мы говорим об этом при каждом варианте. При собственном оборудовании (шаги 3–4 из пункта 8.2) мы хотим сделать этот доступ видимым с помощью:

• описи устройств;
• контроля входа;
• пломб со случайным узором и датчиков открытия корпуса;
• журнала работ;
• камер независимых наблюдателей с изображением, на котором видно текущее значение публичного генератора случайности, подписанное ключом машины;
• а в дальнейшей перспективе серверного помещения, которое может увидеть каждый.

Обслуживание и замена деталей происходят в рамках заранее объявленных открытых процедур. Видимый физический контроль снижает риск и позволяет обнаружить многие события, но не доказывает всю историю машины или отсутствие вмешательства до поставки, а атаки, подобные описанной выше, могут приводить к подделке доказательств аттестации. Поэтому после открытия корпуса, замены деталей, незапланированного перезапуска или другого подозрительного события мы приостанавливаем обработку частного содержания на этой машине. Мы заменяем ключи сеансов и приложений, но сама по себе новая аттестация не восстанавливает доверие, если подозрение касается основы аппаратной аттестации; условия и доказательства повторного допуска мы описываем заранее. Ключи шифрования пользовательских данных имеют отдельную защиту и восстановление, поэтому такая процедура не лишает людей их частных наработок.

2.1. Собственные устройства и необязательные серверы#

Основным местом хранения частных разговоров, файлов и памяти должны быть устройства пользователя, в зашифрованных контейнерах, то есть наборах данных, содержание которых читается с помощью соответствующего ключа. Это подход local-first: данные сначала сохраняются на устройстве, а серверы могут поддерживать резервное копирование и синхронизацию.² Сохранённые материалы должны оставаться доступными и после прекращения использования сервисов фонда; задачи, требующие удалённой модели, зависят от доступности выбранного вычислительного сервиса.

Необязательное хранение на выбранных серверах служит для резервных копий и согласования изменений между устройствами. Мы шифруем содержание на устройстве до отправки, чтобы оператор, хранящий копию, получал только зашифрованную запись без ключа к её чтению. Пользователь выбирает поставщика хранения и устройства, которым разрешено чтение. Отдельно мы ограничиваем раскрытие метаданных, таких как время и размер передаваемой копии.

2.2. Ключи и восстановление доступа#

Ключи к частным контейнерам остаются под контролем пользователя. Процедура восстановления ясно указывает, восстанавливает ли доступ второе устройство, сохранённый ключ восстановления или другой осознанно выбранный механизм и кому он даёт возможность чтения. Восстановление учётной записи у оператора не открывает содержание контейнера. Утрата всех копий ключа и возможностей восстановления может означать безвозвратную потерю данных, поэтому выбор механизма мы проверяем пробным восстановлением данных и описываем в понятной инструкции.

Мы рассматриваем несколько способов восстановления, которые можно сочетать: второе устройство, у которого уже есть доступ; ключ восстановления, записанный на бумаге или в менеджере паролей; аппаратный ключ; разделение ключа между несколькими доверенными людьми, из которых, например, любые двое из трёх могут вместе восстановить доступ, а никто по отдельности не прочитает данные. Фонд не хранит ключи или их части, поэтому не может восстановить доступ за пользователя или выдать его данные.

На старте мы рекомендуем второе устройство и ключ, записанный на бумаге; разделение ключа между доверенными людьми является вариантом для желающих.

2.3. Варианты защиты#

Мы хотим сравнивать пять вариантов работы, потому что каждый защищает от своего:

Независимая проверка сервера требует устанавливаемого приложения. В браузере код, который проверяет сервер, каждый раз предоставляет оператор, поэтому этот способ мы обозначаем как менее защищённый.

Устройство, подключённое к сети, может иметь больше точек атаки, чем выделенная серверная среда, поэтому само место вычислений не определяет безопасность. Ни один вариант не получает метку «полная приватность» до проверки конкретной конфигурации. При каждом разговоре пользователь видит, в каком варианте работает, а смена варианта требует его осознанного решения. Собственный ключ к внешнему API служит для учёта доступа при расчётах, но не обеспечивает конфиденциальности перед поставщиком. Этот вариант не является вариантом по умолчанию для частной Suveria, а перед отправкой содержания мы показываем, может ли поставщик использовать его для обучения моделей и как долго его хранит.

Мы также анализируем направление, которого пока нет в этом сравнении: доверенный рой. В таком случае модель работала бы на оборудовании нескольких людей, которые знают друг друга и доверяют друг другу, например семьи, друзей или небольшого сообщества, а каждый из них предоставлял бы немного вычислительной мощности своего компьютера. Приватность такого варианта основана на доверии к этим людям, а не на технике, потому что их компьютеры видят обрабатываемое содержание, и именно так мы хотим его описывать. Это идея, которую мы только анализируем, но один из путей, которые мы хотим исследовать.

Защищённый сервер не защитит текст, прочитанный со взломанного телефона, а более защищённый телефон не исправит сервер, поэтому приложение мы проектируем вместе с защитой устройства. Мы хотим, чтобы приложение Suveria работало без сервисов Google, например в системе GrapheneOS, было доступно также за пределами магазина Google Play и имело воспроизводимые сборки выпусков: каждый может самостоятельно собрать приложение из опубликованного исходного кода и проверить, что получил файл, идентичный устанавливаемому. Мы также планируем меры защиты в самом приложении: блокировку снимков экрана, режим клавиатуры без обучения на вводимом тексте, исключение частных данных из облачных резервных копий, скрытое содержание уведомлений и блокировку приложения. На сайте фонда мы подготовим руководство по защите собственных устройств на трёх уровнях: от базовых настроек и обновлений через более сильную изоляцию работы и ключей до проверенных конфигураций для людей с самыми высокими требованиями, таких как Qubes OS на компьютере с открытым микропрограммным обеспечением. Использование Suveria не требует покупки указанного оборудования, а название системы не является сертификатом всего устройства.

При каждом разговоре мы будем показывать карточку защиты (Charta Tutelae): список элементов, от которых зависит приватность этого разговора, каждый в одном из трёх состояний:

• Проверено нами: мы проверили это сами, с датой, версией и описанием того, как мы это сделали.
• Заявлено поставщиком: поставщик так утверждает, а мы ещё этого не проверили.
• Не защищено: этот вариант этого не защищает, например времени и длины сообщений, видимых поставщику сети, физического доступа поставщика к аппаратуре или юрисдикции, в которой находится сервер.

Состояние «проверено нами» содержит дату последней проверки и имеет срок действия: после установленного времени без повторной проверки оно возвращается к состоянию «заявлено». Отдельно мы покажем известные нарушения оснований доверия, например инцидент у поставщика или неподтверждённое изменение конфигурации. Карточка одинакова для всех и не зависит от цены, а вариант, в котором хотя бы один элемент только заявлен, не называется «полная приватность». Сравнение в начале главы 2 и таблица вариантов в этом пункте описывают варианты в целом, а карточка покажет состояние для этого конкретного разговора.

3. Путь от устройства до модели#

Suveria должна состоять из нескольких частей:

• приложения на устройстве пользователя;
• шлюза, который учитывает запросы для расчётов и следит за лимитом расходов;
• конфиденциальной среды с моделью, собственной или у поставщика;
• хранения зашифрованных копий;
• необязательного посредника, скрывающего адрес пользователя.

Шлюз должен работать в конфиденциальной машине. До пилотного проекта мы покажем в приложении, в каком месте заканчивается шифрование, контролируемое устройством пользователя, и видит ли шлюз содержание, а если да, то только внутри конфиденциальной среды.

Зашифрованное хранение и конфиденциальная обработка требуют отдельных мер защиты. Модели, работающей на сервере, для задачи нужно доступное для чтения содержание в защищённой вычислительной среде; само шифрование копий файлов не защищает этот этап.³ Приложение предоставляет только часть, выбранную для данной работы, не передавая ключ ко всему частному контейнеру. Описание сеанса указывает, где содержание становится доступным для вычислений, что ограничивает доступ оператора и что происходит с данными после возврата результата.

Предлагаемый ход сеанса:

1. Приложение получает описание утверждённого выпуска и проверяет аттестацию, то есть криптографическое подтверждение определённых свойств запущенной среды.
2. Проверяет соответствие аппаратуры, состояния защиты и измерений программного обеспечения открытой политике. Ключ получателя данных должен быть связан с этим подтверждением.
3. После успешной проверки устанавливает зашифрованное соединение с утверждённой средой. Расхождение останавливает отправку данных; переход к другому варианту требует осознанного выбора.
4. Среда обрабатывает запрос при ограниченном доступе к сети и инструментам, возвращает результат и удаляет рабочие данные согласно опубликованной политике.
5. Сохранение разговора или памяти происходит исключительно в объёме, выбранном пользователем.

Аттестация помогает установить, что запущено, но сама по себе не доказывает, что этот код безопасен. Необходимы проверки кода, воспроизводимая сборка программного обеспечения из исходного кода (описанная в пункте 2.3), реестр утверждённых версий и возможность независимой проверки. Архитектура Apple Private Cloud Compute служит для нас ориентиром в том, как связать защиту с прозрачностью выпуска программного обеспечения; она не является сертификатом нашего проекта.³

Мы хотим защитить выпуски так, чтобы доверие не зависело от одного человека или только от фонда:

• каждый выпуск должен допускать воспроизводимую сборку из исходного кода, а как минимум две независимые стороны вне фонда воспроизводят его и публично подтверждают совпадение отпечатка; пока мы их не найдём, мы обозначаем выпуск как не подтверждённый третьими сторонами;
• отпечатки утверждённых выпусков попадают в публичный реестр, в который можно только добавлять записи, а его последовательные состояния подтверждают независимые свидетели;
• новая версия попадает на серверы после утверждения несколькими людьми, в том числе как минимум одним человеком, не входящим в правление;
• ключи, необходимые для работы с данными, получает исключительно среда, прошедшая аттестацию.

Полный вариант защиты мы проектируем для устанавливаемых приложений с подписанными, проверяемыми выпусками, защитой от возврата к дефектной версии и безопасным хранением ключей, потому что в браузере код, проверяющий сервер, каждый раз предоставляет оператор. Браузерная версия ясно описывает свой более низкий уровень защиты. Воспроизводимая сборка позволяет сравнить выпуск с кодом, но оценку самого кода и конфигурации по-прежнему обеспечивают проверки, аудиты и вознаграждения за сообщения об ошибках, а каждый инцидент попадает в открытый реестр.

Чтобы ограничить раскрытие адреса пользователя, можно исследовать посредничество на основе Oblivious HTTP, которое разделяет знание об отправителе и содержании запроса при определённой модели доверия.⁴ Сговор посредников, корреляция трафика и детали реализации по-прежнему требуют оценки, поэтому само использование этого протокола мы не описываем как полную анонимность.

Шифрование и конфиденциальные вычисления не скрывают длину или ритм пакетов, в которых передаётся ответ. Исследования 2024–2025 гг. показали, что наблюдатель за сетью может восстановить по ним тему, а иногда и содержание разговора.⁵⁶ Поэтому в конфиденциальном режиме мы хотим отправлять ответ кадрами постоянного размера и с постоянным ритмом, не разделять кэш запросов между пользователями и отключать спекулятивное декодирование. Эти меры немного увеличивают задержку и снижают пропускную способность; мы учтём это в расчёте.

Мы защищаем инфраструктуру также ограничением возможностей действия отдельных частей системы: лимитами ресурсов, изоляцией задач и блокировкой по умолчанию исходящих соединений из узла, обрабатывающего разговор. Эта блокировка должна быть частью программного обеспечения, отпечаток которого виден в аттестации: её изменение меняет отпечаток, поэтому приложение откажется от соединения. Сетевые правила поставщика мы рассматриваем как второй слой, а не как гарантию. Разрешённые внешние действия проходят через отдельный слой инструментов с разрешениями, определёнными пользователем. Перед внедрением мы проверим эффективность этих границ, способ обнаружения инцидентов и минимальный необходимый объём метаданных. Целью является безопасность общих ресурсов при сохранении конфиденциальности содержания разговоров.

Мы особенно осторожны, когда пользователь подключает источники с сообщениями от других людей, например почтовый ящик. Чужое сообщение может содержать скрытые команды, которые пытаются побудить модель раскрыть частную память. Поэтому содержание извне мы отделяем от команд пользователя: при его упорядочивании ассистент не может самостоятельно отправлять сообщения, открывать сетевые адреса или менять Личный Канон без подтверждения человека.

Всё, что мы знаем о работе Suveria, может знать каждый. Вместе с запуском сервиса мы опубликуем перечень всех видов данных, которые собираем о работе сервиса, с целью и сроком хранения, а сами данные будем предоставлять в обобщённом виде: расход токенов, используемые модели, нагрузка машин, время ожидания в очереди, сбои и расходы. Каждый видит их там же, где их видим мы. Перед публикацией сводок мы проверяем, нельзя ли по ним распознать поведение конкретного человека: устанавливаем минимальный размер группы, задержку публикации и данные, которые исключаем. Данные вне перечня мы не собираем; если бы оказалось иначе, мы рассматриваем это как серьёзный инцидент и описываем его публично.

4. Ограничение злоупотреблений без доступа к частному содержанию#

Защиту достоинства мы относим также к людям, которых могут затронуть последствия использования наших инструментов. Мы хотим противодействовать злоупотреблениям без чтения частных разговоров: через принципы, которыми руководствуется сам ассистент, границы разрешений инструментов и сетевых соединений, лимиты ресурсов и защиту от массового создания учётных записей. Мы не создаём скрытых способов доступа к частному содержанию, потому что они ослабили бы защиту всех.

Учётную запись можно будет создать несколькими способами, от полностью приватного (ключ на собственном устройстве, без адреса электронной почты) до удобных (вход через внешнего поставщика). При каждом способе мы покажем до выбора, кто за пределами фонда узнаёт о создании учётной записи и какие данные видит, а также что произойдёт, если этот поставщик исчезнет. Способ создания учётной записи не влияет на права участника; право голоса в Omniforum является отдельным удостоверением, добавляемым к учётной записи.

Приватность и ограничение злоупотреблений мы оцениваем отдельно. Мы проектируем Suveria так, чтобы у фонда не было данных, которые он мог бы выдать о конкретном человеке: содержание зашифровано пользовательскими ключами, данные о работе сервиса мы собираем только в открыто описанном объёме из главы 3, а персональные данные ограничиваем минимумом, которого требует закон при платежах и бухгалтерском учёте; их объём мы тоже публикуем. Если кто-то потребует от нас данные конкретного человека, мы хотим иметь возможность честно ответить, что за пределами этого открыто описанного минимума у нас их нет. Для каждой меры защиты от злоупотреблений мы опишем, какие данные ей нужны, как долго мы их храним, какие последствия она имеет для добросовестного участника и как можно оспорить ошибочную блокировку.

Мы также опишем, как принимаем сообщения от людей, которые считают себя пострадавшими, и что можем тогда сделать без доступа к содержанию разговоров: например, ограничить разрешения инструментов или ресурсы учётной записи, проверить расчётные данные и метаданные в том объёме, который мы храним, или сообщить заявителю, где искать помощь. Правовые обязанности оператора такого сервиса требуют отдельного анализа до запуска.

Эти меры защиты являются целями и вариантами для испытаний, и ни одна из них не обнаружит всех злоупотреблений. Для каждой мы укажем, каким угрозам она противостоит, чего не обнаруживает и что можно проверить без доступа оператора к частным разговорам. Результат этой оценки определяет условия предоставления данной функции.

Когда разговор касается угрозы жизни или здоровью, ассистент должен предоставить информацию о доступной помощи, например номера экстренных служб, не отправляя ничего за пределы частной среды.

4.1. Открытые инструкции ассистента и общая библиотека#

Поведение ассистента также определяется его основной инструкцией и способом работы: как он делит задачу на шаги, пользуется памятью и проверяет ответы. В Suveria человек всегда должен иметь возможность прочитать полную инструкцию своего ассистента. Общая инфраструктура должна предоставлять только модели и настройки, которые пройдут открытые испытания бенчмарка; сверх этого минимума именно пользователь выбирает стиль работы, от спокойного упорядочивания мыслей до требовательного разговора, в котором ассистент указывает на пробелы в рассуждении. Мы хотим вести открытую библиотеку проверенных инструкций, которую участники улучшают в Omniforum и проверяют в бенчмарке.

5. Вычисления на нескольких видеокартах#

Модель из главы 6 не помещается на одной видеокарте, поэтому защиту нужно проверить также в соединениях между картами: шина PCIe соединяет процессор с картами, а NVLink и NVSwitch соединяют карты между собой.

Когда модель использует несколько видеокарт, данные передаются также между ними, поэтому защиту нужно проверить как для самих карт, так и для соединений. Названия карты недостаточно для заказа конфиденциального сервиса: нужно подтвердить соответствующие машину, процессор, топологию соединений, микропрограммное обеспечение, драйверы и среду выполнения, а затем проверить их совместную работу.⁷

В режиме Hopper Protected PCIe, описанном в документации PPCIe v2, сеть NVLink и NVSwitch относится к доверенной части системы, поэтому шифрование PCIe не означает шифрования каждого соединения между картами.⁸ Документация NVIDIA R595 описывает для карт Blackwell режим конфиденциальных вычислений на нескольких картах, с шифрованием соединений NVLink и поддержкой до восьми карт в одной конфиденциальной виртуальной машине.⁹ Это основание для проверки конфигурации, а не доказательство того, что любая аренда карт B200 включает эту функцию. У разных выпусков разные матрицы совместимости, поэтому мы не составляем конфигурации из произвольно выбранных версий.

Запрос поставщику охватывает:

• конкретный режим защиты и возможность самостоятельной аттестации;
• исключительное использование необходимых ресурсов и регион;
• доступ администраторов и физический доступ к аппаратуре;
• сроки хранения данных;
• срок предоставления и полную стоимость.

Мы сравниваем предложение только после испытания с собственным приложением. Коммерческое обозначение «secure» не заменяет этой информации.

6. Модель, память и инструменты#

Основой проекта являются открытые модели, которые можно запускать самостоятельно. Suveria должна быть доступна людям во всём мире на их собственных языках, поэтому, выбирая модель, мы учитываем качество во многих языках, понимание намерений, надёжность, лицензию, стоимость и возможность запуска в требуемой архитектуре защиты. Когда возникнет такая необходимость, наряду с общей моделью мы можем запускать модели, которые лучше справляются с конкретными языками. Открытые веса позволяют часть применений, но не определяют открытость данных и всего процесса создания модели.¹⁰

Первый кандидат: DeepSeek-V4.1-Flash, модель под лицензией MIT, которая разрешает использовать её также для сервисов.¹¹ Она большая, но экономная: производитель указывает 552 млрд параметров основной части, то есть чисел, подобранных во время обучения, и дополнительную память Engram с 196 млрд параметров, а над каждым следующим словом работают только 8–16 млрд параметров, поэтому она отвечает быстро и дёшево (расчёт в главе 8). Однако все параметры должны помещаться в памяти видеокарт, поэтому нужно как минимум четыре современные карты. Параметры этой модели уже записаны в экономной форме, с меньшим числом цифр на каждое число; такая запись называется квантованием и уменьшает необходимую память, но может снижать качество, поэтому для каждой версии мы проверяем это на собственных задачах. Мы также сравниваем её с меньшими моделями: большую выбираем только тогда, когда она явно лучше выполняет задачи, важные для людей.

Второй кандидат: Kimi K3.1 Pro компании Moonshot AI, выпущенный 23 октября 2026 г. Производитель описывает его как версию Kimi K3, прошедшую дальнейшее обучение, с примерно 3 трлн параметров и контекстом до миллиона токенов, а полные веса обещает до 4 ноября 2026 г.; лицензия ещё не объявлена.¹² Подробные данные, которыми мы пользуемся для сравнения, взяты из карточки предшественника: Kimi K3 имеет 2,8 трлн параметров, из которых над каждым токеном работают 104 млрд, и собственную лицензию, не одобренную Open Source Initiative.¹³ В индексе Artificial Analysis в версии от 28 октября 2026 г. Kimi K3.1 Pro получил 46 баллов против 32 у DeepSeek-V4.1-Flash, но он в несколько раз дороже и медленнее.¹⁴ Файлы весов Kimi K3 занимают около 1,56 TB, а для запуска дополнительно нужна память для контекста и вычислений, поэтому по одной сумме памяти карт мы не решаем, будет ли модель работать. Инструкция движка SGLang описывает проверенную конфигурацию Kimi K3 на восьми картах B300; это ещё не испытание Kimi K3.1 или конфиденциальной конфигурации.¹⁵¹⁶ После публикации весов мы проверим их размер и формат, лицензию, инструкции движков, вместимость на конкретной конфигурации и доступность в конфиденциальных API. Результат с датой мы добавим как первое обновление этого документа, в том числе если веса не опубликованы или условия лицензии окажутся непригодными.

О смене или выводе модели из использования мы сообщаем заранее. История разговоров остаётся у пользователя: можно выбрать модель-преемницу, экспортировать данные или завершить работу. В разговоре должен быть виден момент смены модели, а перенос частного контекста в новую модель требует решения пользователя.

Принципы, по которым ассистент отвечает, мы будем публиковать полностью вместе с каждым выпуском. Сама модель также несёт в себе выборы своего создателя, например темы, которых избегает; мы проверяем их в бенчмарке и описываем при выборе модели.

Память прежних разговоров должна работать с согласия пользователя и быть доступной для явного редактирования. Мы различаем исходные высказывания, резюме модели и информацию, подтверждённую пользователем. Каждую запись можно удалить или исправить, увидеть её происхождение и определить, в каких задачах разрешается её использовать. Ассистент ясно отличает собственное предложение от позиции, которую человек осознанно признал своей.

Выполнение действий требует разрешений, предоставляемых для определённой цели и на определённое время. Содержание страницы или документа является материалом для анализа, а не командой изменить эти разрешения. Внешние действия, расходы, публикации и удаления требуют соразмерных подтверждений и журнала действий, доступного пользователю.

6.1. Телескоп Мысли и Личный Канон#

Идея Телескопа Мысли (Telescopium Mentis) выросла из окна Овертона, то есть понятия, описывающего круг идей, которые в данное время считаются приемлемыми в обществе. Для одного человека речь идёт о круге мыслей, которые в данное время он считает допустимыми для себя. Телескоп должен стать таким окном для одного человека и только для него: он позволяет увидеть запись собственных размышлений и ценностей в разные моменты и то, как они менялись со временем.

Телескоп Мысли должен служить возвращению к собственным рассуждениям: что мне тогда было известно, чего мне хотелось и почему моё мнение изменилось. Он также может помогать сопоставлять выбранные пользователем события, информацию о мире и собственные действия с Личным Каноном, то есть записанным пользователем собранием принципов и ценностей, которые пользователь признаёт своими. Сопоставление касается ситуации, которую пользователь сам опишет или укажет; именно пользователь определяет материал и объём. Модель показывает возможные связи вместе с источником упомянутого принципа и описанием события, отличая подтверждённую информацию от интерпретации и неопределённости. Предложенную интерпретацию можно исправить или отклонить, а прежние позиции мы оцениваем с учётом их времени и контекста.

Замеченное напряжение может касаться самого принципа, конфликта ценностей, внешних условий, ограничений человека или неверной интерпретации модели. Человек может сохранить идеал и принять нынешнюю непоследовательность, уточнить убеждение, обдумать изменение действий или окружения либо оставить вопрос открытым. Канон должен помогать понимать собственные выборы: мы не создаём балльной оценки нравственности или публичного рейтинга последовательности. Частные размышления остаются частными, а их запись не означает публикации или подачи голоса.

Мы начнём осторожно. В первой версии Телескоп Мысли работает только с одной ситуацией, которую пользователь сам укажет, например с решением, к которому хочется вернуться; он не следит за жизнью пользователя непрерывно. Пользователь решает, как часто им пользоваться, какие заметки и воспоминания предоставлять и когда их удалять. В этом испытании мы проверяем, понятны ли показываемые связи, дают ли они ощущение контроля над собственными выборами и не создаёт ли инструмент давления постоянно отчитываться перед собой. Хорошим результатом мы считаем также то, что кто-то после размышления примет, что не всегда действует согласно своим принципам, или оставит вопрос открытым: инструмент должен помогать понимать себя, а не вынуждать к решениям.

6.2. Открытые форматы, перенос и взаимодействие инструментов#

Suveria мы хотим развивать как цифровое общественное благо, с открытым исходным кодом и документацией; ориентиром служит стандарт Digital Public Goods Alliance.¹⁷ Формат переноса данных имеет публичное описание, версию и правила сохранения информации при смене версии. В первую очередь мы используем существующие открытые стандарты, а необходимые расширения документируем.

Экспорт включает выбранные оригиналы, историю, источники и связи, а также различие между словами пользователя, обработкой модели и значением, подтверждённым автором, и структуру Личного Канона. Скачанный пакет можно прочитать без активной учётной записи в Suveria, после расшифровки уполномоченным лицом.

API, то есть документированные способы взаимодействия программ, должны позволять работать с материалами в других инструментах, в том числе созданных самостоятельно. Пользователь выбирает объём данных и разрешённые действия и может отозвать разрешения интеграции. Отзыв разрешения останавливает дальнейший доступ; судьба ранее переданных копий зависит также от получателя.

Частное пространство может служить также работе на благо общих проектов. Пользователь выбирает материалы, которые хочет передать на приёмку или для публикации, а инструмент помогает локально удалить из них ключи доступа, пароли, персональные данные и информацию о неустранённых уязвимостях. Использование ресурсов, оплаченных частным образом, не требует раскрытия рабочих разговоров. Для задачи, финансируемой из общих ресурсов фонда, объём публичной записи, выбор псевдонима и подготовку материалов заранее определяют правила мастерских фонда (глава 11.1). Из размышлений в Suveria можно также осознанно выделить один вопрос или аргумент и опубликовать его в Omniforum; этот шаг, описанный в манифесте как Церемония Ignis (Caerimonia Ignis), всегда требует отдельного решения.

7. Масштаб: от 30 человек до всего человечества#

Само количество учётных записей не определяет необходимую инфраструктуру. Значение имеют активность, длина вопросов и ответов, число одновременных сеансов, приемлемое время ожидания и стоимость инструментов. Приведённый ниже пример является моделью нагрузки для испытания, а не прогнозом спроса или предложением.

Допущения: каждый из N человек активен ежедневно и выполняет 20 запросов в день, средний запрос включает 1 500 входных токенов и 600 выходных токенов, а месяц состоит из 30 дней. Токен является единицей текста, обрабатываемой моделью; его длина зависит от языка. В реальной нагрузке нужно дополнительно учесть более длинный контекст, обработку документов, токены рассуждений и вспомогательные вызовы.

Мы планируем Suveria как всемирный сервис, доступный на многих языках. Как участники распределятся между часовыми поясами, мы не знаем, поэтому сравниваем два сценария, которые проверит измерение. В мировом сценарии мы принимаем доли регионов пропорциональными числу пользователей интернета по данным ITU за 2025 г. и одинаковый предполагаемый суточный профиль в каждом поясе: вечерний пик и спокойная ночь.¹⁸ Часовые пояса частично заполняют спады друг друга, поэтому часовой пик составляет около 1,51 × среднего, а минимальный трафик около 0,49 ×. В сценарии, сосредоточенном в одном регионе, например в Европе, пик составляет около 1,87 × среднего, а ночью почти ничего. Такое распределение может возникнуть и при большом масштабе; оно означает худшее использование собственной машины и более частое обращение к конфиденциальному API либо более долгое ожидание в пиковое время. Оба значения следуют из наших допущений, а не из наблюдений за будущими участниками. Короткие всплески в пределах часа должна сглаживать короткая очередь с видимым временем ожидания, а трафик сверх вместимости собственной машины может принять конфиденциальный API; время ожидания, в том числе его 95-й и 99-й процентили, мы измерим в пилотном проекте вместе с пределом очереди и поведением при его исчерпании. Нагрузочное испытание охватит также внезапный приток новых людей, например пятикратный средний трафик. Это общая пропускная способность выхода; она не заменяет измерения задержки отдельного разговора или стоимости обработки входа. Испытание должно воспроизводить распределение сеансов, длинные контексты, сбои и очередь, а не один удобный запрос.

Множитель пика сравнивает самый загруженный час со средним. Он получен из модели суток, разделённых на 24 часа: один суточный профиль мы сдвигаем между восемью регионами и суммируем согласно принятым долям. Это расчётный сценарий; он не вычисляет время ожидания отдельного запроса.

Чтобы увидеть, как этот расчёт выглядит в масштабе мира, проведём мысленный эксперимент. Если бы каждый из 10 млрд человек пользовался Suveria согласно принятому профилю, в пиковое время потребовалось бы около 2,1 млрд выходных токенов в секунду. При производительности, измеренной для DeepSeek-V4.1-Flash, около 930 токенов в секунду на карту B200, это около 2,25 млн карт и, при примерно 1,75 кВт на карту вместе с сервером (наше допущение, без измерения), около 4 ГВт мощности. Для миллиарда человек это около 225 тыс. карт и 0,4 ГВт, для миллиона около 225 карт. Для сравнения: в начале 2026 г. Epoch AI оценивал, что установленная в мире вычислительная мощность для цифрового интеллекта превышает 15 млн эквивалентов карт H100 и требует более 10 ГВт мощности.¹⁹ Это упрощение: принятый профиль лёгкий, интенсивная работа, более крупные модели и изображения требуют во много раз больше, а оборудование и модели быстро меняются. Однако оно показывает порядок величины: ежедневная помощь цифрового интеллекта в таком объёме каждому человеку потребовала бы мощности меньше той, которая уже сегодня работает в мире. Это упрощённый расчёт, а не доказательство того, что такая инфраструктура была бы доступна для этой цели.

8. Расходы и расчёт с указанием даты#

Месячную стоимость постоянного резервирования в первом приближении можно записать так: число карт × цена за час работы карты × число оплаченных часов, плюс память, диски, передача данных, защита, мониторинг, обслуживание, платежи и налоги. Нужно проверить, какие из этих позиций предложение уже включает. При круглосуточной работе в месяце от 672 до 744 часов; 730 часов является средним приближением.

В расчёте мы сравниваем пять вариантов расходов: локальную модель, собственный экземпляр на арендованном оборудовании, собственный экземпляр в среде конфиденциальных вычислений с защитой, заявленной поставщиком и требующей проверки, конфиденциальный API внешнего поставщика и обычный внешний API. Варианты расходов соответствуют вариантам защиты из пункта 2.3; аренду машины без конфиденциальности мы показываем только как ценовой ориентир, а не как вариант Suveria. Стоимость локальной модели мы пока не рассчитываем, потому что она зависит от устройства пользователя. Мы сопоставляем одинаковый объём качества, доступности и защиты. Порог окупаемости является стоимостью полного сервиса, делённой на фактическое использование, а не стоимостью карт, делённой на число зарегистрированных учётных записей. Внешний API облегчает проверку потребностей пользователей, но у его поставщика есть собственные правила доступа к данным, поэтому мы не переносим на него обещания конфиденциального запуска.

8.1. Расчёт с указанием даты: состояние на 29 октября 2026 г.#

Манифест выдвигает гипотезу, что уже при сравнительно небольшом числе постоянных участников общая инфраструктура может давать больше вычислительной мощности и цифрового интеллекта за каждый доллар, чем закрытые сервисы, при защите приватности, основанной на проверяемых мерах безопасности. Ниже её расчёт при ценах на 29 октября 2026 г. Допущения: профиль использования из главы 7 (20 запросов в день по 600 выходных токенов) и мировой сценарий (часовой пик около 1,51 × среднего), цены без налогов, 730 часов в месяц для пересчёта арендных цен. Число людей на машину означает столько участников, сколько машина обслужит в часовой пик: пропускная способность выхода в секунду × 86 400 / (20 × 600 × множитель пика). Допустимое число людей также определит измеренное время ожидания ответа. В скобках мы приводим сценарий, сосредоточенный в Европе (множитель около 1,87). Для DeepSeek-V4.1-Flash мы принимаем измерение поставщика Lambda на четырёх картах B200: около 3 714 выходных токенов в секунду при 64 одновременных запросах.²⁰ Измерение выполнено со спекулятивным декодированием, которое в конфиденциальном режиме мы не хотим использовать (глава 3). Согласно нашей сентябрьской оценке, пропускная способность тогда может снизиться даже примерно на 30%, что повышает стоимость на человека в похожей пропорции. Для карт H200 и B300 измерения этой модели нет; мы предполагаем, что каждый набор карт с одной копией модели (8 × H200 либо половина машины 8 × B300) достигает производительности четырёх карт B200. Это оптимистичное допущение: H200 относится к более старому поколению, конфиденциальный режим может замедлять работу, а измерение Lambda касается более длинных запросов, чем наш профиль. Поэтому мы приводим также осторожный вариант с половиной этой пропускной способности.

Веса модели занимают около 511 GB, а движок vLLM рекомендует около 614 GB памяти карт. Четырёх карт H200 (564 GB) недостаточно, поэтому одна копия на H200 требует восьми карт. Инструкция разработчика движка для этой конфигурации 29.10 находилась в процессе проверки, а в картах H200 соединение между картами (NVLink) не шифруется аппаратно, в отличие от B200 и B300.

Откуда эти числа: цены API из прейскурантов DeepSeek, Moonshot, Confidential AI, Tinfoil, Phala и NEAR AI;^2122232425 цены конфиденциальных машин из прейскуранта Phala;²⁶ аренда B200 в Lambda по 6,79 USD за час работы карты в экземпляре с четырьмя картами и 6,69 USD в экземпляре с восемью.²⁷ Вместимость Kimi мы принимаем по измерениям третьих сторон для Kimi K3 на восьми картах B300, которые дают около 1 000–1 600 выходных токенов в секунду.¹⁵ Месячные суммы при обязательстве не означают ежемесячных платежей: Phala требует оплаты всего периода заранее, без возврата при досрочном завершении, поэтому 180 дней машины 8 × H200 требуют 139 104 USD денежных средств при заказе, а 180 дней машины 8 × B300 требуют 269 568 USD.²⁶

Что из этого следует:

• Для принятого профиля цены API с заявленной конфиденциальностью составляют около 0,70–1,25 USD на человека в месяц, от стоимости, сопоставимой с обычным API, до примерно 3,6-кратной его стоимости в зависимости от поставщика и времени использования; самую низкую цену заявляет Confidential AI, и это предложение мы тоже должны проверить. Конфиденциальный API даёт гибкую мощность без запуска собственной машины, хотя имеет собственные лимиты, очереди и сбои. Арендованная конфиденциальная машина для DeepSeek, рассчитанная на пик, в мировом сценарии работает в среднем примерно на двух третях вместимости и стоит на человека около 1,32 USD, то есть примерно столько же, сколько более дорогой конфиденциальный API, и больше, чем самый дешёвый. В нашей почасовой модели первый собственный узел с перенаправлением избытка в конфиденциальный API за 1,25 USD на человека появляется в проверенной точке около 20 тыс. активных людей; это результат принятых допущений, а не точный порог, а при более дешёвом конфиденциальном API арендованная машина в этом масштабе не окупается.
• Почасовая аренда полной конфиденциальной машины сегодня не даёт гибкости для вечернего пика: Phala требует как минимум сутки (8 × H200) либо месяц (8 × B300), Confidential AI три месяца для 8 × B300 по 60 USD в час, а VoltageGPU, который рассчитывает стоимость 8 × H200 посекундно по 64,62 USD в час, не охватывает опубликованными доказательствами аттестацию этой конфигурации или коммутаторов NVSwitch.²²²⁸ К этому добавляется время выделения машины и загрузки весов.
• Для Kimi расчёт зависит от измерения: конфиденциальный API стоит около 8–9 USD на человека, а собственная машина 8 × B300 при полном использовании около 6 USD при более высокой оценке вместимости и около 9,5 USD при более низкой. Она обходится дешевле конфиденциального API, если одна машина обслужит больше примерно 5 100–5 600 активных людей, пользующихся этой моделью; при более низкой оценке вместимости (около 4 800 человек) этого не получается.

Покупка собственного сервера: полный сервер Supermicro с восемью картами B300 в сентябре 2026 г. стоил около 663 тыс. USD.²⁹ Месячную стоимость такой покупки мы оцениваем так:

На таком сервере поместятся две копии DeepSeek, которые в мировом сценарии обслужат около 35 тыс. человек (в европейском около 28 тыс.), по примерно 0,41–0,52 USD на человека. При этих допущениях покупка обходится дешевле конфиденциального API за 1,11–1,25 USD начиная примерно с 12–17 тыс. активных людей, а дешевле самого дешёвого заявленного (0,70 USD) начиная примерно с 21–26 тыс. Расчёт не включает полную стоимость содержания и измерения этой конфигурации; покупка также требует средств заранее, круглосуточного дежурства людей и постоянного спроса в течение лет, а физический доступ к аппаратуре тогда имеет фонд (глава 2). Это наши оценки, а не предложения поставщиков.

• Конфиденциальные машины с несколькими картами сегодня общедоступны в США. В Европейском союзе мы нашли конфиденциальные машины с одной картой H100,³⁰ в которых не помещается ни полный DeepSeek, ни Kimi. Конфиденциальный API с серверами в Европейском союзе предлагает также Privatemode (Edgeless Systems, Германия), с меньшим выбором моделей.³¹ Это тоже заявление поставщика, требующее проверки.
• Независимый каталог, проверяющий конфиденциальные API, при наблюдении 29 октября 2026 г. в 14:00 UTC не подтвердил полной проверки ни одного из 95 проверяемых маршрутов; чаще всего не хватало доказательства идентичности запущенной программы, происхождения кода и связи запроса с машиной.³² Это результат доступных доказательств, а не доказательство того, что сервисы раскрывают содержание. До собственной проверки мы рассматриваем конфиденциальность этих сервисов как заявление поставщика.
• Расчёт охватывает вычисления. Частная среда (шлюз, память, файлы) в одной или двух конфиденциальных машинах с четырьмя виртуальными процессорами и 8 GB памяти стоит в Phala около 168 USD в месяц за машину, а диск оплачивается отдельно, около 10 USD за 100 GB.³³ Достаточен ли такой объём, мы проверим в пилотном проекте. При 170–340 USD в месяц это составляет при 30 людях около 6–11 USD на человека, при 1 000 человек несколько десятков центов. Расчёт не включает труд людей, проверки безопасности, платежи или запас на сбои.
• Популярные подписки стоят около 20 USD в месяц, а чат DeepSeek бесплатен.³⁴ Планы за 100–200 USD при интенсивной агентной работе дают эквивалент тысяч долларов в прейскурантных ценах API;³⁵ с такими планами мы не конкурируем ценой. Мы предлагаем расчёт по фактическому использованию с приватностью, которую можно проверить.

Состояние гипотезы из манифеста на 29 октября 2026 г.: расчёт приближает нас к ней, но не подтверждает её. Обработка с заявленной конфиденциальностью и аттестацией уже доступна в открытых прейскурантах и при принятом профиле использования стоит около 0,70–1,25 USD на человека в месяц, поэтому небольшая группа может начать с неё по себестоимости, а при наших допущениях собственная инфраструктура может стать дешевле при числе активных людей от немногим более десяти тысяч до нескольких десятков тысяч. Определяющими станут три вещи, которые мы проверим в испытаниях из главы 9: проходит ли конфиденциальность этих сервисов независимую проверку, достаточно ли качества доступных моделей для задач, ради которых люди придут в Suveria, и каков реальный профиль трафика. Мы обновляем расчёт при каждом существенном изменении цен и после каждого испытания, а предыдущие версии сохраняем.

8.2. Шаги развития инфраструктуры и карточки решений#

Мы развиваем инфраструктуру шагами, каждый из которых даёт участникам самостоятельную ценность без обязанности переходить к следующему: сначала конфиденциальный API и частная среда в конфиденциальных машинах (если до старта мы соберём достаточно средств, можем сразу начать со следующего шага), затем аренда собственных конфиденциальных машин, далее покупка оборудования и его размещение во внешнем серверном центре, а в далёкой перспективе, если оно покажет преимущество, собственное здание. Следующий шаг обосновывают измеренные данные: полная стоимость сервиса, реальный трафик, время ответа в пиковое время, возможность поддерживать меры защиты и устранять сбои, а при покупке также финансирование ремонта, замены оборудования и людей, которые примут ответственность. Аренда собственной машины может иметь смысл также тогда, когда нужная модель недоступна в конфиденциальном API или мы хотим полного контроля над тем, что работает.

Каждый переход мы описываем карточкой решения: что мы получаем, полная стоимость, риски, условия начала и отказа, способ переноса данных и ключей, а также соответствие правилам резерва и запуска дальнейших столпов (глава 8 whitepaper правил фонда). Сочетание собственной машины с конфиденциальным API на пики трафика мы допускаем только тогда, когда каждый из путей имеет принятый уровень защиты; переход к более слабому варианту требует отдельного осознанного решения пользователя. Первое измерение мы планируем на одной конфиденциальной карте с меньшей моделью, а следующее на машине, вмещающей полную модель.

Мы подстраиваем мощность под трафик, не рассчитывая всё на самый высокий пик. Мы проектируем короткую очередь с видимым временем ожидания; её фактическое время, предел и поведение при исчерпании мы измерим в пилотном проекте. Гибкую мощность для более долгих пиков в первую очередь даёт конфиденциальный API при условии сохранения принятого уровня защиты, согласия и лимита расходов пользователя; когда такого пути нет, мы честно сообщаем об ожидании или недоступности. Почасовая аренда имеет смысл для моделей, которых нет в конфиденциальном API или которые в нём заметно дороже, и только там, где поставщик действительно позволяет быстро запускать и освобождать конфиденциальные машины. Свободную мощность собственной машины в более спокойные часы мы хотим использовать для задач фонда, таких как подготовка материалов для Omniforum; её стоимость в ценах API не является поступлением в бюджет, поэтому у таких задач есть собственная цель и бюджет. После первого пилотного проекта мы хотим проверить два режима: «Разговор» для обычной работы с ассистентом и «Без спешки» для задач, которые могут подождать, например перевода документа. В режиме «Без спешки» мы показываем ориентировочное окно начала, оценку стоимости, максимальный бюджет, возможность отмены с оплатой выполненной работы и ту же информацию о защите. Более низкая цена такой работы возможна только тогда, когда она следует из открытого метода распределения расходов без двойного учёта постоянных расходов.

8.3. Измерение использования без содержания разговоров#

Чтобы рассчитывать стоимость фактического использования, мы измеряем ресурсы, необходимые для выполнения задач, и ясно описываем долю в постоянных расходах. Расчётный счётчик ограничивается данными, необходимыми для проверки стоимости, а содержание разговора не нужно для выставления счёта. В испытаниях мы проверим точность измерения, способ контроля пользователем, объём раскрываемых метаданных и поведение сервиса после достижения лимита расходов. Правила расчётов, округления, предоплат и возвратов описывает whitepaper правил фонда.

Лимит расходов, установленный участником, должен работать как граница, а не как предупреждение постфактум. Часть поставщиков рассчитывает стоимость выполняемых запросов только после их завершения, поэтому их лимиты могут быть превышены; так это описывает, например, Tinfoil.²³ Поэтому мы проектируем резервирование: перед отправкой запроса шлюз Suveria откладывает с баланса его максимально допустимую стоимость, учитывая другие выполняемые запросы, и ограничивает число параллельных запросов и длину ответа. После завершения мы рассчитываем фактическую стоимость, а неиспользованный резерв освобождаем. Это требование, которое предстоит реализовать и проверить, а не работающая функция.

9. Приёмочные испытания и журнал результатов#

Прежде чем назвать какой-либо выпуск конфиденциальным, мы документально подтвердим как минимум:

• корректную аттестацию;
• отказ от отправки данных после подмены кода или ключа;
• изоляцию сеансов;
• ограничения администратора;
• отсутствие содержания в журналах, дампах и телеметрии;
• работу с кэшем;
• удаление и восстановление;
• поведение после сбоя;
• границы инструментов;
• расходы под нагрузкой.

Результат включает версию конфигурации и сценарий, в котором мы пытались нарушить защиту.

Мы хотим, чтобы каждый выпуск Suveria проходил все этапы проверки доказательств как минимум одного независимого проверяющего конфиденциальных сервисов: оборудование и состояние защиты, свежесть доказательства, связь ключа соединения с защищённой средой, идентичность запущенной программы, происхождение кода и связь запроса с конкретной машиной, при сохранении доступности. Результат мы публикуем с датой наблюдения, версией критериев и доказательствами для конкретного выпуска, модели и маршрута запроса, а связи проверяющего описываем вместе с результатом. Мы не обещаем места в каком-либо рейтинге. Прохождение проверки означает достижение описанного контроля в данное время, с открыто указанными ограничениями, и не заменяет аудита или наших собственных испытаний.

Когда мы запустим собственный конфиденциальный вариант, мы подадим Suveria в каждый независимый каталог, который проверяет конфиденциальность запуска моделей, и предоставим ему точку проверки аттестации; первый пример: confidentialinference.net (состояние на 31 октября 2026 г.).³⁶ Мы не обещаем включения, потому что это решает каталог; мы обещаем подачу заявки, ответы на его вопросы и публикацию результата, в том числе плохого, с датой. Каталог проверяет только то, что видит снаружи, обычно аттестацию и канал соединения; он не заменяет аудита кода, конфигурации или оценки побочных каналов.

Испытания хранения и переноса включают:

• восстановление зашифрованной копии на другом уполномоченном устройстве и отказ в чтении без правильного ключа;
• потерю одного устройства, восстановление доступа выбранным методом и понятное представление последствий утраты всех ключей;
• синхронизацию параллельных изменений без незаметной перезаписи одной из версий;
• чтение экспорта в независимом инструменте без учётной записи у исходного оператора, со сравнением оригиналов, истории, источников и связей;
• ограничение объёма интеграции и эффективную остановку её дальнейшего доступа после отзыва разрешения.

Этапы:

1. испытание удобства использования на материалах, которые не являются чувствительными;
2. техническое испытание защиты;
3. ограниченный пилотный проект с ясными условиями;
4. постепенное увеличение масштаба.

До пилотного проекта мы установим и опубликуем пороги: время до первого слова ответа, стоимость вычислений на человека при измеренном профиле и качество модели согласно whitepaper материалов и бенчмарка. Мы признаем пилотный проект успешным, когда он выполнит все три.

Смена модели, микропрограммного обеспечения или способа входа в учётную запись может потребовать повторного подтверждения соответствия, а обновление не может незаметно ослаблять согласованную защиту. Каждый выпуск имеет публичную карточку:

• область работы;
• доказательства из испытаний;
• известные ограничения;
• ответственные люди;
• расходы;
• способ сообщения о проблеме;
• план вывода из использования.

Обнаружение уязвимости ведёт к ограничению подверженности риску, информированию затронутых людей и проверяемому исправлению.

Мы хотим проводить испытания открыто. Мы приглашаем людей, занимающихся безопасностью, криптографией, инфраструктурой и приложениями, в том числе авторов, которые показывают технологию широкой публике, к совместному проектированию проверок и попыткам преодоления защиты на выделенных тестовых учётных записях с вымышленными данными. Мы приглашаем также критиков. За продвижение мы не платим, а каждое сотрудничество обозначаем согласно реестру выгод (глава 7 whitepaper правил фонда). Результаты, в том числе неудачные, попадают в журнал результатов. Если хочешь принять участие, напиши на salve@novusignis.org с темой «[Dołącz] Próby Suverii».

Самое важное испытание: команда с правами оператора за пределами конфиденциальной среды (шлюз, диски, сеть, журналы) пытается прочитать разговоры тестовых учётных записей, в которых скрыты секретные строки символов. Если их извлечёт кто угодно, в том числе мы, испытание не пройдено.

Первый выпуск Suveria мы предоставим нескольким людям, которые помогают её настроить. Если он воспользуется конфиденциальным API, его карточка защиты (пункт 2.3) прямо скажет, что модель работает у внешнего поставщика, аттестацию заявляет поставщик и мы её ещё не проверили, а метаданные не защищены. Поскольку первые люди помогают также обслуживать сервис, первым опубликованным нами результатом станет самое важное испытание, описанное выше, с описанием того, что удалось оператору.

Журнал результатов. Состояние на 29 октября 2026 г.: мы ещё не провели ни одного из описанных испытаний, не арендовали видеокарты и не запустили модель в Suveria. Каждый следующий результат мы добавляем здесь с датой, конфигурацией, сценарием и выводом, в том числе когда испытание не удастся.

Остаётся решить:

• первая модель и приемлемый уровень качества;
• независимая проверка конфиденциальных API и конфиденциальных машин, а также их доступность в юрисдикциях с сильной защитой персональных данных, таких как Европейский союз с RODO;
• время ответа;
• правила ключей и памяти;
• минимальный объём расчётных данных;
• правовые обязанности оператора в связи с сообщениями о злоупотреблениях;
• способ финансирования непрерывной работы.

Whitepaper правил фонда описывает бюджет, расчёты и ответственность, а whitepaper материалов и бенчмарка оценку поведения моделей.

Фонд Novus Ignis, Познань, KRS 0001269575. Сайт и манифест: novusignis.org. Замечания: salve@novusignis.org.

Примечания#

1. TEE.fail: Breaking Trusted Execution Environments via DDR5 Memory Bus Interposition. Исследование Georgia Tech, Purdue University и Synkhronix, опубликованное 28.10.2025: извлечение ключей аттестации Intel TDX и SGX, а также AMD SEV-SNP через физическое подключение к шине памяти DDR5, с последствиями для конфиденциальных вычислений NVIDIA. Требует физического доступа к серверу; Intel и AMD считают такие атаки выходящими за пределы защиты. Обзор: The Hacker News. Дата обращения: 28.10.2026. ↩
2. Kleppmann, Wiggins, van Hardenberg и McGranaghan (2019): Local-first software: You own your data, in spite of the cloud. Работа. Принципы хранения основной копии на устройствах пользователя и вспомогательной роли серверов, включая зашифрованные копии. ↩
3. Apple: Private Cloud Compute. Описание архитектуры. Пример связи конфиденциальности с контролем программного обеспечения и прозрачностью системы. ↩ ↩
4. RFC 9458: Oblivious HTTP. Спецификация. Разделение знания об отправителе и запросе при определённой модели доверия; не полная анонимность. ↩
5. Weiss, Ayzenshteyn, Amit и Mirsky (2024): What Was Your Prompt? A Remote Keylogging Attack on AI Assistants. Научная публикация (USENIX Security 2024; предварительная версия arXiv 2403.09751). По длине зашифрованных пакетов с потоком ответа наблюдатель за сетью восстанавливает тему, а частично содержание ответа ассистента. Дата обращения: 30.10.2026. ↩
6. McDonald и Bar Or (2025): Whisper Leak: a side-channel attack on Large Language Models и обзор Microsoft (7.11.2025). Исследовательская публикация и описание производителя. По размеру и ритму пакетов в зашифрованном потоке ответа можно распознать тему разговора; часть поставщиков добавила случайное заполнение пакетов. Дата обращения: 30.10.2026. ↩
7. NVIDIA: поддерживаемые платформы конфиденциальных контейнеров. Документация производителя. Требования ко всей конфигурации процессора, карт и программного обеспечения. ↩
8. NVIDIA: Protected PCIe v2, Introduction. Документация производителя. В режиме PPCIe v2 сеть NVLink и NVSwitch относится к доверенной части системы; защита PCIe не означает шифрования всего трафика между картами. ↩
9. NVIDIA: Trusted Computing Solutions 595. Документация производителя. Режим конфиденциальных вычислений на нескольких картах Blackwell, включая защиту соединений; требует совместимой конфигурации. ↩
10. OSI: Open Source AI Definition. Определение. Открытые веса не определяют соответствие всему определению открытой системы. ↩
11. DeepSeek-V4.1-Flash: карточка модели. Документация производителя. Архитектура, лицензия MIT и заявленные возможности модели; не является измерением производительности Suveria. ↩
12. Moonshot: выпуск Kimi K3.1 Pro и Kimi: описание K3.1 Pro (24.10.2026). Документация производителя. Версия Kimi K3, прошедшая дальнейшее обучение, около 3 трлн параметров, контекст 1 млн токенов, веса обещаны до 4.11.2026; лицензия не объявлена. Цены API по данным OpenRouter: 2 / 10 USD за миллион токенов. ↩
13. Kimi K3: карточка модели. Документация производителя. 2,8 трлн параметров, 104 млрд активных, контекст около 1 млн, MXFP4, лицензия Kimi K3 License. ↩
14. Artificial Analysis: Kimi K3.1 Pro и DeepSeek V4.1 Flash 1017. Независимое сравнение. Индекс v5 от 28.10.2026: 46 и 32; скорость около 36 и 178 токенов в секунду. Дата обращения: 29.10.2026. ↩
15. Spheron: развёртывание Kimi K3 (19.10.2026). Руководство поставщика. Файлы весов 1 560,94 GB, конфигурации, вмещающие модель. Вместимость около 1 000–1 600 токенов в секунду на 8 × B300 по сводке измерений третьих сторон от 29.10.2026; разброс большой. ↩ ↩
16. SGLang: инструкция для Kimi K3. Документация движка. Проверенная конфигурация Kimi K3 на 8 × B300; не относится к Kimi K3.1 или конфиденциальному режиму. ↩
17. Digital Public Goods Alliance: стандарт. Стандарт. Критерии оценки цифрового общественного блага; проектное направление не является полученным признанием DPGA. ↩
18. ITU: Facts and Figures 2025, использование интернета. Международная статистика. Доля людей, пользующихся интернетом в регионах мира в 2025 г. (около 6 млрд человек, 74% населения); доли регионов в нашем расчёте являются приближением: доля × население региона. ↩
19. The Decoder о данных Epoch AI (8.01.2026) и Epoch AI: AI Chip Users. Сводка независимого исследовательского центра. Установленная вычислительная мощность для цифрового интеллекта превышает 15 млн эквивалентов NVIDIA H100, потребность в мощности превышает 10 ГВт. Оценка, а не измерение. ↩
20. Lambda: DeepSeek-V4.1-Flash, результаты измерения производительности. Измерение поставщика. 4 × B200, vLLM, тензорный параллелизм 4, спекулятивное декодирование, около 8 192 входных и 1 024 выходных токенов на запрос; при 64 одновременных запросах суммарно 3 713,9 выходного токена в секунду и в среднем 66,8 токена в секунду на разговор. Без даты измерения. Дата обращения: 28.10.2026. ↩
21. DeepSeek: прейскурант API (китайская версия). Прейскурант поставщика. Модель deepseek-flash (V4.1-Flash-1017): вход без попадания в кэш 1 CNY вне пика и 2 CNY в пиковое время, выход 4 и 8 CNY за миллион токенов. Пересчёт в USD согласно сводке eesel, вспомогательному источнику. Дата обращения: 28.10.2026. ↩
22. Confidential AI: прейскурант. Прейскурант поставщика, цены от 26.10.2026. DeepSeek V4.1 Flash: 0,30 USD за вход, 0,03 USD за вход из кэша, 1,20 USD за выход за миллион токенов; машина 8 × B300 60 USD в час, минимум три месяца, выделение в течение нескольких дней. Конфиденциальность заявлена поставщиком, нами не проверена. ↩ ↩
23. Tinfoil: прейскурант. Прейскурант поставщика. DeepSeek-V4.1-Flash 0,65 USD за вход и 1,45 USD за выход за миллион токенов; описание лимитов расходов. Дата обращения: 29.10.2026. ↩ ↩
24. Phala: конфиденциальные модели. Прейскурант поставщика. DeepSeek V4.1 Flash 1017: 0,75 / 1,60 USD; Kimi K3: 3 / 15 USD за миллион токенов; аттестация шлюза и подтверждения ответов по данным поставщика. Дата обращения: 29.10.2026. ↩
25. NEAR AI: прейскурант. Прейскурант поставщика. Kimi K3: 3,30 / 16,50 USD за миллион токенов; на главной странице другие цены, расхождение требует прояснения. Дата обращения: 29.10.2026. ↩
26. Phala: конфиденциальные видеокарты и прейскурант. Прейскурант поставщика. 8 × H200: 44,20 USD в час по требованию, 32,20 USD при обязательстве на 180 дней; 8 × B300: 65,60 USD (30 дней), 62,40 USD (180 дней); Intel TDX с конфиденциальными вычислениями NVIDIA; нет машин в Европе. Дата обращения: 29.10.2026. Обязательство оплачивается заранее, без возврата при досрочном завершении. ↩ ↩
27. Lambda: прейскурант экземпляров. Прейскурант поставщика. NVIDIA B200 SXM6 180 GB: 6,79 USD за час работы карты в экземпляре с четырьмя картами и 6,69 USD в экземпляре с восемью; H100 SXM 80 GB: 3,99 USD; цены по требованию, без налогов, без конфиденциального режима. Дата обращения: 29.10.2026. ↩
28. VoltageGPU: прейскурант и объём доказательств. Прейскурант и заявления поставщика. 8 × H200 64,62 USD в час с посекундным расчётом; опубликованные доказательства не охватывают аттестацию этой конфигурации или коммутаторов NVSwitch. ↩
29. Supermicro: сервер AS-8126GS-NB3RT-01-G2 и GPU Per Hour: цены серверов NVIDIA. Предложение производителя и сводка цен. Полный сервер с восемью картами B300: 662 845,95 USD (21.09.2026). ↩
30. Azure: прейскурант машины NCC40ads H100 v5 и описание серии. Прейскурант поставщика. Конфиденциальная машина с одной картой H100 NVL 94 GB; от 6,98 USD в час (East US 2) до 8,90 USD (West Europe), Linux, оплата по использованию. Дата обращения: 28.10.2026. ↩
31. Privatemode (Edgeless Systems). Предложение поставщика. Конфиденциальный API с серверами в Европейском союзе и удалённой аттестацией; выбор открытых моделей меньше, чем у поставщиков из США, цены публично не указывает. Конфиденциальность заявлена поставщиком, нами не проверена. Дата обращения: 30.10.2026. ↩
32. Confidential Inference Directory: методология и наблюдения. Независимый каталог, спонсируемый компанией, предлагающей конфиденциальный инференс. 0 из 95 маршрутов проверено от начала до конца при наблюдении 29.10.2026, 14:00:19 UTC. ↩
33. Phala: прейскурант конфиденциальных машин. Прейскурант поставщика. tdx.large (4 виртуальных процессора, 8 GB памяти): 0,23 USD в час; диск 0,000139 USD за GB в час. Дата обращения: 29.10.2026. ↩
34. Цены подписок: ChatGPT Plus, Claude Pro, Google AI Pro, Kimi Plus (сводка geotoolbox); чат DeepSeek бесплатен (описание). Месячные цены в USD, без налогов; Kimi Plus 19 USD. Дата обращения: 28–29.10.2026. ↩
35. BigGo Finance об анализе SemiAnalysis (7.10.2026). Отраслевой анализ. План за 200 USD при интенсивной работе даёт около 12 тыс. USD в прейскурантных ценах API; оценки маржи, а не данные компании. ↩
36. confidentialinference.net: сравнение поставщиков, запускающих модели в доверенных средах выполнения, с проверками аттестации с указанием даты; сайт спонсируется компанией Enclava, на момент обращения одиннадцать поставщиков. Дата обращения: 31.10.2026. ↩

Исходный файл: content/ru/whitepaper-suveria.md · история изменений · предложить изменение