Suveria: приватна робота з цифровим інтелектом

Версія від 31 жовтня 2026 року. Документ розвиває принципи маніфесту щодо Suveria: як ми хочемо захищати приватність, як має діяти робота з цифровим інтелектом, скільки це коштує та як ми це перевіримо. Описана архітектура є проєктом. Посилання на наявну технологію чи документацію постачальника не означає, що ми запустили її в Suveria. Результати наших випробувань ми додаємо в розділі 9, завжди з датою, версією конфігурації та обсягом вимірювання.

Переклад виконано цифровим інтелектом на основі польського оригіналу від 31 жовтня 2026 року. У разі розбіжностей між версіями визначальним є польський текст.

1. Що таке Suveria й навіщо вона постає#

Suveria має бути приватним простором в інтернеті, у якому людина розмовляє з цифровим інтелектом, працює над власними матеріалами й повертається до попередніх думок, як у власній домівці за зачиненими дверима. Її проєктує Фундація Novus Ignis із Познані, цінності якої описує маніфест, з думкою про людей із будь-якого місця у світі. Вона ґрунтується на відкритих моделях цифрового інтелекту, а власне програмне забезпечення ми хочемо надавати як цифрове суспільне благо з відкритим кодом.

Suveria постає, бо в розмовах із цифровим інтелектом ми довіряємо йому дедалі більше важливих справ: питання про здоров’я, стосунки, роботу, гроші й плани на життя. У багатьох популярних послугах вміст таких розмов потрапляє на сервери постачальника, який може його прочитати, а його захист залежить від правил постачальника й довіри до нього. Ми хочемо, щоб можна було розмовляти про найважливіші справи без страху, що таке близьке знання людини колись монетизують чи використають для впливу на неї. Ми також хочемо, щоб кожна людина платила за те, чим справді користується, бачила, за що платить, і сама встановлювала межу витрат.

У Suveria ми хочемо дати змогу:

• розмовляти з цифровим інтелектом про особисті та професійні справи, бачачи, де обробляється розмова й хто може її побачити;
• працювати над власними документами й файлами, а результати зберігати та переносити в інше місце у відкритих форматах;
• зберігати розмови, файли й пам’ять асистента передусім на власних пристроях, зашифрованими ключем, що залишається під контролем користувача;
• за власною згодою користуватися пам’яттю попередніх розмов, повертатися до колишніх причин рішень і будувати Особистий Канон (Canon Personalis), тобто набір власних принципів і цінностей;
• обирати спосіб роботи, від моделі на власному пристрої до конфіденційного середовища на сервері, із чіткою інформацією про те, від чого захищає кожен із них;
• платити за реальне використання, із самостійно встановленим лімітом витрат;
• доопрацьовувати думку приватно, а потім свідомо вносити її до спільної розмови в Omniforum.

Перший випуск ми адресуємо людям, для яких перевірна приватність є причиною вибору.

Ми хочемо, щоб уже перший день у Suveria давав спокійне відчуття власної домівки, приватної майстерні, яку облаштовують у власному темпі. Користувач зможе розповісти асистенту про свої справи й цілі; ми також хочемо дати змогу перенести до Suveria власні нотатки й архіви попередніх розмов з іншими послугами цифрового інтелекту. Такий архів має залишатися зашифрованим і впорядкованим на пристрої користувача, а до віддаленої моделі має потрапляти лише обсяг, обраний для поточного запитання (розділ 3).

Цінність послуги ми вимірюємо тим, чи допомагає вона досягти мети, зберегти приватність і самостійно ухвалювати рішення. Умови мають бути зрозумілими й легкодоступними, а користувач має контролювати свої витрати, мати змогу експортувати власні матеріали й піти.

Повна приватність, також щодо нас як осіб, які обслуговують інфраструктуру, є метою, якій ми підпорядковуємо проєкт. Захист має спиратися на засоби безпеки, які можна незалежно перевірити, а не на довіру до фундації. Тому кожен випуск конкретно описує, що захищено, від кого, за яких умов і які прогалини залишаються.

Вихідною точкою є текстова розмова з однією моделлю та робота з обраним документом, із чітко описаним рівнем захисту, лімітом витрат і експортом результату. Подальші можливості, як-от пам’ять, пошук, інтеграції та виконання дій, отримують окремий обсяг повноважень. Один зручний інтерфейс може поєднувати кілька режимів роботи, якщо людина бачить, куди потрапляють дані та які правила діють, перш ніж їх надіслати.

Те, чим скористається перший випуск, залежить від суми коштів, яку фундація збере до його запуску. Найімовірнішим є конфіденційний API зовнішнього постачальника; такі послуги сьогодні доступні у США, а їхня конфіденційність на початку є заявою постачальника, яку ми перевірятимемо. Якщо коштів вистачить на оренду власних серверів у конфіденційному середовищі, перший випуск може відразу працювати на них. До позитивного результату випробувань із розділу 9 кожен із цих варіантів ми позначаємо як заявлений захист, а не конфіденційний. Розділ 2 описує цільовий захист. Що з цього випливає для захисту персональних даних людей із Європи, ми опишемо перед запуском пілотного проєкту.

Користування Suveria не є згодою на використання розмов для навчання моделей. Вміст користувачів потрапляє до дослідницьких матеріалів винятково за окремою усвідомленою згодою, а решта матеріалів походить із відкритого доробку фундації та інших джерел із чіткою підставою використання, як описує біла книга матеріалів і бенчмарку.

Suveria доповнює Omniforum, спільний простір розмови й рішень: одна надає приватну майстерню, друге публічну трибуну. Цінності, з яких виростають обидва проєкти, описує маніфест фундації. Далі ми послідовно показуємо:

• що захищаємо й від чого, де перебувають дані та ключі (розділ 2);
• як повідомлення проходить від пристрою до моделі та як це перевірити (3);
• як обмежуємо зловживання без читання приватних розмов (4);
• як діють обчислення на багатьох графічних картах (5);
• які моделі, пам’ять та інструменти плануємо (6);
• скільки обчислювальної потужності потрібно, від 30 людей до всього людства (7);
• скільки це коштує, у датованому розрахунку (8);
• як перевіримо, чи діють обіцянки: приймальні випробування й журнал результатів (9).

2. Що захищаємо й від чого#

Ми захищаємо вміст розмов і файлів, історію й пам’ять, ключі, розрахункові дані та метадані, наприклад час з’єднання, мережеву адресу й розмір запиту. Кожна із цих сфер потребує інших засобів.

Від кого захищає кожен із п’яти варіантів роботи, описаних у пункті 2.3, показує наведене нижче зіставлення. Захист у серверних варіантах спирається на атестацію, тобто підписане обладнанням підтвердження того, яке програмне забезпечення працює на віддаленій машині та в якому режимі захисту. Комірки ми заповнили на основі подальших розділів цього документа; «заява постачальника» означає, що до власної перевірки ми не підтверджуємо захисту.

Конфіденційні обчислення змінюють вартість атаки: замість віддаленого доступу адміністратора потрібне фізичне втручання в обладнання.

Нижче ми описуємо, як має діяти цільовий варіант із власним конфіденційним середовищем; чим відрізняються інші варіанти, показує таблиця в пункті 2.3. Що це означає на практиці, на послідовних відтинках шляху, яким проходить повідомлення:

• На пристрої користувача текст читабельний, бо саме користувач його пише й читає. Його захищають застосунок, який просить лише потрібні повноваження, оновлення й обережність щодо резервних копій. Ми не захистимо його, якщо на телефоні чи комп’ютері працює шкідливе програмне забезпечення.
• Дорогою до сервера повідомлення зашифроване так, що прочитає його лише перевірене місце обробки. Перш ніж застосунок його надішле, він перевіряє, чи на іншому боці працює саме те програмне забезпечення, яке ми опублікували.
• На сервері модель повинна прочитати вміст, щоб відповісти, тому робить це в закритому апаратному середовищі, до якого не може зазирнути адміністратор сервера чи інші клієнти. Ми перевіряємо, чи ця ізоляція охоплює процесор, графічні карти, пам’ять і з’єднання між ними.
• У сховищі історія розмов і пам’ять асистента зашифровані ключем, який має користувач. Ми перевіряємо копії, відновлення доступу й видалення.
• Під час обслуговування послуги розрахунки, діагностика й повідомлення про помилки працюють без вмісту розмов, а кожен тип зібраних даних є відкритим (розділ 3).
• Із зовнішніми інструментами, коли асистент має зробити щось поза Suveria, наприклад знайти інформацію в інтернеті, він надсилає лише те, на що погодився користувач, і показує, куди.

Конфіденційні обчислення не виправляють зараженого комп’ютера користувача. Вони також не захищають від кожної особи, яка має фізичний доступ до сервера: у 2025 році дослідники показали, що підключений до шини пам’яті пристрій, збудований із частин вартістю менш ніж тисяча доларів, дає змогу видобути ключі атестації в рішеннях Intel і AMD, а через це підробити атестацію також у конфіденційних обчисленнях NVIDIA, а виробники процесорів вважають такі атаки такими, що виходять за межі їхнього захисту.¹ Залишаються також залежності від виробників обладнання, правильності криптографії, коду застосунку та процесу оновлення. Постачальник може відмовити в послузі навіть тоді, коли не може прочитати вміст. Тож модель загроз має розрізняти перегляд вмісту, висновки з метаданих, зміну роботи й переривання послуги та для кожного варіанта вказувати, хто має бути чесним, щоб захист діяв.

Поки ми користуємося чужими серверними приміщеннями, фізичний доступ до обладнання має постачальник, і ми не можемо цього перевірити; ми говоримо про це для кожного варіанта. За власного обладнання (кроки 3–4 з пункту 8.2) ми хочемо зробити цей доступ видимим через:

• перелік пристроїв;
• контроль входів;
• пломби з випадковим візерунком і датчики відкриття корпусу;
• журнал робіт;
• камери незалежних спостерігачів із зображенням, у якому видно поточне значення з публічного генератора випадковості, підписане ключем машини;
• а в подальшій перспективі серверне приміщення, яке може побачити кожна людина.

Обслуговування й заміна частин відбуваються як заздалегідь оголошені відкриті процедури. Видимий фізичний контроль зменшує ризик і дає змогу виявляти багато подій, але не доводить усієї історії машини чи відсутності втручання до постачання, а атаки, подібні до описаної вище, можуть вести до підроблення доказів атестації. Тому після відкриття корпусу, заміни частин, незапланованого перезапуску чи іншої підозрілої події ми призупиняємо обробку приватного вмісту на цій машині. Ключі сеансу й застосунку ми замінюємо, але сама нова атестація не відновлює довіри, якщо підозра стосується основи апаратної атестації; умови та докази повторного допуску ми описуємо заздалегідь. Ключі шифрування даних користувачів мають окремий захист і відновлення, тому така процедура не позбавляє людей їхнього приватного доробку.

2.1. Власні пристрої та необов’язкові сервери#

Основним місцем зберігання приватних розмов, файлів і пам’яті мають бути пристрої користувача, у зашифрованих контейнерах, тобто наборах даних, вміст яких читають за допомогою відповідного ключа. Це підхід local-first: дані спочатку зберігаються на пристрої, а сервери можуть підтримувати резервні копії й синхронізацію.² Збережені матеріали мають залишатися доступними також після завершення користування послугами фундації; завдання, які потребують віддаленої моделі, залежать від доступності обраної обчислювальної послуги.

Необов’язкове зберігання на обраних серверах служить резервним копіям і узгодженню змін між пристроями. Ми шифруємо вміст на пристрої перед надсиланням, щоб оператор, який зберігає копію, отримував лише зашифрований запис без ключа для його читання. Користувач обирає постачальника зберігання та пристрої з правом читання. Окремо ми обмежуємо розкриття метаданих, як-от час і розмір передаваної копії.

2.2. Ключі та відновлення доступу#

Ключі до приватних контейнерів залишаються під контролем користувача. Процедура відновлення чітко вказує, чи доступ відновлює другий пристрій, збережений ключ відновлення або інший свідомо обраний механізм, і кому він дає можливість читання. Відновлення облікового запису в оператора не розблоковує вмісту контейнера. Втрата всіх копій ключа й можливостей відновлення може означати постійну втрату даних, тому вибір механізму ми перевіряємо пробним відновленням даних і описуємо в зрозумілій інструкції.

Ми розглядаємо кілька способів відновлення, які можна поєднувати: другий пристрій, який уже має доступ; ключ відновлення, записаний на папері чи в менеджері паролів; апаратний ключ; поділ ключа між кількома довіреними людьми, із яких, наприклад, будь-які двоє з трьох можуть разом відновити доступ, а жодна людина сама не прочитає даних. Фундація не зберігає ключів чи їхніх частин, тому не може відновити доступ за користувача або видати його дані.

На початку ми радимо другий пристрій і ключ, записаний на папері; поділ ключа між довіреними людьми є можливістю для охочих.

2.3. Варіанти захисту#

Ми хочемо порівнювати п’ять варіантів роботи, бо кожен захищає від іншого:

Незалежна перевірка сервера потребує встановленого застосунку. У браузері код, який перевіряє сервер, щоразу надає оператор, тому цей спосіб ми позначаємо як слабше захищений.

Пристрій, підключений до мережі, може мати більше точок атаки, ніж відокремлене серверне середовище, тому саме місце обчислень не визначає безпеки. Жоден варіант не отримує мітки «повна приватність» до перевірки конкретної конфігурації. Для кожної розмови користувач бачить, у якому варіанті працює, а зміна варіанта потребує його свідомого рішення. Власний ключ до зовнішнього API служить розрахунку за доступ, але не забезпечує конфіденційності щодо постачальника. Цей варіант не є типовим варіантом приватної Suveria, а перед надсиланням вмісту ми показуємо, чи постачальник може використовувати його для навчання моделей і як довго його зберігає.

Ми також аналізуємо напрям, якого ще немає в цьому зіставленні: довірений рій. Тоді модель працювала б на обладнанні кількох людей, які знають одне одного й довіряють одне одному, наприклад сім’ї, друзів або невеликої спільноти, а кожна людина надавала б трохи обчислювальної потужності свого комп’ютера. Приватність такого варіанта спирається на довіру до цих людей, а не на техніку, бо їхні комп’ютери бачать оброблюваний вміст, і саме так ми хочемо його описувати. Це ідея, яку ми лише аналізуємо, але один зі шляхів, які хочемо дослідити.

Безпечний сервер не захистить тексту, прочитаного зі скомпрометованого телефона, а безпечніший телефон не виправить сервера, тому ми проєктуємо застосунок разом із захистом пристрою. Ми хочемо, щоб застосунок Suveria працював без послуг Google, наприклад у системі GrapheneOS, був доступним також поза магазином Google Play і мав відтворювані збірки випусків: кожна людина може самостійно зібрати застосунок з опублікованого вихідного коду та перевірити, що отримала файл, ідентичний тому, який встановлює. Ми також плануємо засоби безпеки в самому застосунку: блокування знімків екрана, режим клавіатури без навчання на введеному тексті, виключення приватних даних із хмарних копій, прихований вміст сповіщень і блокування застосунку. На сайті фундації ми підготуємо посібник із захисту власних пристроїв на трьох рівнях: від основних налаштувань і оновлень, через сильнішу ізоляцію роботи й ключів, до перевірених конфігурацій для людей із найвищими вимогами, як-от Qubes OS на комп’ютері з відкритим вбудованим програмним забезпеченням. Користування Suveria не потребує купівлі вказаного обладнання, а назва системи не є сертифікатом усього пристрою.

Для кожної розмови ми показуватимемо картку захисту (Charta Tutelae): список елементів, від яких залежить приватність цієї розмови, кожен в одному з трьох станів:

• Перевірено нами: ми перевірили це самі, з датою, версією та описом того, як це зробили.
• Заявлено постачальником: постачальник так стверджує, а ми ще цього не перевірили.
• Незахищене: цього цей варіант не захищає, наприклад часу й довжини повідомлень, видимих постачальнику мережі, фізичного доступу постачальника до обладнання або юрисдикції, у якій стоїть сервер.

Стан «перевірено нами» має дату останньої перевірки та строк дії: після встановленого часу без повторної перевірки він повертається до стану «заявлено». Окремо ми покажемо відомі порушення довіри, наприклад інцидент у постачальника чи непідтверджену зміну конфігурації. Картка однакова для всіх і не залежить від ціни, а варіант, у якому хоча б один елемент лише заявлений, не має назви «повна приватність». Зіставлення на початку розділу 2 й таблиця варіантів у цьому пункті описують варіанти загалом, а картка покаже стан для цієї конкретної розмови.

3. Шлях від пристрою до моделі#

Suveria має складатися з кількох частин:

• застосунку на пристрої користувача;
• шлюзу, який обліковує запити й дотримується ліміту витрат;
• конфіденційного середовища з моделлю, власного чи в постачальника;
• сховища зашифрованих копій;
• необов’язкового посередника, який приховує адресу користувача.

Шлюз має працювати в конфіденційній машині. Перед пілотним запуском ми покажемо в застосунку, у якому місці закінчується шифрування, контрольоване пристроєм користувача, і чи шлюз бачить вміст, а якщо так, то лише всередині конфіденційного середовища.

Зашифроване зберігання й конфіденційна обробка потребують окремих засобів безпеки. Модель, що працює на сервері, потребує для завдання читабельного вмісту в захищеному обчислювальному середовищі; саме шифрування копій файлів не захищає цього етапу.³ Застосунок надає лише обсяг, обраний для певної роботи, без передачі ключа до всього приватного контейнера. Опис сеансу вказує, де вміст стає доступним для обчислень, що обмежує перегляд оператором і що відбувається з даними після повернення результату.

Запропонований перебіг сеансу:

1. Застосунок завантажує опис затвердженого випуску й перевіряє атестацію, тобто криптографічне підтвердження визначених властивостей запущеного середовища.
2. Перевіряє відповідність обладнання, стану захисту й вимірювань програмного забезпечення відкритій політиці. Ключ одержувача даних має бути пов’язаний із цим підтвердженням.
3. Після успішної перевірки встановлює зашифроване з’єднання із затвердженим середовищем. Розбіжність зупиняє надсилання даних; перехід до іншого варіанта потребує свідомого вибору.
4. Середовище обробляє запит з обмеженим доступом до мережі та інструментів, повертає результат і видаляє робочі дані відповідно до опублікованої політики.
5. Збереження розмови чи пам’яті відбувається винятково в обсязі, обраному користувачем.

Атестація допомагає встановити, що запущено, але сама не доводить, що цей код безпечний. Потрібні огляди коду, відтворювані збірки програмного забезпечення з вихідного коду (описані в пункті 2.3), реєстр затверджених версій і можливість незалежної перевірки. Архітектура Apple Private Cloud Compute є для нас орієнтиром того, як пов’язати захист із прозорістю випуску програмного забезпечення; вона не є сертифікатом нашого проєкту.³

Ми хочемо захистити випуски так, щоб довіра не залежала від однієї людини чи лише від фундації:

• кожен випуск має бути придатним до відтворюваної збірки з вихідного коду, а щонайменше дві незалежні сторони поза фундацією відтворюють його та публічно підтверджують відповідність відбитка; поки ми їх не знайдемо, випуск позначаємо як непідтверджений третіми сторонами;
• відбитки затверджених випусків потрапляють до публічного реєстру, до якого можна лише додавати записи, а його послідовні стани підтверджують незалежні свідки;
• нова версія потрапляє на сервери після затвердження кількома людьми, серед яких щонайменше одна людина не входить до правління;
• ключі, потрібні для обслуговування даних, отримує винятково середовище, яке пройшло атестацію.

Повний варіант захисту ми проєктуємо для встановлюваних застосунків із підписаними, перевірними випусками, захистом від повернення до вадливої версії та безпечним зберіганням ключів, бо в браузері код, який перевіряє сервер, щоразу надає оператор. Браузерна версія чітко описує свій нижчий рівень захисту. Відтворювана збірка дає змогу порівняти випуск із кодом, але оцінку самого коду й конфігурації й далі забезпечують огляди, аудити та винагороди за повідомлені помилки, а кожен інцидент потрапляє до відкритого реєстру.

Щоб обмежити розкриття адреси користувача, можна досліджувати посередництво на основі Oblivious HTTP, яке розділяє знання про відправника й вміст запиту за визначеної моделі довіри.⁴ Змова посередників, кореляція трафіку й подробиці впровадження ще потребують оцінки, тому саме використання цього протоколу ми не описуємо як повну анонімність.

Шифрування й конфіденційні обчислення не приховують довжини чи ритму пакетів, у яких надходить відповідь. Дослідження 2024–2025 років показали, що спостерігач мережі може відтворити з них тему, а іноді й вміст розмови.⁵⁶ Тому в конфіденційному режимі ми хочемо надсилати відповідь у кадрах сталого розміру та зі сталим ритмом, не ділити кеш запитів між користувачами й вимикати спекулятивне декодування. Ці заходи коштують певної затримки та пропускної здатності; ми врахуємо це в розрахунку.

Інфраструктуру ми захищаємо також через обмеження можливостей дії окремих частин системи: ліміти ресурсів, ізоляцію завдань і типове блокування вихідних з’єднань із вузла, який обробляє розмову. Це блокування має бути частиною програмного забезпечення, відбиток якого видно в атестації: його зміна змінює відбиток, тож застосунок відмовить у з’єднанні. Мережеві правила постачальника ми сприймаємо як другий шар, а не гарантію. Дозволені зовнішні дії проходять через окремий шар інструментів із повноваженнями, визначеними користувачем. До впровадження ми перевіримо дієвість цих меж, спосіб виявлення інцидентів і мінімальний потрібний обсяг метаданих. Метою є безпека спільних ресурсів зі збереженням конфіденційності вмісту розмов.

Ми особливо обережні тоді, коли користувач підключає джерела з повідомленнями від інших людей, наприклад поштову скриньку. Чуже повідомлення може містити приховані команди, що намагаються спонукати модель до розкриття приватної пам’яті. Тому зовнішній вміст ми відокремлюємо від команд користувача: під час його впорядкування асистент не може самостійно надсилати повідомлення, відкривати мережеві адреси чи змінювати Особистий Канон без підтвердження людини.

Усе, що ми знаємо про роботу Suveria, може знати кожна людина. Із запуском послуги ми опублікуємо перелік усіх типів даних, які збираємо про роботу послуги, із метою та строком зберігання, а самі дані надаватимемо в сукупному вигляді: використання токенів, використовувані моделі, навантаження машин, час очікування в черзі, збої та витрати. Кожна людина бачить їх у тому самому місці, де бачимо їх ми. Перед публікацією зведень ми перевіряємо, чи не можна за ними розпізнати поведінку конкретної людини: встановлюємо мінімальний розмір групи, затримку публікації та дані, які пропускаємо. Даних поза переліком ми не збираємо; якби виявилося інакше, ми вважаємо це серйозним інцидентом і публічно його описуємо.

4. Обмеження зловживань без перегляду приватного вмісту#

Захист гідності ми поширюємо також на людей, яких можуть торкнутися наслідки використання наших інструментів. Ми хочемо протидіяти зловживанням без читання приватних розмов: через принципи, якими керується сам асистент, межі повноважень інструментів і мережевих з’єднань, ліміти ресурсів та захист від масового створення облікових записів. Ми не створюємо прихованих доступів до приватного вмісту, бо вони послаблювали б захист усіх.

Обліковий запис можна буде створити кількома способами, від цілком приватного (ключ на власному пристрої, без електронної адреси) до зручних (вхід через зовнішнього постачальника). Для кожного способу ми покажемо перед вибором, хто поза фундацією дізнається про створення облікового запису та які дані бачить, а також що відбудеться, якщо цей постачальник зникне. Спосіб створення облікового запису не впливає на права учасника; право голосу в Omniforum є окремим посвідченням, яке додається до облікового запису.

Приватність і обмеження зловживань ми оцінюємо окремо. Ми проєктуємо Suveria так, щоб фундація не мала даних, які могла б видати про конкретну людину: вміст зашифровано ключами користувача, дані про роботу послуги ми збираємо лише у відкритому обсязі, описаному в розділі 3, а персональні дані обмежуємо до мінімуму, якого потребує право для платежів і бухгалтерського обліку; їхній обсяг ми також публікуємо. Якщо хтось вимагатиме від нас даних конкретної людини, ми хочемо мати змогу чесно відповісти, що, крім цього відкрито описаного мінімуму, їх у нас немає. Для кожного засобу захисту від зловживань ми опишемо, яких даних він потребує, як довго ми їх зберігаємо, які наслідки він має для сумлінного учасника та як можна оскаржити помилкове блокування.

Ми також опишемо, як приймаємо повідомлення від людей, які вважають себе постраждалими, та що тоді можемо зробити без доступу до вмісту розмов: наприклад, обмежити повноваження інструментів чи ресурси облікового запису, перевірити розрахункові дані й метадані в обсязі, який зберігаємо, або надати людині, яка звернулася, інформацію про те, де шукати допомоги. Правові обов’язки оператора такої послуги потребують окремого аналізу до запуску.

Ці засоби безпеки є цілями й варіантами для випробувань, і жоден із них не виявить усіх зловживань. Для кожного ми вкажемо, яким загрозам він відповідає, чого не виявляє та що можна перевірити без перегляду приватних розмов оператором. Результат цієї оцінки визначає умови надання відповідної функції.

Коли розмова стосується загрози життю чи здоров’ю, асистент має надати інформацію про доступну допомогу, наприклад номери екстрених служб, без надсилання будь-чого за межі приватного середовища.

4.1. Відкриті інструкції асистента й спільна бібліотека#

Поведінку асистента визначає також його головна інструкція та спосіб роботи: як він ділить завдання на кроки, користується пам’яттю й перевіряє відповіді. У Suveria людина завжди повинна мати змогу прочитати повну інструкцію свого асистента. Спільна інфраструктура має надавати лише моделі й налаштування, що пройдуть відкриті випробування бенчмарку; понад цей мінімум саме користувач обирає стиль роботи, від спокійного впорядкування думок до вимогливої розмови, у якій асистент вказує на прогалини в міркуванні. Ми хочемо вести відкриту бібліотеку перевірених інструкцій, яку учасники вдосконалюють в Omniforum і перевіряють у бенчмарку.

5. Обчислення на багатьох графічних картах#

Модель із розділу 6 не вміщується на одній графічній карті, тому захист потрібно перевірити й у з’єднаннях між картами: шина PCIe з’єднує процесор із картами, а NVLink і NVSwitch з’єднують карти між собою.

Коли модель користується кількома графічними картами, дані передаються також між ними, тому захист потрібно перевірити як для самих карт, так і для з’єднань. Назви карти недостатньо для замовлення конфіденційної послуги: потрібно підтвердити відповідну машину, процесор, топологію з’єднань, вбудоване програмне забезпечення, драйвери та програмне середовище виконання, а потім перевірити їхню спільну роботу.⁷

У режимі Hopper Protected PCIe, описаному в документації PPCIe v2, мережа NVLink і NVSwitch належить до довіреної частини системи, тому шифрування PCIe не означає шифрування кожного з’єднання між картами.⁸ Документація NVIDIA R595 описує для карт Blackwell режим конфіденційних обчислень на багатьох картах із шифруванням з’єднань NVLink і підтримкою до восьми карт в одній конфіденційній віртуальній машині.⁹ Це основа для перевірки конфігурації, а не доказ того, що кожна оренда карт B200 включає цю функцію. Різні випуски мають різні матриці сумісності, тому ми не складаємо конфігурації з довільно обраних версій.

Запит до постачальника охоплює:

• конкретний режим захисту й можливість самостійної атестації;
• виняткове використання потрібних ресурсів і регіон;
• доступ адміністраторів і фізичний доступ до обладнання;
• строк зберігання даних;
• час надання й повну вартість.

Пропозицію ми порівнюємо лише після випробування з власним застосунком. Комерційна мітка «secure» не замінює цієї інформації.

6. Модель, пам’ять та інструменти#

Основою проєкту є відкриті моделі, які можна запускати самостійно. Suveria має бути доступною для людей у всьому світі, їхніми власними мовами, тому, обираючи модель, ми враховуємо якість багатьма мовами, розуміння намірів, достовірність, ліцензію, вартість і можливість запуску в потрібній архітектурі захисту. Коли виникне така потреба, поряд із загальною моделлю ми можемо запускати моделі, які краще дають раду конкретним мовам. Відкриті ваги уможливлюють частину застосувань, але не визначають відкритості даних і всього процесу створення моделі.¹⁰

Першим кандидатом є DeepSeek-V4.1-Flash, модель за ліцензією MIT, яка дозволяє використовувати її також для послуг.¹¹ Вона велика, але ощадлива: виробник вказує 552 млрд параметрів основної частини, тобто чисел, дібраних під час навчання, і додаткову пам’ять Engram на 196 млрд параметрів, а на кожному наступному слові працює лише 8–16 млрд параметрів, тому вона відповідає швидко й дешево (розрахунок у розділі 8). Однак усі параметри повинні вміщуватися в пам’яті графічних карт, тому потрібно щонайменше чотири сучасні карти. Параметри цієї моделі вже збережено в ощадливому вигляді, з меншою кількістю цифр на кожне число; такий запис називається квантуванням і зменшує потрібну пам’ять, але може знижувати якість, тому для кожної версії ми перевіряємо це на власних завданнях. Ми також порівнюємо її з меншими моделями: більшу обираємо лише тоді, коли вона помітно краще виконує завдання, важливі для людей.

Другим кандидатом є Kimi K3.1 Pro компанії Moonshot AI, наданий 23 жовтня 2026 року. Виробник описує його як додатково навчену версію Kimi K3 із близько 3 трлн параметрів і контекстом до мільйона токенів, а публікацію повних ваг анонсує до 4 листопада 2026 року; ліцензії ще не оголошено.¹² Докладні дані, якими ми користуємося для порівняння, походять із картки попередника: Kimi K3 має 2,8 трлн параметрів, із яких на кожному токені працюють 104 млрд, і власну ліцензію, не затверджену Open Source Initiative.¹³ В індексі Artificial Analysis у версії від 28 жовтня 2026 року Kimi K3.1 Pro отримав 46 балів проти 32 у DeepSeek-V4.1-Flash, але він у кілька разів дорожчий і повільніший.¹⁴ Файли ваг Kimi K3 займають близько 1,56 TB, а для запуску додатково потрібна пам’ять на контекст і обчислення, тому на основі самої суми пам’яті карт ми не визначаємо, чи модель працюватиме. Рецепт рушія SGLang описує перевірену конфігурацію Kimi K3 на восьми картах B300; це ще не тест Kimi K3.1 чи конфіденційної конфігурації.¹⁵¹⁶ Після публікації ваг ми перевіримо їхні розмір і формат, ліцензію, рецепти рушіїв, місткість на конкретній конфігурації та доступність у конфіденційних API. Результат додамо з датою як перше оновлення цього документа, також якщо ваги не опублікують або умови ліцензії виявляться непридатними.

Про зміну чи вилучення моделі ми повідомляємо заздалегідь. Історія розмов залишається в користувача: він може обрати модель-наступницю, експортувати дані чи завершити роботу. У розмові має бути видно момент зміни моделі, а перенесення приватного контексту до нової моделі потребує рішення користувача.

Принципи, за якими асистент відповідає, ми публікуватимемо в повному обсязі разом із кожним випуском. Сама модель несе також вибір свого творця, наприклад теми, яких уникає; ми перевіряємо його в бенчмарку й описуємо під час вибору моделі.

Пам’ять попередніх розмов має діяти за згодою користувача й бути доступною для явного редагування. Ми розрізняємо оригінальні висловлювання, підсумки моделі та інформацію, підтверджену користувачем. Кожен запис можна видалити чи виправити, побачити його походження й визначити, у яких завданнях його дозволено використовувати. Асистент чітко відрізняє власну пропозицію від позиції, яку людина свідомо визнала своєю.

Виконання дій потребує повноважень, наданих для визначеної мети й на визначений час. Вміст сторінки чи документа є матеріалом для аналізу, а не командою змінити ці повноваження. Зовнішні дії, витрати, публікації та видалення потребують пропорційних підтверджень і журналу дій, доступного користувачеві.

6.1. Телескоп Думки й Особистий Канон#

Ідея Телескопа Думки (Telescopium Mentis) виросла з вікна Овертона, тобто поняття, що описує коло ідей, які в певний час вважаються прийнятними в суспільстві. Для окремої людини йдеться про коло думок, які вона в певний час вважає допустимими для себе. Телескоп має бути таким вікном для однієї людини й лише для неї: він дає змогу побачити запис власних роздумів і цінностей із різних моментів та те, як вони змінювалися з часом.

Телескоп Думки має служити поверненню до власного міркування: що мені тоді було відомо, чого хотілося й чому змінилася моя думка. Він також може допомагати зіставляти обрані користувачем події, інформацію про світ і власні дії з його Особистим Каноном, тобто записаним ним набором принципів і цінностей, які він визнає своїми. Порівняння стосується ситуації, яку користувач сам опише чи вкаже; саме користувач визначає матеріал і обсяг. Модель показує можливі зв’язки разом із джерелом згаданого принципу й описом події, відрізняючи підтверджену інформацію від інтерпретацій і невизначеності. Запропоновану інтерпретацію можна виправити чи відхилити, а попередні позиції ми оцінюємо з урахуванням їхнього часу й контексту.

Помічене напруження може стосуватися самого принципу, конфлікту цінностей, умов оточення, обмежень людини чи невдалої інтерпретації моделі. Людина може зберегти ідеал і прийняти нинішню непослідовність, уточнити переконання, розглянути зміну дій чи оточення або залишити питання відкритим. Канон має допомагати розуміти власний вибір: ми не створюємо балів моральності чи публічного рейтингу послідовності. Приватні роздуми залишаються приватними, а їх запис не означає публікації чи голосування.

Ми почнемо обережно. У першій версії Телескоп Думки працює лише з однією ситуацією, яку користувач сам укаже, наприклад із рішенням, до якого хоче повернутися; він не стежить за його життям постійно. Користувач вирішує, як часто ним користується, які нотатки й спогади надає та коли їх видаляє. У цьому випробуванні ми перевіряємо, чи показані зв’язки зрозумілі, чи дають вони відчуття контролю над власним вибором і чи інструмент не викликає тиску постійно звітувати перед собою. Добрим результатом ми вважаємо також те, що хтось після роздумів визнає, що не завжди діє відповідно до своїх принципів, або залишить справу відкритою: інструмент має допомагати розуміти себе, а не примушувати до рішень.

6.2. Відкриті формати, перенесення й співпраця інструментів#

Ми хочемо розвивати Suveria як цифрове суспільне благо, з відкритим кодом і документацією; орієнтиром є стандарт Digital Public Goods Alliance.¹⁷ Формат перенесення даних має публічний опис, версію та правила збереження інформації під час зміни версії. Передусім ми користуємося наявними відкритими стандартами, а потрібні розширення документуємо.

Експорт охоплює обрані оригінали, історію, джерела та зв’язки, а також розрізнення між словами користувача, опрацюванням моделі й значенням, підтвердженим автором, та структуру Особистого Канону. Завантажений пакет можна прочитати без активного облікового запису в Suveria, після розшифрування уповноваженою особою.

API, тобто документовані способи спілкування програм, мають давати змогу працювати з матеріалами в інших інструментах, також створених самостійно. Користувач обирає обсяг даних і дозволені дії та може відкликати повноваження інтеграції. Відкликання повноваження зупиняє подальший доступ; доля раніше переданих копій залежить також від одержувача.

Приватний простір може служити також роботі на користь спільних проєктів. Користувач обирає матеріали, які хоче передати для приймання чи публікації, а інструмент допомагає локально видалити з них ключі доступу, паролі, персональні дані й інформацію про невиправлені вразливості. Використання особисто оплачених ресурсів не потребує розкриття робочих розмов. Для завдання, фінансованого зі спільних ресурсів фундації, обсяг публічного запису, вибір псевдоніма й підготовку матеріалів заздалегідь визначають правила майстерень фундації (розділ 11.1). Із роздумів у Suveria можна також свідомо виокремити одне запитання чи аргумент і опублікувати їх в Omniforum; цей крок, описаний у маніфесті як Церемонія Ignis (Caerimonia Ignis), завжди потребує окремого рішення.

7. Масштаб: від 30 людей до всього людства#

Сама кількість облікових записів не визначає потрібної інфраструктури. Значення мають активність, довжина запитань і відповідей, кількість одночасних сеансів, прийнятний час очікування й вартість інструментів. Наведений нижче приклад є моделлю навантаження для випробування, а не прогнозом попиту чи пропозицією.

Припущення: кожна з N людей активна щодня й виконує 20 запитів на день, середній запит охоплює 1500 вхідних токенів і 600 вихідних, а місяць має 30 днів. Токен є одиницею тексту, яку обробляє модель; його довжина залежить від мови. У реальному навантаженні потрібно додати довший контекст, обробку документів, токени міркування й допоміжні виклики.

Ми плануємо Suveria як всесвітню послугу, доступну багатьма мовами. Як учасники розподіляться між часовими поясами, ми не знаємо, тому порівнюємо два сценарії, які перевірить вимірювання. У всесвітньому сценарії ми приймаємо частки регіонів пропорційно кількості користувачів інтернету за ITU за 2025 рік і ту саму припущену форму доби в кожному поясі: вечірній пік і спокійна ніч.¹⁸ Пояси частково заповнюють спади одне одного, тому годинний пік становить близько 1,51 × середнього, а найменший трафік близько 0,49 ×. У сценарії, зосередженому в одному регіоні, наприклад у Європі, пік становить близько 1,87 × середнього, а вночі майже нічого. Такий розподіл може трапитися й у великому масштабі; він означає гірше використання власної машини й частіше звернення до конфіденційного API або довше очікування в піку. Обидва значення випливають із наших припущень, а не зі спостережень за майбутніми учасниками. Короткі стрибки в межах години має вирівнювати коротка черга з видимим часом очікування, а трафік понад місткість власної машини може перебрати конфіденційний API; час очікування, також його 95-й і 99-й перцентилі, ми виміряємо в пілотному проєкті разом із межею черги та поведінкою після її вичерпання. Випробування навантаження охопить також раптовий наплив нових людей, наприклад п’ятикратний середній трафік. Це сумарна вихідна пропускна здатність; вона не замінює вимірювання затримки окремої розмови чи вартості обробки входу. Тест має відтворювати розподіл сеансів, довгі контексти, збої та чергу, а не один зручний запит.

Множник піку порівнює найбільш навантажену годину із середнім. Він походить із моделі доби, поділеної на 24 години: одну форму дня ми зміщуємо між вісьмома регіонами й підсумовуємо за припущеними частками. Це розрахунковий сценарій; він не обчислює часу очікування окремого запиту.

Щоб побачити, як цей розрахунок виглядає в масштабі світу, проведімо мисленнєвий експеримент. Якби кожна з 10 млрд людей користувалася Suveria за прийнятим профілем, у піку потрібно було б близько 2,1 млрд вихідних токенів на секунду. За продуктивності, виміряної для DeepSeek-V4.1-Flash, близько 930 токенів на секунду на карту B200, це близько 2,25 млн карт і, за близько 1,75 kW на карту разом із сервером (наше припущення, без вимірювання), близько 4 GW потужності. Для мільярда людей це близько 225 тис. карт і 0,4 GW, для мільйона близько 225 карт. Для порівняння, Epoch AI на початку 2026 року оцінював, що встановлена у світі обчислювальна потужність для цифрового інтелекту перевищує 15 млн еквівалентів карт H100 і потребує понад 10 GW потужності.¹⁹ Це спрощення: прийнятий профіль легкий, інтенсивна робота, більші моделі й зображення потребують у багато разів більше, а обладнання й моделі швидко змінюються. Однак воно показує порядок величини: щоденна допомога цифрового інтелекту в цьому обсязі для кожної людини потребувала б меншої потужності, ніж та, що вже сьогодні діє у світі. Це спрощений розрахунок, а не доказ того, що така інфраструктура була б доступною для цієї мети.

8. Витрати й датований розрахунок#

Місячну вартість постійного резервування в першому наближенні можна записати так: кількість карт × ціна за карту-годину × кількість оплачених годин, плюс пам’ять, диски, передавання даних, захист, моніторинг, обслуговування, платежі й податки. Потрібно перевірити, які із цих позицій уже включає пропозиція. Для цілодобової роботи місяць має від 672 до 744 годин; 730 годин є середнім наближенням.

У розрахунку ми порівнюємо п’ять варіантів витрат: локальну модель, власний екземпляр на орендованому обладнанні, власний екземпляр у середовищі конфіденційних обчислень із заявленим постачальником захистом, який потребує перевірки, конфіденційний API зовнішнього постачальника та звичайний зовнішній API. Варіанти витрат відповідають варіантам захисту з пункту 2.3; оренду машини без конфіденційності ми показуємо лише як ціновий орієнтир, а не як варіант Suveria. Локальну модель ми ще не оцінюємо за вартістю, бо витрати залежать від пристрою користувача. Ми зіставляємо той самий обсяг якості, доступності й захисту. Поріг рентабельності є вартістю повної послуги, поділеною на реальне використання, а не вартістю карт, поділеною на кількість зареєстрованих облікових записів. Зовнішній API полегшує перевірку потреб користувачів, але його постачальник має власні правила доступу до даних, тому ми не переносимо на нього обіцянок конфіденційного запуску.

8.1. Датований розрахунок: стан на 29 жовтня 2026 року#

Маніфест висуває гіпотезу, що вже за відносно невеликої кількості постійних учасників спільна інфраструктура може дати більше обчислювальної потужності й цифрового інтелекту за кожен долар, ніж закриті послуги, із захистом приватності, заснованим на перевірних засобах безпеки. Нижче наведено її розрахунок за цінами від 29 жовтня 2026 року. Припущення: профіль використання з розділу 7 (20 запитів на день по 600 вихідних токенів) і всесвітній сценарій (годинний пік близько 1,51 × середнього), ціни без податків, 730 годин на місяць для перерахунку цін оренди. Кількість людей на машину означає стільки учасників, скільки машина обслужить у годинному піку: вихідна пропускна здатність на секунду × 86 400 / (20 × 600 × множник піку). Допустиму кількість людей визначить також виміряний час очікування відповіді. У дужках ми наводимо сценарій, зосереджений у Європі (множник близько 1,87). Для DeepSeek-V4.1-Flash ми приймаємо вимірювання постачальника Lambda на чотирьох картах B200: близько 3 714 вихідних токенів на секунду за 64 одночасних запитів.²⁰ Вимірювання виконали зі спекулятивним декодуванням, якого ми не хочемо використовувати в конфіденційному режимі (розділ 3). За нашою вересневою оцінкою пропускна здатність тоді може бути нижчою навіть приблизно на 30%, що підвищує вартість на людину в подібній пропорції. Для карт H200 і B300 немає вимірювання цієї моделі; ми припускаємо, що кожен набір карт з однією копією моделі (8 × H200 або половина машини 8 × B300) досягає продуктивності чотирьох карт B200. Це оптимістичне припущення: H200 є старшим поколінням, конфіденційний режим може сповільнювати роботу, а вимірювання Lambda стосується довших запитів, ніж наш профіль. Тому ми також наводимо обережний варіант із половиною цієї пропускної здатності.

Ваги моделі займають близько 511 GB, а рушій vLLM радить близько 614 GB пам’яті карт. Чотирьох карт H200 (564 GB) замало, тому одна копія на H200 потребує восьми карт. Рецепт виробника рушія для цієї конфігурації 29.10 ще перевіряли, а в картах H200 з’єднання між картами (NVLink) не має апаратного шифрування, на відміну від B200 і B300.

Звідки ці числа: ціни API з прейскурантів DeepSeek, Moonshot, Confidential AI, Tinfoil, Phala та NEAR AI;^2122232425 ціни конфіденційних машин із прейскуранта Phala;²⁶ оренда B200 у Lambda по 6,79 USD за карту-годину в екземплярі з чотирма картами та 6,69 USD в екземплярі з вісьмома.²⁷ Місткість Kimi ми приймаємо з вимірювань третіх сторін для Kimi K3 на восьми картах B300, які дають близько 1 000–1 600 вихідних токенів на секунду.¹⁵ Місячні суми за зобов’язанням не означають щомісячної оплати: Phala потребує оплати всього періоду наперед, без повернення за дострокового завершення, тому 180 днів машини 8 × H200 означає 139 104 USD грошима під час замовлення, а 180 днів машини 8 × B300 означає 269 568 USD.²⁶

Що з цього випливає:

• Для прийнятого профілю ціни API із заявленою конфіденційністю становлять близько 0,70–1,25 USD на людину щомісяця, від вартості, порівнянної зі звичайним API, до приблизно 3,6-кратної його вартості, залежно від постачальника й часу користування; найнижчу ціну заявляє Confidential AI, і цю пропозицію ми також повинні перевірити. Конфіденційний API дає гнучку потужність без запуску власної машини, хоча має власні ліміти, черги й збої. Орендована конфіденційна машина для DeepSeek, розрахована на пік, у всесвітньому сценарії працює в середньому приблизно на двох третинах місткості й коштує на людину близько 1,32 USD, тобто приблизно стільки, скільки дорожчий конфіденційний API, і більше, ніж найдешевший. У нашій погодинній моделі перший власний вузол із надлишком, скерованим до конфіденційного API за 1,25 USD на людину, з’являється у перевіреній розрахунковій точці близько 20 тис. активних людей; це результат прийнятих припущень, а не точний поріг, а за дешевшого конфіденційного API орендована машина в цьому масштабі не окупається.
• Погодинна оренда повної конфіденційної машини сьогодні не дає гнучкості для вечірнього піку: Phala потребує щонайменше доби (8 × H200) або місяця (8 × B300), Confidential AI трьох місяців для 8 × B300 по 60 USD за годину, а VoltageGPU, який нараховує плату за 8 × H200 посекундно за ставкою 64,62 USD за годину, не охоплює опублікованими доказами атестації цієї конфігурації чи комутаторів NVSwitch.²²²⁸ До цього додається час виділення машини й завантаження ваг.
• Для Kimi розрахунок залежить від вимірювання: конфіденційний API коштує близько 8–9 USD на людину, а власна машина 8 × B300 за повного використання близько 6 USD за вищої оцінки місткості й близько 9,5 USD за нижчої. Вона виходить дешевшою за конфіденційний API, якщо одна машина обслужить понад приблизно 5 100–5 600 активних людей, які користуються цією моделлю; за нижчої оцінки місткості (близько 4 800 людей) це не вдається.

Купівля власного сервера: повний сервер Supermicro з вісьмома картами B300 коштував у вересні 2026 року близько 663 тис. USD.²⁹ Місячну вартість такої купівлі ми оцінюємо так:

На такому сервері вмістяться дві копії DeepSeek, які у всесвітньому сценарії обслужать близько 35 тис. людей (у європейському близько 28 тис.), по близько 0,41–0,52 USD на людину. За цих припущень купівля виходить дешевшою за конфіденційний API за 1,11–1,25 USD від близько 12–17 тис. активних людей, а за найдешевший заявлений (0,70 USD) від близько 21–26 тис. Розрахунок не охоплює повної вартості утримання й вимірювання цієї конфігурації; купівля також потребує грошей наперед, цілодобового чергування людей і сталого попиту роками, а фізичний доступ до обладнання тоді має фундація (розділ 2). Це наші оцінки, а не пропозиції.

• Конфіденційні машини з багатьма картами сьогодні публічно доступні у США. У Європейському Союзі ми знайшли конфіденційні машини з однією картою H100,³⁰ у яких повні DeepSeek і Kimi не вміщуються. Конфіденційний API із серверами в Європейському Союзі пропонує також Privatemode (Edgeless Systems, Німеччина), із меншим вибором моделей.³¹ Це також заява постачальника, що потребує перевірки.
• Незалежний каталог, який перевіряє конфіденційні API, у спостереженні від 29 жовтня 2026 року, о 14:00 UTC, не підтвердив повної перевірки жодного з 95 перевірених маршрутів; найчастіше бракувало доказу ідентичності запущеної програми, походження коду та зв’язку запиту з машиною.³² Це результат доступних доказів, а не доказ того, що послуги розкривають вміст. До власної перевірки ми сприймаємо конфіденційність цих послуг як заяву постачальника.
• Розрахунок охоплює обчислення. Приватне середовище (шлюз, пам’ять, файли) в одній чи двох конфіденційних машинах із чотирма віртуальними процесорами й 8 GB пам’яті коштує в Phala близько 168 USD щомісяця за машину, а плата за диск нараховується окремо, близько 10 USD за 100 GB.³³ Чи такого розміру вистачить, ми перевіримо в пілотному проєкті. За 170–340 USD щомісяця це для 30 людей близько 6–11 USD на людину, для 1000 людей кілька десятків центів. Розрахунок не включає праці людей, оглядів безпеки, платежів чи запасу на збої.
• Популярні передплати коштують близько 20 USD щомісяця, а чат DeepSeek безплатний.³⁴ Плани за 100–200 USD дають за інтенсивної агентної роботи еквівалент тисяч доларів за прейскурантними цінами API;³⁵ з такими планами ми не конкуруємо ціною. Ми пропонуємо розрахунок за реальне використання з приватністю, яку можна перевірити.

Стан гіпотези з маніфесту на 29 жовтня 2026 року: розрахунок наближає нас до неї, але не підтверджує її. Обробка із заявленою конфіденційністю й атестацією вже доступна у відкритих прейскурантах і за прийнятого профілю використання коштує близько 0,70–1,25 USD на людину щомісяця, тому невелика група може почати з неї за собівартістю, а за наших припущень власна інфраструктура може стати дешевшою за кількості активних людей від понад десяти до кількох десятків тисяч. Визначальними будуть три речі, які ми перевіримо у випробуваннях із розділу 9: чи конфіденційність цих послуг проходить незалежну перевірку, чи якості доступних моделей достатньо для завдань, заради яких люди прийдуть до Suveria, і яким є реальний профіль трафіку. Ми оновлюємо розрахунок за кожної істотної зміни цін і після кожного випробування, а попередні версії зберігаємо.

8.2. Кроки інфраструктури й картки рішення#

Ми розвиваємо інфраструктуру кроками, кожен із яких дає учасникам самостійну цінність без обов’язку переходити до наступного: спочатку конфіденційний API та приватне середовище в конфіденційних машинах (якщо до старту ми зберемо достатньо коштів, можемо почати відразу з наступного кроку), потім оренда власних конфіденційних машин, далі купівля обладнання й розміщення його в зовнішньому серверному приміщенні, а у віддаленій перспективі, якщо це покаже перевагу, власна будівля. Наступний крок обґрунтовують виміряні дані: повна вартість послуги, реальний трафік, час відповіді в піку, можливість підтримувати засоби безпеки й обслуговувати збої, а в разі купівлі також фінансування ремонту, заміни обладнання та людей, які переберуть відповідальність. Оренда власної машини може мати сенс і тоді, коли потрібна модель недоступна в конфіденційному API або ми хочемо повного контролю над тим, що працює.

Кожен перехід ми описуємо карткою рішення: що отримуємо, повна вартість, ризики, умови початку та виходу з нього, спосіб перенесення даних і ключів та відповідність правилам резерву й запуску подальших стовпів (розділ 8 білої книги принципів фундації). Поєднання власної машини з конфіденційним API для піків трафіку ми допускаємо лише тоді, коли кожен зі шляхів має прийнятий рівень захисту; перехід до слабшого варіанта потребує окремого свідомого рішення користувача. Перше вимірювання ми плануємо на одній конфіденційній карті з меншою моделлю, а наступне на машині, у якій вміщується повна модель.

Ми добираємо потужність до трафіку, не розраховуючи всього на найвищий пік. Проєктуємо коротку чергу з видимим часом очікування; її реальний час, межу й поведінку після вичерпання виміряємо в пілотному проєкті. Гнучку потужність для довших піків дає передусім конфіденційний API, за умови збереження прийнятого рівня захисту, згоди й ліміту витрат користувача; коли такого шляху немає, ми чесно повідомляємо про очікування чи недоступність. Погодинна оренда має сенс для моделей, яких немає в конфіденційному API або які в ньому помітно дорожчі, і лише там, де постачальник справді дає змогу швидко запускати й вивільняти конфіденційні машини. Вільну потужність власної машини в спокійніші години ми хочемо використовувати для завдань фундації, як-от опрацювання для Omniforum; її цінність за цінами API не є надходженням до бюджету, тому такі завдання мають власні мету й бюджет. Після першого пілотного проєкту ми хочемо перевірити два режими: «Розмова» для звичайної роботи з асистентом і «Без поспіху» для завдань, які можуть зачекати, наприклад перекладу документа. У режимі «Без поспіху» ми показуємо орієнтовне вікно початку, оцінку вартості, максимальний бюджет, можливість скасування з оплатою виконаної роботи й ту саму інформацію про захист. Нижча ціна такої роботи можлива лише тоді, коли випливає з відкритого методу розподілу витрат без подвійного врахування постійних витрат.

8.3. Вимірювання використання без вмісту розмов#

Щоб розраховувати плату за реальне використання, ми вимірюємо ресурси, потрібні для виконання завдань, і чітко описуємо частку в постійних витратах. Розрахунковий лічильник обмежується даними, необхідними для перевірки вартості, а вміст розмови не потрібен для виставлення рахунка. У випробуваннях ми перевіримо точність вимірювання, спосіб контролю користувачем, обсяг розкритих метаданих і поведінку послуги після досягнення ліміту витрат. Правила рахунка, округлення, передоплат і повернень описує біла книга принципів фундації.

Ліміт витрат, установлений учасником, має діяти як межа, а не як попередження постфактум. Частина постачальників розраховує поточні запити лише після їх завершення, тому їхні ліміти можуть бути перевищені; так це описує, наприклад, Tinfoil.²³ Тому ми проєктуємо резервування: перед надсиланням запиту шлюз Suveria відкладає із залишку його найбільшу допустиму вартість, ураховуючи інші поточні запити, та обмежує кількість паралельних запитів і довжину відповіді. Після завершення ми розраховуємо реальну вартість, а невикористаний резерв вивільняємо. Це вимога, яку належить збудувати й перевірити, а не функція, яка вже працює.

9. Приймальні випробування й журнал результатів#

Перш ніж назвати будь-який випуск конфіденційним, ми задокументуємо щонайменше:

• правильну атестацію;
• відмову надсилати дані після підміни коду чи ключа;
• ізоляцію сеансів;
• обмеження адміністратора;
• відсутність вмісту в журналах, дампах і телеметрії;
• обслуговування кешу;
• видалення й відновлення;
• поведінку після збою;
• межі інструментів;
• витрати під навантаженням.

Результат охоплює версію конфігурації та сценарій, у якому ми намагалися порушити захист.

Ми хочемо, щоб кожен випуск Suveria проходив усі етапи перевірки доказів щонайменше одного незалежного перевіряча конфіденційних послуг: обладнання й стан засобів безпеки, актуальність доказу, зв’язок ключа з’єднання із захищеним середовищем, ідентичність запущеної програми, походження коду та зв’язок запиту з конкретною машиною, зі збереженням доступності. Ми публікуємо результат із датою спостереження, версією критеріїв і доказами для конкретних випуску, моделі й маршруту запиту, а зв’язки перевіряча описуємо разом із результатом. Ми не обіцяємо місця в жодному рейтингу. Проходження перевірки означає досягнення описаного контролю в певний час, із відкритими обмеженнями, і не замінює аудиту чи наших власних випробувань.

Коли ми запустимо власний конфіденційний варіант, ми подамо Suveria до кожного незалежного каталогу, що перевіряє конфіденційність запуску моделей, і надамо йому точку для перевірки атестації; першим прикладом є confidentialinference.net (стан від 31 жовтня 2026 року).³⁶ Ми не обіцяємо включення до каталогу, бо це вирішує каталог; ми обіцяємо подання, відповіді на його запитання й публікацію результату, також поганого, з датою. Каталог перевіряє лише те, що бачить ззовні, зазвичай атестацію й канал з’єднання; він не замінює аудиту коду, конфігурації чи оцінки побічних каналів.

Випробування зберігання й перенесення охоплюють:

• відновлення зашифрованої копії на іншому уповноваженому пристрої та відмову в читанні без правильного ключа;
• втрату одного пристрою, відновлення доступу обраним методом і зрозуміле представлення наслідків втрати всіх ключів;
• синхронізацію паралельних змін без тихого перезапису однієї з версій;
• читання експорту в незалежному інструменті без облікового запису в початкового оператора, із порівнянням оригіналів, історії, джерел і зв’язків;
• обмеження обсягу інтеграції та дієву зупинку її подальшого доступу після відкликання повноваження.

Етапи:

1. тест зручності користування на нечутливих матеріалах;
2. технічне випробування захисту;
3. обмежений пілотний проєкт із чіткими умовами;
4. поступове збільшення масштабу.

Перед пілотним запуском ми встановимо й опублікуємо пороги: час до першого слова відповіді, вартість обчислень на людину за виміряного профілю та якість моделі за білою книгою матеріалів і бенчмарку. Пілотний проєкт ми визнаємо успішним, коли він відповідатиме всім трьом.

Зміна моделі, вбудованого програмного забезпечення чи способу входу до облікового запису може потребувати повторної кваліфікації, а оновлення не може тихо послаблювати узгодженого захисту. Кожен випуск має публічну картку:

• обсяг роботи;
• докази з випробувань;
• відомі обмеження;
• відповідальних осіб;
• витрати;
• шлях повідомлення про проблему;
• план вилучення.

Виявлення вразливості веде до обмеження ризику, інформування людей, яких вона торкнулася, та перевірного виправлення.

Ми хочемо проводити випробування відкрито. Запрошуємо людей, які займаються безпекою, криптографією, інфраструктурою й застосунками, також творців, які показують технології широкій публіці, до спільного проєктування перевірок і спроб подолати захист на відокремлених тестових облікових записах із вигаданими даними. Ми також запрошуємо критиків. За просування ми не платимо, а кожну співпрацю позначаємо відповідно до реєстру вигод (розділ 7 білої книги принципів фундації). Результати, також невдалі, потрапляють до журналу результатів. Якщо хочеш долучитися, напиши на salve@novusignis.org з темою «[Долучайся] Випробування Suveria».

Найважливіше випробування: команда з повноваженнями оператора поза конфіденційним середовищем (шлюз, диски, мережа, журнали) намагається прочитати розмови тестових облікових записів, у яких приховано таємні рядки символів. Якщо їх видобуде будь-хто, також ми, випробування не вдалося.

Перший випуск Suveria ми надамо кільком людям, які допомагають його налаштувати. Якщо він скористається конфіденційним API, його картка захисту (пункт 2.3) прямо скаже, що модель працює в зовнішнього постачальника, атестацію заявляє постачальник і ми ще її не перевірили, а метадані не захищені. Оскільки перші люди також допомагають обслуговувати послугу, першим опублікованим результатом буде найважливіше випробування, описане вище, з описом того, що вдалося оператору.

Журнал результатів. Стан на 29 жовтня 2026 року: ми ще не провели жодного з описаних випробувань, не орендували графічних карт і не запустили моделі в Suveria. Кожен наступний результат ми додаємо тут із датою, конфігурацією, сценарієм і висновком, також тоді, коли випробування не вдасться.

Ще належить вирішити:

• першу модель і прийнятний рівень якості;
• незалежну перевірку конфіденційних API та конфіденційних машин і їхню доступність у юрисдикціях із сильним захистом персональних даних, як-от Європейський Союз із RODO;
• час відповіді;
• правила ключів і пам’яті;
• мінімальний обсяг розрахункових даних;
• правові обов’язки оператора щодо повідомлень про зловживання;
• спосіб фінансування безперервності.

Біла книга принципів фундації описує бюджет, рахунок і відповідальність, а біла книга матеріалів і бенчмарку оцінку поведінки моделей.

Фундація Novus Ignis, Познань, KRS 0001269575. Сайт і маніфест: novusignis.org. Зауваження: salve@novusignis.org.

Примітки#

1. TEE.fail: Breaking Trusted Execution Environments via DDR5 Memory Bus Interposition. Дослідження Georgia Tech, Purdue University і Synkhronix, опубліковане 28.10.2025: видобування ключів атестації Intel TDX і SGX та AMD SEV-SNP через фізичне підключення до шини пам’яті DDR5, із наслідками для конфіденційних обчислень NVIDIA. Потребує фізичного доступу до сервера; Intel і AMD вважають такі атаки такими, що виходять за межі захисту. Виклад: The Hacker News. Дата доступу: 28.10.2026. ↩
2. Kleppmann, Wiggins, van Hardenberg і McGranaghan (2019): Local-first software: You own your data, in spite of the cloud. Праця. Принципи зберігання основної копії на пристроях користувача та допоміжної ролі серверів, зокрема зашифрованих копій. ↩
3. Apple: Private Cloud Compute. Опис архітектури. Приклад поєднання конфіденційності з контролем програмного забезпечення та прозорістю системи. ↩ ↩
4. RFC 9458: Oblivious HTTP. Специфікація. Розділення знань про відправника й запит за визначеної моделі довіри; це не повна анонімність. ↩
5. Weiss, Ayzenshteyn, Amit і Mirsky (2024): What Was Your Prompt? A Remote Keylogging Attack on AI Assistants. Наукова публікація (USENIX Security 2024; попередня версія arXiv 2403.09751). За довжиною зашифрованих пакетів із потоком відповіді спостерігач мережі відтворює тему й частково вміст відповіді асистента. Дата доступу: 30.10.2026. ↩
6. McDonald і Bar Or (2025): Whisper Leak: a side-channel attack on Large Language Models та виклад Microsoft (7.11.2025). Дослідницька публікація й опис виробника. За розміром і ритмом пакетів у зашифрованому потоці відповіді можна розпізнати тему розмови; частина постачальників додала випадкове заповнення пакетів. Дата доступу: 30.10.2026. ↩
7. NVIDIA: підтримувані платформи конфіденційних контейнерів. Документація виробника. Вимоги до всієї конфігурації процесора, карт і програмного забезпечення. ↩
8. NVIDIA: Protected PCIe v2, Introduction. Документація виробника. У режимі PPCIe v2 мережа NVLink і NVSwitch належить до довіреної частини системи; захист PCIe не означає шифрування всього трафіку між картами. ↩
9. NVIDIA: Trusted Computing Solutions 595. Документація виробника. Режим конфіденційних обчислень на багатьох картах Blackwell, зокрема захист з’єднань; потребує сумісної конфігурації. ↩
10. OSI: Open Source AI Definition. Визначення. Відкриті ваги не визначають виконання всього визначення відкритої системи. ↩
11. DeepSeek-V4.1-Flash: картка моделі. Документація виробника. Архітектура, ліцензія MIT і заявлені можливості моделі; це не вимірювання продуктивності Suveria. ↩
12. Moonshot: прем’єра Kimi K3.1 Pro і Kimi: опис K3.1 Pro (24.10.2026). Документація виробника. Додатково навчена версія Kimi K3, близько 3 трлн параметрів, контекст 1 млн токенів, публікацію ваг анонсовано до 4.11.2026; ліцензії не оголошено. Ціни API за OpenRouter: 2 / 10 USD за мільйон токенів. ↩
13. Kimi K3: картка моделі. Документація виробника. 2,8 трлн параметрів, 104 млрд активних, контекст близько 1 млн, MXFP4, ліцензія Kimi K3 License. ↩
14. Artificial Analysis: Kimi K3.1 Pro і DeepSeek V4.1 Flash 1017. Незалежне порівняння. Індекс v5 від 28.10.2026: 46 і 32; швидкість близько 36 і 178 токенів на секунду. Дата доступу: 29.10.2026. ↩
15. Spheron: розгортання Kimi K3 (19.10.2026). Посібник постачальника. Файли ваг 1 560,94 GB, конфігурації, у яких уміщується модель. Місткість близько 1 000–1 600 токенів на секунду на 8 × B300 за зіставленням вимірювань третіх сторін від 29.10.2026; великий розкид. ↩ ↩
16. SGLang: рецепт для Kimi K3. Документація рушія. Перевірена конфігурація Kimi K3 на 8 × B300; не стосується Kimi K3.1 чи конфіденційного режиму. ↩
17. Digital Public Goods Alliance: стандарт. Стандарт. Критерії оцінювання цифрового суспільного блага; проєктний напрям не є здобутим визнанням DPGA. ↩
18. ITU: Facts and Figures 2025, користування інтернетом. Міжнародна статистика. Частка людей, які користуються інтернетом у регіонах світу у 2025 році (близько 6 млрд людей, 74% населення); частки регіонів у нашому розрахунку є наближенням: частка × населення регіону. ↩
19. The Decoder про дані Epoch AI (8.01.2026) і Epoch AI: AI Chip Users. Зіставлення незалежного дослідницького осередку. Встановлена обчислювальна потужність для цифрового інтелекту понад 15 млн еквівалентів NVIDIA H100, потреба понад 10 GW. Оцінка, а не вимірювання. ↩
20. Lambda: DeepSeek-V4.1-Flash, результати вимірювання продуктивності. Вимірювання постачальника. 4 × B200, vLLM, тензорна паралельність 4, спекулятивне декодування, близько 8 192 вхідних токенів і 1 024 вихідних на запит; за 64 одночасних запитів загалом 3 713,9 вихідного токена на секунду й у середньому 66,8 токена на секунду на розмову. Без дати вимірювання. Дата доступу: 28.10.2026. ↩
21. DeepSeek: прейскурант API (китайська версія). Прейскурант постачальника. Модель deepseek-flash (V4.1-Flash-1017): вхід без влучання в кеш 1 CNY поза піком і 2 CNY у піку, вихід 4 і 8 CNY за мільйон токенів. Перерахунок у USD за зіставленням eesel, допоміжним джерелом. Дата доступу: 28.10.2026. ↩
22. Confidential AI: прейскурант. Прейскурант постачальника, ціни від 26.10.2026. DeepSeek V4.1 Flash: 0,30 USD за вхід, 0,03 USD за вхід із кешу, 1,20 USD за вихід за мільйон токенів; машина 8 × B300 60 USD за годину, мінімум три місяці, виділення протягом кількох днів. Конфіденційність заявлена постачальником, нами не перевірена. ↩ ↩
23. Tinfoil: прейскурант. Прейскурант постачальника. DeepSeek-V4.1-Flash 0,65 USD за вхід і 1,45 USD за вихід за мільйон токенів; опис лімітів витрат. Дата доступу: 29.10.2026. ↩ ↩
24. Phala: конфіденційні моделі. Прейскурант постачальника. DeepSeek V4.1 Flash 1017: 0,75 / 1,60 USD; Kimi K3: 3 / 15 USD за мільйон токенів; атестація шлюзу й підтвердження відповідей за даними постачальника. Дата доступу: 29.10.2026. ↩
25. NEAR AI: прейскурант. Прейскурант постачальника. Kimi K3: 3,30 / 16,50 USD за мільйон токенів; на головній сторінці інші ціни, розбіжність потребує з’ясування. Дата доступу: 29.10.2026. ↩
26. Phala: конфіденційні графічні карти і прейскурант. Прейскурант постачальника. 8 × H200: 44,20 USD за годину на вимогу, 32,20 USD за зобов’язання на 180 днів; 8 × B300: 65,60 USD (30 днів), 62,40 USD (180 днів); Intel TDX із конфіденційними обчисленнями NVIDIA; немає машин у Європі. Дата доступу: 29.10.2026. Зобов’язання оплачується наперед, без повернення за дострокового завершення. ↩ ↩
27. Lambda: прейскурант екземплярів. Прейскурант постачальника. NVIDIA B200 SXM6 180 GB: 6,79 USD за карту-годину в екземплярі з чотирма картами та 6,69 USD в екземплярі з вісьмома; H100 SXM 80 GB: 3,99 USD; ціни на вимогу, без податків, без конфіденційного режиму. Дата доступу: 29.10.2026. ↩
28. VoltageGPU: прейскурант і обсяг доказів. Прейскурант і заяви постачальника. 8 × H200 64,62 USD за годину із посекундним нарахуванням плати; опубліковані докази не охоплюють атестації цієї конфігурації чи комутаторів NVSwitch. ↩
29. Supermicro: сервер AS-8126GS-NB3RT-01-G2 та GPU Per Hour: ціни серверів NVIDIA. Пропозиція виробника й зіставлення цін. Повний сервер із вісьмома картами B300: 662 845,95 USD (21.09.2026). ↩
30. Azure: прейскурант машини NCC40ads H100 v5 та опис серії. Прейскурант постачальника. Конфіденційна машина з однією картою H100 NVL 94 GB; від 6,98 USD за годину (East US 2) до 8,90 USD (West Europe), Linux, оплата за використання. Дата доступу: 28.10.2026. ↩
31. Privatemode (Edgeless Systems). Пропозиція постачальника. Конфіденційний API із серверами в Європейському Союзі та віддаленою атестацією; вибір відкритих моделей менший, ніж у постачальників зі США, цін публічно не вказує. Конфіденційність заявлена постачальником, нами не перевірена. Дата доступу: 30.10.2026. ↩
32. Confidential Inference Directory: методологія та спостереження. Незалежний каталог, спонсорований компанією, що пропонує конфіденційний інференс. 0 із 95 маршрутів перевірено від початку до кінця у спостереженні від 29.10.2026, 14:00:19 UTC. ↩
33. Phala: прейскурант конфіденційних машин. Прейскурант постачальника. tdx.large (4 віртуальні процесори, 8 GB пам’яті): 0,23 USD за годину; диск 0,000139 USD за GB на годину. Дата доступу: 29.10.2026. ↩
34. Ціни передплат: ChatGPT Plus, Claude Pro, Google AI Pro, Kimi Plus (зіставлення geotoolbox); чат DeepSeek безплатний (опис). Місячні ціни в USD, без податків; Kimi Plus 19 USD. Дата доступу: 28–29.10.2026. ↩
35. BigGo Finance про аналіз SemiAnalysis (7.10.2026). Галузевий аналіз. План за 200 USD дає за інтенсивної роботи близько 12 тис. USD за прейскурантними цінами API; оцінки маржі, а не дані компанії. ↩
36. confidentialinference.net: порівняння постачальників, які запускають моделі в довірених середовищах виконання, із датованими перевірками атестації; сайт спонсорований компанією Enclava, на час доступу одинадцять постачальників. Дата доступу: 31.10.2026. ↩

Вихідний файл: content/uk/whitepaper-suveria.md · історія змін · запропонувати зміну