NVIDIA traz segurança baseada em hardware para modelos de IA sem perda de desempenho

A NVIDIA não está apenas adicionando criptografia a GPUs: está redefinindo o que é possível em execução confidencial para modelos de IA. A nova implementação de Confidential Computing (CC) na arquitetura Blackwell usa chaves privadas fundidas no silício, inacessíveis até mesmo ao firmware, e atesta remotamente o estado do ambiente com o NRAS, integrando medições do TEE da CPU (SEV-SNP ou TDX). Isso garante que pesos de modelos como o Qwen 3.5-397B-A17B-FP8 e dados de inferência permaneçam protegidos *durante a execução*, não só em repouso ou trânsito. O diferencial técnico real está na forma como o CC opera sem depender de software de camada intermediária: a proteção é ativada no nível do hardware GPU, com encriptação de memória via NVLink entre múltiplas GPUs e isolamento rigoroso do host, o que elimina vetores de exfiltração por rootkits ou hipervisores comprometidos.

SGLang, framework de inferência de código aberto mantido pela comunidade sgl-project SGLang no GitHub, foi adaptado para essa camada de segurança. Não é um módulo proprietário da NVIDIA: é uma biblioteca Python com suporte nativo a CUDA graphs, FlashInfer e worker assíncrono D2H, otimizações que compensam os dois gargalos reais do CC: latência de submissão segura e largura de banda limitada em cópias host-device criptografadas. Sem essas adaptações, o throughput cairia para menos de 70%. Com elas, fica em 98% do baseline, número que só faz sentido se você entender que 'baseline' aqui é um CVM sem CC, mas com todas as demais camadas de virtualização e sandboxing já ativadas.

Em março, a CEVIU detalhou a arquitetura Zero-Trust para 'fábricas de IA confidenciais', mas naquela ocasião o CC ainda era conceitual para cargas de inferência em escala, focado em ambientes de treinamento e contêineres confidenciais com TEEs de CPU. Agora, com a versão Blackwell Ultra (HGX B300) e SGLang v0.5.14, o CC está operacional em produção para modelos de centenas de bilhões de parâmetros, com atestação remota via NRAS integrada ao fluxo de deploy. O que era roadmap virou benchmark mensurável: 98% de throughput com Qwen 3.5, TPOT estável sob carga de até 256 requisições concorrentes, algo que não constava nos testes anteriores do AgentPerf ou MLPerf Training 6.0.

Empresas que processam dados sensíveis, saúde, finanças, defesa, não podem escolher entre segurança e desempenho. Até agora, soluções de confidential computing exigiam trade-offs brutais: ou reduziam throughput em 30, 50%, ou dependiam exclusivamente de TEEs de CPU, deixando os pesos do modelo expostos na GPU. A nova camada de CC da NVIDIA fecha esse gap com proteção de hardware end-to-end: o modelo nunca sai do enclave protegido, nem mesmo durante o pré-processamento de tokens. Isso muda o jogo para compliance com GDPR Art. 32, HIPAA e normas brasileiras como a Lei Geral de Proteção de Dados (LGPD), onde 'processamento seguro durante uso' passa a ser tecnicamente demonstrável, não só declarado em políticas.