IOSG：AI の岐路、なぜウォール街は ChatGPT と Claude に「ノー」と言うのか？

<markdown> 著者：[Jeff](https://mp.weixin.qq.com/s/hCKD4E0JW9eOtrvX%5FTX3ug) 、 IOSG Ventures

なぜプライベートAIが必要なのか

7月1日、PalantirのCEOであるAlex KarpはCNBCで、一部メディアに「精神崩壊」と評された20分のインタビューに応じた。Karpによれば、企業は最先端の研究所にトークンプレミアムを支払いながら、自社の知的財産がモデルプロバイダーへ流出するのを目の当たりにしているという。彼はこの漏洩をアルファの移転と呼び、その移転はアーキテクチャ層で起きていると指摘する。クローズドソースモデルに送られるすべてのリクエストは、平文のままサービス提供側のサーバーに届くのだ。この番組が放送される数日前、PalantirはNVIDIAとの提携を発表し、顧客が管理する環境でオープンなNemotronモデルを稼働させるとともに、9項目から成るAI主権宣言を添えた。CNBCの番組放送後、PLTRの株価は8％急騰した。

過去20年、企業はプロトコルレベルの信頼に基づいてクラウドソフトウェアを採用し、それは機能してきた。各SaaSベンダーは企業データのごく一部を見ているにすぎず、顧客データを自社のコア製品の改良に利用する動機もほとんどなかった。Salesforceは販売チャネルを、Workdayは人事を、Jiraは開発イテレーションを見ており、AWSはストレージとコンピューティングの基盤を提供する。しかし今日のAIワークフローは、生産性を最大化するために、全部門をつなぐ構造化されたコンテキストを含め、社内の全データを一度にアップロードすることを前提としている。善意の有無にかかわらず、上流のサービスプロバイダーは現在、それらのデータを新機能の開発に利用でき、サーバー内で眠らせておく必要はない。

誰もスピードを緩めていない。Anthropicの年換算収益は5月に470億ドルに達し、2025年末の90億ドルから大幅に急増した。OpenAIは2月に週間アクティブユーザー数が9億人を突破した。両社は今年春に新たな資金調達ラウンドを完了し、評価額は1兆ドルに迫り、さらに高い時価総額でのIPOが見込まれている。長年にわたるプライバシーと知的財産に関する非難は、いずれの勢いもそぐことはなかった。

一部の企業はすでに行動を起こしている。2023年2月、ChatGPTのリリースから3か月も経たないうちに、ウォール街の主要銀行はその使用を制限した。2023年5月、サムスンのエンジニアがチップのソースコードをChatGPTに漏洩させたことを受けて、同社は生成AIを全社で遮断した。これに対し、OpenAIは同年8月にChatGPT Enterpriseをリリースし、商用データをトレーニングに使用しないこと、およびゼロデータ保持（ZDR）契約を約束した。後者はその後、企業調達における標準的な要件となった。

しかし契約は会社のアカウントしかロックしない。IBMは、2025年までにシャドーAI（従業員が個人アカウントを通じて未承認のAIツールに企業データを入力すること）がデータ侵害インシデントの5分の1に関与しており、シャドーAIの多用によって侵害コストが平均67万ドル増加することを発見した。セキュリティトレーニング企業Anagramの2025年の調査では、従業員の4割が業務をより早く完了させるためであれば、AI利用ポリシーに違反する用意があると回答している。

企業は少なくとも金で解決策を買える。ZDR契約、トレーニングを行わないサービスティア、政府やPalantirの顧客であればソブリン展開も利用できる。だが、私たち一般ユーザーにとって、プライバシーAIが重要かどうかはいまだに議論の的であり――裁判所の召喚状が届くまでは。

2025年5月の裁判所命令により、OpenAIはユーザーが削除した個人向けのチャットログさえも保持することを余儀なくされた。さらに11月には、裁判官がそのうち2000万件を証拠開示資料としてニューヨーク・タイムズの弁護士に引き渡すよう命じた。続いて刑事事件にも及んだ。パリセーズ大火災の放火事件被告のChatGPTのログが証拠として採用され、フロリダの二重殺人事件では宣誓供述書が容疑者による死体処理方法に関する質問を引用した。サム・アルトマンも2025年7月のインタビューで、ChatGPTの会話は法的特権による保護の対象外であり、訴訟においてOpenAIはユーザーのチャット記録を「提出せざるを得なくなる可能性がある」と認めた。

重要なのは、犯罪者だけがプライベートな会話を必要とするわけではないという点だ。人々とAIとの対話はアーカイブされ、召喚可能であるという事実は、大多数のユーザーがその存在を知らない監視の断面である。Kolmogorov Lawが2025年10月に米国のAIユーザー1000人を対象に実施した調査では、50％がこうした会話が召喚可能であることを知らず、3人に2人はこれらのチャットが弁護士や医師への相談と同等の保護を受けるべきだと考えている。

セルフホスティングまたは検証可能な環境で動作するオープンソースモデルは急速に追い上げているが、最強のモデル群でも汎用能力では依然として最先端のクローズドソースモデルに約4か月遅れている。これにより、トークンマキシング（tokenmaxxing）を追求する企業や個人は岐路に立たされている。プライバシーのために数か月分のモデル品質を犠牲にするか、それとも競合他社が生産性優位を得ているからといって、機密資料をAnthropicのサーバーに送り続けるか、という選択だ。

現在の市場には完璧なソリューションは存在しない。本レポートは、そのギャップを埋めようとする各方の試みを整理し、検証可能なプライバシーの下にある最先端のインテリジェンスが、企業や一般ユーザーの手に届くまであとどれくらいかを観測する。

プライバシーは現在どのように実現されているか

プライバシーAIは単一のエンジニアリングではないが、現在市場に出回っている各メカニズムは、同じイベントを処理する。プロンプトがあなたのデバイスを離れ、ネットワークを越えてモデルを稼働させるマシンに到着し、応答を返す。各メカニズムの違いは、この経路のどこに平文が存在し、誰がそれを読めるか、そして応答のプライバシーを何によって検証するかにある。

プロトコルレベルのプライバシー

この層では、あなた以外の誰かがあなたの平文プロンプトを読む。その後に何が起こるかは、すべて約束次第である。

契約ベースのゼロデータ保持（ZDR）はエンタープライズ向けのソリューションだ。サービスプロバイダーはあなたが誰かを把握し、プロンプトを処理し、保存しないことを約束する。履行は契約と評判に依拠する。
匿名プロキシはあなたが誰かを消し去るが、あなたが発言した内容は暗号化しない。下流のサービスプロバイダーは引き続き自社のポリシーに従って平文を処理する。各社の利用規約はまちまちであり、たとえばDuck.ai（DuckDuckGoのチャットボット製品）のようなプロキシは、モデルプロバイダーと削除契約を交渉し、Veniceはユーザーにサービスがすべてを保存すると想定させる。しかし、どちらも検証することができない。

マシン間のすべての通信はTLS上で行われ、これはパイプを暗号化するだけであり、受信側はすべての情報を読むことができる。リレーは通常、Oblivious HTTP（RFC 9458）を用いてこの知識を分割する。原理は友人にメモを渡すようなものだ。友人は誰が渡したか知っているが内容を読めず、受取人は内容を読めるが誰が書いたかは分からない。OHTTPは2024年1月からIETF標準となっており、現在では多くの企業が本番トラフィックをCloudflareやFastlyから借りたOHTTPリレー上で流している。

これがクローズドソースモデルにアクセスする際に得られるプライバシーの上限であり、その理由は計算上の問題に行き着く。現在、フラッグシップモデルの1回のトレーニングには数十億ドル規模のコストがかかり、これら研究所の1兆ドル近い評価額は、モデルの重みの排他的所有に賭けている。モデル能力の差が持続する限りプレミアムは持続するため、研究所は重みファイルを国家機密のように扱っている。

Metaはすでにこの実験を受け身で経験した。2023年2月にリリースされたLLaMAは当初、研究者のみに公開されていたが、1週間も経たないうちに重みがtorrentとして4chanに流出した。さらに1週間後には、llama.cppによってその最小の7BモデルがMacBook一台でローカルに回答できるようになり、その3日後にはスタンフォードが同じモデルを600ドル未満でファインチューニングし、チャットアシスタントAlpacaを構築した。この漏洩により、Llamaのランニングコストは電気代にまで引き下げられ、ファイルを入手した者なら誰でも自宅で動かせるようになった。2023年7月、Metaは月間アクティブユーザー数7億人を超える企業に適用除外条項を付した商用ライセンスの下で、Llama 2を正式にオープンソース化した。重みが流出し、プレミアムもそれに伴って消えた。

最先端の研究所は理論上、クローズドソースモデルの推論にアテステーション（リモート証明）を提供できるが、アテステーションはどのコードがプロンプトを読んだか証明できるだけで、そのコードがそれで何をしたかは証明できない。サーバーがデータを保持したかどうかを確認するには、サービスコード（serving code）を監査し、それをハードウェアが報告するハッシュに再構築する必要がある。しかし、いったんサービスコードを公開すれば、研究所は利益率を支えるバッチ処理やキャッシングのテクニックも公開することになり、これらのテクニックは将来のあらゆるモデル世代に転用される。AppleやMetaがiPhoneやWhatsAppの背後にあるサービススタックのリモート証明を提供できるのは、彼らの利益がデバイスと広告にあり、サービスコードを公開してもほとんど犠牲が生じないからだ。

これが、フラッグシップモデルの重みとサービスコードが外部の運営者の手に渡らない理由である。そして外部の運営者がいなければ、サードパーティによるアテステーションは不可能であり、アテステーションがなければ、検証可能なプライバシーはオープンソースモデルの上でのみ存在する。

構造レベルのプライバシー

このカテゴリの各メカニズムは、ハードウェア、暗号、または物理的な証明によって信頼の約束を置き換える。しかし、いずれもプライバシー強化のために異なる代償を払うことになり、何よりもまず、それらはオープンソースモデルでしか動作しない。

TEE（Trusted Execution Environment）の機密計算は、推論をハードウェアのenclave（チップ上の、運用事業者でさえ開けられない密封キャビン）内で実行し、チップがどのモデル、どのコードを実行したかを明記したattestation（証明書）に署名する。
プロンプトは終端でのみ封印される。プラットフォームのプロキシを経由する中継経路上には、平文を読める役割が残り、プロキシによる中継内容の記録や漏洩を防ぐのはプロトコルだけである。
E2EE（エンドツーエンド暗号化）は、読み取り可能な中継を封じる。ユーザーデバイスはenclaveの鍵でプロンプトを暗号化し、途中の各ホップはenclaveだけが開封できる封印された封筒だけを運ぶ。
信頼はクライアント側に置かれる。プロンプトの暗号化とattestationの検証を担当するコードは、その保証を無効にする能力も持つ。したがって、検証可能なE2EEには、証明済みのenclaveと同様に、オープンで再現可能なクライアントコードが必要となる。
TEEのシンプルさに比べ、E2EEの代償はエンジニアリング上の負担であり、機能統合も遅らせる。E2EEはエージェントを内容を見ずに運ぶメッセンジャーに変えてしまうため、平文を読むことで機能していたものはすべて、クライアントの鍵を中心に再構築するか、enclaveの内部だけで再構築しなければならない。
FHE（完全準同型暗号、およびMPCの派生）は、信頼できるパーティそのものを取り除く。サーバーは決して開けられない鍵のかかった箱の中で暗号文に対して計算を行い、鍵はあなただけが持つ。MPC（マルチパーティ計算）はプロンプトを秘密の断片に分割して複数パーティに分配し、全パーティが結託しない限り同等の効果を持つ。
代償は速度である。FHEはネイティブに加算と乗算しか行えないため、Transformerの動作に必要な非線形ステップはすべて、高いコストで再構築される。暗号文上での推論コストは平文の1万倍から10万倍であり、小さなモデルでも1トークンあたり数秒から数分を要し、暗号化しない場合はミリ秒で済む。
暗号演算向けに設計されたチップがこの差を縮めると期待されるが、最初の試作チップのデモは2026年初頭にようやく完了する見込みで、商用版はさらに数年先になる。
ローカル推論は、この経路を根本から削除する。モデルは自らのハードウェア上で動作し、中継もサーバーもサービス事業者も、検証の必要性もない。
明らかな代償はコストとモデル能力である。gpt-oss-120bのArtificial Analysis指数でのスコアはGLM-5.2の約半分だが、サイズは65GBで、市販のフラグシップゲーミングGPU 2枚のVRAM合計を超える。一方、フル精度のGLM-5.2は8基のGPUを搭載したデータセンターノードでしか動作せず、GPUだけで30万ドル以上かかる。

しかし、こうした構造的な制約の一方で、推論をenclaveに置くコストは圧縮されつつある。シングルGPU推論では、enclaveクラウド事業者Phalaのベンチマークによると、enclaveモードのH100のスループット低下は平均7％未満で、大規模モデルではほぼゼロになる。これは主なコストがチップ内部での計算ではなく、チップへのデータ転送にあるためだ。マルチGPU推論では、NVIDIAの次世代GPU Blackwellがチップ間トラフィックの直接暗号化をサポートしており、旧来のH100で同様の効果を得るには7分の1の帯域幅でCPUホストを経由するしかなかった。NVIDIA自身のBlackwellでのベンチマークでは、397Bモデルをenclaveモードで動作させた場合のスループット低下は8％未満である。こうした進展により、プライバシー推論自体のパフォーマンス劣化はもはや決定的な制約ではなくなっている。

実際のところ、enclave自体は運用事業者に追加のランニングコストをほとんどもたらさない。2023年以降に製造されたすべてのH100にはenclaveモードが標準搭載されており、追加コストは暗号化によるスループット低下分であって、チップそのものの増加ではない。現在、Azure上のコンフィデンシャルH100 SKUのレンタル価格は依然として1時間あたり8.90ドルで、enclaveを無効にした場合は6.98ドルであり、従来型クラウドインフラに対して27％の上乗せに相当する。一方、Phalaのようなenclave専門の事業者では、コンフィデンシャルモードのH100が1時間あたり3.80ドルから提供されており、Lambdaの通常のSXMカードの3.99～4.29ドルの価格帯を下回っている。マネージドAPIでは、NEAR AIのattestation付きエンドポイントがgpt-oss-120bを100万トークンあたり入力0.15ドル、出力0.55ドルで提供しており、これは平文経路のAmazon Bedrock、Together、Groqと同水準である。マルチチップ並列が必要なモデルでも、NEAR AIのGLM 5.2の価格はFireworksとまったく同一で、より大きなKimi K2.6では入力が15％安く、出力が4％安い。

これらの新しいプライバシー推論事業者は、利益を削ってシェアを奪っている可能性があるが（この言葉は市場で成長を目指すあらゆる企業に当てはまる）、構造的なトレンドとして、プライバシーのコストは消費者と事業者の双方にとって低下しつつある。

オープンソースモデルはどう勝つのか？

パフォーマンスオーバーヘッドが縮小しているにもかかわらず、最先端モデルとSOTAのオープンソースモデルの間には依然として目に見えるギャップが存在し、生産性最大化を追求する主体が最前線に留まるには、最先端ラボが自らのIPを盗まないと信頼する必要がある。

ギャップは依然として存在するが、Bridgewater傘下のAIA LabsとThinking Machinesは6月30日、ある事例を示した。専門家のアノテーションでファインチューニングされたオープンモデルが、精度とコストの両面で最先端モデルを上回ったのである。

研究では、チームはTinker（Thinking MachinesのマネージドファインチューニングAPIサービス）上でQwen3-235Bをファインチューニングした。最初にベンダーからアノテーションを調達し、そのデータで第1ラウンドの学習を行い、その後、判断が分かれたサンプルを社内の投資担当者に再アノテーションさせた。学習には強化学習（GRPO）を用い、さらに3つの修正を加えた。ラウンドロビンバッチ（各タスクが順番に1バッチを出力）、CISPO損失（単一の回答がモデルをどの程度引きずれるかの上限を制限）、オンポリシー蒸留（現時点の最良チェックポイントに固定し、モデルがより弱い複製から学習しないようにする）である。

タスクはすべて投資担当者の日常業務フローから取得された。あるニュースがCスイートレベルの投資専門家にとって重要かどうか、ある中央銀行の文書が将来の金利変動の方向性を示唆しているかどうか、ある文書やメールの定型文がどこから始まるか、といったものだ。スコアリングは独立したテストセットによって行われ、最先端モデルはシンプルなプロンプトでは平均約50％、専門家によるプロンプトでも78.2％にとどまり、投資担当者が設定した80％の基準に達しなかった。一方、ファインチューニングされたQwenは84.7％を達成し、原文の表現を借りれば、これは最先端の最良モデルに比べて誤りが29.8％少なく、推論コストが13.8分の1であることを意味する。

https://thinkingmachines.ai/news/learning-to-replicate-expert-judgment-in-financial-tasks/

この事例は、オープンソースモデルが精度とコストで勝利できることを証明したが、学習プロセスは依然としてプライベートではない。プロセスで使用された専門家アノテーションはBridgewaterの独自データであり、Tinkerのサードパーティサービスを経由して、ZDRプロトコルと同じ信頼レイヤーに置かれている。ファンドは計算リソースも賃借しており、学習全体が自ら管理したことのないマシン上で実行された。このレシピを望みつつ、信頼の前提を負いたくない買い手にとって、現在の選択肢は少ない。ベアメタルのGPUクラスターを借りれば、学習プロセスはクラウド事業者に読み取られる。クラスターを購入すればデータのホスティング問題は解決するが、コストが急騰する。

attestationを伴う路線はようやく到来した。3月、Workshop LabsとTinfoilはSiloを発表した。これはTinfoilのenclave内で動作する、8 GPUノード単体でのポストトレーニングスタックであり、鍵はクライアントだけが管理する。記事で示されたenclaveのコストは、2時間のトレーニングに11分の追加が生じるというもので、このスタックはベースの重みを凍結し、その上に小型のadapterのみをトレーニングすることで、1兆パラメータモデル（Kimi K2 Thinking）を収容できる。難点は、強化学習では各コンポーネント間でデータを行き来させる必要があり、そのデータ移動こそがenclaveのコストの中心であることだ。

Siloの発表から1か月も経たないうちに、Workshop LabsはThinking Machinesに買収され、enclave内で次のBridgewater流のRLサイクルを回すために必要なパーツは、今や同じ一つの企業の傘下に収まった。

Harnessレイヤーのプライバシー

あらゆるプライベート推論機構の外側には、もう一つの問題が横たわっている。これらの機構はそれぞれプロンプトからモデルへの経路を管理するが、エージェントが外部ツールを呼び出すたびに、推論レイヤーがまったく触れられない経路が開かれる。最近のハーネスエンジニアリングの潮流はこの問題を倍増させており、モデルの周囲に接続された各ツール、メモリバンク、データソースは、いずれも自分に割り当てられたワークフローの断片を平文で読み取るもう一つの目的地となる。カレンダーサーバーはスケジュールを読み、データベースサーバーはクエリを読む。完全にローカルなエージェントであっても、トレーニングセット以外の何かを取得したい場合、検索語を平文で検索エンジンに渡さなければならず、サーバー側が平文を読めなければ質問に答えられない。

主流の解決策は依然としてデフォルトでプロトコル層に置かれている。RunlayerやMintMCPといった企業は、中央ゲートウェイで全ツールトラフィックを管理し、リクエストが外部に出る前に個人識別情報（PII）をマスキングする。ゲートウェイは同時に、どのサーバーがトラフィックを受け取れるかを決定し、未審査のものを遮断し、証拠保全のために各呼び出しの宛先と内容を記録する。たとえこれらの管理策が独立監査（SOC 2）を謳っていても、ツールサーバーは応答を返すために平文のクエリを読み取らなければならず、コピーを保持するかどうかはサーバー自身の保持ポリシーに委ねられ、さらにハーネス内のツールの数だけそのリスクが乗算される。加えて、ゲートウェイ自体も経路上に追加された、信頼に依存する読み取り主体であり、検証を行うわけではない。

構造レベルの解決策は、その中間層に切り込む。たとえばPhalaはMCPサーバーを直接TEEにホストし、ウォレット、コード実行、データソースをカバーする。ユーザーは運営者を信頼するのではなく、１つのattestationでプライバシー宣言を検証できるようになる。しかしTEEでホストされたツールは、結局クエリを平文でサービス提供側に渡すことになる。enclaveが封じているのはメッセンジャーであって、目的地ではない。

読まずに答えられるすべを身につけた目的地はごくわずかであり、しかも構造化クエリに限られる。AppleはiPhoneにプライベート情報検索を提供し、着信番号を迷惑電話データベースと照合する際に番号を露出させない。MicrosoftはEdgeブラウザでパスワードに同じ方式を使っている。MongoDBのQueryable Encryptionは、フィールドが離れる前にクライアント側で暗号化し、サーバーは暗号文だけで等価一致や範囲一致を完了できる。

しかしオープンエンドな検索については、今日の最良の答えは信頼で止まっており、検証可能な暗号検索はまだ研究所を出ていない。Braveは自社の400億ページのインデックス（Googleのものではない）でゼロデータ保持を約束しているが、それでもプロトコル層に留まっている。Exaはニューラルインデックスを構築し、ユーザーのキーワードをセマンティクスにembeddingし、セマンティクスに応じて結果をランク付けするが、embeddingのステップは依然としてExaのサーバー上で平文から計算されている。MITの2023年のTiptoe論文は、3.6億のウェブページでクエリを露出させずにランキングを完了したが、検索のたびに大量のサーバー計算能力を消費し、ランキング品質は暗号化なしの検索に劣る。Appleの2024年のWally論文は、本物のクエリを多数のおとりの中に隠すことで通信コストを最大31倍に圧縮するが、この数学は数百万の同時クエリでようやく安くなる。そしてその規模は、今日どのプライベート検索システムも持っていない。

暗号検索は実現可能だが、性能も価格もまだ商用化できる水準に達していない。

展望

プライベートAIへの需要は伸びている。Venice AIは最近、登録ユーザー数350万人、月間1.3兆トークンのスループットを突破し、その後評価額10億ドルのシリーズAエクイティラウンドを完了した。Protonはその直接の競合であり、チャット製品Lumoはリリースから1年以内にユーザー数が1000万人を超えた。インフラ面では、Phalaは現在OpenRouter上で1日あたり20～30億トークンを処理している。Duck.aiはgpt-oss-120bとGemmaをTinfoilのenclaveにルーティングし、ユーザーエージェントを超える検証可能なプライバシーを提供する。ここにはセルフホスティングはまだ含まれていない。モデルを自社ハードウェアで実行し、いかなる使用痕跡も残さないセルフホスティングは、おそらくプライベート推論の最大のチャネルだろう。

とはいえ、主流AIの大きなうねりの中では、プライバシーAIはごく一部を占めるにすぎず、そのギャップは、最先端の研究所がこの需要に意図的に応えたときに初めて縮まる。5月、Googleの全プロダクトは3,200兆トークンを処理した。この計算では、Veniceの1か月のスループットはGoogleの約18分に相当する。昨年11月、GoogleはPrivate AI Compute（PAC）を開始し、Geminiが動く一部の機能を、同社自身から隔離された封印済みTPU enclave内で実行し、NCC Groupによる独立監査の対象とした。しかし問題は、PACがパーソナライズド・レコメンデーションや録音要約といったごく一部のPixel機能しかカバーしておらず、数億人が使うGeminiアプリをカバーしていない点だ。Googleが設計を監査人に委ねられたのは、これらの機能が端末と広告で収益化されており、トークン販売に頼っていないからだ。

現在のホスティング方式も完璧ではない。E2EEを通じて最高のプライバシーを得たいユーザーは、サービス提供者が読めない場所で新機能が再構築されるのを待たなければならない。プライベートharnessは依然としてサービス層でプロトコルに依存している。価格が手頃なポストトレーニングで、最高のファインチューニング結果を得るには、依然としてサードパーティのサプライヤーを信頼する必要がある。セルフホスティングはすべてのサービス提供者を一気に切り離すが、ローカルで最強のオープンソースモデルを走らせるコストは、それが差し込まれている家よりも高くつくかもしれない。

欠陥は欠陥として、プライベートAIはすでに現実的で手が届く選択肢であり、残るギャップも狭まりつつある。一般消費者にとって、LumoやVeniceでは、ログなしのコミットメントの下でオープンモデルによるプライベートチャットは無料であり、VeniceやTinfoilの18～20ドルのサブスクリプションは、同じチャットをenclaveに封じ込める。ChatGPTのサブスクリプションより高くはない。企業のワークフローにとって、attestation付きのエンドポイントは、今日では平文ルートよりもむしろ安くなっている。NEARのE2EE APIのようなエンドポイントは、暗号化されたコンテキストをすでにenclaveに持ち込め、記憶、ファイルアップロード、カスタム指示はすべて、今日E2EEの上で機能する。attestation付きポストトレーニングについては、NVIDIAが間もなく投入するVera Rubin NVL72が、機密コンピューティングをBlackwellの8カードノードから72カードラックへと拡張し、最先端のRLループをIPを露出させることなく、より現実的にする。

しかし決定的な価値獲得は、こうした価格圧縮が進む層の外側にある。プライバシーは、すでに存在する場所ではほぼ無料だが、主流のエージェンティックなワークフローはまだカバーしていない。enclaveのレンタルに特化したオペレーターが握っているのは、標準チップ上の一つのスイッチであって、堀（モート）ではない。プロトコル層のゲートウェイは従来のミドルウェアと同じ土俵で競争している。守れる陣地は、このレポートでまだ解決されていない残りの半分にある。enclaveに閉じ込められたトレーニングループ、エンドツーエンドで封じられたツール呼び出し、見えない検索語のインデックス。このうちどれかを最初に作り上げた者が売るものは、いかなる価格競争にもコモディティ化できないものである。プライバシーAIを追う資本が買うべきはギャップであり、スイッチではない。

では、信頼か検証か。重い実行やエージェントタスクでは信頼を選ぶ。なぜなら、ツール呼び出しのたびに、enclaveが封じられない目的地へ平文が渡されてしまうからだ。そして最先端モデルは、そうしたループの中でその価格に見合う価値を持つ。企業を競合から差別化する高次の思考には、検証を選ぶ。戦略、計画、そして長年の専門経験から抽出された判断こそが、まさに問題となっているアルファだ。これからの道は、企業が自ら管理する境界の内側で、そうしたプロプライエタリな洞察を使ってオープンソースモデルをファインチューニングすることだ。企業のアルファが存在する領域では、専門家がチューニングしたオープンモデルが、すでに精度とコストの両面で最先端モデルを打ち負かしており、その構築をプライバシー環境で行うためのインフラが、まさに一ノードずつ到来している。