IOSG: ทำไมวอลล์สตรีทถึงกำลังบอกว่า "ไม่" กับ ChatGPT และ Claude?

หัวข้อต้นฉบับ: 《IOSG Weekly Brief｜ทางแยกของ AI: ทำไมวอลล์สตรีทถึงพูดว่า "ไม่" กับ ChatGPT และ Claude? #336》
แหล่งที่มาต้นฉบับ: IOSG Ventures

ทำไมถึงต้องการ AI ส่วนตัว

เมื่อวันที่ 1 กรกฎาคม Alex Karp ซีอีโอของ Palantir ได้ให้สัมภาษณ์ยาว 20 นาทีทาง CNBC ซึ่งสื่อบางแห่งเรียกว่า "อาการทางจิต" ตามที่ Karp กล่าว บริษัทต่างๆ กำลังจ่ายค่าโทเค็นพรีเมียมให้กับห้องปฏิบัติการ前沿 ขณะเดียวกันก็เห็นทรัพย์สินทางปัญญาของตัวเองไหลไปยังผู้ให้บริการโมเดล เขาเรียกการรั่วไหลนี้ว่าเป็นการโอนย้ายอัลฟ่า ซึ่งกำลังเกิดขึ้นในชั้นสถาปัตยกรรม: ทุกคำขอที่ส่งไปยังโมเดลแบบปิด จะไปถึงเซิร์ฟเวอร์ของผู้ให้บริการในรูปแบบข้อความธรรมดา ไม่กี่วันก่อนที่รายการจะออกอากาศ Palantir เพิ่งประกาศความร่วมมือกับ NVIDIA เพื่อรันโมเดล Nemotron แบบเปิดในสภาพแวดล้อมที่ลูกค้าควบคุม พร้อมกับประกาศอธิปไตย AI เก้าข้อ หลังจากรายการ CNBC ออกอากาศ หุ้น PLTR พุ่งขึ้น 8%

ในช่วงยี่สิบปีที่ผ่านมา บริษัทต่างๆ ใช้ซอฟต์แวร์คลาวด์โดยอาศัยความไว้วางใจในระดับโปรโตคอล และมันก็ใช้ได้ผล ผู้ให้บริการ SaaS แต่ละรายเห็นเพียงส่วนย่อยของข้อมูลบริษัท และส่วนใหญ่ก็ไม่มีแรงจูงใจที่จะนำข้อมูลลูกค้ามาป้อนกลับไปยังผลิตภัณฑ์หลัก Salesforce เห็นช่องทางการขาย Workday เห็นทรัพยากรบุคคล Jira เห็นการพัฒนาซ้ำ AWS ให้โครงสร้างพื้นฐานด้านการจัดเก็บและการคำนวณ อย่างไรก็ตาม เวิร์กโฟลว์ AI ในปัจจุบัน主张ให้อัปโหลดทุกอย่างในครั้งเดียว พร้อมกับบริบทที่มีโครงสร้างที่เชื่อมโยงทุกแผนก เพื่อเพิ่มประสิทธิภาพสูงสุด หากไม่คำนึงถึงเจตนาดี ผู้ให้บริการต้นน้ำในปัจจุบันสามารถนำข้อมูลเหล่านี้ไปใช้สร้างฟีเจอร์ใหม่ แทนที่จะปล่อยให้มันนั่งเฉยๆ บนเซิร์ฟเวอร์

ไม่มีใครชะลอตัว รายได้ต่อปีของ Anthropic ในเดือนพฤษภาคมแตะ 47,000 ล้านดอลลาร์ เพิ่มขึ้นอย่างมากจาก 9,000 ล้านดอลลาร์ ณ สิ้นปี 2025 ขณะที่ OpenAI ทะลุ 900 ล้านผู้ใช้รายสัปดาห์ในเดือนกุมภาพันธ์ ทั้งสองบริษัทระดมทุนรอบใหม่ในฤดูใบไม้ผลิปีนี้ มูลค่าประเมินใกล้ 1 ล้านล้านดอลลาร์ และคาดว่าจะเข้าจดทะเบียนในตลาดหลักทรัพย์ด้วยมูลค่าที่สูงขึ้น ข้อกล่าวหาเรื่องความเป็นส่วนตัวและทรัพย์สินทางปัญญาหลายปีไม่ได้ทำให้ทั้งสองบริษัทสูญเสียโมเมนตัมแม้แต่น้อย

บางบริษัทได้ดำเนินการไปแล้ว ในเดือนกุมภาพันธ์ 2023 ภายในเวลาไม่ถึงสามเดือนหลังจาก ChatGPT เปิดตัว ธนาคารหลักของวอลล์สตรีทก็จำกัดการใช้งานแล้ว ในเดือนพฤษภาคม 2023 หลังจากวิศวกรของ Samsung รั่วไหลซอร์สโค้ดชิปเข้าไปใน ChatGPT บริษัทก็แบน generative AI ทั่วทั้งเครือข่าย เพื่อตอบสนอง OpenAI เปิดตัว ChatGPT Enterprise ในเดือนสิงหาคมปีนั้น โดยสัญญาว่าจะไม่ใช้ข้อมูลเชิงพาณิชย์ในการฝึกอบรม พร้อมกับ协议 zero-data-retention (ZDR) ซึ่งต่อมาได้กลายเป็นข้อกำหนดมาตรฐานในการจัดซื้อขององค์กร

แต่สัญญาล็อกไว้แค่บัญชีบริษัท IBM พบว่าภายในปี 2025 AI เงา (พนักงานใช้บัญชีส่วนตัวป้อนข้อมูลบริษัทเข้าเครื่องมือ AI ที่ไม่ได้รับอนุมัติ) เข้ามาเกี่ยวข้องกับเหตุการณ์รั่วไหลของข้อมูลถึงหนึ่งในห้า และการใช้งาน AI เงาอย่างหนักทำให้ต้นทุนการรั่วไหลเพิ่มขึ้นเฉลี่ย 670,000 ดอลลาร์สหรัฐ ในการสำรวจปี 2025 ของบริษัทฝึกอบรมด้านความปลอดภัย Anagram พนักงาน 40% บอกว่าพวกเขายินดีละเมิดนโยบายการใช้ AI เพื่อทำงานให้เสร็จเร็วขึ้น

องค์กรอย่างน้อยก็สามารถใช้เงินซื้อทางออกได้ เช่น สัญญา ZDR หรือบริการที่ไม่มีการฝึกอบรม และถ้าคุณเป็นรัฐบาลหรือลูกค้าของ Palantir ก็ยังมีการปรับใช้แบบอธิปไตย แต่สำหรับผู้ใช้ทั่วไปอย่างเราๆ ความสำคัญของ AI ที่เป็นส่วนตัวยังคงเป็นที่ถกเถียง จนกระทั่งหมายศาลมาถึงมือ

คำสั่งศาลในเดือนพฤษภาคม 2025 บังคับให้ OpenAI เก็บรักษาแม้แต่แชทระดับผู้บริโภคที่ผู้ใช้ลบไปแล้ว ในเดือนพฤศจิกายน ผู้พิพากษาสั่งให้ส่งมอบ 20 ล้านรายการให้ทนายความของนิวยอร์กไทมส์เป็นหลักฐานในการเปิดเผยข้อมูล ต่อมาเป็นคดีอาญา: บันทึก ChatGPT ของจำเลยในคดีวางเพลิง Palisades กลายเป็นหลักฐาน และคำให้การในคดีฆาตกรรมสองศพในฟลอริดาอ้างอิงคำถามของผู้ต้องสงสัยเกี่ยวกับการจัดการศพ Sam Altman ยังยอมรับในการสัมภาษณ์เดือนกรกฎาคม 2025 ว่าบทสนทนา ChatGPT ไม่ได้รับการคุ้มครองตามสิทธิพิเศษทางกฎหมาย และในการฟ้องร้อง OpenAI "อาจถูกบังคับให้ส่งมอบ" บันทึกแชทของผู้ใช้

ประเด็นไม่ใช่แค่ว่าคนร้ายเท่านั้นที่ต้องการบทสนทนาส่วนตัว บทสนทนาของผู้คนกับ AI ถูกจัดเก็บและสามารถเรียกใช้ได้ ซึ่งเป็นม่านการเฝ้าระวังที่ผู้ใช้ส่วนใหญ่ไม่รู้ว่ามีอยู่ การสำรวจของ Kolmogorov Law ในเดือนตุลาคม 2025 กับผู้ใช้ AI ชาวอเมริกัน 1,000 คน พบว่า 50% ไม่รู้ว่าบทสนทนาเหล่านี้สามารถถูกเรียกใช้ได้ ในขณะที่สองในสามคิดว่าแชทเหล่านี้ควรได้รับการคุ้มครองเทียบเท่ากับการปรึกษาทนายความหรือแพทย์

โมเดลโอเพนซอร์สที่โฮสต์เองหรือรันในสภาพแวดล้อมที่ตรวจสอบได้กำลังไล่ตามอย่างรวดเร็ว แต่กลุ่มที่แข็งแกร่งที่สุดยังคงตามหลังโมเดลปิดชั้นนำในด้านความสามารถทั่วไปประมาณ 4 เดือน ทำให้องค์กรและบุคคลที่ต้องการเพิ่มประสิทธิภาพสูงสุดต้องยืนอยู่ที่ทางแยก: ไม่ว่าจะยอมเสียคุณภาพโมเดลไปสองสามเดือนเพื่อความเป็นส่วนตัวนี้ หรือส่งข้อมูลที่ละเอียดอ่อนต่อไปยังเซิร์ฟเวอร์ของ Anthropic เพราะคู่แข่งกำลังใช้วิธีนี้เพื่อแย่งชิงความได้เปรียบด้านการผลิต

ปัจจุบันยังไม่มีโซลูชันที่สมบูรณ์แบบในตลาด รายงานนี้รวบรวมความพยายามของฝ่ายต่างๆ ในการลดช่องว่างนี้ และสังเกตว่าปัญญาชนชั้นนำภายใต้ความเป็นส่วนตัวที่พิสูจน์ได้นั้นอยู่ห่างจากการส่งมอบให้องค์กรและผู้ใช้ทั่วไปแค่ไหน

ความเป็นส่วนตัวในปัจจุบันทำได้อย่างไร

ความเป็นส่วนตัวของ AI ไม่ใช่ศาสตร์เดียว แต่กลไกแต่ละอย่างในตลาดปัจจุบันล้วนจัดการกับเหตุการณ์เดียวกัน: พรอมต์หนึ่งออกจากอุปกรณ์ของคุณ ผ่านเครือข่าย ไปถึงเครื่องที่รันโมเดล แล้วส่งคำตอบกลับมา ความแตกต่างระหว่างกลไกอยู่ที่ว่าข้อความธรรมดานั้นอยู่ที่ไหนในเส้นทางนี้ ใครสามารถอ่านมันได้ที่นั่น และใช้อะไรมาพิสูจน์ความเป็นส่วนตัวของคำตอบ

ความเป็นส่วนตัวระดับโปรโตคอล

ในชั้นนี้ นอกจากคุณแล้วยังมีคนอื่นที่อ่านพรอมต์ข้อความธรรมดาของคุณ สิ่งที่เกิดขึ้นต่อไปขึ้นอยู่กับคำสัญญาเพียงอย่างเดียว

· การไม่เก็บข้อมูลแบบสัญญา เป็นโซลูชันระดับองค์กร ผู้ให้บริการรู้ว่าคุณคือใคร ประมวลผลพรอมต์ของคุณ และสัญญาว่าจะไม่เก็บข้อมูล การดำเนินการขึ้นอยู่กับสัญญาและชื่อเสียง

· พร็อกซีนิรนาม ลบตัวตนของคุณ แต่ไม่เข้ารหัสสิ่งที่คุณพูด ผู้ให้บริการปลายน้ำยังคงดำเนินการกับข้อความธรรมดาตามนโยบายของตนเอง เงื่อนไขของแต่ละรายแตกต่างกัน เช่น Duck.ai (ผลิตภัณฑ์แชทบอทของ DuckDuckGo) พร็อกซีประเภทนี้จะเจรจาข้อตกลงการลบข้อมูลกับผู้ให้บริการโมเดล ในขณะที่ Venice ให้ผู้ใช้สันนิษฐานว่าผู้ให้บริการจะเก็บทุกอย่างไว้ แต่ทั้งสองฝ่ายไม่สามารถตรวจสอบได้

ทุกช่วงระหว่างเครื่องกับเครื่องทำงานบน TLS ซึ่งเข้ารหัสเฉพาะท่อส่ง ฝ่ายที่รับสามารถอ่านข้อมูลทั้งหมดได้ รีเลย์มักใช้ Oblivious HTTP (RFC 9458) เพื่อแยกสิทธิ์ในการรับรู้นี้ หลักการเหมือนการส่งข้อความผ่านเพื่อน เพื่อนรู้ว่าใครส่งแต่ไม่สามารถอ่านเนื้อหาได้ ผู้รับอ่านเนื้อหาได้แต่ไม่รู้ว่าใครเป็นคนเขียน OHTTP กลายเป็นมาตรฐาน IETF ตั้งแต่เดือนมกราคม 2024 ปัจจุบันหลายบริษัทได้รันทราฟฟิกการผลิตบนรีเลย์ OHTTP ที่เช่าจาก Cloudflare และ Fastly

นี่คือขีดจำกัดสูงสุดของความเป็นส่วนตัวที่สามารถเข้าถึงได้เมื่อใช้โมเดลโอเพนซอร์สปิด เหตุผลคือปัญหาทางคณิตศาสตร์ การฝึกโมเดลระดับเรือธงในปัจจุบันมีค่าใช้จ่ายในระดับพันล้านดอลลาร์สหรัฐ และมูลค่าหมื่นล้านดอลลาร์ของห้องปฏิบัติการเหล่านี้ขึ้นอยู่กับความเป็นเอกสิทธิ์ของน้ำหนักโมเดล ความแตกต่างของความสามารถของโมเดลจะคงอยู่ได้นานแค่ไหน ส่วนต่างราคาก็จะคงอยู่ได้นานเท่านั้น ดังนั้นห้องปฏิบัติการจึงปกป้องไฟล์น้ำหนักเหมือนความลับของชาติ

Meta เคยทำการทดลองนี้โดยไม่ได้ตั้งใจ LLaMA ที่เปิดตัวในเดือนกุมภาพันธ์ 2023 ในตอนแรกเปิดให้เฉพาะนักวิจัย แต่ภายในไม่ถึงสัปดาห์ น้ำหนักก็รั่วไหลในรูปแบบของซีดไปยัง 4chan อีกหนึ่งสัปดาห์ต่อมา llama.cpp ทำให้โมเดล 7B ที่เล็กที่สุดสามารถทำงานบน MacBook ในเครื่องได้ สามวันต่อมา สแตนฟอร์ดก็ปรับแต่งโมเดลเดียวกันด้วยเงินไม่ถึง 600 ดอลลาร์เพื่อสร้างแชทบอท Alpaca การรั่วไหลครั้งนี้ทำให้ต้นทุนการรัน Llama ลดลงเหลือแค่ค่าไฟฟ้า ใครก็ตามที่ได้รับไฟล์ก็สามารถรันที่บ้านได้ ในเดือนกรกฎาคม 2023 Meta เปิดตัว Llama 2 อย่างเป็นทางการด้วยใบอนุญาตเชิงพาณิชย์ที่มีข้อกำหนดยกเว้นผู้ใช้รายเดือน 700 ล้านคน น้ำหนักหายไป ส่วนต่างราคาก็หายไปตามไปด้วย

ตามทฤษฎีแล้ว ห้องปฏิบัติการ前沿สามารถทำการรับรองระยะไกล (attestation) สำหรับการอนุมานของโมเดลแบบปิดได้ แต่การรับรองสามารถพิสูจน์ได้เพียงว่ารหัสใดอ่าน prompt เท่านั้น ไม่สามารถพิสูจน์ได้ว่ารหัสนั้นนำไปทำอะไร เพื่อตรวจสอบว่าเซิร์ฟเวอร์เก็บข้อมูลไว้หรือไม่ เราจำเป็นต้องตรวจสอบรหัสบริการ (serving code) และสร้างใหม่ให้ตรงกับแฮชที่ฮาร์ดแวร์รายงาน แต่เมื่อส่งมอบรหัสบริการ ห้องปฏิบัติการก็ต้องส่งมอบเทคนิคการจัดกลุ่มและการแคชที่รองรับอัตรากำไร ซึ่งเทคนิคเหล่านี้จะถูกถ่ายโอนไปยังโมเดลรุ่นต่อๆ ไปทุกยุค Apple และ Meta สามารถทำการรับรองระยะไกลสำหรับสแต็กบริการเบื้องหลัง iPhone และ WhatsApp ได้ เนื่องจากกำไรของพวกเขาอยู่ในอุปกรณ์และโฆษณา การเปิดเผยรหัสบริการจึงแทบไม่มีค่าใช้จ่าย

นี่คือสาเหตุที่น้ำหนักของโมเดลธงและรหัสบริการไม่สามารถไปถึงมือผู้ดำเนินการภายนอกได้ และหากไม่มีผู้ดำเนินการภายนอก ก็จะไม่มีการรับรองจากบุคคลที่สาม หากไม่มีการรับรอง ความเป็นส่วนตัวที่ตรวจสอบได้ก็มีอยู่เฉพาะบนโมเดลโอเพนซอร์สเท่านั้น

ความเป็นส่วนตัวระดับโครงสร้าง

กลไกแต่ละประเภทในหมวดนี้ใช้การพิสูจน์ที่อิงฮาร์ดแวร์ การเข้ารหัส หรือฟิสิกส์ เพื่อแทนที่คำมั่นสัญญาแห่งความไว้วางใจ แต่แต่ละกลไกต้องจ่ายต้นทุนที่แตกต่างกันสำหรับการอัปเกรดความเป็นส่วนตัว โดยหลักแล้วคือสามารถทำงานได้เฉพาะกับโมเดลโอเพนซอร์สเท่านั้น

· TEE (สภาพแวดล้อมการดำเนินการที่เชื่อถือได้) การคำนวณที่เป็นความลับ วางการอนุมานไว้ใน enclave ของฮาร์ดแวร์ (ห้องปิดผนึกบนชิปที่แม้แต่ผู้ดำเนินการเครื่องก็เปิดไม่ได้) ชิปจะลงนามในการรับรองที่ระบุว่าใช้โมเดลและรหัสใด

· prompt จะถูกปิดกั้นเฉพาะที่ปลายทางเท่านั้น บนเส้นทางที่ผ่านตัวกลางของแพลตฟอร์ม ยังคงมีบทบาทที่สามารถอ่านข้อความธรรมดาได้ และมีเพียงโปรโตคอลเท่านั้นที่ป้องกันไม่ให้ตัวกลางบันทึกหรือรั่วไหลเนื้อหาที่ส่งผ่าน

· E2EE (การเข้ารหัสแบบ end-to-end) ปิดกั้นการถ่ายทอดที่สามารถอ่านได้ อุปกรณ์ผู้ใช้เข้ารหัส prompt ด้วยคีย์ของ enclave แต่ละกระโดดระหว่างทางจะพกซองปิดผนึกที่มีเพียง enclave เท่านั้นที่เปิดได้

· ความไว้วางใจตกอยู่ที่ฝั่งไคลเอ็นต์ รหัสที่รับผิดชอบในการเข้ารหัส prompt และตรวจสอบการรับรองก็มีความสามารถในการเพิกถอนการรับประกันนี้เช่นกัน ดังนั้น E2EE ที่ตรวจสอบได้จึงต้องการทั้ง enclave ที่ผ่านการพิสูจน์แล้วและรหัสไคลเอ็นต์ที่เปิดเผยและทำซ้ำได้

· เมื่อเทียบกับความเรียบง่ายของ TEE ต้นทุนของ E2EE คือภาระทางวิศวกรรม ซึ่งทำให้การรวมฟังก์ชันช้าลง E2EE เปลี่ยนตัวกลางให้เป็นผู้ส่งสารที่ตาบอด ดังนั้นฟังก์ชันทั้งหมดที่ต้องอาศัยการอ่านข้อความธรรมดาจึงต้องสร้างใหม่รอบคีย์ของไคลเอ็นต์ หรือสร้างใหม่ภายใน enclave เท่านั้น

· FHE (การเข้ารหัสแบบโฮโมมอร์ฟิกเต็มรูปแบบ และตัวแปร MPC) ตัดฝ่ายที่เชื่อถือได้ออกไปโดยสิ้นเชิง เซิร์ฟเวอร์จะคำนวณข้อมูลที่เข้ารหัสในกล่องที่ล็อกไว้ซึ่งไม่มีวันเปิดได้ โดยกุญแจจะอยู่กับคุณเท่านั้น ส่วน MPC (การคำนวณแบบหลายฝ่าย) จะแบ่ง prompt ออกเป็นชิ้นส่วนลับและแจกจ่ายให้หลายฝ่าย เว้นแต่ทุกฝ่ายจะสมรู้ร่วมคิดกัน ผลลัพธ์ก็จะเทียบเท่ากัน

· ราคาที่ต้องจ่ายคือความเร็ว FHE โดยธรรมชาติแล้วทำได้แค่การบวกและการคูณ ดังนั้นขั้นตอนที่ไม่เป็นเชิงเส้นที่จำเป็นสำหรับการทำงานของ transformer จึงต้องถูกสร้างขึ้นใหม่ด้วยต้นทุนที่สูงมาก ต้นทุนการอนุมานบนข้อมูลที่เข้ารหัสนั้นสูงกว่าข้อมูลปกติ 10,000 ถึง 100,000 เท่า ในโมเดลขนาดเล็ก แต่ละ token อาจใช้เวลาหลายวินาทีถึงหลายนาที ในขณะที่ไม่ต้องเข้ารหัสจะใช้เวลาเพียงมิลลิวินาที

· ชิปที่ออกแบบมาเฉพาะสำหรับการคำนวณแบบเข้ารหัสมีแนวโน้มที่จะลดช่องว่างนี้ลง แต่ต้นแบบแรกจะสาธิตได้ในช่วงต้นปี 2026 เท่านั้น และรุ่นเชิงพาณิชย์ต้องรออีกหลายปี

· การอนุมานในเครื่อง ตัดเส้นทางนี้ออกไปโดยตรง โมเดลทำงานบนฮาร์ดแวร์ของคุณเอง ไม่มีตัวกลาง ไม่มีเซิร์ฟเวอร์ ไม่มีผู้ให้บริการ และไม่มีความต้องการในการตรวจสอบ

· ราคาที่เห็นได้ชัดคือต้นทุนและความสามารถของโมเดล gpt-oss-120b มีคะแนนประมาณครึ่งหนึ่งของ GLM-5.2 ในดัชนี Artificial Analysis แต่มีขนาด 65GB ซึ่งเกินกว่าผลรวมของหน่วยความจำของการ์ดจอเกม旗舰สองใบในตลาด ในขณะที่ GLM-5.2 แบบความแม่นยำเต็มรูปแบบสามารถทำงานได้บนโหนดศูนย์ข้อมูลที่มีการ์ด 8 ใบเท่านั้น โดย GPU เพียงอย่างเดียวมีราคากว่า 300,000 ดอลลาร์สหรัฐ

อย่างไรก็ตาม นอกเหนือจากข้อจำกัดเชิงโครงสร้างเหล่านี้ ต้นทุนในการใส่การอนุมานเข้าไปใน enclave กำลังลดลง ในการอนุมานแบบการ์ดเดียว การทดสอบมาตรฐานของ Phala ผู้ให้บริการคลาวด์ enclave แสดงให้เห็นว่าการสูญเสียปริมาณงานของ H100 ในโหมด enclave เฉลี่ยน้อยกว่า 7% และใกล้เคียงศูนย์ในโมเดลขนาดใหญ่ เนื่องจากต้นทุนหลักอยู่ที่การย้ายข้อมูลเข้าไปในชิป ไม่ใช่การคำนวณภายใน ในการอนุมานแบบหลายการ์ด Blackwell GPU รุ่นใหม่ของ NVIDIA รองรับการเข้ารหัสโดยตรงของการรับส่งข้อมูลระหว่างชิป ในขณะที่ H100 รุ่นเก่าต้อง繞ทางไปยังโฮสต์ CPU ด้วยแบนด์วิดท์เพียงหนึ่งในเจ็ดเพื่อให้ได้ผลลัพธ์เดียวกัน การทดสอบมาตรฐานของ NVIDIA เองบน Blackwell แสดงให้เห็นว่าการสูญเสียปริมาณงานของโมเดล 397B ในโหมด enclave น้อยกว่า 8% ด้วยความก้าวหน้าเหล่านี้ การสูญเสียประสิทธิภาพของการอนุมานแบบส่วนตัวจึงไม่ใช่ข้อจำกัดที่เด็ดขาดอีกต่อไป

ในความเป็นจริง enclave แทบจะไม่เพิ่มต้นทุนการดำเนินงานเพิ่มเติมให้กับผู้ให้บริการ H100 ทุกตัวที่ผลิตหลังปี 2023 มีโหมด enclave ในตัว ต้นทุนเพิ่มเติมคือการสูญเสียปริมาณงานจากการเข้ารหัส ไม่ใช่ชิปที่เพิ่มขึ้น ปัจจุบัน ราคาเช่า SKU H100 แบบ机密บน Azure อยู่ที่ 8.90 ดอลลาร์สหรัฐต่อชั่วโมง ในขณะที่ไม่เปิด enclave อยู่ที่ 6.98 ดอลลาร์สหรัฐ ซึ่งเท่ากับการเพิ่มขึ้น 27% จากโครงสร้างพื้นฐานคลาวด์แบบดั้งเดิม ในทางกลับกัน บนผู้ให้บริการที่专门ให้ enclave อย่าง Phala H100 ในโหมด机密เริ่มต้นให้เช่าในราคา 3.80 ดอลลาร์สหรัฐต่อชั่วโมง ซึ่งต่ำกว่าช่วงราคา 3.99 ถึง 4.29 ดอลลาร์สหรัฐของการ์ด SXM ทั่วไปของ Lambda สำหรับโซลูชัน托管 API จุดสิ้นสุดที่มีการรับรองของ NEAR AI ให้บริการ gpt-oss-120b ในราคา 0.15 ดอลลาร์สหรัฐต่อล้าน token สำหรับอินพุต และ 0.55 ดอลลาร์สหรัฐสำหรับเอาต์พุต ซึ่งเทียบเท่ากับ Amazon Bedrock, Together และ Groq ในเส้นทางข้อมูลปกติ แม้แต่โมเดลที่ต้องใช้ชิปหลายตัวแบบขนาน NEAR AI ก็ตั้งราคา GLM 5.2 เท่ากับ Fireworks ทุกประการ และในโมเดล Kimi K2.6 ที่ใหญ่กว่า อินพุตถูกกว่า 15% และเอาต์พุตถูกกว่า 4%

แม้ว่าผู้ให้บริการด้านการอนุมานความเป็นส่วนตัวรายใหม่อาจจะกำลังเผาผลาญกำไรเพื่อแย่งส่วนแบ่งตลาด (ซึ่งเป็นเรื่องจริงสำหรับบริษัทใดๆ ที่ต้องการเติบโตในตลาด) แต่แนวโน้มเชิงโครงสร้างคือต้นทุนด้านความเป็นส่วนตัวกำลังลดลงทั้งสำหรับผู้บริโภคและผู้ให้บริการ

โมเดลโอเพนซอร์สจะชนะได้อย่างไร?

แม้ว่าต้นทุนด้านประสิทธิภาพจะถูกบีบอัดลง แต่ก็ยังคงมีช่องว่างที่เห็นได้ชัดระหว่างโมเดล前沿 (Frontier) กับโมเดลโอเพนซอร์ส SOTA (State-of-the-Art) ผู้ที่ต้องการเพิ่มประสิทธิภาพการผลิตสูงสุดและยังคงอยู่ในแถวหน้าจำเป็นต้องเชื่อมั่นว่าห้องปฏิบัติการ前沿จะไม่ขโมยทรัพย์สินทางปัญญาของตน

ช่องว่างยังคงมีอยู่ แต่ AIA Labs จาก Bridgewater และ Thinking Machines ได้นำเสนอกรณีศึกษาเมื่อวันที่ 30 มิถุนายน: โมเดลโอเพนซอร์สที่ปรับแต่งด้วยการ标注 (Annotation) จากผู้เชี่ยวชาญ สามารถเอาชนะโมเดล前沿ทั้งในด้านความแม่นยำและต้นทุน

ในการวิจัย ทีมงานได้ปรับแต่ง Qwen3-235B บน Tinker (บริการ API การปรับแต่ง托管 (Hosted Fine-tuning) ของ Thinking Machines) พวกเขาซื้อ标注จากผู้ให้บริการ ใช้ข้อมูลชุดนี้ฝึกโมเดลในรอบแรก จากนั้นส่งตัวอย่างที่มีความขัดแย้งให้กับพนักงานด้านการลงทุนของบริษัท标注ใหม่ การฝึกใช้การเรียนรู้แบบเสริมกำลัง (GRPO) พร้อมการปรับเปลี่ยนสามจุด: round-robin batching (สลับงานทีละชุด), CISPO loss (จำกัดขอบเขตที่คำตอบเดียวจะดึงโมเดลไปได้ไกล), และ on-policy distillation (ยึด checkpoint ที่ดีที่สุดในปัจจุบันเพื่อให้แน่ใจว่าโมเดลจะไม่เรียนรู้จากสำเนาที่อ่อนแอกว่า)

งานทั้งหมดนำมาจากขั้นตอนการทำงานประจำวันของพนักงานด้านการลงทุน: ข่าวหนึ่งมีความสำคัญต่อนักลงทุนระดับ C-suite หรือไม่, เอกสารของธนาคารกลางบ่งชี้ทิศทางอัตราดอกเบี้ยในอนาคตหรือไม่, และ模板 (Template) ในเอกสารหรืออีเมลเริ่มต้นจากตรงไหน คะแนนมาจากชุดทดสอบอิสระ โมเดล前沿ได้คะแนนเฉลี่ยประมาณ 50% ด้วย prompt ง่ายๆ และแม้จะใช้ prompt จากผู้เชี่ยวชาญก็ทำได้เพียง 78.2% ซึ่งต่ำกว่าเกณฑ์ 80% ที่พนักงานด้านการลงทุนตั้งไว้ ในขณะที่ Qwen ที่ปรับแต่งแล้วได้ 84.7% ตามเกณฑ์ของต้นฉบับ ซึ่งเทียบเท่ากับการทำผิดพลาดน้อยกว่าโมเดล前沿ที่ดีที่สุดถึง 29.8% และต้นทุนการอนุมานต่ำกว่า 13.8 เท่า

https://thinkingmachines.ai/news/learning-to-replicate-expert-judgment-in-financial-tasks/

กรณีศึกษานี้พิสูจน์ให้เห็นว่าโมเดลโอเพนซอร์สสามารถชนะในด้านความแม่นยำและต้นทุน แต่กระบวนการฝึกอบรมยังคงไม่เป็นส่วนตัว ข้อมูลที่ผู้เชี่ยวชาญใช้ในการติดป้ายกำกับเป็นข้อมูลส่วนตัวของ Bridgewater ผ่านบริการของบุคคลที่สามอย่าง Tinker ซึ่งอยู่ในระดับความน่าเชื่อถือเดียวกันกับโปรโตคอล ZDR กองทุนยังเช่าพลังงานประมวลผล การฝึกอบรมทั้งหมดทำงานบนเครื่องที่มันไม่เคยควบคุม ผู้ซื้อที่ต้องการสูตรนี้แต่ไม่ต้องการยอมรับสมมติฐานความน่าเชื่อถือ ในปัจจุบันมีทางเลือกน้อยมาก การเช่าคลัสเตอร์ GPU เปล่า กระบวนการฝึกอบรมสามารถอ่านได้โดยผู้ให้บริการคลาวด์ การซื้อคลัสเตอร์ช่วยแก้ปัญหาการโฮสต์ข้อมูล แต่ต้นทุนพุ่งสูงขึ้น

เส้นทางที่มีการรับรอง (attestation) เพิ่งเริ่มมา ในเดือนมีนาคม Workshop Labs และ Tinfoil เปิดตัว Silo ซึ่งเป็นชุดเครื่องมือหลังการฝึกอบรมที่ทำงานใน Tinfoil enclave บนโหนด 8 ใบเดี่ยว โดยกุญแจถูกควบคุมโดยลูกค้าเท่านั้น บทความระบุว่าต้นทุนของ enclave คือ การฝึกอบรมสองชั่วโมงใช้เวลาเพิ่มขึ้น 11 นาที และชุดเครื่องมือนี้สามารถรองรับโมเดลที่มีพารามิเตอร์ล้านล้านตัว (Kimi K2 Thinking) โดยการแช่แข็งน้ำหนักของโมเดลฐานและฝึก adapter ขนาดเล็กบนนั้นเท่านั้น จุดยากคือ การเรียนรู้แบบเสริมกำลังต้องเคลื่อนย้ายข้อมูลระหว่างส่วนประกอบต่างๆ ซึ่งการเคลื่อนย้ายข้อมูลนี่เองที่เป็นต้นทุนของ enclave

หลังจาก Silo เปิดตัวไม่ถึงเดือน Workshop Labs ก็ถูกซื้อโดย Thinking Machines ส่วนประกอบที่จำเป็นสำหรับการทำงานวนรอบ RL แบบ Bridgewater ใน enclave ตอนนี้อยู่ภายใต้บริษัทเดียวกัน

ความเป็นส่วนตัวของชั้น Harness

ยังมีปัญหาอีกข้อที่อยู่เหนือกลไกการอนุมานส่วนตัวทั้งหมด กลไกเหล่านี้แต่ละตัวจัดการเส้นทางจาก prompt ไปยังโมเดล แต่การเรียกใช้เครื่องมือภายนอกทุกครั้งที่ agent เริ่มต้น จะเปิดเส้นทางที่ชั้นการอนุมานไม่สามารถเข้าถึงได้ กระแสวิศวกรรม harness ล่าสุดทำให้ปัญหาทวีคูณ เครื่องมือ คลังความจำ และแหล่งข้อมูลทุกตัวที่เชื่อมต่อรอบโมเดล ล้วนเป็นปลายทางที่อ่านชิ้นส่วนเวิร์กโฟลว์ของตัวเองในรูปแบบข้อความธรรมดา เซิร์ฟเวอร์ปฏิทินอ่านตารางเวลา เซิร์ฟเวอร์ฐานข้อมูลอ่านคำค้นหา agent ที่ทำงานในเครื่องอย่างสมบูรณ์ หากต้องการสิ่งใดนอกเหนือจากชุดฝึกอบรม ก็ยังต้องส่งคำค้นหาในรูปแบบข้อความธรรมดาไปยังเครื่องมือค้นหา หากเซิร์ฟเวอร์ไม่สามารถอ่านข้อความธรรมดาได้ ก็จะไม่สามารถตอบคำถามได้

แนวทางแก้ไขหลักยังคงอยู่ที่ชั้นโปรโตคอลโดยค่าเริ่มต้น บริษัทอย่าง Runlayer และ MintMCP ใช้เกตเวย์กลางควบคุมการรับส่งข้อมูลเครื่องมือทั้งหมด ปกปิดข้อมูลส่วนบุคคลที่ระบุตัวตนได้ (PII) ก่อนที่คำขอจะออกไป เกตเวย์ยังตัดสินใจว่าเซิร์ฟเวอร์ใดสามารถรับการรับส่งข้อมูล ปิดกั้นเซิร์ฟเวอร์ที่ไม่ผ่านการตรวจสอบ และบันทึกปลายทางและเนื้อหาของการเรียกใช้ทุกครั้งเพื่อใช้เป็นหลักฐาน แม้ว่าการควบคุมเหล่านี้จะมีการตรวจสอบอิสระ (SOC 2) เซิร์ฟเวอร์เครื่องมือก็ยังต้องอ่านคำค้นหาในรูปแบบข้อความธรรมดาเพื่อตอบคำถาม ไม่ว่าจะเก็บสำเนาไว้หรือไม่ก็ขึ้นอยู่กับนโยบายการเก็บรักษาของตัวเอง และต้องคูณด้วยเครื่องมือทุกตัวใน harness นอกจากนี้ ตัวเกตเวย์เองก็เป็นผู้อ่านที่ต้องพึ่งพาความน่าเชื่อถือเพิ่มเติมบนเส้นทาง ไม่ใช่การตรวจสอบ

โซลูชันระดับโครงสร้างพุ่งเป้าไปที่ชั้นกลาง ตัวอย่างเช่น Phala โฮสต์ MCP server โดยตรงใน TEE ครอบคลุมกระเป๋าเงิน การเรียกใช้โค้ด และแหล่งข้อมูล ผู้ใช้สามารถตรวจสอบคำแถลงความเป็นส่วนตัวด้วย attestation เพียงครั้งเดียว โดยไม่ต้องเชื่อถือผู้ให้บริการ อย่างไรก็ตาม เครื่องมือที่โฮสต์ใน TEE ยังคงต้องส่งคำค้นหาเป็นข้อความธรรมดาให้กับผู้ให้บริการ สิ่งที่ enclave ปิดกั้นได้คือผู้ส่งสารเท่านั้น ไม่ใช่ปลายทาง

มีเพียงไม่กี่ปลายทางที่เรียนรู้ที่จะตอบโดยไม่ต้องอ่าน แต่จำกัดเฉพาะการค้นหาแบบมีโครงสร้าง Apple ให้บริการ Private Information Retrieval สำหรับ iPhone เพื่อให้การเปรียบเทียบหมายเลขโทรศัพท์กับฐานข้อมูลสแปมไม่ต้องเปิดเผยหมายเลข Microsoft ใช้วิธีเดียวกันกับรหัสผ่านในเบราว์เซอร์ Edge MongoDB มี Queryable Encryption ที่ให้ไคลเอนต์เข้ารหัสฟิลด์ก่อนออกจากเครื่อง เซิร์ฟเวอร์สามารถจับคู่ค่าและช่วงได้จาก ciphertext เท่านั้น

แต่สำหรับการค้นหาแบบเปิด คำตอบที่ดีที่สุดในวันนี้หยุดอยู่ที่ความไว้วางใจ การค้นหาแบบเข้ารหัสที่ตรวจสอบได้ยังไม่ออกจากห้องปฏิบัติการ Brave สัญญาว่าจะไม่เก็บข้อมูลบนดัชนี 4 หมื่นล้านหน้าของตัวเอง (ไม่ใช่ของ Google) แต่มันยังคงอยู่ในเลเยอร์โปรโตคอล Exa สร้างดัชนีประสาทที่ฝังคำสำคัญของผู้ใช้เป็นความหมาย จัดอันดับผลลัพธ์ตามการจับคู่ความหมาย แต่ขั้นตอนการฝังยังคงคำนวณจากข้อความธรรมดาบนเซิร์ฟเวอร์ของ Exa เอกสาร Tiptoe ของ MIT ในปี 2023 จัดอันดับบนเว็บเพจ 360 ล้านหน้าโดยไม่เปิดเผยคำค้นหา แต่การค้นหาแต่ละครั้งต้องใช้พลังประมวลผลเซิร์ฟเวอร์มหาศาล และคุณภาพการจัดอันดับยังด้อยกว่าการค้นหาที่ไม่เข้ารหัส เอกสาร Wally ของ Apple ในปี 2024 ซ่อนคำค้นหาจริงในกลุ่มเหยื่อ ทำให้ต้นทุนการสื่อสารลดลงสูงสุด 31 เท่า แต่คณิตศาสตร์นี้จะประหยัดก็ต่อเมื่อมีการค้นหาพร้อมกันหลายล้านครั้ง ซึ่งขนาดนี้ไม่มีระบบค้นหาส่วนตัวใดในปัจจุบันมี

การค้นหาแบบเข้ารหัสทำได้ แต่ประสิทธิภาพและราคายังไม่ถึงจุดที่ใช้งานเชิงพาณิชย์ได้

แนวโน้ม

ความต้องการ AI ส่วนตัวกำลังเติบโต Venice AI เพิ่งทะลุ 3.5 ล้านผู้ใช้ลงทะเบียนและปริมาณการประมวลผล 1.3 ล้านล้าน token ต่อเดือน ตามด้วยการระดมทุน Series A มูลค่า 1 พันล้านดอลลาร์ Proton เป็นคู่แข่งโดยตรง ผลิตภัณฑ์แชท Lumo มีผู้ใช้เกิน 10 ล้านภายในหนึ่งปี ด้านโครงสร้างพื้นฐาน ปัจจุบัน Phala ประมวลผลเฉลี่ย 2 ถึง 3 พันล้าน token ต่อวันบน OpenRouter Duck.ai ส่ง gpt-oss-120b และ Gemma ไปยัง enclave ของ Tinfoil ให้ความเป็นส่วนตัวที่ตรวจสอบได้นอกเหนือจากพร็อกซีผู้ใช้ ยังไม่รวมการโฮสต์เอง ซึ่งน่าจะเป็นช่องทางใหญ่ที่สุดสำหรับการอนุมานส่วนตัว เพราะโมเดลทำงานบนฮาร์ดแวร์ของตัวเอง ไม่ทิ้งร่องรอยการใช้งานใดๆ

อย่างไรก็ตาม ในกระแสหลักของ AI ทั่วไป AI ที่เน้นความเป็นส่วนตัวนั้นมีสัดส่วนเพียงเล็กน้อยเท่านั้น และช่องว่างนี้จะถูกปิดลงก็ต่อเมื่อห้องปฏิบัติการ前沿มีความตั้งใจที่จะตอบสนองความต้องการนี้ ในเดือนพฤษภาคม ผลิตภัณฑ์ทั้งหมดของ Google ประมวลผลโทเค็นได้ 3200 ล้านล้านโทเค็น หากคำนวณตามนี้ ปริมาณการประมวลผลของ Venice ในหนึ่งเดือนจะเทียบเท่ากับของ Google ในเวลาเพียง 18 นาที เมื่อเดือนพฤศจิกายนปีที่แล้ว Google เปิดตัว Private AI Compute (PAC) โดยนำฟังก์ชันบางส่วนที่ขับเคลื่อนด้วย Gemini ไปทำงานใน TPU enclave ที่แยกออกจากบริษัทเอง และออกแบบให้ NCC Group เป็นผู้ตรวจสอบอิสระ แต่ปัญหาคือ PAC ครอบคลุมเฉพาะฟังก์ชัน Pixel บางส่วน เช่น คำแนะนำเฉพาะบุคคลและสรุปเสียงเท่านั้น ไม่ครอบคลุมแอปพลิเคชัน Gemini ที่ผู้คนหลายร้อยล้านคนใช้ Google กล้าที่จะส่งมอบการออกแบบให้ผู้ตรวจสอบ เพราะฟังก์ชันเหล่านี้สร้างรายได้จากอุปกรณ์และโฆษณา ไม่ใช่จากการขายโทเค็น

โซลูชันการโฮสต์ในปัจจุบันก็ยังไม่สมบูรณ์แบบ ผู้ใช้ที่ต้องการความเป็นส่วนตัวสูงสุดผ่าน E2EE จะต้องรอให้ฟังก์ชันใหม่ถูกสร้างขึ้นใหม่ในสถานที่ที่ผู้ให้บริการไม่สามารถเข้าถึงได้ harness ส่วนตัวยังคงพึ่งพาโปรโตคอลในชั้นบริการ การฝึกหลังการฝึกในราคาที่สมเหตุสมผล หากต้องการผลลัพธ์การปรับแต่งที่ดีที่สุด ก็ยังต้องไว้วางใจผู้ให้บริการบุคคลที่สาม การโฮสต์ด้วยตนเองสามารถตัดผู้ให้บริการทั้งหมดออกไปได้ในคราวเดียว แต่การรันโมเดลโอเพนซอร์สที่ทรงพลังที่สุดในเครื่องท้องถิ่น อาจมีค่าใช้จ่ายสูงกว่าราคาบ้านที่เสียบปลั๊กอยู่เสียอีก

ถึงจะมีข้อบกพร่อง แต่ AI ส่วนตัวก็เป็นตัวเลือกที่แท้จริงและจับต้องได้แล้ว และช่องว่างที่เหลือก็กำลังแคบลง สำหรับผู้บริโภคทั่วไป บน Lumo และ Venice การแชทส่วนตัวกับโมเดลโอเพนซอร์สภายใต้สัญญาไม่บันทึกข้อมูลนั้นไม่เสียค่าใช้จ่าย ส่วนการสมัครสมาชิก Venice หรือ Tinfoil ในราคา 18 ถึง 20 ดอลลาร์ จะทำให้การแชทแบบเดียวกันถูกปิดผนึกใน enclave ซึ่งไม่แพงไปกว่าการสมัคร ChatGPT สำหรับเวิร์กโฟลว์ขององค์กร จุดสิ้นสุดที่มีการรับรอง (attestation) ในปัจจุบันมีราคาถูกกว่าเส้นทางแบบข้อความธรรมดาด้วยซ้ำ จุดสิ้นสุดอย่าง NEAR's E2EE API สามารถนำบริบทที่เข้ารหัสเข้าไปใน enclave ได้แล้ว ความจำ การอัปโหลดไฟล์ และคำสั่งที่กำหนดเอง ล้วนทำงานบน E2EE ได้ในวันนี้ ส่วนการฝึกหลังการฝึกที่มีการรับรอง NVIDIA ที่กำลังจะเปิดตัว Vera Rubin NVL72 จะขยายการประมวลผลที่เป็นความลับจากโหนด Blackwell 8 การ์ด ไปจนถึงแร็ค 72 การ์ด ทำให้วงจร RL 前沿สามารถทำงานได้โดยไม่เปิดเผย IP

อย่างไรก็ตาม การดึงมูลค่าที่สำคัญนั้นอยู่นอกเหนือชั้นการบีบอัดราคาเหล่านี้ ความเป็นส่วนตัวในที่ที่มันมีอยู่แล้วนั้นแทบจะฟรี แต่ยังไม่ครอบคลุมเวิร์กโฟลว์ agentic หลัก ผู้ให้บริการที่เน้นการเช่าและขาย enclave ถือสวิตช์บนชิปมาตรฐาน ไม่ใช่คูเมือง ส่วนเกตเวย์ในชั้นโปรโตคอลก็แข่งขันกับมิดเดิลแวร์แบบดั้งเดิมในสนามเดียวกัน จุดที่สามารถป้องกันได้คือครึ่งหนึ่งของรายงานนี้ที่ยังไม่ได้รับการแก้ไข: วงจรการฝึกที่ถูกขังใน enclave การเรียกใช้เครื่องมือที่ถูกปิดตายตั้งแต่ต้นจนจบ และดัชนีค้นหาที่ไม่เห็นคำค้นหา ใครก็ตามที่สร้างสิ่งเหล่านี้ขึ้นมาก่อน จะขายสิ่งที่การแข่งขันด้านราคาไม่สามารถทำให้เป็นสินค้าโภคภัณฑ์ได้ ทุนที่ไล่ล่า AI ส่วนตัว ควรซื้อช่องว่าง ไม่ใช่สวิตช์

ดังนั้น เชื่อใจหรือตรวจสอบ? สำหรับงานที่เน้นการดำเนินการซ้ำและใช้ Agent จำนวนมาก ให้เลือกเชื่อใจ เพราะทุกครั้งที่มีการเรียกใช้เครื่องมือ ข้อมูลที่ชัดเจนก็ถูกส่งไปยังปลายทางที่ Enclave ไม่สามารถปิดกั้นได้ และโมเดล前沿ก็คุ้มค่ากับราคาในวงจรแบบนี้ ส่วนการคิดขั้นสูงที่ทำให้บริษัทหนึ่งแตกต่างจากคู่แข่ง ให้เลือกตรวจสอบ กลยุทธ์ การวางแผน และการตัดสินใจที่กลั่นกรองจากประสบการณ์หลายปี นั่นคือ Alpha ที่เป็นประเด็นถกเถียง เส้นทางข้างหน้าคือการปรับแต่งโมเดลโอเพนซอร์สด้วยข้อมูลเชิงลึกเฉพาะเหล่านี้ภายในขอบเขตที่บริษัทควบคุม ในด้านที่ Alpha ของบริษัทตั้งอยู่ โมเดลโอเพนซอร์สที่ปรับแต่งโดยผู้เชี่ยวชาญสามารถเอาชนะโมเดล前沿ทั้งในด้านความแม่นยำและต้นทุนได้แล้ว และโครงสร้างพื้นฐานสำหรับการสร้างมันในสภาพแวดล้อมที่เป็นส่วนตัวก็กำลังมาถึงทีละโหนด

ลิงก์ต้นฉบับ

ยินดีต้อนรับสู่ชุมชนทางการของ BlockBeats:

กลุ่ม Telegram สมัครสมาชิก: https://t.me/theblockbeats

กลุ่ม Telegram พูดคุย: https://t.me/BlockBeats_App

บัญชี Twitter ทางการ: https://twitter.com/BlockBeatsAsia