Il vostro endpoint AI non deve stare su internet.

Ogni team che distribuisce un modello privato disegna lo stesso diagramma. App, poi API gateway, poi l'endpoint, poi il modello, con un'icona di lucchetto al posto della revisione di sicurezza. Le guide sono tutte d'accordo su cosa viene dopo: autenticazione, TLS, rate limiting, un WAF, monitoraggio dei log. Tutto sensato. Tutto a rispondere alla seconda domanda saltando la prima.

La prima domanda: perché questo endpoint sta su internet, in primo luogo? I vostri documenti sono privati. La vostra applicazione è privata. Il modello gira su una macchina che nessun altro condivide. L'unica tratta pubblica nel diagramma esiste perché il diagramma è stato copiato da un mondo di API pubbliche, non perché il vostro carico ne abbia bisogno.

La difesa è un budget. L'assenza è una proprietà.

Tutto ciò che è esposto a internet è un costo permanente. La superficie esposta va patchata secondo il calendario di qualcuno, i log vanno sorvegliati, il WAF va messo a punto, e le scansioni non smettono mai di arrivare che guardiate o no. Tutto quel lavoro è necessario, tutto è per sempre, e tutto è probabilistico: abbassa le probabilità, non può azzerarle. Rimuovere la tratta pubblica converte il budget in una proprietà: l'idea più antica della sicurezza di rete, il piano di gestione verso cui non si può fare routing, applicata al carico più nuovo nel rack.

Le due architetture

Perché possiamo costruire la seconda catena

Il percorso privato non è una funzionalità di prodotto che abbiamo attivato. È una conseguenza di ciò che questa azienda è. Gestiamo il nostro AS e il nostro routing, e una mesh cifrata sempre attiva collega i nostri datacenter, lo stesso fabric privato su cui viaggia il vostro traffico di replica. Per i clienti che lo vogliono, l'endpoint di inferenza è raggiungibile sul loro transito privato dentro quella rete, e l'internet pubblica non è mai sul percorso: nessun listener pubblico, nessuna voce DNS pubblica da trovare, nessuna porta d'ingresso a cui bussare. Un marketplace GPU che rivende capacità nelle strutture di altri non può offrirlo, perché è una proprietà di rete, e loro non sono operatori di rete.

Dove sta il confine

La raggiungibilità privata è precisa su ciò che rimuove, e l'affermazione resta forte solo se resta precisa. Il controllo degli accessi della vostra rete conta ancora: un laptop compromesso sulla vostra VPN raggiunge tutto ciò che la vostra VPN raggiunge, questo compreso. L'endpoint autentica ancora, perché l'assenza rimuove la quota di internet dal modello di minaccia, non la vostra parte. E i carichi che vogliono davvero un'API pubblica, un prodotto rivolto ai clienti per esempio, legittimamente ne tengono una e la difendono come si deve. L'affermazione è più ristretta e più forte: per i carichi interni e regolamentati, la tratta pubblica è facoltativa, e l'esposizione facoltativa va rifiutata. Il perimetro del pentest per un servizio che non sta su internet è un documento breve, e gli auditor se ne accorgono.

Mettete insieme le due metà dell'argomento sull'AI privata e l'architettura si completa da sola. La pipeline che non esce mai dalla macchina (l'assistente di conoscenza) risponde a cosa succede ai vostri dati a riposo e in uso. Il percorso privato risponde a come i dati arrivano lì e tornano. Tra le due, la domanda da cui parte ogni acquirente regolamentato, chi può vedere questo, mantiene la sua risposta di una parola a ogni livello: nessuno.

“La postura di sicurezza più forte per un endpoint non è un firewall migliore. È non stare affatto su internet.”