NVIDIA、Blackwell GPUでの「Confidential Computing」の性能を実証　セキュリティ有効時も推論パフォーマンスの低下は8%未満

要点

• NVIDIAは、AIモデルやデータを保護するハードウェアレベルのセキュリティ技術「Confidential Computing」の最新検証結果を発表した。

• 最新のBlackwellアーキテクチャGPUに組み込まれた秘密鍵とリモート構成証明により、推論実行時のデータやモデルの完全性を保証する。

• 最大8基のGPUを接続するNVLink間の通信を暗号化でき、大規模な複数GPU環境でも安全な実行環境を提供する。

• HGX B300システムを用いたベンチマークで、セキュリティ有効時も非有効時と比べて最大98%の推論パフォーマンスを維持できることが実証された。

• FlashInferやSGLangなどのソフトウェアにおける最適化技術により、暗号化処理に伴うオーバーヘッドの影響を最小限に抑えている。

• NVIDIAは2026年7月2日、同社の公式技術ブログにて、最新のBlackwellアーキテクチャGPUに搭載されたセキュリティ技術「NVIDIA Confidential Computing（コンフィデンシャル・コンピューティング）」の仕組みと、その最新のベンチマーク結果を公開した。この技術は、AIの推論処理においてモデルや機密データを暗号化したまま安全に処理するもので、高度な保護プロセスを導入しつつも、従来の暗号化なしの環境と比較して最大98%という極めて高いパフォーマンスを維持できることが明らかになった。

ハードウェアを起点とする堅牢なセキュリティ構造

NVIDIAのConfidential Computing（以下、CCと表記）は、シリコン（半導体）から相互接続、システムソフトウェアに至るまで、システム全体をカバーする多層的なセキュリティレイヤーを提供する。この技術は、最新のBlackwell GPU（NVIDIA RTX PRO 6000、HGX B200、HGX B300など）のハードウェア自体に直接組み込まれている。

GPUのシリコンレベルでは、製造時に「プライベート署名キー（書き込み式の暗号鍵）」が埋め込まれる。この鍵はハードウェアに物理的に焼き付けられており、ソフトウェアやファームウェア、さらにはホストシステムからも一切読み出すことができない。この秘密鍵が、環境の安全性を保証するための「構成証明（アテステーション）」チェーンの強固な土台となる。

さらに、HGX B200やHGX B300といったエンタープライズ向けのシステムでは、最大8基のGPUを相互に接続する「NVIDIA NVLink（GPU間の高速インターコネクト）」の通信自体も暗号化される。これにより、複数のGPUにまたがる大規模なAI処理を実行する場合でも、プロセッサ間でやり取りされるデータが保護される仕組みである。

起動時に実行環境を検証する「リモート構成証明」

AIモデルの復号キーなどの機密情報を実行環境にデプロイ（配置）する前に、システムが安全であることを確認するための「リモート構成証明」が実行される。

このプロセスでは、まずGPUが生成するハードウェアレポートと、CPUが備える信頼実行環境（TEE、プロセッサ内の安全で保護された領域）技術である「AMD SEV-SNP」または「Intel TDX」による測定値を組み合わせた、署名付きの「証拠バンドル（データの束）」を作成する。

次に、この証拠バンドルを「NVIDIA Remote Attestation Service（NRAS、リモート構成証明サービス）」に送信する。NRASは、受信したデータを事前に検証された正しいシステム状態を示す「基準整合性マニフェスト（RIM）」と照合し、環境の健全性を検証する。

この検証によって、機密性の高い仮想マシンである「Confidential VM（CVM）」が改ざんされておらず、信頼できる状態であると確認されて初めて、AIモデルの復号鍵などがデプロイされる。この一連のハンドシェイク（接続確認）は起動時に1回だけ行われるプロセスであるため、稼働中の個々の推論リクエストに遅延を発生させることはないという。

性能低下を8%未満に抑えるベンチマーク結果

NVIDIAは、実際のAIモデルを用いたパフォーマンスの検証結果も公表している。HGX B300システムを使用し、オープンソースの大規模言語モデル「Qwen 3.5-397B-A17B-FP8」を実行したベンチマークテストでは、CCを有効にした場合のパフォーマンス低下は極めて軽微であることが確認された。

具体的には、さまざまな同時接続数やバッチサイズ（一度に処理するデータ量）、トークン（テキスト処理における最小の単位）の長さにおいて測定したところ、スループット（単位時間あたりの処理量）およびトークンごとのレイテンシ（遅延時間）のオーバーヘッド（余分な負荷）は通常8%未満に抑えられた。これは、CCを有効にしないネイティブな環境と比較して、最大98%の推論パフォーマンスを維持できていることを意味する。

ソフトウェアのイノベーションによるボトルネックの解消

CC環境においてAI의推論性能を最適化するために、NVIDIAはいくつかの技術的な課題に対処している。一般に、CC環境でのパフォーマンス変化は、「セキュアなワーク送信におけるレイテンシ」と「ホストからデバイス（CPUからGPU）への帯域幅の減少」という2つの要因から発生する。特に推論処理においては、暗号化やカーネル（OSの中核プログラム）の起動に伴うオーバーヘッドにより、小さな処理単位（ワーク）ほど影響を受けやすくなる。

これを克服するため、以下のソフトウェア上のイノベーションが導入されている：

• CCセーフなオートチューナー（自動調整機能）の搭載: 高速なアテンション計算を行うライブラリ「FlashInfer」において、CCモード時に従来のイベントタイマーの代わりにGPU内部の「グローバルタイマーレジスタ（高精度な時間計測器）」を使用することで、正確なチューニングを可能にした。
• 非同期D2Hコピーワーカー（Device-to-Host非同期転送）: CPUとGPU間のデータ転送を非同期で実行し、暗号化に伴う帯域制限による待ち時間を最小限に抑える。
• SGLangにおける区分的CUDAグラフ（piecewise CUDA graph）のサポート: GPUの処理手順をグラフ化してまとめて実行するCUDAグラフを分割して最適化することで、安全な環境での効率的な処理実行を支援する。

これらの最適化技術により、暗号化された帯域幅の制限や安全なワーク送信に伴うオーバーヘッドの影響を緩和し、法規制の準拠が求められる本番環境の大規模デプロイ（システム展開）に適した、安全かつ高速なAI推論環境を実現している。