NVIDIA Confidential Computingとは？GPUでの機密計算

なぜGPU側が必要なのか

LLMの推論は、実際の計算のほとんどがGPU上で行われます。つまり、プロンプトも中間状態もGPUメモリに存在します。

CPU側だけをTEEで保護しても、GPUへデータを渡した時点で保護の外に出てしまいます。「TEEを使っている」と書かれていても、GPUを含めた保護になっているかは別途確認が必要です。

仕組みの骨格

1. GPU を機密計算モードで動作させる
2. CPU側の保護領域とGPUの間の転送を暗号化する
3. GPU自身のアテステーションを取得し、想定どおりの状態であることを検証する
4. CPU側とGPU側、両方の証明が揃って初めて経路全体が確認できる

現実的な制約

対応GPU世代

H100以降が条件です。Cocoon の公式ドキュメントは「NVIDIA H100 or newer」「Confidential Computing (CC) support」に加えて、 アテステーション用に更新されたVBIOSが必要で、それは NVIDIA の正規サポート経由でしか入手できないと明記しています。 「H100を借りればCCが使える」わけではなく、事業者側の準備が要る、というのが実態です。

各社が挙げているGPUは次のとおりです（2026-08-11時点・公式ドキュメント）。

アテステーションが証明しないこと

Cocoon のドキュメントには、GPUアテステーションが証明する範囲としない範囲が並べて書かれています。 これは他社の資料にあまり無い記述なので引用します。

証明すること: 特定のGPUモデルであること / CCモードが有効であること / VBIOSとドライバのバージョン（ファームウェアの完全性） / NVIDIA署名が正当であること

証明しないこと: ホストがGPUを無効化できないこと（可用性は保証されない） / サイドチャネル（タイミング・電力解析）が存在しないこと / モデルの完全性（これは設定ハッシュで別途検証）

信頼する対象も明示されています。NVIDIAのハードウェア・アテステーション基盤（署名鍵とRIMサービス）・GPUファームウェアは信頼し、ホストOSは信頼しない、という置き方です。

性能オーバーヘッドについては、編集部で実測していないため数値を掲載していません。 io.net は「影響は最小限でGPUの能力は完全に維持される」としていますが、これは同社の公表内容です。

対応をうたうサービス

よくある質問

QGPUのアテステーションは誰が検証するのですか？

利用者側です。サービスが証明を提供していても、それを取得して検証する処理を組み込まなければ意味を持ちません。導入時は運用設計まで含めて検討してください。

Q性能はどのくらい落ちますか？

構成とワークロードによって変わります。編集部で実測できていないため、具体的な数値は掲載していません。

本記事の掲載内容の最終確認日: 2026-07-25（35日前）