Private Cloud Computeのセキュリティ研究

• Apple Intelligenceの高演算リクエストをクラウドで処理する Private Cloud Compute(PCC) について、Appleが外部研究者がセキュリティとプライバシー保証を直接検証できる資料を公開した
• 公開範囲には PCC Security Guide、ソフトウェアバイナリ、主要コンポーネントのソースコード、さらにAppleプラットフォーム初の Virtual Research Environment(VRE) まで含まれる
• VREはApple silicon MacでPCCノードソフトウェアを仮想マシンとして実行し、リリース検査、透明性ログ検証、バイナリダウンロード、仮想ブート、デモモデル推論、改変・デバッグを支援する
• Apple Security BountyはPCCを新たな対象に追加し、リクエストデータに対するリモート攻撃で任意権限での任意コード実行を達成した場合、最大 100万ドル を支払う
• PCCの検証体系は、クラウドAI処理においてもユーザーがデータセンターで実行されるソフトウェアと プライバシー保証 を直接確認できるようにすることに焦点を当てている

---

PCC検証資料の公開

• Private Cloud Compute(PCC) は、Apple Intelligenceの計算集約的なリクエストを処理しながら、Appleデバイスのセキュリティモデルをクラウドへ拡張するシステムである
• Appleは公開された信頼性を高めるため、セキュリティ・プライバシー研究者がPCCの エンドツーエンド保証 を調査・検証できるようにしている
• Apple IntelligenceとPCCの発表後数週間にわたり、Appleは第三者監査人と一部のセキュリティ研究者に対し、PCC Virtual Research Environment(VRE)を含む資料を先行提供していた
• 今回の公開により、セキュリティ・プライバシー研究者と技術的関心を持つ誰もがPCCを学び、独立して検証できる
• Apple Security BountyもPCCを含むよう拡張され、PCCのセキュリティ・プライバシー保証を破る問題報告に報奨金が提供される

PCC Security Guideが扱う内容

• Private Cloud Compute Security Guide は、PCCアーキテクチャが中核要件をどのように満たすよう設計されているかをまとめている
• ガイドでは、PCCの構成要素と、それらが連携してクラウドAI処理で プライバシーレベル を提供する仕組みを扱っている
• 主なトピックは次のとおり
  • PCCの証明が、ハードウェアに実装された 不変の基盤機能 の上にどのように構築されるか
  • PCCリクエストが認証・ルーティングされ、非標的化(non-targetability) をどのように提供するか
  • Appleデータセンターで実行されるソフトウェアを検査できることを、どのように技術的に保証するか
  • さまざまな攻撃シナリオ下でもPCCのプライバシーおよびセキュリティ特性がどのように維持されるか

Virtual Research Environment

• AppleはAppleプラットフォーム向けとして初めて Virtual Research Environment(VRE) を提供する
• VREは、Mac上でPrivate Cloud Computeのセキュリティ分析を直接実施できるツールセットである
• 研究者はPCCのセキュリティ機能を理解するだけでなく、PCCがAppleの説明どおりにユーザープライバシーを維持しているかを確認できる
• VREは、PCCノードソフトウェアをごく少数の修正だけを加えた仮想マシンで実行する
  • ユーザー空間ソフトウェアはPCCノードと同一に実行される
  • ブートプロセスとカーネルは仮想化に合わせて調整される
  • 仮想 Secure Enclave Processor(SEP) を含み、この構成要素に対するセキュリティ研究が初めて可能になる
  • 推論にはmacOSの準仮想化グラフィックス支援を使用する

VREで可能な作業と実行条件

• VREツールで実行できる作業は次のとおり
  • PCCソフトウェアリリースの一覧化と検査
  • 透明性ログ の整合性検証
  • 各リリースに対応するバイナリのダウンロード
  • 仮想化環境でのリリース起動
  • デモモデルに対する推論の実行
  • より深い調査のためのPCCソフトウェアの改変とデバッグ
• VREは最新の macOS Sequoia 15.1 Developer Preview で提供される
• 実行にはApple silicon Macと 16GB以上のユニファイドメモリ が必要である
• 開始方法は Private Cloud Compute Virtual Research Environment設定ドキュメント で確認できる

公開されたPCCソースコード

• Appleは、PCCのセキュリティ・プライバシー要件の実装を支える一部の主要コンポーネントの ソースコード を公開した
• ソースは、PCCのより深い分析を可能にするため、限定的使用ライセンス契約のもとで提供される
• 公開プロジェクトはPCCの複数の領域を扱う
  • CloudAttestation: PCCノード証明の構成と検証を担当する
  • Thimble: ユーザーデバイス上で動作する privatecloudcomputed デーモンを含み、CloudAttestationを用いて検証可能な透明性を強制する
  • splunkloggingd: PCCノードからエクスポート可能なログをフィルタリングし、偶発的なデータ公開を防ぐ
  • srd_tools: VREツールを含み、VREがPCCコードをどのように実行するかを理解するために利用できる
• 利用可能なPCCソースコードはGitHubの apple/security-pcc プロジェクトで確認できる

PCC向けApple Security Bounty

• Appleは、PCCの根本的なセキュリティ・プライバシー保証を侵害する脆弱性に報奨金を支払うため、Apple Security Bounty を拡張した
• 新しいPCC報奨カテゴリはSecurity Guideの主要脅威と整合している
  • 偶発的なデータ公開: 設定不備やシステム設計上の問題により意図しないデータ露出が発生する脆弱性
  • ユーザーリクエストを通じた外部侵害: 外部行為者がユーザーリクエストを悪用してPCCへ不正アクセスする脆弱性
  • 物理的または内部アクセス: 内部インターフェースへのアクセスを通じてシステム侵害が可能になる脆弱性
• 報奨水準はiOSの報奨と比較可能なレベルで提供される
• PCCの信頼境界外でユーザーデータおよび推論リクエストデータを侵害する脆弱性には最大報奨が支払われる

PCC報奨金額

• PCC報奨カテゴリは次のとおり
  • リクエストデータに対するリモート攻撃: 任意権限での任意コード実行で最大 $1,000,000
  • 信頼境界外でのユーザーのリクエストデータ、またはユーザーリクエストに関する機微情報へのアクセス: 最大 $250,000
  • 特権ネットワーク位置からのリクエストデータ攻撃: 信頼境界外でユーザーのリクエストデータまたはその他の機微情報へアクセスした場合、最大 $150,000
  • 証明されていないコードの実行が可能: 最大 $100,000
  • 展開または設定の問題による偶発的・予期しないデータ公開: 最大 $50,000
• Appleは、公開されたカテゴリに一致しなくてもPCCに重大な影響を与えるセキュリティ問題をApple Security Bountyの対象として検討する
• 報告は、提示品質、悪用可能性の証明、ユーザー影響に基づいて評価される
• プログラム情報と提出は Apple Security Bounty ページで行える

クラウドAI処理における検証可能な透明性

• PCCはApple Intelligenceの一部として、AIにおけるプライバシーを大きく前進させるために設計された
• 中核特性には 検証可能な透明性 が含まれ、これは他のサーバーベースAIアプローチと区別される特徴である
• Apple Security Research Device Programの経験をもとに公開されたツールと文書は、PCCの中核的なセキュリティ・プライバシー機能を研究・検証しやすくする
• AppleはPCCを、大規模クラウドAIコンピュートに配備された最先端のセキュリティアーキテクチャだと説明しており、研究コミュニティとともにシステムの信頼性とセキュリティ・プライバシー強化を進めようとしている