OpenAI、ZDRのまま安全審査　記録は「利用者のクラウド」に暗号化して置く

米OpenAIは11月6日、APIの安全審査をプロンプトと応答を自社に残さずに行う「Private Safety Processing（PSP）」を開発者向けに案内した。審査の対象になったやり取りは、暗号化されて利用者が持つクラウドの保存先に置かれ、OpenAIの社員が中身を読めない環境で自動の審査だけを受ける。データを残さない契約「Zero Data Retention（ZDR）」を結ぶ企業は、安全審査のために中身を預けるか、審査の対象から外れるかを選ぶ必要がなくなる。その代わり、記録の保管と鍵の管理は利用者の仕事になる。

安全審査の記録は利用者の保存先に

OpenAI Developersの公式アカウントの投稿によると、PSPは関連するAPIの要求を、プロンプトや応答を保持せずに安全の面から見直す仕組みだ。記録は利用者の環境にとどまり、自動の審査エージェントが中身を見る。OpenAIの社員は中身に触れられないという。

同社のPSPの手引きによると、記録に残るやり取りは、安全の分類器が回したものか、承認済みの抽出の方針で選ばれたものに限られる。分類器に回されたこと自体は、規約に違反したことを意味しないとも書いている。選ばれたやり取りは暗号化され、利用者の地域のクラウドの保存先に書き込まれる。OpenAIの側に残るのは、運用の情報と保存先への参照を載せた索引だけで、中身の写しは持たない。暗号化と保存は推論と別に動くため、応答を待たせない。

保存先には、AWSのS3、AzureのBlob、Google Cloud Storage、Oracle Cloud InfrastructureのObject Storageの4つを選べる。手引きは、それぞれの保存先の作り方と、OpenAIに読み書きを任せる権限の設定、管理画面での登録と検証の手順を、クラウドごとに載せている。

社員が読めない環境で自動で審査

審査は、記録を利用者の保存先から取り出して行う。手引きによると、中身を復号できるOpenAIの処理は「Safety Review Runtime」だけになるよう作られている。人が入れないことをハードウェアで証明する実行環境で、承認済みの審査用のプロンプトと出力の形式で自動の審査をする。

審査の外に平文で出るのは、決められた範囲の安全の判定と、承認済みの運用の情報だけだ。詳しい結果は実行環境を出る前に暗号化され、元の記録と同じ期限で利用者の保存先に戻る。

記録は二重に暗号化される。内側はOpenAIが管理する暗号で、審査の実行環境だけが解ける。外側には、利用者が自分の鍵の管理サービスで持つ「Enterprise Key Management（EKM）」の鍵を重ねられる。EKMを有効にすると、OpenAIの鍵だけでは記録を解けず、利用者の鍵の許可も要る。許可を取り消せば残った記録は解けなくなるが、記録は消えず、済んだ審査も元に戻らない。手引きはEKMを有効にするよう勧めている。

30日の保管と設定は利用者の責任

PSPを使う利用者に、手引きは5つの責任を課している。プロジェクトと保存の地域ごとに保存先を登録して検証すること。暗号化した記録を少なくとも30日残し、それより早く消す設定にしないこと。保存先と権限と鍵の許可を正しく保つこと。OpenAIから知らせを受けたら設定の不具合を直すこと。安全上の懸念の通知に応じて、調べて手を打つことだ。

保存先の側には、記録を30日で消すライフサイクルの規則を入れる。手引きは、ほかの規則で早く消したり、アーカイブに移したりしないよう求めている。

有効にするとプロジェクト全体に効く

PSPはプロジェクトごとに有効にする。手引きによると、有効にしたプロジェクトでは、PSPが要らないモデルへの要求も含めて、すべてのAPIの通信にPSPの方針がかかる。PSPを使わないZDRで済ませたいモデルは、別のプロジェクトから呼ぶ必要がある。

設定できるのは、すでにZDRの承認を受けた組織で、組織の管理者が管理画面から保存先を登録する。プロジェクトの推論用のAPIキーでは、管理用のAPIを呼べない。最後の保存先を外すと、そのプロジェクトのデータ保持の方針は組織の既定に戻り、ZDRとPSPを必須とするモデルが使えなくなることがあるという。つまりOpenAIは、データを残さない契約と安全審査の両立を、記録の置き場所と鍵を利用者に渡すことで果たそうとしている。

編集部の見方

編集部は、PSPを「データを預けない代わりに、保管の責任を引き受ける」仕組みと見る。ZDRを求める顧客にOpenAIのAPIを使ったシステムを納める読者には、データの置き場所を説明する材料になる。ただし、30日の保管、鍵の許可、保存先の権限を保つ運用は利用者の側に移る。プロジェクト全体に方針がかかるため、PSPが要るモデルと要らないモデルでプロジェクトを分けるかを、設定の前に決めておくとよい。