OPAQUE introduceert Weight Custody Manifest voor soevereine AI

Weight Custody Manifest, dat OPAQUE op 9 september introduceert, laat frontier-modelgewichten pas vrijgeven nadat een klantbeheerde runtime cryptografisch bewijs levert over de goedgekeurde software en omgeving, met herroepbare toegang.

Voor een Nederlands bedrijf dat een zwaar model in een eigen datacenter, Europees cloudcluster of soevereine omgeving wil draaien, verschuift daarmee de inzet. De leverancier hoeft zijn gewichten niet volledig aan de klant over te dragen, terwijl de klant data en hardware onder eigen beheer kan houden. WCM maakt modeltoegang tot een controlepunt tussen beide partijen.

Een sleutel voor de modelgewichten

WCM koppelt een gezamenlijk ondertekend manifest aan de exacte modelgewichten en de runtime die ze mag gebruiken. Het manifest kan de modelidentiteit, licentie, toegestane toepassingen, jurisdictie, goedgekeurde software en bewaareisen vastleggen. Ook fine-tuned afgeleiden blijven aan hun basismodel gekoppeld, met ondersteuning voor intrekking in die keten.

De sleutelbroker geeft de decryptiesleutel niet zomaar af. Volgens de gepubliceerde specificatie controleert hij een verse eenmalige challenge, CPU- en waar nodig GPU-attestation, metingen van de workload, certificaatketens, handtekeningen, intrekkingen, versheid en kanaalkoppeling. Alleen bij een volledige match wordt de sleutel aan een tijdelijke transportsleutel van de geattesteerde workload verzegeld. Verloopt de autorisatie, dan moet de runtime stoppen met serveren en de sleutel uit het geheugen wissen.

Voor de modelbouwer betekent dat een voorwaarde vóór ontsleuteling. Voor de klant betekent het dat het model op eigen infrastructuur kan draaien zonder dat de bouwer de plaintext-gewichten permanent uit handen geeft. Een soevereine omgeving kan ook een quorum eisen, zodat geen enkele partij het model alleen kan uitzetten.

Dat sluit aan bij de eerdere praktijk rond self-hosted open-weight modellen die data binnen de eigen omgeving houden, maar WCM draait de vertrouwensvraag om: niet alleen de klant moet beschermd worden tegen het model, ook de bouwer tegen de omgeving waarin het model terechtkomt.

De demo bewijst iets anders

OPAQUE brengt WCM uit als Apache-gelicentieerde developer preview met een specificatie, referentiebibliotheek en 91 openbare testgevallen. De lokale quickstart draait broker en workload in één gewoon Python-proces, gebruikt synthetische attestation en een placeholder-sleutel. De 91 conformance-tests bevestigen de softwarelogica, maar gebruiken synthetische certificaatwortels en testen geen GPU-cryptografische verificatie. De verdeling is 32 tests op niveau 1, 37 op niveau 2, 12 op niveau 3 en 10 op niveau 4.

Een geslaagde run bewijst daarmee dat de referentie-implementatie de beschreven vrijgavebeslissingen kan nemen. Hij bewijst niet dat een specifieke server hardwarematig is afgeschermd, dat een echt model veilig in geheugen blijft, of dat een productie-runtime na het verlopen van een lease alle kopieën wist. Ook bewijst de demo niet dat de fysieke eigenaar van de machine geen sleutel uit de hardware kan halen.

OPAQUE meldt ook een afzonderlijke validatie op echte hardware: een NVIDIA H100 in confidential mode en AMD- en Intel-servers met vertrouwelijke rekenomgevingen op Azure en Google Cloud. In de laatste test bewezen CPU en GPU zich samen met dezelfde verse eenmalige challenge voordat de modelsleutel als verzegelde ciphertext werd vrijgegeven; pogingen om een van beide bewijzen te vervangen werden geweigerd, meldt HPCwire. Dat is meer dan een synthetische quickstart, maar blijft een door de leverancier gemelde validatie.

De harde grens van de garantie

De open WCM-repository noemt de release pre-1.0, bedoeld voor publieke review en interoperabiliteit, niet als productiecertificaat. De cryptografische garantie geldt binnen een afgebakend dreigingsmodel: tegen softwarematige en externe aanvallers kan de sleutelvrijgave worden gebonden aan een goedgekeurde runtime en actuele attestation. De fysieke eigenaar van het platform valt daarbuiten.

Dat onderscheid is belangrijk voor Nederlandse organisaties die AI-soevereiniteit als oplossing voor privacy of continuïteit zien. Eigen hardware houdt data en modeluitvoering dichter bij de organisatie, maar maakt de hardware-eigenaar niet automatisch onmachtig. Platforminstellingen, firmware, side channels, sleutelbeheer, de serving-applicatie en het gedrag bij intrekking horen nog steeds bij de beoordeling.

De betekenis van WCM zit daarom niet in de belofte dat niemand ooit bij modelgewichten kan. Het maakt zichtbaar en toetsbaar wie de sleutel vrijgeeft, onder welke software, in welke jurisdictie en met welke stopvoorwaarden. Daarmee wordt digitale soevereiniteit een bedrijfsrisico dat je technisch kunt beheersen, met hardware-eigenaarschap als grens die apart geregeld blijft.