عندما تستأجر GPU، يملك شخص آخر صلاحيات root على الجهاز الذي يحمل بياناتك. التشفير يحمي مجموعة البيانات في الطريق إليه وأثناء وجودها على القرص، لكن مهمة التدريب يجب أن تفك تشفيرها في الذاكرة لتستخدمها، وعندها يستطيع مضيف مصمّم أن يقرأها. فالقرارات الحقيقية هي: بمن تثق (مركز بيانات خضع للتدقيق أم خادم منزلي مجهول)، وكم تقلّل من البيانات التي ترسلها، وهل تحتاج إلى الحوسبة السرية، وهي الخيار الوحيد الذي يُخرج مشغّل المضيف من سلسلة الثقة.
يتناول هذا الدليل الأجهزة التي تسجّل الدخول إليها، مثل المثيلات على Vast.ai أو RunPod. يمر على نموذج التهديد، وما يغطيه كل إجراء دفاعي، وروتين تنظيف يصمد على وسائط التخزين الحديثة. المصادر في آخر المقال، وراجعنا كل شيء في سبتمبر 2026.
نموذج التهديد
ابدأ بتسمية من يستطيع الوصول إلى البيانات وكيف. على مثيل GPU مستأجر هناك سبعة مسارات واقعية.
مشغّل المضيف. من يملك الجهاز الفعلي يملك صلاحيات root عليه. في سوق حاويات مثل Vast.ai، يعمل العملاء في حاويات Docker بلا صلاحيات مميزة، وهذا يعزلك عن المستأجرين الآخرين لا عن المضيف: صلاحيات root على المضيف تستطيع قراءة ملفات الحاوية وذاكرتها. هكذا تعمل الحاويات على كل منصة.
مسار الشبكة. البيانات المنتقلة من حاسوبك المحمول أو حاوية التخزين (bucket) إلى العقدة. هذا أسهل مسار يمكن إغلاقه.
منصة السوق. الشركة التي تقف بينك وبين المضيف تحتفظ بحسابك ومفاتيح SSH الخاصة بك وكل ما تحفظه سجلاتها. وما يحق لها فعله بها تحدده شروطها، ولهذا يهم قسم العقود أدناه.
بقايا القرص. الملفات التي تحذفها قد تبقى على القرص بعد انتهاء استئجارك، حيث يمكن أن يجدها المستأجر التالي أو المضيف.
اللقطات ووحدات التخزين الدائمة. النسخ التي طلبتها (وحدة تخزين شبكية، مثيل متوقف) أو التي أنشأها المضيف (نسخ احتياطية) تعيش بعد انتهاء المهمة.
المستأجرون الآخرون. عملاء آخرون على الجهاز نفسه. مع العزل بآلة افتراضية أو جهاز كامل لك وحدك يكون هذا الخطر صغيراً، لكن وحدات GPU شهدت ثغرات حقيقية هنا. سمحت ثغرة LeftoverLocals (CVE-2023-4969) لعملية بقراءة الذاكرة المحلية لـ GPU الخاصة بعملية أخرى على بعض وحدات GPU من Apple وAMD وQualcomm؛ واستعادت Trail of Bits نحو 181 MB لكل استعلام لنموذج لغوي على AMD Radeon RX 7900 XT، وهو ما يكفي لإعادة بناء إجابة النموذج. ولم تجد Trail of Bits أثراً لها على وحدات GPU من NVIDIA أو ARM أو Intel.
ما تتركه خلفك. توكن Hugging Face، أو مفاتيح سحابية، أو مفتاح SSH خاص تُرك على العقدة. عملياً، هكذا تبدأ معظم التسريبات.
ما يغطيه التشفير، وما لا يستطيع تغطيته
للتشفير ثلاث مهام، وGPU المستأجر يتيح لك أداء اثنتين منها بنفسك.
أثناء النقل: سهل. استخدم SSH (scp أو sftp أو rsync -e ssh) أو HTTPS من حاوية تخزين. تصرّح Vast.ai بأن اتصالات SSH والـ API الخاص بها مشفّرة. لا تستخدم أبداً روابط HTTP عادية أو خدمات مشاركة ملفات بلا مصادقة.
أثناء التخزين: شفّر قبل الرفع ليصبح الملف على قرص المضيف عديم الفائدة دون المفتاح. age هي أبسط أداة لذلك:
# on your own machine
tar -cf - train/ | age -p > train.tar.age
scp -P 22345 train.tar.age [email protected]:/workspace/على العقدة، فك التشفير مباشرة إلى الذاكرة حتى لا يلمس النص غير المشفّر القرص أبداً:
mkdir -p /dev/shm/train
age -d /workspace/train.tar.age | tar -xf - -C /dev/shm/trainيطلب age -d عبارة المرور في الطرفية، فلا يُكتب المفتاح على العقدة أبداً. و/dev/shm نظام ملفات مدعوم بذاكرة RAM؛ افحص حجمه أولاً بـ df -h /dev/shm، لأن إعدادات الحاويات كثيراً ما تجعله صغيراً. إذا لم تتسع البيانات في RAM، فستحتاج إلى نسخة مفكوكة التشفير على القرص، ويصبح قسم التنظيف أدناه أهم.
التشفير الكامل للقرص باستخدام LUKS هو الحل المعتاد على خوادمك الخاصة، لكنك عموماً لا تستطيع إعداد dm-crypt داخل حاوية بلا صلاحيات مميزة، والمضيف سيملك المفتاح أثناء التشغيل على أي حال.
أثناء الاستخدام: هنا الفجوة. للتدريب، يحتاج GPU إلى موتّرات غير مشفّرة، وذاكرة المعالج التي تغذّيه تحمل نصاً غير مشفّر أيضاً. من يملك صلاحيات root على المضيف يستطيع مبدئياً تفريغ تلك الذاكرة. التشفير أثناء التخزين لا يفعل شيئاً أمام مضيف عدائي والجهاز يعمل. وحدها الحوسبة السرية القائمة على العتاد تعالج ذلك.
Secure Cloud أم Community Cloud
لأن المضيف هو الخطر الوحيد الذي لا تزيله النظافة التشغيلية، فاختيار المضيف أكبر قرار تتخذه. ولهذا السبب يقسّم السوقان الكبيران ما يعرضانه.
| الخيار | من يشغّل العتاد | ما تقوله المنصة |
|---|---|---|
| RunPod Secure Cloud | مراكز بيانات من الفئة T3/T4 | لـ “بيئات الإنتاج والبيانات الحساسة” |
| RunPod Community Cloud | مزوّدون من نظير إلى نظير | لـ “أحمال العمل الحساسة للتكلفة”؛ لا تقبل مضيفين جدداً |
| Vast.ai Secure Cloud | مراكز بيانات خضعت للتدقيق | ISO 27001، معايير الفئة 3/4، أمان مادي موثّق |
| مضيفو Vast.ai الآخرون | من مراكز البيانات إلى الأفراد | المضيفون الأفراد “قد تكون لديهم إجراءات أمنية أقل رسمية” |
نصيحة Vast.ai نفسها للبيانات الحساسة هي الاقتصار على مزوّدي Secure Cloud، وتشفير البيانات أثناء التخزين، وإبقاء بيانات الاعتماد بعيداً عن المثيلات، واستخدام إدارة مفاتيح خارجية. وهذا يطابق ما أقوله لأي شخص.
هناك حدّان ينطبقان حتى في مركز بيانات معتمد. أولاً، شهادة ISO 27001 تعتمد إجراءات المشغّل؛ ولا تستطيع استبعاد موظف داخلي غير أمين. ثانياً، المضيف الذي يعالج بيانات شخصية لصالحك جهة معالجة بموجب GDPR، والمادة 28 تتوقع عقداً يغطي ذلك، بينما يقف السوق بينك وبين المضيف. اقرأ مع أي شركة تتعاقد فعلاً وما الذي تعد به بشأن مضيفيها.
للعمل الحساس حقاً، الخطوة التالية مثيل GPU في حساب لدى مزوّد سحابي كبير بينك وبينه DPA وربما BAA أصلاً، وهذا يُخرجك من نطاق الأسواق ويكلّف أكثر في الساعة. تُظهر مقارنة أسعار استئجار GPU نطاقات الأسعار.
الحوسبة السرية على وحدات H100
الحوسبة السرية (CC) هي التقنية الوحيدة هنا المصمّمة لحماية البيانات من مشغّل المضيف أثناء عمل المهمة. على وحدات GPU لمراكز البيانات من NVIDIA بمعماريتي Hopper وBlackwell، يعمل الإعداد هكذا:
- يعمل حمل العمل في آلة افتراضية سرية (CVM) مدعومة بتقنية AMD SEV-SNP أو Intel TDX على المعالج. يفترض تصميم NVIDIA أن الـ hypervisor ونظام تشغيل المضيف قد يكونان مخترقين؛ والمشغّل الذي يملك وصولاً إلى الـ hypervisor “أو حتى إلى النظام نفسه” ينبغي ألا يستطيع قراءة ذاكرة الـ CVM.
- قبل الاستخدام، تتحقق الآلة الافتراضية من أن GPU أصلي ويعمل في وضع CC بشهادة جهاز موقّعة، يمكن التحقق منها عبر خدمة NVIDIA للتصديق عن بُعد (NRAS).
- البيانات ومخازن الأوامر ونوى CUDA التي تعبر PCIe تُشفَّر وتُوقَّع، وتمر عبر مخزن وسيط مشفّر (bounce buffer) في الذاكرة المشتركة.
أتاحت NVIDIA الحوسبة السرية على GPU واحد من نوع H100 للجميع مع CUDA 12.4 في أبريل 2024. وهذه الأماكن التي تستطيع استئجارها فيها فعلاً حتى سبتمبر 2026:
| السحابة | المثيل | GPU | بيئة التنفيذ الموثوقة للمعالج |
|---|---|---|---|
| Azure | NCCads H100 v5 | 1 × H100 NVL، 94 GB | AMD SEV-SNP (EPYC Genoa) |
| Google Cloud | a3-highgpu-1g، Confidential VM | 1 × H100 | Intel TDX |
| Google Cloud | g4-standard-48، Confidential VM | RTX PRO 6000 | AMD SEV |
اعرف الحدود قبل أن تبني عليها:
- GPU واحد لكل آلة افتراضية. سلسلة Azure فيها GPU واحد، وآلات Google الافتراضية السرية ذات GPU لا تدعم عناقيد متعددة العقد. جولات التدريب الكبيرة متعددة GPU خارج الحساب.
- التوفير. على Google Cloud، لا تعمل A3 High السرية إلا بنظام Spot أو flex-start ولا تدعم الحجوزات.
- سرعة النقل. قدّر تقرير NVIDIA التقني في 2023 عرض النطاق بين المعالج وGPU في وضع CC بنحو 4 GB/s، مقيّداً بتشفير المعالج. تحميل نقطة حفظ بحجم 16 GB يستغرق إذن نحو 16 ÷ 4 = 4 ثوانٍ من النقل الصافي، وهذا مقبول للاستدلال، لكن خط بيانات ينقل غيغابايتات كثيرة في كل خطوة سيشعر بالفرق. تذكر إصدارات التعريفات اللاحقة تحسينات في الأداء، فقِس مهمتك بنفسك.
- ذاكرة GPU غير مشفّرة. تترك NVIDIA ذاكرة HBM المدمجة في الحزمة غير مشفّرة، على أساس أن أدوات الهجوم المادي الشائعة لا تصل إليها.
- ليست في الأسواق. بطاقات GeForce الاستهلاكية الشائعة لدى مضيفي Vast.ai ومضيفي مجتمع RunPod ليست في أي من هذه القوائم المدعومة.
الحوسبة السرية تغيّر من يجب أن تثق به: عتاد NVIDIA وخدمة التصديق لديها، ومورّد المعالج، وصورة الآلة الافتراضية الخاصة بك، بدلاً من موظفي المضيف. للبيانات الخاضعة للتنظيم حيث تهم إجابة “مسؤولو مزوّد السحابة لا يستطيعون قراءتها”، هي الخيار الوحيد على عتاد مستأجر الذي يوصلك إلى ذلك.
قبل المهمة وأثناءها
قلّل البيانات قبل أن ترفعها
أرخص حماية هي البيانات التي لا تغادر جهازك أبداً. قبل النقل:
- احذف الأعمدة التي لا يحتاج إليها النموذج، خصوصاً الأسماء وعناوين البريد وأرقام الحسابات والملاحظات النصية الحرة.
- استبدل المعرّفات المباشرة برموز عشوائية واحتفظ بجدول الربط عندك.
- اقتطع البيانات إلى ما يحتاج إليه الأسلوب. الضبط الدقيق بـ LoRA أو QLoRA يعدّل مجموعة صغيرة من الأوزان الإضافية ونادراً ما يحتاج إلى قاعدة بيانات إنتاج كاملة؛ ويمر دليل الضبط الدقيق على إعداد واقعي.
- تذكّر أن أوزان النموذج تحمل معلومات. النموذج المضبوط على نص حساس قد يكرر أجزاء منه، فعامل المحوِّل (adapter) على أنه حساس أيضاً.
البيانات المُزالة الهوية هي أيضاً ما يجعل معظم الأسئلة القانونية أدناه تختفي.
بيانات الاعتماد والشبكة على العقدة
افترض أن كل ما تضعه على العقدة قابل للنسخ.
- استخدم توكن Hugging Face دقيق الصلاحيات (fine-grained) بصلاحية قراءة للمستودع الوحيد الذي تحتاج إليه، وألغِه عند انتهاء المهمة.
- لا تنسخ أبداً مفتاح SSH الخاص الرئيسي، أو بيانات اعتماد root السحابية، أو كلمات مرور قاعدة بيانات الإنتاج إلى جهاز مستأجر. إذا كان على المهمة كتابة النتائج في حاوية تخزين، فأنشئ مفتاحاً لا يستطيع إلا الكتابة في بادئة (prefix) واحدة وتنتهي صلاحيته خلال يوم.
- اسحب النتائج عبر SSH بدلاً من دفعها من العقدة بمفاتيح طويلة الأجل.
- افحص ما يستمع على المنافذ بـ
ss -tulnp. اربط Jupyter وTensorBoard وخوادم الاستدلال بـ127.0.0.1وصِل إليها عبر نفق SSH (ssh -L 8888:127.0.0.1:8888 ...) بدلاً من فتح منفذ عام.
تنظيف يصمد على الأقراص الحديثة
النصيحة المعتادة أن تستخدم shred على مجموعة البيانات عند الانتهاء. لكنه لا يفعل ما يظنه الناس. يقول دليل GNU coreutils إن shred يعتمد على أن نظام الملفات والعتاد يكتبان فوق البيانات في مكانها، ويعدّد الحالات التي يفشل فيها ذلك: أنظمة الملفات ذات السجل أو المهيكلة كسجل مثل ext4 في وضع data=journal وBtrfs وXFS وZFS، ومصفوفات RAID، وأنظمة الملفات التي فيها لقطات، وأنظمة الملفات المضغوطة، وأقراص SSD التي تكتب البيانات الجديدة في مكان آخر بسبب موازنة التآكل. وعقدة GPU المستأجرة على الأرجح عدة حالات من هذه في آن واحد.
ما ينجح بدلاً من ذلك:
- اجعل النسخة على القرص بلا قيمة. إذا لم يلمس القرص إلا الأرشيف المشفّر بـ age، فحذفه يكفي؛ دون عبارة المرور هو مجرد ضجيج. ويعامل دليل NIST لتعقيم الوسائط (SP 800-88 Rev. 2، سبتمبر 2025) هذه الفكرة، أي المحو التشفيري، كأسلوب قياسي.
- أتلف، لا توقف. على Vast.ai، إيقاف المثيل يحفظ بياناته (ويستمر في فوترة التخزين)؛ أما إتلافه “فيحذف المثيل وكل البيانات نهائياً”. وعلى RunPod، يُمسح قرص الحاوية عندما يتوقف الـ Pod، ووحدة التخزين
/workspaceتبقى بعد الإيقاف وتُحذف عند الإنهاء، ووحدة التخزين الشبكية تبقى بعد كل شيء حتى تحذفها. - احذف وحدات التخزين الشبكية التي أنشأتها. فهي مصمّمة لتعيش بعد الـ Pods.
- ألغِ ما استخدمته. توكن Hugging Face، ومفاتيح حاوية التخزين، وأزل أي مفتاح SSH عام لمرة واحدة أضفته إلى السوق لهذه المهمة.
كيف يمسح المضيف الأقراص بين المستأجرين أمر لا تصفه وثائق الأسواق التي قرأتها. خطّط كأنه لا يحدث، والخطوة 1 تحميك في الحالتين.
العقود واللوائح التنظيمية
الضوابط التقنية أقل أهمية من حقيقة قانونية واحدة: وضع البيانات على جهاز شخص ما يجعله طرفاً فيها.
- GDPR. مضيف GPU الذي يعالج بيانات شخصية لصالحك جهة معالجة. والمادة 28 تشترط جهة تقدّم “ضمانات كافية” وعقداً ملزماً. مضيف من نظير إلى نظير لم توقّع معه شيئاً لا يستوفي ذلك، وقد يكون الجهاز خارج الاتحاد الأوروبي. أزل الهوية من البيانات، أو استخدم مزوّداً يوقّع DPA.
- HIPAA. تقول HHS إن مزوّد الخدمة السحابية الذي يخزّن بيانات صحية إلكترونية شريك أعمال حتى لو كانت البيانات مشفّرة وليس لديه المفتاح. تشفير السجلات الصحية قبل إرسالها إلى مضيف لم يخضع للتدقيق لا يلغي الحاجة إلى BAA.
- عقود عملائك. كثير من اتفاقيات المؤسسات تقيّد الجهات المعالجة الفرعية وموقع البيانات. راجعها قبل أول رفع. التعرّض القانوني كثيراً ما يكون أكبر من التعرّض التقني.
ويتناول المقال المرافق عن لماذا تقيّد الشركات أدوات الذكاء الاصطناعي العامة القواعد نفسها من جهة المحادثة.
الاستدلال على GPUFlow: مقايضة مختلفة
GPUFlow ليس مكاناً تضع فيه مجموعة بيانات. إنه سوق للاستدلال: تستأجر GPU بالساعة وتحصل على مفتاح API متوافق مع OpenAI (عنوان الأساس https://gpuflow.app/v1) للنموذج المفتوح الذي يشغّله مزوّد (عادةً باستخدام Ollama) على كمبيوتره الخاص. لا يوجد SSH ولا سطر أوامر ولا وصول إلى الملفات، ولا يمكنك التدريب أو إجراء الضبط الدقيق عليه. لا شيء مما ترفعه يبقى على قرص المزوّد، لأنك لا تستطيع رفع أي شيء.
هذا يزيل مشكلات القرص وبيانات الاعتماد في هذا الدليل. لكنه لا يزيل مشكلة المضيف. كل موجّه وكل إجابة يمران عبر جهاز المزوّد نصاً غير مشفّر طوال مدة الاستئجار. تمنع شروط GPUFlow المزوّدين من تسجيلها أو قراءتها أو الاحتفاظ بها أو مشاركتها، وGPUFlow نفسه لا يخزّن النص، لكن المزوّد يملك صلاحيات root على الجهاز، فالقاعدة مفروضة بالعقد فقط. وإذا مرّرت مجموعة بيانات عبره سجلاً في كل موجّه، فكل سجل يصل إلى ذلك الكمبيوتر.
لذا استخدمه للبيانات العامة أو الاصطناعية أو المُزالة الهوية كما ينبغي، ولاختبار نموذج مفتوح أو تطبيق على API بنمط OpenAI. أبقِ السجلات الخاضعة للتنظيم والسرية على عتادك الخاص، أو لدى مزوّد بينك وبينه عقد، أو على آلة افتراضية سرية. ويقول البدء السريع مع API الشيء نفسه في سطر واحد: لا ترسل كلمات مرور أو أرقام بطاقات أو أي أسرار أخرى لن تشاركها مع شخص غريب. والترتيب نفسه من جهة المزوّد موجود في هل تأجير GPU الخاص بك آمن.
قائمة التحقق
قبل:
- حدّد فئة البيانات. البيانات الخاضعة للتنظيم أو السرية الخاصة بالعملاء تذهب إلى مزوّد متعاقد معه أو إلى آلة افتراضية سرية، لا إلى مضيف مجتمعي.
- قلّل البيانات وأزل الهوية منها.
- شفّر بـ age؛ وأبقِ عبارة المرور بعيداً عن العقدة.
أثناء:
- فك التشفير إلى
/dev/shmإن اتسعت البيانات فيه. - رموز وصول محدودة الصلاحيات وقصيرة الأجل فقط.
- خدمات مربوطة بـ localhost، يُوصل إليها عبر أنفاق SSH.
بعد:
- اسحب النتائج عبر SSH؛ وعامل الأوزان المضبوطة على أنها حساسة.
- أتلف المثيل وأي وحدات تخزين شبكية.
- ألغِ رموز الوصول والمفاتيح المؤقتة.
المصادر
- عزل الحاويات وSecure Cloud على Vast.ai: الأسئلة الشائعة عن الأمان في Vast.ai؛ الإيقاف مقابل الإتلاف: إدارة المثيلات
- RunPod Secure مقابل Community Cloud: اختيار Pod؛ استمرارية التخزين: أنواع التخزين
- LeftoverLocals: Trail of Bits، يناير 2024
- age: github.com/FiloSottile/age
- حدود shred: دليل GNU coreutils، استدعاء shred
- NIST SP 800-88 Rev. 2: إعلان NIST، سبتمبر 2025
- تصميم الحوسبة السرية على H100: NVIDIA، الحوسبة السرية على وحدات H100 لذكاء اصطناعي آمن وجدير بالثقة؛ الإتاحة العامة: NVIDIA، أبريل 2024
- Azure: سلسلة NCCads H100 v5
- Google Cloud: الإعدادات المدعومة لـ Confidential VM، إنشاء مثيل Confidential VM مع GPU
- المادة 28 من GDPR: gdpr-info.eu
- HIPAA ومزوّدو الخدمات السحابية: HHS، إرشادات بشأن HIPAA والحوسبة السحابية
- GPUFlow: البدء السريع مع API، ما يمكن للمستأجرين الوصول إليه وما لا يمكنهم، الشروط، سياسة الخصوصية
راجعناها كلها في سبتمبر 2026.