NVIDIA 컨피덴셜 컴퓨팅, 베어메탈로 AI 모델 보호

NVIDIA가 발표한 컨피덴셜 베어메탈

NVIDIA는 NVIDIA Confidential Computing의 새 배포 옵션으로 Confidential Bare Metal을 발표했다. 이 옵션의 핵심은 프론티어 모델 빌더가 전용 제3자 인프라에서 민감한 워크로드를 실행하되 모델과 데이터에 대한 통제권을 계속 유지하도록 하는 데 있다. 원문은 이번 조치를 전 세계 인프라로 안전하게 확장하기 위한 행보로 설명한다. 여기서 중요한 점은 보안 기능을 별도 제품으로 추가하는 것이 아니라, 이미 제시된 컨피덴셜 컴퓨팅 체계 안에서 배포 방식 자체를 넓힌다는 데 있다.

회사가 강조한 운영상 특징은 고객이 베어메탈 인스턴스에서 호스트와 플랫폼 인프라 소프트웨어를 포함한 자체 소프트웨어 스택을 소유·운영할 수 있다는 점이다. 이는 고객이 제공자의 관리 계층에 모든 것을 맡기는 방식과 구별된다. 대상 환경은 제3자 클라우드, 네오클라우드, 기업 인프라의 NVIDIA 가속 컴퓨팅이다. 따라서 모델 빌더는 학습과 추론을 외부 인프라에서 수행하더라도, 어떤 소프트웨어를 어디까지 직접 운영할지 선택할 여지를 갖게 된다.

이를 뒷받침하기 위해 전송 중 데이터 보호, 플랫폼 무결성 측정, 하드웨어 수준 접근 제한을 제공하는 새 플랫폼 보안 제어도 함께 소개됐다. 이 세 가지는 각각 데이터가 이동하는 구간, 실행 기반이 변조되지 않았는지 확인하는 절차, 그리고 하드웨어에 가해지는 접근을 제한하는 장치로 이해할 수 있다. 발표의 초점은 특정 애플리케이션 하나를 보호하는 데 그치지 않고, 민감한 워크로드가 놓이는 플랫폼 전반의 신뢰 조건을 제시하는 데 있다.

원문에서 이번 확장은 Confidential Computing 자체의 신규 출시라기보다 배포 선택지와 플랫폼 보안 제어의 확장으로 읽힌다. 기존 컨테이너·가상머신 옵션에 베어메탈을 더해 고객이 신뢰 경계와 운영 요구에 맞춰 방식을 고르게 하려는 구성이다. NVIDIA는 이를 프론티어 모델 빌더가 전 세계 인프라에서 민감한 워크로드를 확장하는 경로로 설명한다. 결국 이 발표는 보안 기능의 추가와 배포 방식의 선택지를 동시에 넓히는 방향으로 정리된다.

NVIDIA 보안 인프라의 쟁점

프론티어 모델 빌더의 문제는 규모와 통제가 동시에 필요하다는 점이다. 학습 데이터와 모델 지식재산은 민감하지만, 전 세계적으로 학습·추론 용량을 확보하려면 제3자 클라우드와 네오클라우드를 써야 한다. 인프라 운영자가 하드웨어를 관리하는 환경에서 모델 빌더가 어디까지 신뢰 경계를 설정할 수 있는지가 쟁점이다. 이때 중요한 것은 단순히 데이터를 암호화하는 수준이 아니라, 운영자가 접근할 수 있는 경로와 고객이 통제할 수 있는 경로를 어떻게 구분하느냐이다.

원문 요약은 NVIDIA가 에이전트를 안전하게 대규모 배포하기 위한 OpenShell Reference Architecture도 함께 내놓는다고 설명한다. 컨피덴셜 컴퓨팅은 그 에이전트가 의존하는 모델과 데이터를 실행 중 보호하는 인프라 계층으로 제시된다. 즉 이번 발표는 단일 보안 기능보다 모델·데이터·에이전트를 아우르는 인프라 신뢰 문제를 겨냥한다. 에이전트가 외부 도구와 연결될수록 보호 대상은 모델 파일 하나에 그치지 않고, 실행 환경과 그 환경이 참조하는 데이터까지 넓어진다.

경쟁 구도에서는 클라우드와 네오클라우드가 고가치 AI 워크로드를 유치하려면 보안 인증과 통제권을 내세워야 한다. 모델 빌더는 특정 인프라에 종속되지 않고 지역·주권·운영 옵션을 넓히려 하므로, 제공자 입장에서는 컨피덴셜 베어메탈 지원 여부가 영업 조건이 된다. 반대로 모델 빌더는 보안 기능을 얻는 대신 제공자의 운영 개입과 관리 책임 범위를 다시 따져야 한다. 지원 여부가 같아 보여도 누가 키를 관리하고 누가 무결성을 검증하며 장애 시 책임을 어떻게 나누는지에 따라 실제 신뢰 수준은 달라질 수 있다.

따라서 이 쟁점은 기술 기능의 유무만으로 정리되지 않는다. 모델 빌더는 학습·추론을 외부 인프라에서 실행하면서도 모델과 데이터의 통제권을 유지하려 하고, 인프라 제공자는 보안성을 차별화 요소로 제시하려 한다. 양쪽의 요구가 만나는 지점에서 컨피덴셜 베어메탈은 선택지가 되지만, 동시에 운영 책임과 검증 책임을 어디에 둘지에 대한 협의가 필요하다. 발표는 이 협의의 출발점을 제시한 것으로 해석된다.

이전과 달라진 NVIDIA 보안 경계

이전의 컨피덴셜 컴퓨팅은 Kubernetes 환경을 위한 Confidential Containers와 가상화 환경을 위한 Confidential Virtual Machines를 중심으로 설명됐다. 이번 발표로 NVIDIA Confidential Computing은 베어메탈을 포함한 세 가지 배포 옵션을 갖춘 수렴형 보안 아키텍처로 정리된다. 고객은 신뢰 경계와 운영 요구에 맞춰 컨테이너, 가상머신, 베어메탈 중 하나를 고를 수 있다. 이는 보안 기능을 하나의 고정된 형태로 제공하는 대신, 워크로드의 운영 방식에 따라 보호 경계를 선택하게 하는 접근이다.

기술적 기반은 하드웨어에 뿌리를 둔 격리와 암호화 증명이다. NVIDIA는 이 방식이 실행 중 모델과 데이터를 보호하는 데 쓰인다고 밝혔다. 여기서 격리는 워크로드가 다른 주체의 간섭에서 벗어나도록 하는 조건을 뜻하고, 암호화 증명은 실행 환경이 기대한 상태인지 확인하는 절차로 이해할 수 있다. 이 두 요소가 함께 제시될 때 보안은 단순한 접근 차단이 아니라, 실행 기반의 신뢰를 확인하는 문제로 확장된다.

지원 범위도 NVIDIA Grace Blackwell NVL72와 x86 기반 NVIDIA HGX Rubin NVL8, NVIDIA DGX Rubin NVL8로 확장되며, NVIDIA DSX OS는 모든 컨피덴셜 컴퓨팅 모드를 지원하는 참조 아키텍처로 통합된다. 이는 특정 하드웨어 한 종류에만 보안 모드를 붙이는 것이 아니라, 여러 시스템 구성에서 같은 보안 방향성을 제공하려는 움직임으로 읽힌다. 고객 입장에서는 인프라 선택과 보안 모드 선택을 함께 고려해야 하는 폭이 넓어진 셈이다.

이 변화는 AI 팩토리를 짓는 클라우드 제공자에게도 적용된다. NVIDIA DSX OS가 모든 컨피덴셜 컴퓨팅 모드를 지원하고 참조 아키텍처로 통합된다는 점은, 보안 워크로드용 AI 팩토리 구축의 소프트웨어 기반을 NVIDIA가 제시하려는 움직임으로 해석할 수 있다. 원문에 직접 언급은 없지만, 이는 하드웨어뿐 아니라 운영 소프트웨어 계층까지 생태계를 묶으려는 전략으로 보인다. 따라서 이번 발표는 배포 옵션 확대와 함께 보안 경계를 운영 계층까지 일관되게 가져가려는 시도로 정리된다.

NVIDIA 컨피덴셜 베어메탈 적용 범위

실제 적용처는 민감한 학습과 추론이다. Cohere는 Confidential Bare Metal을 Cohere Model Vault에 통합할 계획이며, NVIDIA 컨피덴셜 컴퓨팅의 신뢰 실행 환경을 GPU까지 확장해 실행 중 메모리와 인터커넥트 구간의 모델·데이터를 보호하려 한다. Cohere CTO 필 블런섬은 기업이 안전한 추론 플랫폼을 신뢰한다는 취지의 발언을 원문에서 밝혔다. 이 사례는 모델 제공자가 자체 서비스에 컨피덴셜 베어메탈을 결합해, 외부 인프라에서 추론을 제공하면서도 보호 범위를 넓히려는 방향을 보여준다.

Google Cloud는 NVIDIA GB300 NVL72 기반 A4X Max 인스턴스로 Confidential Bare Metal 지원을 확장한다. 이는 비가상화 NVIDIA 가속 컴퓨팅과 학습 데이터·모델 지식재산에 대한 암호화 보호를 결합하는 구성이다. 가상화 계층을 두지 않는 환경에서 보안 모드를 제공한다는 점은, 고객이 직접 운영하는 소프트웨어 스택과 하드웨어 가속을 함께 고려해야 함을 뜻한다. 따라서 이 지원은 단순한 인스턴스 추가가 아니라 보안과 운영 방식의 조합을 제시하는 사례로 볼 수 있다.

인프라 제공자로는 CoreWeave, Firmus, GMI Cloud, Google Cloud, IREN, Lambda, Microsoft Azure Infrastructure, Nebius, Nscale, Vultr가 지원 목록에 이름을 올렸고, Cisco, Dell Technologies, HPE, Lenovo, Supermicro, Bull 등 시스템 파트너도 NVIDIA-Certified Systems로 지원한다. 이 목록은 클라우드 사업자와 시스템 제조사가 같은 보안 방향을 공유한다는 점을 보여준다. 다만 목록에 이름을 올린 것과 실제 고객이 쓸 수 있는 서비스가 준비된 것은 구분해서 봐야 한다.

이번 발표는 특정 모델이나 서비스 가격을 공개한 것이 아니라 모델 빌더가 쓸 수 있는 인프라 선택지를 넓힌 것이다. Confidential Bare Metal은 고객이 베어메탈 인스턴스에서 자체 소프트웨어 스택을 운영할 수 있게 하므로, 호스트와 플랫폼 소프트웨어까지 직접 통제해야 하는 조직에 맞춰져 있다. 원문은 제공자별 지원 시점과 계약 조건을 구체적으로 제시하지 않는다. 그러므로 적용 범위는 확인된 파트너와 워크로드를 중심으로 이해하되, 실제 도입 조건은 별도로 확인해야 한다.

NVIDIA 보안 발표의 반론과 한계

원문은 가격, 제공 지역, 구체적 출시 일정, 성능 오버헤드, SLA를 제시하지 않는다. 따라서 Confidential Bare Metal이 곧바로 모든 규제 요건을 충족하거나 모든 클라우드에서 같은 조건으로 제공된다고 해석할 근거는 없다. 특히 암호화 증명의 범위, 키 관리 방식, 감사 로그, 멀티테넌시 환경의 위협 모델은 별도 확인이 필요하다. 보안 기능이 있다는 사실과 그 기능이 특정 규제 환경에서 충분히 검증됐다는 사실은 다른 문제이기 때문이다.

Google Cloud 관계자의 최상위 서빙 성능이라는 표현도 원문에 수치나 벤치마크가 붙지 않은 벤더 발언이다. Cohere와 Google Cloud의 보호 설명 역시 하드웨어 수준 보안을 강조하지만, 실제 성능 비용과 운영 편의성은 도입 조건에 따라 달라질 수 있다. 원문에 직접 언급은 없지만, 베어메탈은 고객이 소프트웨어 스택을 직접 운영해야 하므로 관리 부담이 컨테이너·가상머신보다 커질 수 있다. 이 점은 보안 효과와 별개로 운영 조직의 역량을 요구하는 부분이다.

또한 컨피덴셜 컴퓨팅은 인프라 운영자로부터 모델과 데이터를 보호하는 기술이지만, 고객 애플리케이션 내부의 취약점이나 모델 자체의 오남용까지 막는 것은 아니다. 원문은 하드웨어 수준 접근 제한과 증명을 강조하지만, 어떤 공격 모델을 어디까지 차단하는지는 설명하지 않는다. 도입 조직은 보안 효과를 인프라 계층과 애플리케이션 계층으로 나눠 평가해야 한다. 인프라 계층의 보호가 애플리케이션 계층의 안전성을 자동으로 보장하지 않는다는 점도 함께 고려해야 한다.

따라서 이번 발표를 도입 검토로 연결하려면 보안 주장과 운영 조건을 분리해 확인해야 한다. 하드웨어 격리와 암호화 증명이 어느 범위에서 작동하는지, 고객이 직접 운영하는 스택과 제공자의 관리 영역이 어디서 만나는지, 장애와 감사에 대한 책임이 어떻게 나뉘는지가 핵심이다. 원문이 제시하지 않은 조건을 추정하지 않고 확인 항목으로 남겨두는 것이 타당하다. 이 한계를 명확히 해야 발표의 의미와 실제 적용 가능성을 함께 평가할 수 있다.

앞으로 확인할 NVIDIA 컨피덴셜 컴퓨팅

다음 분기에는 이름이 오른 인프라 제공자들이 실제로 언제, 어느 지역에서 Confidential Bare Metal을 제공하는지 확인해야 한다. Cohere Model Vault 통합과 Google Cloud A4X Max 지원이 계획 단계를 넘어 실제 서비스로 이어지는지도 관찰 지점이다. NVIDIA DSX OS가 모든 컨피덴셜 컴퓨팅 모드를 지원한다는 설명이 운영 환경에서 어떻게 구현되는지도 봐야 한다. 발표의 범위가 넓은 만큼, 파트너별로 같은 기능이 동일한 조건과 절차로 제공되는지 비교하는 작업이 필요하다.

보안 측면에서는 하드웨어 격리와 암호화 증명이 GPU 메모리와 인터커넥트까지 어느 범위에서 검증되는지, 독립 감사나 인증 자료가 나오는지가 관찰 지점이다. 원문에 직접 언급은 없지만, 가격과 성능 오버헤드 공개 여부는 도입률을 가를 신호가 될 수 있다. 시스템 파트너의 NVIDIA-Certified Systems 출하와 지원 범위도 공급 확대의 지표다. 보안 설명이 실제 검증 자료와 운영 수치로 뒷받침되는지가 다음 단계의 판단 기준이 된다.

또 하나의 신호는 생태계 파트너 목록이 실제 제품 출하와 고객 사례로 이어지는지다. CoreWeave, Lambda, Nebius, Nscale 같은 네오클라우드와 Microsoft Azure Infrastructure, Google Cloud 같은 대형 사업자가 같은 보안 모드를 어떤 조건으로 제공하는지 비교할 필요가 있다. 원문에 직접 언급은 없지만, 이런 비교가 나와야 Confidential Bare Metal이 발표용 기능을 넘어 운영 표준으로 자리 잡는지 판단할 수 있다. 제공자별 지원 시점과 지역, 계약 조건이 공개되면 모델 빌더의 선택 기준도 더 분명해질 것이다.

종합하면 앞으로 확인할 것은 기능의 존재 여부가 아니라 운영 가능성이다. 인프라 제공자가 실제 서비스를 시작하는지, Cohere와 Google Cloud의 계획이 구체적인 고객 사용으로 이어지는지, DSX OS 기반의 참조 아키텍처가 현장에서 재현되는지가 핵심이다. 동시에 보안 검증 자료와 비용·성능 조건이 공개되는지도 함께 봐야 한다. 이런 확인이 쌓여야 컨피덴셜 베어메탈이 선택지로서의 의미를 넘어 실제 운영 표준으로 자리 잡는지 판단할 수 있다.

자주 묻는 질문

관련 기사

• 엔비디아, 앤트로픽 클로드 데이터센터 대출 보증 검토
• 엔비디아 RTX Spark 노트북, AI 에이전트·게임 기능 확대
• 엔비디아 코스모스, 월드모델 학습·평가·배포 도구 확장
• 챗GPT 이후 오픈모델로 유럽 유통 바꾸는 엔비디아

출처

NVIDIA 원문

원문 확인 2026-10-21