On-Device Agent និងភាគលាភឯកជនភាព៖ ហេតុអ្វី Local មិនទាន់ Private

យើងបានអះអាងក្នុង Agent លើ Workstation តែមួយ ថាការសន្មតថា agent សរសេរកូដដែលមានសមត្ថភាពត្រូវការ cloud API កំពុងបែកបាក់ស្ងាត់ៗ — open-weight model បានល្អគ្រប់គ្រាន់ និងតូចគ្រប់គ្រាន់ដើម្បី run agent ជិត frontier លើ workstation តែមួយ ជាកន្លែងដែល “ទិន្នន័យមិនដែលចេញពីអគារ”។ Post នោះអំពី ហេតុអ្វី on-device ឥឡូវនេះជារឿងពិត។ Post នេះអំពីសំណួរមុតស្រួចជាងដែលលាក់នៅក្នុងការអបអរ៖ ពេលអ្នក run agent នៅ local តើការធានាឯកជនភាពច្បាស់ៗជាអ្វី — ហើយវាជាការធានាប្រឆាំងនឹងអ្នកណា?

ការ pitch សម្រាប់ on-device agent ស្ទើរតែតែងតែត្រូវដាក់ស៊ុមជា ភាគលាភឯកជនភាព៖ រក្សា inference នៅ local ហើយ prompt របស់អ្នក ឯកសាររបស់អ្នក និង secret របស់អ្នកមិនដែលឆ្លងកាត់ wire ទៅ server របស់អ្នកដទៃ។ នោះជាការពិត ហើយវាសំខាន់។ ប៉ុន្តែវាស្ងាត់ៗ equate ការអះអាងពីរផ្សេងគ្នា។ „Local” មានន័យថា byte មិនចេញពីម៉ាស៊ីន។ „Private” មានន័យថាគ្មាន untrusted party ណាអាចអាន ឬលួងលោមវាបាន។ លើ device ដែលអ្នកគ្រប់គ្រងទាំងស្រុង ការអះអាងទាំងពីរនោះដួលរលំទៅជាមួយ។ លើ device ដែល run software ផ្សេង ដឹកជូនអតិថិជន អង្គុយក្នុងការិយាល័យសាខា ឬត្រូវកាន់ដោយ contractor ពួកវាបែកគ្នា — ហើយគម្លាតនោះច្បាស់ៗជាកន្លែងដែលការងារ ២០២៦ គួរឱ្យចាប់អារម្មណ៍រស់នៅ។

ភាគលាភដែលគ្រប់គ្នាសន្មត — និងគម្លាតនៅក្រោមវា

ចាប់ផ្ដើមជាមួយអ្វីដែល on-device ពិតជាទិញឱ្យអ្នក។ គ្មានវិក្កយបត្រ per-token ប្រតិបត្តិការ offline គ្មាន third-party logging ហើយផ្ទៃតូចជាងច្រើនសម្រាប់ការបរាជ័យឯកជនភាពដ៏គួរឱ្យធុញបំផុតក្នុងចំណោមទាំងអស់៖ ទិន្នន័យអង្គុយក្នុង cloud របស់អ្នកដទៃ។ សម្រាប់ clinic ធនាគារ ឬការិយាល័យរដ្ឋាភិបាលដែលកាន់កំណត់ត្រាប្រជាពលរដ្ឋ „model run នៅទីនេះ” ជាការកែលម្អពិតប្រាកដ និងមានន័យតាមផ្លូវច្បាប់ លើស „model run ក្នុង datacenter ដែលយើងមិនគ្រប់គ្រង”។

ប៉ុន្តែកត់សម្គាល់ threat model ដែលការដាក់ស៊ុមនោះសន្មត៖ វាការពារអ្នកប្រឆាំងនឹង cloud provider និង network។ វាមិននិយាយអ្វីអំពី device ខ្លួនឯងទេ។ ហើយ agent ធ្វើ device ឱ្យជាគោលដៅសម្បូរបែបជាង chatbot ធ្លាប់ធ្វើ។ Agent pipeline ជាការវឹកវរនៃផ្នែកដែលផ្លាស់ទី — runtime ដែល orchestrate ជំហាន inference engine ដែលកាន់ model weights system prompt ដែលអាចជា proprietary សភាព runtime រសើប និង third-party tool ដែល agent ហៅ។ របស់ដែលអ្នកចង់រក្សាជា private បំផុតឥឡូវនេះត្រូវ spread ឆ្លងកាត់ process tree លើម៉ាស៊ីនដែលអាច run untrusted software — ឬគ្រប់គ្រងដោយ user ដែលខ្លួនជា adversary។ User ព្យាបាទលើ device ផ្ទាល់របស់ខ្លួនអាចអាន memory នៃ process ផ្សេង extract model weights ឬ lift system prompt។ „វា run នៅ local” មិនធ្វើអ្វីអំពីណាមួយក្នុងនោះទេ។

នោះជាគម្លាត។ ហើយហេតុផលដែលវាមានតម្លៃ post ទាំងមូលគឺថាការដោះស្រាយជា យន្តការផ្សេង — មិនមែន „បញ្ជូនទិន្នន័យតិចជាង” ប៉ុន្តែ „execute ដោយ confidential”។

យន្តការ៖ confidential execution នៅ edge

សេចក្ដីថ្លែងស្អាតបំផុតនៃការដោះស្រាយក្នុងឆ្នាំ ២០២៦ គឺ AgenTEE: Confidential LLM Agent Execution on Edge Devices (arXiv 2604.18231)។ បុព្វកថារបស់វាច្បាស់ៗជាគម្លាតខាងលើ៖ agent កាន់តែត្រូវ run លើ edge device ដើម្បីកាត់ latency និងកែលម្អ privacy ប៉ុន្តែ „ការ host agent pipeline ស្មុគស្មាញបែបនេះដោយសុវត្ថិភាពលើ edge device នៅតែជាបញ្ហា” ព្រោះ deployment ទាំងនោះ „ត្រូវការពារ proprietary asset (ឧ. system prompt និង model weights) និងសភាព runtime រសើបលើ platform heterogeneous ដែលងាយរងគ្រោះពី software attack និងអាចត្រូវគ្រប់គ្រងដោយ user ព្យាបាទ”។

យន្តការជាផ្នែកគួរឱ្យចាប់អារម្មណ៍។ AgenTEE ដាក់ agent runtime, inference engine, និង third-party application ចូលទៅក្នុង confidential virtual machine (cVM) ដែលត្រូវ attest ដោយឯករាជ្យ ហើយ mediate អន្តរកម្មរបស់ពួកវាតាម „channel ទំនាក់ទំនងច្បាស់លាស់ និងអាច verify”។ វាត្រូវបានសាងសង់លើ Arm’s Confidential Compute Architecture (CCA) ដែលជា hardware extension ដែលឱ្យ device ឆ្លាក់ចេញ region នៃ execution ដែលឯកោ និង encrypt ដែលភាពត្រឹមត្រូវរបស់វាអាចត្រូវ attest តាម cryptography — បង្ហាញឱ្យ remote party — ជាជាងគ្រាន់តែអះអាង។ លទ្ធផលជា system-level isolation នៃ asset រសើប និងសភាព runtime ទោះបី operating system ជុំវិញ ឬ user ជា untrusted។

រឿងពីរធ្វើឱ្យនេះសំខាន់លើសពីអរូបី៖

• Attestation ប្រែការសន្មត trust ទៅជាការអះអាងដែលអាច verify។ គ្មានវា „ទិន្នន័យរបស់អ្នកស្ថិតនៅលើ device ហើយត្រូវកាន់ត្រឹមត្រូវ” ជារបស់ដែលអ្នកជឿដោយជំនឿ។ ជាមួយ hardware attestation វាជារបស់ដែល device អាច បង្ហាញ។ នោះជា move ដូចគ្នាដែលយើងបានកោតសរសើរក្នុង the agent economy needs rails៖ ឈប់បង់ចេញ — ឬជឿ — លើ promise ហើយចាប់ផ្ដើមជឿលើ cryptographic proof។ Confidential computing ជាគោលការណ៍នោះអនុវត្តទៅកន្លែងដែល agent ពិតជា run។
• Overhead តូចគ្រប់គ្រាន់ដើម្បីជារបស់ពិត។ ការជំទាស់ចំពោះ scheme „រុំវាក្នុង enclave” ណាមួយតែងតែជា performance។ ការវាយតម្លៃរបស់ AgenTEE រាយការណ៍ថា multi-cVM system „សម្រេច near-native performance ជាមួយ runtime overhead ក្រោម 5.15% ប្រៀបធៀបនឹង commodity OS multi-process deployment”។ ពន្ធក្រោម 6% សម្រាប់ agent execution ដែល hardware-isolated និង attestable ជាភាពខុសគ្នារវាងរបស់ចង់ដឹងចង់ឃើញនៃ research និងរបស់ដែលអ្នកពិតជានឹង ship។

នេះជាភាគលាភឯកជនភាពដែលថ្លែងច្បាស់លាស់។ វាមិនមែន „ទិន្នន័យស្ថិតនៅ local” ទេ។ វាជា៖ ផ្នែករសើបនៃ agent run នៅក្នុង region ឯកោដែលឥរិយាបថរបស់វាអាចត្រូវបង្ហាញ លើ device ដែលគ្មាននរណាផ្សេង — មិនមែន OS មិនមែន user មិនមែន co-resident process — អាចអានចូលបាន។

ការពារ model មិនមែនត្រឹមតែទិន្នន័យ

មាន asset ទីពីរលើ device ដែលការដាក់ស៊ុមឯកជនភាព naive មិនអើពើទាំងស្រុង៖ model ខ្លួនឯង។ Ship open-weight ឬ fine-tuned model ទៅម៉ាស៊ីនរបស់ user ហើយអ្នកបានប្រគល់ weights ឱ្យ adversary ដែលអាចមាន — ដែលអាច encode proprietary training គែមប្រកួតប្រជែង ឬ fine-tune លើទិន្នន័យរសើប។ ការផ្ទុក model ដ៏មានតម្លៃលើ device របស់ user ដូចអក្សរសិល្ប៍កត់សម្គាល់ស្ងួត „បង្ហាញពួកវាទៅការ extract ដែលអាចមានដោយ adversary”។

យន្តការផ្គូផ្គងនៅទីនេះគឺ Amulet: Fast TEE-Shielded Inference for On-Device Model Protection (arXiv 2512.07495)។ វិធីសាស្ត្រ standard — រក្សា weights នៅក្នុង TEE ហើយ run inference នៅទីនោះ — រត់ត្រង់ចូលជញ្ជាំង៖ trusted memory តូច ដូច្នេះ model ត្រូវ slice និង stream ចូល enclave ម្ដងមួយបំណែក ហើយការទៅមកថេររវាង trusted/untrusted នោះ „បង្កើន inference latency យ៉ាងខ្លាំង ពេលខ្លះតាមលំដាប់នៃ magnitude”។ ល្បិចរបស់ Amulet គឺប្រើ TEE ដើម្បី obfuscate model ម្ដង បន្ទាប់មកផ្ទុក model ដែលបម្លែងទាំងមូលក្នុង untrusted memory ធម្មតា ហើយ run វានៅទីនោះជាមួយ GPU acceleration ដោយមានតែ „interaction overhead តិចបំផុតពីរ round” ក្នុងមួយ request។ ឯកសារផ្ដល់ការ proof information-theoretic ថា obfuscated model មិន leak អ្វីអំពី weights ដើម ហើយរាយការណ៍ inference latency ត្រឹមតែ 2.8–4.8x នៃ model ដែលមិនការពារ — ការ speedup 8–9x លើការ run ទាំងស្រុងនៅក្នុង TEE ជាមួយការបាត់បង់ accuracy តិចតួចឆ្លងកាត់ស្ថាបត្យកម្មពី ResNet-18 ដល់ GPT-2។

ដាក់ AgenTEE និង Amulet ក្បែរគ្នា ហើយអ្នកមានពាក់កណ្ដាលពីរនៃរឿងឯកជនភាព on-device ដែលគួរឱ្យជឿ៖ confidential execution ការពារសភាព runtime និងទិន្នន័យរបស់ user; TEE-backed obfuscation ការពារ weights របស់ model។ ទាំងពីរផ្អែកលើ hardware primitive ដូចគ្នា — trusted execution environment — ហើយទាំងពីរខំការពារ cost របស់វាឱ្យទាបគ្រប់គ្រាន់ដែលអ្នកនឹងជ្រើសវាដោយចេតនា។ នេះជា isolation ជា layer សុវត្ថិភាពដែលទ្រទ្រង់ ដែលជាការសន្និដ្ឋានដូចគ្នាដែលយើងបានឈានដល់សម្រាប់ runtime safety ក្នុង sandboxing the agent៖ ពេលអ្នកមិនអាចជឿបរិស្ថានជុំវិញ អ្នកព្រំដែនអ្វីដែលវាអាចឃើញ និងអ្វីដែលវាអាចបំផ្លាញ។ Confidential computing ជាព្រំដែននោះរុញចុះទាំងស្រុងចូលក្នុង silicon។

អ្វីដែលផ្លាស់ប្ដូរពិត

លទ្ធផលជាក់ស្ដែងជាការអះអាងដែលតឹង និងស្មោះត្រង់ជាងដែលអ្នកអាចធ្វើអំពី on-device agent។ កំណែខ្សោយ — „យើង run នៅ local ដូច្នេះទិន្នន័យរបស់អ្នកមានសុវត្ថិភាព” — ជា marketing line ដែល process ចង់ដឹងតែមួយ ឬ OS ដែលត្រូវលួងលោមអាច falsify។ កំណែខ្លាំង — „សភាពរសើបរបស់ agent run នៅក្នុង confidential VM ដែលត្រូវ attest, weights មិនដែលមានក្នុងទម្រង់ដែលអាច extract នៅខាងក្រៅ enclave ហើយយើងអាចបង្ហាញវា” — ជាការធានា engineering។

ភាពខុសគ្នានោះនឹងសំខាន់ច្បាស់ៗកន្លែងណាដែល stake ជា regulatory ជាជាង reputational។ កំណត់ត្រាសុខភាព ការប្រកាសពន្ធ ប្រវត្តិប្រតិបត្តិការរបស់ធនាគារមិនត្រឹមតែត្រូវការ មិនចេញពីអគារ; វាត្រូវការរឿងដែលអាចការពារបានអំពីអ្នកណាដែលអាចបានប៉ះវាខណៈកំពុង process។ „On-device” តែងតែជាលក្ខខណ្ឌចាំបាច់សម្រាប់រឿងនោះ។ Confidential, attestable execution ជាអ្វីដែលធ្វើឱ្យវាគ្រប់គ្រាន់ — ហើយ ២០២៦ ជាឆ្នាំដែលយន្តការនោះថោកគ្រប់គ្រាន់ (overhead ក្រោម 6%, inference cost single-digit-x) ដើម្បីឈប់ជាហេតុផលមិន។

ហេតុអ្វីនេះអនុគ្រោះអាស៊ីអាគ្នេយ៍

នេះស្ងាត់ៗជាមួយក្នុងចំណោមការផ្លាស់ប្ដូរដែលអនុគ្រោះតំបន់បំផុតក្នុង agentic stack ទាំងមូល — ដោយហេតុផលដូចគ្នាដែលការបត់បែន on-device ធ្វើ។ ភាគលាភឯកជនភាព ធ្វើត្រឹមត្រូវ run លើ hardware និងការវិនិច្ឆ័យ engineering មិនមែនលើទំនាក់ទំនងជាមួយ hyperscaler។

ពិចារណាដែនកំណត់ដែលស្ថាប័នអាស៊ីអាគ្នេយ៍ច្រើនពិតជាប្រឈម។ ច្បាប់ data-residency បទប្បញ្ញត្តិតាមវិស័យ និងភាពរសើបនយោបាយធម្មតាជារឿយៗធ្វើ „បញ្ជូនទិន្នន័យប្រជាពលរដ្ឋទៅ cloud របស់សហរដ្ឋអាមេរិក ឬ EU” ជារបស់មិនអាចចាប់ផ្ដើម — ហើយជម្រើស cloud តំបន់ស្ដើងជាង។ នោះស្ដាប់ទៅជាគុណវិបត្តិ ហើយក្រោមការដាក់ស៊ុមចាស់ „privacy = cloud ណាមួយ” វាជា។ ក្រោមការដាក់ស៊ុម on-device-plus-confidential-computing វាបញ្ច្រាស៖ agent ដែល run លើ workstation ក្នុងក្រសួង ជាមួយសភាពរសើបរបស់វាក្នុង enclave ដែលត្រូវ attest និង model weights របស់វាការពារលើ box គឺ កាន់តែ compliant ដោយការសាងសង់ លើសអ្វីដែល route តាម datacenter បរទេស — ហើយវាមិនទាមទារទិញ capacity ពីនរណាទេ។ Hardware Arm CCA ដែល AgenTEE សាងសង់លើ គឺគួរកត់សម្គាល់ ជា lineage Arm ដូចគ្នាដែលគ្រប់គ្រង fleet device នៃតំបន់។

ដូច្នេះសមត្ថភាពដែលគួរសាងសង់ជាជំនាញ integration៖ ការតាំង confidential, on-device agent deployment — ជ្រើស TEE, wire attestation, រក្សា overhead ក្នុង single digit — សម្រាប់ clinic ធនាគារ និងការិយាល័យរដ្ឋាភិបាលដែលមិនអាច និងនឹងមិន ship ទិន្នន័យរបស់ខ្លួនទៅបរទេស។ វាជា profile GPU-light, judgment-heavy ដែលយើងតែងតែវិលត្រឡប់ទៅ លើកនេះតម្រង់ទៅ layer ឯកជនភាព។ Frontier lab មានហេតុផលតិចដើម្បីសាងសង់នេះសម្រាប់ format ប្រតិបត្តិការរបស់ធនាគារកម្ពុជា ឬកំណត់ត្រារបស់ប្រព័ន្ធសុខភាពខេត្ត។ នរណាម្នាក់ដែលជិតបញ្ហាមាន — ហើយឥឡូវនេះមានយន្តការ verified, low-overhead ដើម្បីសាងសង់វាលើ។

ភាគលាភឯកជនភាពជារបស់ពិត។ ប៉ុន្តែវាមិនដែលជា „វា run នៅ local” ទេ។ វាជា confidential, provable, local — ហើយនោះជារបស់ដែលក្រុមតូច មុតស្រួចអាចដឹកជូនបានដោយមិនសុំការអនុញ្ញាតពី cloud របស់នរណាទេ។

បើស្ថាប័នរបស់អ្នកត្រូវការ on-device agent ដែលពិតជាអាចបង្ហាញការធានាឯកជនភាពរបស់ខ្លួន — តោះមកនិយាយគ្នា។