「セキュリティの正しさをHumaneにする旅」——研究者・櫻井が9年間TEEに挑み続ける理由

学生時代から9年間にわたりTEEの研究開発に向き合い続けてきた、CC Labシニア研究員の櫻井さん。TEEの先端領域の裏側には泥臭い解析と実装が必須だと言います。そんな櫻井さんに、これまでのエンジニアリングの軌跡、そして「この領域で挑む面白さ」を語ってもらいました。

【プロフィール】

櫻井 碧（Ao Sakurai）：CC Labシニア研究員

大学4年時に遺伝子解析研究をきっかけにIntel SGX（以下、SGX）と出会う。大学院時代にはSGXの開発体験を改善する言語処理系「BI-SGX」を開発し、IPA未踏事業に採択・スーパークリエイターに認定。IBMでのインフラ/セキュリティエンジニア経験を経て、Acompanyに参画。実用的なデータクリーンルーム基盤（SGX-EIM）やアテステーション基盤「Humane Attestation」シリーズを開発。約9年間にわたりTEE（Trusted Execution Environment）およびConfidential Computing（以下、CC）領域の研究開発に従事している。

ファミコンのアセンブリから始まった技術への好奇心と、TEEとの出会い

ー 櫻井さんのプログラミングのルーツは少しユニークだと聞いています。学生時代はどんな開発をしていたのでしょうか？

櫻井：本格的にコードを書き始めたのは、趣味で「ファミコンのゲームを動かしたい」と思ったのがきっかけでした。現代のIntelプロセッサだとアーキテクチャが複雑すぎて、「何がどこにあるか」を把握するのは困難です。でもファミコンなら、コントローラーの左キー入力を受け取ってどう処理されるかという構造（レジスタやメモリの動き）が丸見えなんですよね。低レイヤーの入門として構造を把握するのが楽しくて、仕様書やWebサイトをあさりながらアセンブリコードを組み立てていました。

当時は特に「セキュリティキャンプに出るぞ！」みたいな高い意識があったわけではありません。GPAも2.8くらいで、授業でC言語を少し触った程度。自宅でサーバーを組んだり自作OSを作ったりしているような「筋金入りのセキュリティ強者」たちとは違い、ごく普通に学生生活を送っていました。

ー なぜ現在の専門であるTEE（SGXなど）の世界に入ることになったのですか？

櫻井：大学4年時の「研究室の振り分け」の偶然ですね（笑）。当時、難病である「川崎病」の原因遺伝子パターンを安全に解析するシステムとして、ハードウェアベースで隔離された安全な実行環境を作る「SGX（Software Guard Extensions）」を使う先行研究がありました。指導教員はバイオインフォマティクスや暗号数学の専門家で、ハードウェアアーキテクチャの低レイヤーな話が得意ではなかったんです。「お前、低レイヤー触れるだろ」と依頼されたのがすべての始まりでした。
当時は日本語の文献はなく、Intelの公式英文ドキュメントをひたすら解読する毎日。ですが、そのドキュメントも関数の列挙ばかりで「本質的に何がしたいのか」が全く書かれていない。手探りで解読を続け、大学院に進学してからもその研究を深めていきました。

「技術の筋が通っている」——IBMを経てAcompanyへ

ー 大学院時代に取り組んだ研究成果について教えてください。

櫻井：当時、SGXは今のIntel TDX（Trust Domain Extension）やAMD SEV（Secure Encrypted Virtualization）のような「VMごとまるごと保護する」タイプではなく、メインメモリ上の特定の区画に「Enclave」と呼ばれる隔離領域を作り、そこに特定のコードを載せる仕組みでした。

これが本当に開発者泣かせで、既存のPythonスクリプトなどを動かそうとしてもそのままでは動かない。コード全体をSGX専用に大幅に書き換える必要がありました。そこで、SGXのEnclave内部で動く言語処理系（Interpreter）を自作し、既存のコードを改修せずにSGX上で簡単に動かせるシステムを構築しました。名目上は生命情報解析向けとして「BI-SGX（Bioinformatic Interpreter on SGX-based Secure Computing Cloud）」と名付けましたが、本音は「SGXの開発ハードルを下げたい」の一心でした。

ー その成果がIPAの「未踏事業」に採択され、スーパークリエイター認定につながるわけですね。

櫻井：修士2年の時に未踏事業に採択され、200万円以上の支援金を得て開発を完遂させました。世の中に存在しないシステムをゼロから構築した新規性は間違いなくありましたし、国際学会や論文でも評価されるレベルまで突き詰められたという自負はあります。

ー 大学院卒業後は一度大手SIerのIBMに入社されていますね。そこからどのような経緯でAcompanyへ参画されたのでしょうか？

櫻井：新卒でIBMに入社し、2年余りはエンタープライズのインフラやセキュリティ関連の案件に携わっていました。ただ、副業や個人活動として学術界やコミュニティでのTEE活動は継続していました。そんな中、Twitter（現X）での発信を当時AcompanyのCTOだった近藤さんが目にして「よかったら一度お話ししませんか？」とダイレクトメッセージ（DM）が届きました。

当時のAcompanyは、まだTEEではなく秘密分散をメインに扱っていましたし、認知度も現在ほど高くはありませんでした。しかし、面談で話を聞いてみると「本質的に秘密計算に向き合っている」という姿勢が強烈に伝わってきたんです。

単にセキュリティという言葉をバズワードとして掲げるのではなく、秘密計算の脅威モデルや理論的限界、さらには法規制（個人情報保護法など）のカバーまで含めて、事業の根幹に技術を据えて筋を通そうとしていた。「技術の筋が通っている会社だ」と確信できたので、迷わず飛び込むことを決めました。入社後はプロダクト開発とR&Dの架け橋となり、Acompanyにおいて本格的にTEEやCC領域を立ち上げていくことになりました。

TEEのプロジェクトが自社事業のCC基盤になるまで

ー Acompanyに入社されてから、特に強く印象に残っているプロジェクトは何ですか？

櫻井：最も印象深いのは、KDDIとの共同案件ですね。一言で表現するなら、このプロジェクトは「セキュリティの正しさをHumane（人間的・人間が理解可能）にする旅」でした。

当時、JALとNTTドコモによるデータ連携のプレスリリースなどが出始め、エンタープライズ領域で「安全に顧客データを持ち寄ってクロス集計・分析する」ニーズが爆発的に高まっていました。

KDDIも膨大な顧客データを保有しており、プライバシーを保護した状態で他社やグループ内と安全にデータ連携する仕組みを求めていました。そこで、ハードウェアレベルでメモリを暗号化・隔離して高速に計算できるSGXを採用したデータクリーンルームのPoC（概念実証）基盤を構築することになったのです。

しかし、ここで巨大な壁として立ちはだかったのが「リモートアテステーション（Remote Attestation: RA）」の存在でした。

※リモートアテステーション（RA）の基本概念は、遠隔地の検証者（クライアント/第三者）に対して、「ハードウェアが本物のTEE（SGX等）であるか」「そこで動いているコードが改ざんされていない正当なものか」を暗号学的な証明（Quote/検証レポート）を用いて担保する仕組みです。

ー リモートアテステーションの何がそこまで困難だったのでしょうか？

櫻井：Intelが公式で提供しているアテステーションのコードやサンプルを、実用レベルで扱うのが難しい状態でした。

まず、昔のSGXのRA仕様は「ユーザーのPC（クライアント）上にSGXを置き、サーバー側がそれを検証する」というコンテンツ保護（DRM）寄りの思想で作られていました。ですが、私たちがやりたいクラウド型のデータクリーンルームは「サーバー側にSGXを置き、クライアント（検証者）がサーバーの正当性を検証する」という全く逆の双方向通信です。通信の方向もアーキテクチャも合わないため、公式コードをそのまま使うことは不可能です。

さらに、公式サンプルはビルド設定が極めて複雑でした。転送データサイズが8MBを超えるとOS側のスタック設定との兼ね合いでEnclaveが自動的にクラッシュするようなドキュメント化されていないバグや制約が潜んでいました。

ー その状況を、櫻井さんはどのように解決していったのですか？

櫻井：SGXのアテステーション仕様や電子署名の構造、通信プロトコルをすべて分解し、一から再構築したフレームワークを作りました。それが、人間にとって扱いやすく、構造がシンプルで理解可能なアテステーション基盤「Humane-RAFW」です。
これでセキュリティの正しさを担保しつつ、実効速度を大幅に向上させ、KDDI案件の基盤として組み込む目処が立ちました。……しかし、ここで最大の事件が起きます。

プロダクトの納品期限が目前に迫ったタイミングで、Intelから衝撃のニュースが飛び込んできたんです。「Humane-RAFWが採用している旧来のアテステーション方式（EPID方式）を廃止（Deprecated）します」

当然、社内は大騒ぎです（笑）。しかも実質的な移行猶予期間はわずか1ヶ月程度。納品事故を起こすわけには絶対にいきません。新方式であるDCAP（Data Center Attestation Primitives）への移行が必要でしたが、検証部分まで完全に独自自作していては100%間に合わない。

そこで、アテステーションの検証処理の一部をAzureの検証サービス（Microsoft Azure Attestation: MAA）に逃がすことで実装の負担を減らしつつ、信頼性を担保する「Humane-RAFW-MAA」という新フレームワークをわずか1ヶ月で実装しました。

Azure側もドキュメント化されていない挙動（ヘッダーのデータ領域において上位32バイトと下位32バイトのどちらを指定すべきかドキュメントと正解が逆になっている等）が多く、何を送っても「400 Bad Request」が返ってくる絶望的なデバッグを繰り返しましたが、なんとか期日内に間に合わせることができました。この死闘を経て完成した一連の基盤が、後に論文としても発表された「SGX-EIM」であり、これがAcompanyがCCを扱う全ての始まりとなっています。

TEE実装における「3つの壁」

ー 櫻井さんが考える、TEE/CC実装における特有の課題を挙げるとしたら何でしょうか？

櫻井：現場のエンジニアがぶち当たる課題は、大きく3つに集約できます。

1つめは公式ドキュメントに記載されていない、最適化されていないものが多く存在することです。

ベンダの公式ドキュメントは明文化されていない仕様や隠れた制約の宝庫です。公式サンプルコードであっても、セキュリティやパフォーマンスの観点で最適化されていないことがあります。「公式が提供しているから大丈夫だろう」という鵜呑みは絶対に通用せず、裏で動いているアセンブリや暗号処理、メモリ配置まで自力で解読・分解して検証する姿勢が求められます。

2つめはTEEごとに仕様が統一されていないことです。

Confidential VM（CVM）の時代になり、AMD SEV-SNP、Intel TDX、ARM CCAといった主要ベンダのTEEが出揃いました。しかし、これらは互換性がないケースがほとんどです。

アテステーション時に吐き出される検証レポート（証明書）フォーマットも全く異なります。SGXやARM TrustZoneのようなアプリケーション型（小型）TEEに至っては、内部で動かすプログラムの開発手法すらベンダごとに別物です。

3つめは全体を通したセキュリティ・ライフサイクルの設計難度です。

「TEEを使っているから安全」というのは短絡的な幻想です。究極的には暗号化されていても、鍵のライフサイクル（鍵の生成・配布・破棄・バックアップ）や、実行時の動的検証（Runtime Attestation / IMAなど）、ネットワーク通信（TLS連携）を含めたシステム全体を設計しなければ、簡単にセキュリティホールが生まれます。システム全体を俯瞰し、「鍵が消えたらどう復元するか」「通信相手は本当に正しいEnclaveか」を破綻なく組み上げるパズルのような思考能力が必須になります。

複雑で、人間が理解しきれないまま使うと危険なTEEを、どう理解可能で扱いやすいものにするか。その問いは、BI-SGXの頃から現在まで変わっていません。

秘密計算領域の研究開発の魅力と未来への期待

ー これほど開発の苦労や不都合が多い中で、櫻井さんが9年間もTEEの研究開発を続けている理由は何ですか？

櫻井：一番の理由は、「これ以上に自身の専門性を深められて、世のためになる仕事が他に見つかっていないから」です。プログラミング自体は嫌いだと公言していますが（笑）、TEEという技術は実に面白い「ハブ」なんです。

TEEを極めようとすると、ハードウェアアーキテクチャ、CPU命令セット、OS（Linuxカーネル）、ハイパーバイザ、暗号プロトコル、さらにはその上で動く言語処理系やデータベースまで、コンピューターサイエンスのあらゆる領域に横断的に詳しくならざるを得ません。

そして何より、「データを保護しながら高速に計算処理を行う」という課題において、TEEは現時点で人類が手にした唯一実用的な解です。完全準同型暗号（FHE）などは処理速度が圧倒的に遅く、秘密分散もネットワーク通信のオーバーヘッドが大きい。実用的なパフォーマンスと強固な安全性を両立できるのは、ハードウェア担保のTEE以外にありません。

ー これからAcompanyでTEEの研究開発に携わるエンジニアには、どんな面白い世界が待っていると思いますか？

櫻井：今はConfidential VM（CVM）とGPU TEE（NVIDIA H100/B200等）の連携による「Confidential AI」の領域が急速に立ち上がっています。巨大なAIモデルや個人情報・機密データをGPU上で暗号化したまま学習・推論させる技術です。

市場や論文の未解決問題が山積みで、まさに「誰も見たことがない道」を切り拓く感覚を味わえます。

• ベンダごとにバラバラなTEE仕様をどう統合して抽象化するか（ユニバーサルなTEE基盤の構築）
• 物理攻撃（サイドチャネル攻撃）に対する現実的な防御策などの設計
• 信頼できるアテステーション値をどのように安全にクライアントへ配送するか

こうした世界レベルの課題に対してコードを書き、論文を執筆し、リアルなエンタープライズプロダクトへと実装・還元していく。コンピューターサイエンスの総力戦を楽しみたいエンジニアにとって、これ以上刺激的なフィールドはないはずです。

ー 最後に、Acompanyへ興味を持っている採用候補者へメッセージをお願いします。

櫻井：Acompanyは、単に最先端の技術を追うだけでなく、「その技術がどう社会や法律に接続され、プロダクトとして事業化できるか」に本気で向き合っている会社です。

TEE/CCの領域は泥臭いデバッグや解析の連続ですが、ここで培われる低レイヤーから応用層までの総合的なエンジニアリング力は、他のどんな領域にも代えがたい圧倒的な強みになります。「本物の技術で、世界を変えるインフラを作りたい」という尖ったエンジニアの挑戦を、心から待っています！

株式会社Acompany 採用サイト

株式会社Acompanyの採用サイト。「非連続な未来を創る、圧倒的に」これはAcompanyが掲げるPurposeです。私たちは、常識や現状の延長ではたどり着けない領域を、技術と思想で切り拓きます。想像を超える価値を生み出し、圧倒的に進化する未来を共に創りませんか？

株式会社Acompany 採用サイト

櫻井さん登壇｜Confidential AI Night #2を開催します

この記事を読んでTEEに興味を持った方へ。

10月29日（木）に開催する「Confidential AI Night #2」では、TEEをテーマに、その仕組みや歴史、実装のリアルに迫ります。櫻井さんも登壇し、9年間向き合ってきたTEEについてお話しします。

記事だけでは伝えきれないTEEの奥深さを、ぜひ会場でも体感してください。

▼詳細・参加申し込みはこちら
https://acompany.connpass.com/event/407430/