Private Training

Trainieren Sie mit Daten, die das Silo nie verlassen.

SFT · DPO · RLHF · PEFT · fortgesetztes Pre-Training. Ihr Stack, Ende-zu-Ende versiegelt. Signiertes Manifest ausgegeben, keine Logs per Design.

Trainingsdokumentation lesen Mit Experten sprechen

6 Parteien · 1 versiegeltes Modell

Hospital AHospital BBank CLab DInsurer EResearch F

6 sealed parties

attested merge

1 signed model

Every phase of your training stack — sealed.

SFT, DPO, RLHF, LoRA / QLoRA / PEFT, continued pre-training, and multimodal extension. Run the pipeline you already use with TRL, Unsloth, and HuggingFace — on data that never leaves the silo.

training pipelines · single-tenant

fork · register · seal

phase

pipeline

base · method

hardware

status

SFT

Instruction-tuned assistant

Llama 3.1 8B
TRL · full SFT

H200 ×1

ready

DPO

Helpfulness preference align

Llama 3.1 8B-SFT
TRL DPOTrainer

H200 ×1

ready

RLHF

Safety reward + PPO

Mistral 7B-SFT
reward model + PPO

H200 ×2

busy

LoRA

Domain coding copilot

Qwen2.5-Coder 14B
PEFT · LoRA r=32

H200 ×2

ready

QLoRA

Medical chat (memory-fit)

Llama 3.1 70B
QLoRA 4-bit

H200 ×4

busy

Continued PT

Legal corpus adapter

Llama 3.1 8B
unsloth · 1.2B tokens

H100 ×4

ready

SFT

Domain RAG embedder

BGE-m3
contrastive · in-batch

H100 ×1

ready

Multimodal

Vision-language adapter

Llama 3.2 11B-V
projector + SFT

H200 ×2

forming

cross-silo consortia · multi-party

multi-sig · k-of-n unwrap

consortium

records

training method

status

Cardio-renal cohort

4 hospitals · EU + US

1.6M rows

SFT · risk classifier

live

Cross-bank fraud signals

6 banks · US + UK + SG

78M tx

RLHF preference · joint

live

Rare-disease genomics

3 research consortiums

54k samples

continued PT · embedder

live

Supply-chain risk benchmark

8 vendors · global

12M records

DPO · ranked outcomes

forming

So funktioniert es

Verfolge einen versiegelten Trainingslauf end-to-end.

Schalten Sie dstack aus, um genau zu sehen, welche Garantie auf jeder Stufe entfällt.

Abgesichertes Training auf einem TEE-GPU-Cluster

SFT · DPO · RLHF · PEFT · fortgesetztes PT — verschlüsselte Gradienten über attestierte H200-Knoten, signiertes Manifest exportiert

aktiver Edgeinaktivneu in Schritt

Schritt 1 of 5 · scroll-aware

Schritt 1 / 5

Owner versiegeln Datensätze · Compose-Hash registriert

Jeder Dateninhaber leitet lokal einen Wrap-Key ab: HKDF(kms_root_pubkey, training_app_id, training_compose_hash, owner_id), verschlüsselt seinen Shard und veröffentlicht Ciphertext. Der Training-Compose-Hash pinnt das Framework, das Trainingsskript und die Hyperparameter-Datei (TRL · Unsloth · HF Trainer). Die Freigabe wird on-chain per Multi-Sig mit DstackApp.sol als Eigentümer neu registriert.

With dstack: Eigentümer geben ausschließlich Ciphertext frei, der gegen einen zukünftigen attestierten Build versiegelt ist, den sie geprüft haben.

Eine Pipeline pro Trainingsphase. Derselbe Stack, den Sie bereits nutzen.

Überwachtes Fine-Tuning

TRL SFTTrainer oder Unsloth. unwrap_dataset() zieht pro Eigentümer Schlüssel über dstack-guest-agent — Ihr Training-Loop bleibt unverändert. Ergebnis: ein versiegelter Checkpoint plus ein signiertes Manifest.

SFT

from trl import SFTTrainerds = unwrap_dataset("sealed/sft.tar")tr = SFTTrainer(model, tokenizer,train_dataset=ds, ...)tr.train()phala.sign_manifest(tr.state)

DPO · RLHF

from trl import DPOTrainerprefs = unwrap_dataset("sealed/prefs")tr = DPOTrainer(policy, ref,beta=0.1, train=prefs)tr.train()# → aligned policy + manifest

Präferenz- / RL-Ausrichtung

DPOTrainer / IPOTrainer für Präferenzpaar-Optimierung oder vollständiges RLHF mit Reward Model + PPO. Versiegelte Prompts, versiegelte Präferenzdaten, attestiertes Reward Model.

PEFT · LoRA / QLoRA

HuggingFace PEFT. Trainieren Sie Low-Rank-Adapter gegen ein eingefrorenes Basismodell; die LoRA-Gewichte werden an den Compose-Hash versiegelt und bei attestierter Neuerzeugung gemergt. 4-Bit-QLoRA für speichergebundene Runs.

LoRA · QLoRA

from peft import LoraConfigcfg = LoraConfig(r=32,target_modules="q,k,v,o")model = get_peft_model(base, cfg)trainer.train()# sealed adapters · 0.4% params

CONTINUED PT

$ phala deploy \-c docker-compose.yml \-n llama-cpt \-t h200.small --kms phala→ stream-unwrap in TDX memory✓ manifest · token-hashes signed

Kontinuierliches Vortraining

Passen Sie ein Basismodell auf versiegelten Token-Korpora domänenspezifisch an. Der Streaming-Dataloader entpackt Shards im TDX-Speicher; der Lauf erzeugt ein signiertes Manifest mit Token-Hashes, Hyperparametern und finalem Checkpoint.

sealed dataset · cohort-A.tar

1.6M rows

ownerhospital-Aanalysis-app-id0x4f6a…91c0analysis-compose-hash0xa42b…d1f3wrap-keyHKDF(kms, app, compose, owner)algoAES-256-GCM

SealedHIPAAGDPRnever-exits-silorecipe-bound

Am Quellort versiegelt · HKDF pro Eigentümer

Der Wrap-Key jedes Eigentümers ist HKDF(kms_root, app_id, compose_hash, owner_id). Ändern Sie das Rezept → der Schlüssel ändert sich, alter Ciphertext ist dauerhaft ausgeschlossen. Der Wrap-Key wird nur innerhalb einer attestierten CVM neu abgeleitet, deren Compose-Hash übereinstimmt.

training manifest · sign-rpc

signed

modelllama-3.1-8b · LoRA r=16datasets2 sealed · 1.23M rowsdataset_hashes0xab12…d5, 0x4ef3…21compose_hash0xa1b2…d1f3model_checksum0x9c1a…f7e2sigchains TDX root + on-chain

verify offlineregulator-grade artifact

Signiertes Trainingsmanifest = Audit-Artefakt

Aus jedem Lauf entsteht ein Sign-RPC-Manifest, das Code, Datensätze, Hyperparameter und Modell-Checksumme an den On-Chain-Compose-Hash bindet. Geben Sie der Aufsicht das Manifest, nicht die Modelldatei.

heute in Produktion

Versiegeltes Training, in Produktion.

Rezeptgebundene Fine-Tunes, die ein versiegeltes Modell liefern. Cross-Silo-Training, bei dem das Manifest statt der Modelldatei das regulatorische Artefakt ist.

01fine-tune · live

Gesundheitstechnologie · medizinischer Chat

HIPAA-Niveau · 13B QLoRA

“Feinabstimmung für Patientengespräche in TDX + H200. Gewichte berühren weder unsere Cloud noch ihre — an die Rezeptur versiegelt, KMS rekonstruiert nur innerhalb einer attestierten CVM.”

medical-chat v3

TDX + H200 · Weights versiegelt

02multi-party · live

Kohortenstudie zu Herz und Niere

4 Krankenhäuser · EU + US + CH

“Jedes Krankenhaus versiegelt seinen Datensatz; KMS entsperrt nur für die freigegebene Komposition. Auf der anderen Seite entsteht ein signiertes Manifest, das Code, Datensätze und Modell-Checksumme bindet.”

1.6M records

multi-sig DstackApp · DP-aggregate out

03multi-party · live

Betrugssignale zwischen Banken

6 Banken · global

“Gemeinsames AML-Modell, trainiert ohne dass eine Bank das Hauptbuch einer anderen Bank sieht. Geben Sie dem Regulator das Manifest, nicht die Modelldatei.”

78M tx records

Quorum mit k von n · sign-rpc-Manifest

HIPAA-konform

Patientendaten versiegelt

DSGVO / UK DSGVO

Datenresidenz gewahrt

PCI / FFIEC

bankübergreifende Joins abgesichert

SOC 2 Typ II

attestierte Laufhistorie

KI-Lösungswege

Verwenden Sie private Modelle, wenn KI mit Geheimnissen interagiert.

Der private Modell-Endpunkt ist der erste Einstiegspunkt. Dieselbe Datenschutz-Primitive lässt sich auf Agents, Daten-Workflows und Training ausweiten.

LLM API

Private AI-Inferenz

OpenAI-kompatible Modellaufrufe bereitstellen, bei denen Prompts, Outputs und Kundenkontext Schutz durch Verschlüsselung während der Nutzung benötigen.

Lösung öffnen

encrypted

DeepSeek V3.1

128K

$0.27/M input

encrypted

Qwen3 Coder

256K

$0.40/M input

encrypted

Llama 3.3 70B

128K

$0.15/M input

encrypted

GPT OSS 120B

128K

$0.10/M input

encrypted

Claude Sonnet 4.5

200K

$3.00/M input

encrypted

Gemini 2.5 Pro

$1.25/M input

Agents

Private KI-Agenten

Agenten mit Schlüsseln, Tools, Speicher und Aktionen in einer verifizierten Laufzeit ausführen statt in einer sichtbaren Automatisierungs-Cloud.

Lösung öffnen

Data

Private KI-Daten

Modelle zu sensiblen Datensätzen verschieben und freigegebene Ausgaben zurückgeben, ohne Rohdaten dem Modellbetreiber offenzulegen.

Lösung öffnen

source

EHR data

source

Customer records

source

Internal docs

TEE clean room

query without raw access

approved output

aggregate only

no row exportproof linked

Deploy private training

Trainieren Sie mit versiegelten Daten. Übergeben Sie einem Prüfer das Manifest.

Für einen Kunden feinabstimmen oder über Silos hinweg gemeinsam trainieren. HKDF pro Eigentümer, Multi-Sig-DstackApp-Gate, signiertes Manifest zur Bindung von Code, Datensätzen und Modell. TDX + H100/H200.

View docs Mit dem Vertrieb sprechen

01LoRA / QLoRA via Unsloth
02Owner-side HKDF dataset sealing
03Multi-sig DstackApp co-approval
04Sign-RPC training manifest
05On-chain compose-hash revocation
06Combined CPU + GPU TEE attestation

Private Ausführung. Verifizierbare Ergebnisse.

Newsletter

Private Training — Fine-Tune on Sealed Data | Phala