La inferencia biométrica ocurre en la CPU general. Ahí empieza el problema.

Reconocimiento facial y de voz comparten memoria con procesos ajenos: pesos, activaciones y buffers intermedios quedan al alcance de cualquiera que lea esa región. Núcleo Aislado es un proyecto editorial con sede en Córdoba, Argentina, que describe cómo trasladar esa inferencia a aceleradores dedicados —NPU y módulos HSM— y qué se gana, en concreto, al separar el cómputo del resto del sistema.

Ver los ejes editoriales

También podés revisar de qué trata el proyecto o escribirnos desde contacto si estás evaluando un despliegue.

Núcleo Aislado: intro focus — El aislamiento no termina en el chip: el bus, los controladores y la memoria unificada siguen siendo parte del recorrido.

Qué cambia cuando la inferencia biométrica deja la CPU general

El punto de partida es incómodo: en la mayoría de los despliegues, el reconocimiento facial y de voz corre sobre el mismo procesador que atiende el sistema operativo, la red y los servicios de fondo. Los pesos del modelo, las activaciones intermedias y los buffers temporales viven en la misma memoria que cualquier otro proceso. Mover esa carga a un acelerador dedicado no es una optimización de rendimiento: es un cambio en la superficie donde alguien podría leer datos en claro.

El modelo deja de compartir memoria con el resto del sistema: Cuando la inferencia se ejecuta en un NPU dedicado, los tensores y las activaciones quedan en un espacio propio. La CPU intercambia descriptores y resultados, no el contenido del modelo. Eso reduce de forma concreta los puntos donde un proceso ajeno podría inspeccionar buffers en claro, aunque no los elimina por completo.
El HSM custodia claves y sellos, no ejecuta la red neuronal: Conviene fijar esta división desde el principio. Un módulo de seguridad de hardware guarda la clave que descifra el modelo, verifica su integridad y firma la identidad del dispositivo. Los pesos descifrados viven en la memoria del acelerador o en un enclave asociado. Esperar que el HSM haga inferencia es un error de diseño frecuente.
Los caminos alrededor del chip siguen siendo vectores reales: DMA mal configurada, memoria unificada en plataformas de borde y buffers intermedios que se reutilizan sin borrado explícito son rutas de fuga que el aislamiento del acelerador no cubre por sí solo. IOMMU activa, regiones reservadas y políticas de asignación estricta forman parte del mismo trabajo.
La separación física se puede verificar, no solo suponer: Un dispositivo en campo puede demostrar qué firmware cargó y qué modelo tiene en memoria mediante mediciones firmadas. Sin ese mecanismo, una actualización legítima y una manipulación se ven igual desde el servidor. La verificación es lo que convierte el aislamiento en una propiedad comprobable.
Ningún componente resuelve la cadena completa por separado: HSM, TEE y NPU cubren custodia, orquestación y cómputo respectivamente. Elegir uno solo obliga a renunciar a alguna propiedad del conjunto. Saber cuál antes de comprometer el diseño ahorra reescrituras costosas más adelante.

Para revisar cómo se articulan estos componentes en un escenario concreto, conviene empezar por los enfoques de trabajo y, si hace falta contexto previo, por la presentación del proyecto.

Del primer contacto a una revisión técnica concreta

Paso 1

Describir el escenario actual

Se parte de cómo se ejecuta hoy la inferencia de rostro o voz: si corre en CPU general, en un acelerador compartido o en un equipo de borde. También interesa saber qué datos sensibles circulan y en qué punto del sistema se almacenan.

Paso 2

Elegir el módulo a revisar

La consulta se enfoca en un componente: NPU dedicado, módulo HSM, aislamiento de memoria o la cadena completa. Acotar el alcance evita mezclar custodia de claves con cómputo de red neuronal, que son responsabilidades distintas.

Paso 3

Indicar el tipo de despliegue

Servidor, cliente o mixto. Un lector de acceso en sucursal y un nodo de inferencia en centro de datos tienen superficies de ataque diferentes, y el análisis cambia según dónde vive el modelo y quién puede tocarlo físicamente.

Paso 4

Enviar el detalle por el formulario

Con el escenario, el módulo y el tipo de despliegue ya definidos, se completa la consulta en la página de contacto. El formulario acepta el contexto técnico adicional que ayude a entender el caso: topología, hardware disponible o restricciones del entorno.

Paso 5

Recibir la lectura técnica

La respuesta se centra en mecanismos, límites y compromisos de diseño aplicables al caso. No se prometen certificaciones, cifras de rendimiento ni capacidades que el hardware no documente; cuando algo queda fuera del alcance, se dice explícitamente.

Qué camino conviene según el punto de partida

Revisar el aislamiento de memoria Punto de partida razonable cuando la inferencia ya corre en hardware dedicado pero persisten dudas sobre DMA, memoria unificada o buffers intermedios que sobreviven entre ejecuciones. Se trabaja sobre asignación de regiones, borrado explícito y controladores.

Evaluar un NPU dedicado Corresponde cuando el modelo todavía comparte CPU y memoria con procesos ajenos. La conversación gira en torno a qué acelerador encaja con la carga, cómo se firma el binario del modelo y qué canal transporta las entradas desde cámara o micrófono.

Definir el rol del HSM Útil si la custodia de claves, los sellos de integridad y la atestación todavía no están resueltos. Conviene aclarar de entrada que un módulo de seguridad no ejecuta redes neuronales: guarda lo que hace confiable al resto de la cadena.

Ordenar la cadena completa Escenario de despliegues mixtos, con servidor y dispositivos de borde conviviendo. Aquí la prioridad es la coherencia entre custodia, orquestación y cómputo antes de elegir piezas sueltas.