---
title: KNOX 预印本提出基于 TEE 的 AI 智能体监管沙盒
dek: 来自 Vector Institute 和滑铁卢大学的研究人员于 2026 年 10 月 20 日介绍了 KNOX，它为每条提示词制定策略，并据此检查 AI 智能体的每个行动。研究人员称，监管机构可以对照一份硬件签署的证明报告离线核查运行记录，无需获得模型权重。
---

2026 年 10 月 20 日，来自 Vector Institute 和滑铁卢大学的三名研究人员发布预印本，介绍了 KNOX。这是一种监管沙盒，监管机构可以在生成式模型部署之前，在其中监测这些模型。可信执行环境（TEE）是由硬件隔离的代码运行环境。作者认为，TEE 本身并不能强制执行合规要求。[^1]

针对每条提示词，一个规划模型会撰写一份策略清单，列出预期的工具调用、适用的规则和允许的系统调用（即程序向操作系统发出的请求）。引用监视器（reference monitor）对照清单检查每个行动，拦截与清单不符的行动。一个裁判模型依据欧盟《通用数据保护条例》和美国《健康保险流通与责任法案》，裁定数据披露是否合规。行动和裁决都会记入一张执行图，各条记录由哈希值（即数字指纹）串联起来。执行图在 TEE 内签名，并与一份 quote 绑定。quote 是 Intel 的叫法，指其硬件签署的证明报告。作者称，监管机构可以离线核查这份记录，把其中的权重哈希值与所声明的模型比对，而无需获得权重本身。[^1]

原型系统使用基于 Intel Trust Domain Extensions（TDX）的机密虚拟机和处于机密计算模式的 NVIDIA H100 图形处理器（GPU），并采用开放权重模型：Qwen3.5-9B 担任规划模型和裁判模型，Llama-3.1-8B、Gemma-3-12B 和 Ministral-3-14B 担任执行模型。测试以 InjecAgent 基准为基础，所用工具均为模拟工具。作者报告，随执行模型不同，监视器拦截了 81.8% 至 100% 的违规数据披露，放行了 90% 至 96% 的合规披露。植入工具输出的指令诱发了计划外的工具调用，这类调用也全部被监视器拦截。在 100 个未经授权的系统调用案例中，单靠监视器拦下了 74%，其余由 Linux 内核的限制机制（seccomp-BPF 和 Landlock）拦下。按作者的测算，检查和远程证明使推理时间增加不到 1%，这一数字不含裁判模型的计算，也不含 TEE 本身的开销。[^1]

KNOX 的威胁模型不考虑物理攻击；作者表示，侧信道（通过耗时等效应间接泄露信息）仍是隐患。裁判模型的准确率以测试结果为依据；针对每条提示词设置的内核限制，quote 也没有直接涵盖。[^1]

:::analysis
借助 KNOX，监管机构可以离线核查一次运行使用了哪些模型、遵循了哪项策略，以及记录中的步骤是否被删除或改动。quote 记录了启动时加载的软件，但监管机构仍须信任监视器的拦截判断和裁判模型的裁定。界定何为偏离的那份清单，本身也是由模型撰写的。论文没有报告任何监管机构使用 KNOX 的情况。
:::

:::checked
我们于 2026 年 10 月 25 日阅读了 KNOX 预印本的 arXiv 记录页和全文。我们没有运行 KNOX（论文称其代码将在正式发表时公开），因此文中数据均为作者自己的结果。论文既没有界定那 100 个系统调用案例，也没有说明其中有多少是监视器能够检查的；论文正文和表格对测试案例的计数也不一致，因此我们不报告其他测试的总数。
:::