2026 年 10 月 20 日，来自 Vector Institute 和滑铁卢大学的三名研究人员发布预印本，介绍了 KNOX。这是一种监管沙盒，监管机构可以在生成式模型部署之前，在其中监测这些模型。可信执行环境（TEE）是由硬件隔离的代码运行环境。作者认为，TEE 本身并不能强制执行合规要求。[1]

针对每条提示词，一个规划模型会撰写一份策略清单，列出预期的工具调用、适用的规则和允许的系统调用（即程序向操作系统发出的请求）。引用监视器（reference monitor）对照清单检查每个行动，拦截与清单不符的行动。一个裁判模型依据欧盟《通用数据保护条例》和美国《健康保险流通与责任法案》，裁定数据披露是否合规。行动和裁决都会记入一张执行图，各条记录由哈希值（即数字指纹）串联起来。执行图在 TEE 内签名，并与一份 quote 绑定。quote 是 Intel 的叫法，指其硬件签署的证明报告。作者称，监管机构可以离线核查这份记录，把其中的权重哈希值与所声明的模型比对，而无需获得权重本身。[1]

原型系统使用基于 Intel Trust Domain Extensions（TDX）的机密虚拟机和处于机密计算模式的 NVIDIA H100 图形处理器（GPU），并采用开放权重模型：Qwen3.5-9B 担任规划模型和裁判模型，Llama-3.1-8B、Gemma-3-12B 和 Ministral-3-14B 担任执行模型。测试以 InjecAgent 基准为基础，所用工具均为模拟工具。作者报告，随执行模型不同，监视器拦截了 81.8% 至 100% 的违规数据披露，放行了 90% 至 96% 的合规披露。植入工具输出的指令诱发了计划外的工具调用，这类调用也全部被监视器拦截。在 100 个未经授权的系统调用案例中，单靠监视器拦下了 74%，其余由 Linux 内核的限制机制（seccomp-BPF 和 Landlock）拦下。按作者的测算，检查和远程证明使推理时间增加不到 1%，这一数字不含裁判模型的计算，也不含 TEE 本身的开销。[1]

KNOX 的威胁模型不考虑物理攻击；作者表示，侧信道（通过耗时等效应间接泄露信息）仍是隐患。裁判模型的准确率以测试结果为依据；针对每条提示词设置的内核限制，quote 也没有直接涵盖。[1]

来源

  1. KNOX: Hardware-assisted Regulatory Sandbox for Generative ModelsarXiv (Vasisht Duddu, Adam Caulfield and Xi He) · 2026年10月20日

核查或更正本页

更正
提交更正请求 · 在 GitHub 编辑源文件 · 更正政策
验证记录

下方摘要可以说明你读到的文字是否与公开的源文件一致，但不能说明报道内容本身正确。这一摘要在构建时根据本页的 Markdown 源文件计算，并列入站点清单。

2636a58621f4c3827e57029b41424aa66d146a00b0bdfb8c7e6560a8137711ed

查看源文件 · 清单