从 TEE 读起
先了解远程证明的基本概念：机器签署一份记录，写明自己加载了哪些软件，供他人核查。然后再看 CPU 和 GPU 平台，经远程证明的 AI 服务就运行在这些平台上。
- RFC 9334: Remote ATtestation procedureS (RATS) Architecture定义了证明方、验证方和依赖方这三个角色，后面各篇文献都以它们为前提。
- Intel TDX Demystified: A Top-Down Approach由 Intel 以外的研究人员讲解 TDX 隔离整台虚拟机的设计。
- AMD SEV-SNP: Strengthening VM Isolation with Integrity Protection and MoreSEV-SNP 针对恶意的虚拟机监控器（hypervisor，即管理虚拟机的软件）增加了哪些防护，AMD 又把哪些威胁排除在防护范围之外。
- Arm Confidential Compute ArchitectureArm 的 Realm 如何按设计把工作负载与虚拟机监控器隔开，而调度仍由后者负责。
- Confidential Computing on NVIDIA H100 GPUs for Secure and Trustworthy AIGPU 如何纳入信任边界，以及 NVIDIA 不加密哪部分显存。
- Private Cloud Compute Security Guide一套完整的服务设计，附带研究环境，外界可以在其中运行并检查节点软件。