验证栈与信任分档

需要信任

签名方的诚实及其对密钥的保管、为签名方背书身份的证书机构或身份提供方，以及监督日志的一方。对水印而言，还包括嵌入水印的一方和检测器的误差率。

对运营方保密什么

不涉及保密：签名与日志本来就是公开的。

代价与成熟度

单个制品的成本很低，已在生产中使用。Sigstore 的模型签名库于 2025 年 4 月发布 1.0 版。研究者指出，C2PA 没有达到其声明的安全目标。另一位研究者称，排除范围（签名不覆盖的文件部分）会让恶意签名者为编辑过的图像倒签日期。

与 TEE 相比

TEE 的证明报告也是一种签名，但它由硬件针对自己度量过的软件签发。在这一档，陈述什么由个人或机构决定。签名也能补足 TEE：有了软件版本的透明日志，验证方就能把证明报告中的度量值与登记在案的版本比对。

与 TEE 结合

Apple 的 Private Cloud Compute 把远程证明与软件版本的只追加日志结合起来。

包括：模型签名（Sigstore、OpenSSF 模型签名）、构建溯源与 AI 物料清单、透明日志、C2PA 内容凭证、智能体的签名请求与签名授权书，以及篡改可检测日志。水印检测与这一档相邻：水印是嵌入内容的统计信号，不是签名。

需要信任

检查方的能力与独立性、开发者给予的访问深度，以及报告是否如实。

对运营方保密什么

检查方看到开发者提供的内容，通常须保密；公众只能看到报告。

代价与成熟度

每次审计都需要专家投入，访问权限逐案协商，因此无法覆盖每一次请求。认证、保障等级以及对评测方的要求仍在制定之中。

与 TEE 相比

这类证据依靠的是人的判断，而不是客户端可以逐次核对的报告。TEE 可以加深审计：评测方可以在 TEE 中测试保密的模型，证明报告则说明加载了哪个模型和哪些测试代码。

与 TEE 结合

Google DeepMind 的双盲评测试点在 Google Cloud 的 Confidential Space 中运行了一次评测。其报告指出，并非所有推理代码都能接受检查，这一安排仍需信任 Google。

包括：采用黑盒、白盒或“盒外”访问的第三方审计与评测、经认证的测试与分级保障、依据标准的合格评定、数据中心与芯片的现场检查，以及对智能体事故的审查。

需要信任

芯片厂商的设计、固件与密钥；发布参考值的一方，以及据此比对的验证方；还有被度量的软件本身。隔离只在厂商的威胁模型范围内成立。该模型不涵盖部分物理攻击（例如 DDRop 内存插入器），也没有涵盖所有侧信道。运营方仍然可以停止或重启这一环境。

对运营方保密什么

提示词与权重，在厂商威胁模型的范围内对运营方保密。在这里比较的方法中，只有它的设计目标是在大模型运行期间对运营方隐藏这些数据。

代价与成熟度

商用 CPU 与 GPU 已在主要云平台上提供，已部署的 AI 服务正在使用。一篇预印本测得：在 NVIDIA B200 GPU 上，配置得当时推理吞吐开销约为 1% 至 3%，使用默认推理软件时为 30% 至 40%。已公开的审计发现过未纳入度量的输入，以及可以被重放的报告。

为何是本站重点

AI 服务已经依赖这一档，它的局限因此正在影响读者。它的证据也容易被夸大：一份有效的报告能标识软件，却不能为软件的行为担保。

包括：Intel TDX、AMD SEV-SNP 与 Arm CCA 上的机密虚拟机；处于机密计算模式的 NVIDIA Hopper 与 Blackwell GPU；IETF RATS 角色划分下的远程证明；以远程证明为前提的密钥释放；以及公开远程证明证据的 AI 服务，例如 Apple Private Cloud Compute、Meta Private Processing、Google Private AI Compute 与 Cohere Model Vault Encrypted。

需要信任

持有模型的核查方确实执行了核查；服务商无法分辨哪些请求是抽查；容差不会让更便宜的模型蒙混过关。乐观方案在无人质疑时默认接受结果，这类方案还需要有人在争议窗口内提出质疑。

对运营方保密什么

默认不保密：核查方能看到提示词和权重，除非重新执行本身在 TEE 中运行。

代价与成熟度

被核查的计算至少要多跑一遍。在重复运行之外，Verde 的作者报告，其可复现算子在 A100 GPU 上相对 PyTorch 的推理开销为 58% 至 98%。抽样方案报告的吞吐开销低于 1%。大多仍是研究协议，已有一个部署据称上线（EigenAI，2026 年 1 月）。

与 TEE 相比

重新执行把对芯片厂商的信任换成了对诚实核查方的信任，但没有任何内容能保密。它能核查输出出自哪个模型，TEE 则把这个问题留给自己度量的软件。

与 TEE 结合

EigenAI 在 TEE 中重新执行受到质疑的请求，因此同时依赖两类假设。必须有人在争议窗口内提出质疑，持有至少三分之二质押的验证者也必须诚实行事。飞地硬件同样需要信任。

包括：完整重新执行、激活指纹（TOPLOC）、仲裁式委托（Verde）、抽样审计（IMMACULATE）、带争议窗口的乐观方案（EigenAI），以及模型身份的统计检验。

需要信任

证明系统及其可信设置（如有）的可靠性、证明检查器，以及与实际系统相符的电路或规约。

对运营方保密什么

对验证方隐藏权重；生成证明的一方仍能看到提示词。

代价与成熟度

生成证明的代价比推理高出几个数量级。zkLLM 为一个 130 亿参数模型的一次推理生成证明，用了 803 秒。DeepProve 报告，GPT-2 每分钟可证明 174 个词元，Gemma 3 为 86 个。这些仍是研究系统。神经网络验证器可以证明某个输入区域内的鲁棒性等性质。Lean 等证明助手如今也在检查 AI 生成的重要定理证明。

与 TEE 相比

在完整性方面，数学证明不再需要信任硬件。但它们不对服务商保密，所证明的命题更窄，代价也高得多。形式化验证还可以补足 TEE：远程证明说明加载了哪份代码，关于这份代码的形式化证明则可以说明它满足规约。

包括：推理与评测的零知识证明（zkLLM、DeepProve、Jolt Atlas）、针对已承诺权重的证明与训练数据证明；神经网络与代码的形式化验证（α,β-CROWN），以及 Lean 等证明助手。