verifiable.pro

本站重点

面向 AI 的可信执行环境

可信执行环境（TEE）是处理器的一种运行模式，设计目标是让宿主机及其运营方读取不到 AI 工作负载运行时的内存。硬件还会为它加载的软件签署一份报告。本页说明一份核验无误的报告能确立什么，并追踪各类平台、服务与攻击，因为它们会改变这样一份报告所能说明的内容。

为什么 TEE 是本站的重点

核验无误的证明报告能确立什么，又把什么留给信任

核验无误的报告说明

  • 厂商的真实硬件在受保护模式下启动了被度量的软件。
  • 平台运行的是报告所列的固件版本，前提是验证方已对照厂商签名的数据核对过这些版本。
  • 报告是新鲜的，前提是报告带有验证方选定的随机数（nonce）。
  • 你的连接终止于报告所描述的环境之内，前提是报告绑定了会话密钥。

仍需信任

  • 芯片厂商的设计、固件与密钥。厂商的威胁模型不涵盖部分物理攻击和侧信道。
  • 发布参考值的一方，以及拿报告与参考值比对的验证方。
  • 被度量的软件，包括它如何处理启动后加载的输入。
  • 运营方：它仍然可以停止或重启这一环境。

证明报告能标识所加载的软件，但不能说明软件行为正确，也不能说明输出正确。

AI 工作负载的远程证明详解 如何解读远程证明报告 其他方法与 TEE 的比较

开放问题与核心技术

关键问题

  1. 一份有效的证明报告能确立什么？又有哪些问题仍未回答，例如软件是否正确、物理攻击或机器所在位置？
  2. 外部人员如何确认，证明报告中的度量值对应着他们可以检查的软件镜像？
  3. 当证明证据同时覆盖机密虚拟机和 GPU 时，这些证据是否绑定到同一台机器和同一会话？
  4. 哪些参与方仍需被信任，包括芯片厂商、云运营方以及被度量软件的开发者？
  5. 在当前的 GPU 上，机密推理要付出多少性能代价？哪些配置选择决定了开销大小？

核心技术

机密虚拟机
AMD SEV-SNP 和 Intel TDX 让整台虚拟机在加密且受完整性保护的内存中运行。按照硬件的设计，虚拟机监控器（管理虚拟机的软件）读不到这部分内存。植根于硬件的密钥会为证明报告签名，报告说明虚拟机的启动状态。
GPU 机密计算
在机密计算模式下，NVIDIA GPU 以硬件防火墙隔离工作负载内存，并与机密虚拟机交换加密数据。GPU 还会生成签名的证明报告，可以通过 NVIDIA 远程证明服务（NRAS）或在本地验证。
基于远程证明的密钥释放
在 IETF 为远程证明制定的 RATS 架构中，证明方是生成证据的环境。验证方把这些证据与参考值比对。密钥服务器等依赖方只在验证方的结果符合其策略时，才释放解密密钥。
服务器软件透明日志
运营方把每个生产软件镜像的度量值写入只追加日志。服务器证明报告中的度量值必须与某个已登记的版本相符，客户端设备才会向它发送数据。外部研究人员可以检查这些已登记的版本（Apple Private Cloud Compute）。
不可定向的请求路由
第三方中继通过不经意 HTTP（OHTTP）转发请求，向运营方隐藏客户端的 IP 地址。因此，攻击者若想依据 IP 地址把某个用户的请求导向特定服务器，就必须同时攻破这个中继和运营方的负载均衡器（Apple Private Cloud Compute）。
平台与位置绑定
机密虚拟机的远程证明与宿主机可信平台模块（TPM）提供的证据绑定。验证方因此能确认，工作负载运行在可信数据中心内的某台特定机器上。这一绑定的设计目标是阻止从其他机器转发来的证明报告（Proof of Cloud）。

按顺序学习 TEE

  1. 1

    解读 · 阅读约 7 分钟 · verifiable.pro 研究，自动采编。

    AI 系统怎样才算可验证？

    读完之后，你可以把服务商的声明与可能支持它的证据区分开，并说出一次核查仍把什么留给信任。

  2. 2

    解读 · 阅读约 7 分钟 · verifiable.pro 研究，自动采编。

    AI 工作负载的远程证明详解

    读完之后，你可以说出 AI 服务中的证明方、验证方与依赖方，并说明一份有效报告还留下哪些问题。

  3. 3

    指南 · 阅读约 9 分钟 · verifiable.pro 研究，自动采编。

    如何解读远程证明报告

    读完之后，你可以在发送数据之前，核对报告的签名链、固件版本、度量值、新鲜性及其与连接的绑定。

  4. 4

    分析 · 阅读约 9 分钟 · verifiable.pro 研究，自动采编。

    私密 AI 计算服务：从公开设计看外界能核查什么

    读完之后，你可以比较 Apple、Meta、Google 与 Cohere 在处理请求的软件上分别允许外界核查什么。

  5. 5

    分析 · 阅读约 8 分钟 · verifiable.pro 研究，自动采编。

    核查 AI 回答的三种方法对比：零知识证明、安全飞地与重新执行

    读完之后，你可以判断何时 TEE 的证据已经足够，何时还需加上重新执行或数学证明。

  6. 计划中 CPU TEE 对比：Intel TDX、AMD SEV-SNP 与 Arm CCA

  7. 计划中 面向 AI 推理的 GPU 机密计算

  8. 计划中 TEE 如何失效：物理攻击、侧信道攻击与配置缺陷

CPU TEE 与 GPU 机密计算

CPU TEE

Intel TDX

隔离什么
整台虚拟机，称为信任域（trust domain）。其内存经过加密并受完整性保护，硬件按设计把它与宿主机和虚拟机监控器隔离。
签名密钥、参考值与威胁模型
由谁签署证据
处理器生成的报告被转换为用证明密钥签名的 quote。该密钥的证书链可追溯到 Intel 的一个证书颁发机构，Intel 的目标是公布这条证书链上的证书和吊销列表。
参考值从哪里来
一个度量寄存器保存信任域初始内存的度量值。信任域内的软件之后加载代码和数据时，可以把它们的度量值扩展到运行时度量寄存器中。预期值来自虚拟机镜像的发布方。
厂商声明的防护范围之外
Intel 表示，TDX 并不能防范所有类型的硬件攻击。它把 DDRop 的物理内存攻击置于其机密计算标准威胁模型之外。

来源：AI 工作负载的远程证明详解 · Intel TDX Demystified: A Top-Down Approach · 如何解读远程证明报告 · 研究人员称 DDRop 内存插入器可伪造 Intel TDX 远程证明

AMD SEV-SNP

隔离什么
整台虚拟机。其内存经过加密并受完整性保护，按设计使恶意的虚拟机监控器既无法读取、也无法篡改这些内存。
签名密钥、参考值与威胁模型
由谁签署证据
AMD 的固件用版本化芯片背书密钥（VCEK）为报告签名。VCEK 是每块芯片独有的密钥，由芯片可信组件的版本号派生而来，因此有效的签名也能标明这些版本。VCEK 的证书链可追溯到 AMD 根密钥（ARK）。
参考值从哪里来
AMD Secure Processor 度量虚拟机的初始内存页及其放置位置，生成启动摘要。预期值来自虚拟机镜像的发布方。
厂商声明的防护范围之外
AMD 把虚拟机运行期间针对内存总线的攻击列在防护范围之外。AMD 还表示，其硬件没有专门防范架构侧信道。

来源：AMD SEV-SNP: Strengthening VM Isolation with Integrity Protection and More · AI 工作负载的远程证明详解 · 如何解读远程证明报告

Arm CCA

隔离什么
称为 Realm 的硬件隔离执行环境，由 Realm 管理扩展（RME）创建，并由开源的 Realm 管理监控器（RMM）管理。宿主机的虚拟机监控器仍负责调度 Realm 并为其分配内存。但按设计，它无法访问或修改 Realm 内的代码和数据。
签名密钥、参考值与威胁模型
由谁签署证据
本站尚未涉及
参考值从哪里来
本站尚未涉及
厂商声明的防护范围之外
本站尚未涉及

来源：Arm Confidential Compute Architecture

GPU 机密计算

NVIDIA Hopper 与 Blackwell 机密计算

隔离什么
GPU 上的工作负载内存，在 NVIDIA 的设计中由硬件防火墙隔离。在 H100 上，GPU 与运行在 Intel TDX 或 AMD SEV-SNP 上的机密虚拟机协同工作。传输的数据、命令缓冲区和 CUDA 内核在经过虚拟机与 GPU 之间的 PCI Express 总线之前都会加密。
签名密钥、参考值与威胁模型
由谁签署证据
烧录在 GPU 熔丝中的身份密钥，其证书链可追溯到 NVIDIA 的证书颁发机构。GPU 会就自身的度量值签署一份证明报告。
参考值从哪里来
参考完整性清单（RIM），即 NVIDIA 在构建驱动程序和 GPU 固件的过程中生成并签名的参考值。NVIDIA 远程证明服务（NRAS）或本地验证工具会把 GPU 的度量值与之比对。
厂商声明的防护范围之外
NVIDIA 表示，H100 封装内的显存不加密，这部分显存被认为能够抵御常见的物理攻击工具。

来源：Confidential Computing on NVIDIA H100 GPUs for Secure and Trustworthy AI · NVIDIA Attestation · AI 工作负载的远程证明详解 · Benchmarking Confidential Computing Performance on NVIDIA Blackwell GPUs

依赖方需要绑定到同一台机器、同一会话的 CPU 与 GPU 证据。TEE.fail 表明，NVIDIA GPU 的证明报告没有绑定特定的机密虚拟机，因此可以从其他机器“借用”。

3 个来源

TEE.fail: Breaking Trusted Execution Environments via DDR5 Memory Bus Interposition · AI 工作负载的远程证明详解 · 如何解读远程证明报告

公开远程证明证据的 AI 服务

Apple、Meta、Google 和 Cohere 把部分 AI 请求发往这样的服务器：其芯片会签署一份记录，说明服务器加载了哪些软件。至于公司以外的人能就这些软件核查什么，各家公开的设计并不相同。

服务软件记录由谁核查远程证明外界可以检查什么
Apple Private Cloud Compute（PCC，Apple 芯片）
3 个来源
公开的只追加日志；二进制文件在登记后 90 天内发布用户设备公开的二进制文件、Apple 的虚拟研究环境（VRE）、部分源代码、漏洞赏金计划
Apple PCC（Google Cloud，预览版）
2 个来源
同一份日志；VRE 暂时无法解析这些版本用户设备；保护措施正逐步到位研究计划预计 2026 年晚些时候推出
Meta Private Processing
4 个来源
度量值记入接受公开见证的账本用户设备按协议提供的二进制文件、漏洞赏金计划、已公开的审计报告
Google Private AI Compute
3 个来源
记录关键组件摘要的账本Google 基础设施；记忆存储由用户设备核查具有内部访问权限的审计、开源的记忆存储服务器
Cohere Model Vault Encrypted
2 个来源
在 Intel Trust Authority 登记的策略客户的客户端，凭 Intel 签发的令牌Cohere 称其技术栈开源

这项比较涉及的是各家服务商公开的资料能让外界核查什么。它不按安全性给各家排名，因为一个系统可以构建得很好，却不向外界开放审查。

截至

攻击与局限

以下按时间由近及远，列出已公开的 TEE 攻击和有据可查的局限。这些攻击针对的是平台。我们没有核查哪些服务受到影响。

  1. Trail of Bits 对 Google Private AI Compute 记忆存储的评估

    无需物理接触

    攻破了什么
    Trail of Bits 发现，Google 会把响应片段的截断哈希发送到可信边界之外，用于检查响应是否复述受版权保护的内容。它还发现，Google 的远程证明核查和账本核查中有两个缺陷（现已修复）。这两个缺陷本可让两名或更多未经授权的内部人员联手部署经过修改的服务，而账本上不会出现公开可见的条目。
    所需条件、厂商立场与现状
    所需条件
    账本缺陷需要两名或更多未经授权的内部人员联手；Trail of Bits 认为哈希问题难以利用。
    厂商立场
    Google 计划在飞地内加入过滤器，使大部分哈希值不会离开飞地。
    现状
    10 项发现中已解决 8 项。高危的哈希问题仍未解决。Trail of Bits 称，计划中的过滤器能降低风险，但不能消除风险。

    来源：Google 称将为 Private AI Compute 增加加密的用户专属记忆 · 私密 AI 计算服务：从公开设计看外界能核查什么

  2. DDRop

    需要物理接触

    攻破了什么
    在 Intel TDX 上，研究人员让一台恶意虚拟机以合法工作负载的度量值通过了远程证明；在 AMD SEV-SNP 上，他们复制了受害者的内存页。
    所需条件、厂商立场与现状
    所需条件
    一次短暂的现场接触，用于安装 DDR5 插入器，即接在服务器内存总线上的小型设备。攻击者还需要控制宿主机的操作系统、虚拟机监控器和 BIOS。按一批制作 10 台计算，每台插入器的零件成本为 159 美元。
    厂商立场
    Intel 和 AMD 表示，这一攻击超出了各自的威胁模型。Intel 表示正在评估进一步的加固和检测方案。AMD 则不打算为其分配通用漏洞披露（CVE）编号，也不打算发布缓解措施。
    现状
    研究人员表示，软件或固件更新可以提高攻击难度。他们还表示，持久的解决方案需要兼具完整性和新鲜性保护的内存加密，让处理器能够发现被篡改或过时的数据。

    来源：研究人员称 DDRop 内存插入器可伪造 Intel TDX 远程证明 · 私密 AI 计算服务：从公开设计看外界能核查什么

  3. Trail of Bits 对 WhatsApp Private Processing 的审计

    无需物理接触

    攻破了什么
    配置文件和向操作系统描述硬件的数据表都在度量范围之外，篡改它们不会改变度量值。客户端还信任固件自行报告的补丁级别。此外，报告不含客户端提供的随机数（nonce），因此可以被重放。
    所需条件、厂商立场与现状
    所需条件
    恶意的内部人员或虚拟机监控器，或曾经攻破过某个 TEE 的攻击者。
    厂商立场
    Meta 已修复这四项发现。例如，客户端现在对照 AMD 签名的证书核对补丁级别。每份报告也都带有 TLS 握手中的 client_random 随机数。
    现状
    2025 年 8 月 26 日的最终报告记载：28 项发现中，16 项已解决，4 项部分解决，8 项未解决。未解决的 8 项评级均为低危或信息级。部分解决的发现中有两项评为高危：远程证明没有绑定到 Meta 专属的机器，虚拟机镜像也尚不能完全复现。

    来源：Trail of Bits 公布 WhatsApp Private Processing 上线前审计的 28 项发现

  4. Battering RAM

    需要物理接触

    攻破了什么
    以明文读写 Intel 可扩展 SGX 的飞地内存，并攻破了 AMD SEV-SNP 的远程证明。
    所需条件、厂商立场与现状
    所需条件
    一个成本不到 50 美元的插入器，安装在处理器与 DDR4 内存之间。
    厂商立场
    Intel 和 AMD 表示，针对 DRAM 的物理攻击不在其现有产品的防护范围之内。
    现状
    该攻击在已打全补丁的系统上依然有效。插入器在启动检查期间表现正常，到运行时才制造地址别名。地址别名会让两个地址指向同一处内存。

    来源：Battering RAM: Low-Cost Interposer Attacks on Confidential Computing via Dynamic Memory Aliasing

  5. TEE.fail

    需要物理接触

    攻破了什么
    从 Intel TDX 和 AMD SEV-SNP 机器中提取了密钥，其中包括可用于伪造 TDX quote 的 Intel 证明密钥。研究还表明，NVIDIA GPU 的证明报告没有绑定特定的机密虚拟机，因此可以从其他机器“借用”。
    所需条件、厂商立场与现状
    所需条件
    一个 DDR5 内存总线插入器。

    来源：TEE.fail: Breaking Trusted Execution Environments via DDR5 Memory Bus Interposition

  6. BadRAM

    需要物理接触

    攻破了什么
    绕过了 AMD SEV-SNP 的内存保护，并为植入后门的虚拟机重放了正常虚拟机在远程证明中的度量值。
    所需条件、厂商立场与现状
    所需条件
    一根内存条，其串行存在检测（SPD）芯片被篡改，会谎报容量。所需设备不到 10 美元。
    现状
    AMD 已发布在启动时检查内存配置的固件。Intel TDX 和可扩展 SGX 早已具备此类检查。

    来源：BadRAM: Practical Memory Aliasing Attacks on Trusted Execution Environments

  7. 无具体日期

    架构侧信道

    无需物理接触

    攻破了什么
    仅依赖内存加密的机密性。侧信道攻击借助计算过程的效应（例如耗时）推断数据，无需读取受保护的内存。
    所需条件、厂商立场与现状
    所需条件
    宿主机上的软件，例如恶意的虚拟机监控器。
    厂商立场
    AMD 表示，SEV-SNP 硬件没有专门防范架构侧信道。
    现状
    Cohere 把硬件侧信道列为 Model Vault Encrypted 的残余风险之一。

    来源：AMD SEV-SNP: Strengthening VM Isolation with Integrity Protection and More · AI 工作负载的远程证明详解 · Cohere 为 Model Vault 推出机密计算测试版

截至

应对措施

Proof of Cloud ·

Proof of Cloud 是一项设计提案：把机密虚拟机的远程证明与宿主机可信平台模块（TPM）的证据绑定。这样，验证方就能确认工作负载运行在可信数据中心的机器上。其设计目标是阻止从其他机器中继而来的证明报告。

来源：Proof of Cloud: Data Center Execution Assurance for Confidential VMs

TEE 最新报道

在“最新”中查看全部 TEE 报道

  1. OPAQUE 称团队将加入 Anthropic，公司逐步结束运营

    · OPAQUE Systems · verifiable.pro 快讯，自动采编。 验证栈层级：软件与运行时、硬件与算力。涉及可信执行环境。

  2. CSET 称追踪出口 AI 芯片最可行的办法是 ping 核查辅以实地检查

    · Center for Security and Emerging Technology, Georgetown University · verifiable.pro 快讯，自动采编。 验证栈层级：政策、硬件与算力。涉及可信执行环境。

  3. Meta 称正将 Private Processing 扩展至其 AI 眼镜

    · Engineering at Meta · verifiable.pro 快讯，自动采编。 验证栈层级：软件与运行时、硬件与算力。涉及可信执行环境。

  4. Google 称将为 Private AI Compute 增加加密的用户专属记忆

    · Google DeepMind · verifiable.pro 快讯，自动采编。 验证栈层级：软件与运行时、硬件与算力。涉及可信执行环境。

  5. Cohere 为 Model Vault 推出机密计算测试版

    · Cohere on X · verifiable.pro 快讯，自动采编。 验证栈层级：软件与运行时、硬件与算力。涉及可信执行环境。

一手文献与术语

需要了解的术语

可信执行环境（TEE）机密虚拟机GPU 机密计算远程证明证明方验证方（远程证明）依赖方证明证据度量值参考值证明报告证明结果背书新鲜性信任根可信计算基（TCB）可验证透明性不经意 HTTP（OHTTP）侧信道攻击机密计算