机密计算白皮书

1计算（ProtectedDataComputing）或盲计算（BlindComputing）上在非可信基础设施中处理的业务将通过机2 第一章机密计算产业全景与面临的挑战 31.1产业发展背景及面临的挑战 31.2产业规模与发展 7第二章机密计算技术创新与代际演进 2.1机密计算含义与内涵拓展 2.2机密计算技术路线与架构体系 2.3机密虚拟机/容器关键技术 2.4RISC-V机密计算技术 2.5异构机密计算技术 2.6端云协同的机密AI推理 37第三章机密计算参考框架与部署模式 3.1新一代参考框架 3.2主流部署模式实践 44第四章机密计算应用案例 4.1机密云服务 4.2机密计算金融应用 4.3数据可信流通 654.4AI大模型与数据保护 68第五章机密计算标准体系 855.1国际标准 855.2国外相关标准 855.3国内相关标准 86第六章未来展望 906.1我国机密计算面临的核心挑战 906.2未来发展展望 916.3发展建议 92参考文献 94附录A：机密计算安全建模与威胁分析 96A.1机密计算安全的概念内涵 96A.2机密计算敌手能力模型 98A.3机密计算TCB安全威胁 99A.4机密计算安全建设建议 3数据是数字时代的基础性战略资源与关键性生产要素，其安全性问题受到社会的广泛关注。数据安全威胁总体呈现出事件频度密集化、攻击损失扩大化、威胁类型多样化的态势。传统的数据安全技术主要作用于数据存储和传输阶段，对于使用中的数据缺乏有效保护。机密计算正是在这一产业背景下应运而生，它以独特的理念与先进的技术架构，保障数据在被处理和分析的过程中仍能保持机密性和完整性，不仅为数据的可信流通和价值挖掘提供了有力保障，也为数字经济的发展注入了新的活力。近年来，随着人工智能大模型的迅猛发展、全球数据安全法规体系的加速完善以及云计算安全威胁的持续升级，机密计算正从一项备受关注的领域加速走向规模化产业应用。Gartner已将机密计算列入2026年十大战略技术趋势，并预测到2029年，75%以上在非可信基础设施中处理的业务将通过机密计算保障使用安全。本章将从产业发展背景、全球法规动态、数字基础设施安全需求、业务生态演进以及国产算力安全挑战五个维度，系统阐述机密计算产业的发展动因与面临的挑战，并对产业规模与发展情况分析。1.1.1安全法律法规全球多个国家和地区对数据安全与隐私保护给予高度重视，纷纷出台相关法律法规及政策要求，明确指示数据安全与发展并重，依法保障数据的可信流通与数据价值的充分利用。2025年至2026年间，伴随着人工智能产业的发展和相关政策的配套实施，这一趋势显著加速，机密计算作为保护使用中数据安全的关键技术，正成为满足合规要求的核心技术手段之一，在大模型保护、可信数据空间建设和数据合规流通等诸多方面发挥作用。人工智能大模型的广泛应用催生了全新的数据安全合规需求。欧盟《人工智能法案》（AIAct）已于2025年8月2日正式生效通用AI模型相关条款，27年12月要求高风险AI应用的开发者报备训练数据并保护知识产权和商业秘密的条款生效。美国国家安全局（NSA）、网络安全与基础设施安全局（CISA）和联邦调查局（FBI）于2025年联合发布了4AI数据安全国际指南，聚焦数据供应链漏洞、恶意篡改数据及数据漂移三大威胁，强调AI系统全生命周期的数据保护。2025年10月新修的《中华人民共和国网络安全法》增加了关于人工智能安全治理体系的要求。同月，中央网信办、国家发展改革委联合印发《政务领域人工智能大模型部署应用指引》，为各级政务部门提供大模型部署应用的工作导向与基本参照。诸多人工智能相关法规的密集出台直接推动了模型训练与推理环节中对安全技术的要求，间接增加了机密计算技术的需求。自2025年1月来，中国发布《国家数据基础设施建设指引》，推动数据流通安全框架的体系化建设。可信数据空间作为数据要素市场化配置的重要载体，强调数据“可用不可见、可控可计量”的核心理念。融合密态计算的可信数据空间正为构建全链路密态保障、全流程跨域管控的数据流通体系提供建设方向，为机密计算技术的落地应用创造了丰富的场景需求。国家互联网信息办公室与国家市场监督管理总局于2025年10月联合发布《个人信息出境认证办法》，自2026年1月1日起施行，进一步完善了个人信息出境认证的制度框架。该办法与《促进和规范数据跨境流动规定》共同构成数据出境安全管理的制度体系，依据《个人信息保护法》第三十八条确立了安全评估、标准合同与保护认证三条出境路径。在欧盟方面，《通用数据保护条例》（GDPR）的持续强化以及中欧个人信息跨境认证机制的探索，进一步推动了数据流通的安全合规要求。数据跨境流动的合规需求成为机密计算技术落地的重要驱动力。1.1.2数字基础设施建设安全需求数字基础设施的快速演进正从算力形态、安全威胁、合规要求等多个维度对计算安全提出全新挑战。人工智能大模型的爆发式增长打破传统安全边界，数据使用过程中的保护需求日益迫切，机密计算正成为支撑数字基础设施安全建设的关键技术。（一）AI大模型驱动下的算力安全大模型训练涉及海量敏感数据与高价值模型参数，训练、推理等过程中的数据泄露、模型窃取和侧信道攻击等风险突出。机密计算通过硬件级内存加密与安全隔离，为AI工作负载提供使用中的数据保护。5（二）异构机密计算传统CPUTEE已无法满足大模型对算力与安全的双重需求，需将GPU、NPU、DPU等加速器纳入可信执行环境。机密计算正向CPU+XPU的异构架构演进，以保障异构设备间数据传输及计算的机密性与完整性。（三）云计算安全虚拟机逃逸、容器逃逸及内部威胁等攻击手段均以使用中的代码和数据为目标，传统边界防护难以有效应对。云端计算环境的共享特性要求机密计算持续强化硬件隔离与远程证明能力，构筑纵深防御体系。在云端算力租赁业务场景下，机密计算还需将云厂商及其Hypervisor置于租户信任边界之外，通过硬件级隔离与远程证明保障租户代码和数据对云侧不可见、不可篡改，从而实现云厂商负责资源运维、租户掌控数据与密钥的责权分离，支撑共享算力下敏感负载的可信租赁。（四）关键基础设施安全可信金融、政务、能源等关键基础设施对安全计算提出了硬性要求。关键基础设施系列法规构成了对关键基础设施数据安全的体系化要求，传统软件层加密已难以满足“数据可用不可见”“计算过程可验证”“云端数据自主可控”的核心需求。机密计算通过硬件级安全隔离与远程证明能力，为关键基础设施的安全可信运行提供了技术底座。（五）可信数据流通数据要素市场化建设持续推进，可信数据空间成为重要载体。在跨域数据流通场景中，需要实现数据“可用不可见”的全程密态计算，确保数据在存储、传输、使用全生命周期中的机密性与完整性。机密计算可构建覆盖采集、计算到应用的全栈式防护体系，在安全可控前提下激活数据价值。1.1.3业务需求驱动下的产业协同新生态机密计算产业正经历从单点技术突破向生态协同发展的深刻转变。机密计算算力提供方、应用提供方与服务提供方等将更加紧密协作，围绕不同领域不同场景的产业需求，共同建设更加丰富、安全、高效的机密计算应用方案，做大产业生态。6大模型推理场景中，用户数据、模型资产、推理结果三方均需保护，端云协同的机密计算方案正成为主流技术路径。云计算场景下，现代软件栈在现有运行时环境中支持机密计算，无需重新设计应用程序即可获得硬件级安全防护。CPU+XPU的异构机密计算架构成为趋势，在机密计算3.0阶段，TEE的异构可扩展性将成为一个重要特性，除了CPU具有机密计算能力外，设备侧和互联网络也将支持机密计算能力，将实现大规模的CPU及XPU之间机密计算环境互联。此外，后量子密码（PQC）与机密计算的融合成为新兴方向，产业界也在积极探索PQC与机密计算的融合路径。未来机密计算与密码技术的协同发展、交叉融合，将成为保障国计民生相关数据安全的关键方向。1.1.4国产算力基础设施建设面临的安全挑战国内机密计算方案高度依赖国产芯片的可信执行环境能力。整体国产芯片阵营的TEE成熟度与国际先进水平间仍存在差距，生态覆盖面的广度与深度有待进一步提升。机密计算技术路线纷繁复杂，不同方案间难以兼容，互操作与业务迁移成本高，标准缺失已成为制约生态成熟的核心瓶颈。国家标准GB/T45230-2025《数据安全技术机密计算通用框架》已正式发布，作为机密计算技术的顶层设计为后续标准制定奠定基础。全球计算联盟（GCC）已构建完整的机密计算标准体系框架，但各厂家间的互联互通和统一远程证明仍不完善，标准体系的实际落地效果尚需时间检验。现代IntelSGX、IntelTDX与AMDSEV-SNP在最新架构中的安全承诺因架构设计的权衡而有所削弱。这对国产机密计算方案的安全设计也提出了更高要求，安全性不是一次性工程，而是需要持续演进与加固的过程。国际半导体贸易环境的不确定性导致安全处理器等TEE核心硬件的供应链风险上升。机密计算方案中涉及的高性能安全芯片在制程工艺、封测等环节面临外部制约，对成本敏感市场的推广形成压力。71.2.1全球机密计算市场规模与增长速率机密计算市场近年来呈指数级增长态势。综合多家研究机构数据，全球机密计算市场2025年估值约在56亿至242亿美元之间，2026年预计增长到427亿美元，年复合增长率普遍在16%至36%。在亚太及中国市场，2025年中国机密计算市场规模约为104.36亿元人民币（约14.4亿美元），预计全球机密计算市场规模在预测期间将以13.01%的年复合增长率增长。数据安全行业全年市场规模预计突破600亿元，其中数据流通安全、隐私计算等新兴领域增速超40%。1.2.2垂直领域落地情况随着机密计算技术成熟度的提升与应用场景的持续拓展，各垂直领域的采信率呈现差异化发展态势。现在分别从、机密云服务、金融服务和政务与医疗服务等典型应用场景分析机密计算在各垂直赛道的应用情况。（一）机密云服务机密计算在人工智能领域的采用率正以较高速度增长，头部云厂商已陆续推出面向大模型服务的机密计算产品，面向AI机密计算的云服务进入初始商用阶段，正推动安全方案向用户“安全无感知”方向演进。当前人工智能算力领域机密计算的渗透仍处于成长期，主要制约因素包括异构TEE方案的生态成熟度不足以及方案带来的性能损耗。随着异构机密计算技术的持续突破和软硬件协同优化，AI机密计算有望在云上模型训练与推理场景中实现更大规模应用。（二）金融服务金融行业是机密计算采用程度最高的领域之一，在金融数据共享、信贷风控、反欺诈等场景中已形成成熟应用。GB/T45230-2025国家标准发布后，基于机密计算的金融创新应用研究持续深入，密态计算成为金融业数据安全与业务合规的重要支撑。展望未来，金融领域的机密计算需求将从合规驱动向业务价值驱动转型，制约因素主要在于存量系统的改造复杂度和对方案稳定性的高要求。8（三）政务与医疗服务政务领域受政策驱动，高端应用场景加速渗透，中国发布《政务领域人工智能大模型部署应用指引》，推动政务数据可信流通的技术部署。医疗领域因涉及大量敏感个人健康信息，是合规需求最强的领域之一，可信数据空间等国家级项目已在医疗健康领域率先落地。当前政务与医疗领域的机密计算处于探索期向成长期过渡阶段，未来前景广阔，但应用场景碎片化、技术方案适配难度大以及跨部门协调成本高是制约该领域规模化发展的主要瓶颈。1.2.3产业成熟度评价体系从技术、市场、生态三个维度综合审视，对机密计算产业的成熟度进行评价，可全面反映机密计算从实验室走向规模商用的整体进程。本白皮书从技术就绪度、商用落地率和标准完备性三个角度展开评价：技术就绪度衡量核心技术的稳定性和演进阶段，商用落地率反映市场采纳程度与产业化进程，标准完备性评估产业生态的规范化水平与互联互通能力。（一）技术就绪度国际上，IntelTDX、AMDSEV-SNP、ARMCCA等TEE技术日趋成熟，技术路线趋向一致；国内方面，华为鲲鹏机密计算、海光CSV3.0实现商用，天翼云、阿里云和火山引擎等已推出机密云服务等产品。AI场景的异构机密计算（CPU+XPUTEE）处于从原型验证向规模商用过渡阶段。机密计算3.0的愿景——多节点集群化、异构设备互联、虚拟机热迁移等，正在逐步落地。（二）商用落地情况2026年全球机密计算市场规模预计达427.4亿美元，Gartner将机密计算列为2026年十大战略技术趋势，并预测到2029年75%以上在非可信基础设施中处理的业务将通过机密计算保障使用安全。AWS、微软Azure、GoogleCloud巨头均已全面上线基于TEE的机密虚拟机服务。目前行业整体仍处于早期采用向早期规模应用过渡的阶段。机密计算中间件和操作系统的发展大幅降低了应用迁移和开发成本，有助于加速商用落地。（三）标准完备性9国家标准GB/T45230-2025《数据安全技术机密计算通用框架》已正式发布，提供了机密计算技术的顶层设计。行业标准和团体标准层面，CCSA已发布《隐私计算可信执行环境产品性能要求和测试方法》等标准。国际上，IEEE2952、PCI-SIGTDISP等标准的推进也在陆续发布。全球计算联盟已发布了团体标准T/GCC1005-2025《机密计算平台技术要求与测评方法》与T/GCC1006-2025《机密计算远程证明服务技术要求》，然而统一远程证明、跨设备互联安全及测评体系等方面的标准仍有待进一步完善。总体来看，机密计算产业在技术就绪上已接近成熟，在商用落地率上正处于从早期采用者向主流市场跨越的关键阶段，在标准完备性上已具备清晰的体系化框架，但各厂家间的互联互通仍需持续建设。2.1.1机密计算的含义机密计算定义为在可信的硬件基础上，通过隔离、加密、证明等机制，保护使用中数据安全的计算模式。机密计算不仅仅是一套依赖于可信执行环境（TEE，TrustedExecutionEnvironment）安全硬件的技术体系，而是包括硬件安全、系统安全、数据安全的一种新型的安全计算模式，机密计算最终安全目标是在未来的网络数字空间内，所有的高安全应用程序都是基于硬件TEE的机密计算程序。2.1.2异构TEE赋予机密计算新内涵随着异构机密计算硬件的成熟和AI大模型对安全算力需求的激增，机密计算已步入3.0阶段。机密计算3.0是以异构TEE融合、机架级信任域、端云协同为标志的第三代机密计算。相较于1.0阶段的系统级/进程级隔离和2.0阶段的虚拟机级隔离，其安全边界从单一CPU芯片扩展至包含CPU、GPU、NPU等多类异构计算资源的集群乃至整个机架。当前机密计算正处于2.0向3.0的关键跃迁期，核心目标是解决大规模异构算力场景下的全链路数据安全防护，适配AI大模型训练推理、分布式智算中心、跨域数据流通等核心场景的刚需。从发展历程看，机密计算经历了由单一信任根到多信任根、由单设备隔离到全栈统一安全域的代际演进。机密计算1.0以TCGTPM、ArmTrustZone、IntelSGX为代表，基于单一信任根构建专有隔离环境，应用需深度适配；机密计算2.0以AMDSEV-SNP、IntelTDX、ArmCCA为代表，以虚拟机/容器为基本单元，应用无改造即可迁移，并以TPM与TEE协同信任根增强安全性；机密计算3.0面向大模型训练推理等复杂场景与大规模数据保护，从"单一信任根"向"TPM/CPUTEE/异构TEE多信任根"转变，从"单设备TEE"向"全栈统一安全域"演进，从"机密计算系统"向"弹性机密计算平台"演进，ApplePCC、NVIDIAVeraRubinNVL72等标志着端云协同与机架级统一信任域的落地。机密计算正从芯片级、系统级到集群级的技术趋势快速发展。从时间脉络看，2003年TCG成立并推动TPM规范，2004年Arm提出TrustZone，2011年GlobalPlatform启动TEE标准化，2013年Intel推出SGX，2016年起AMD相继发布SEV、SEV-ES、SEV-SNP，2018年加州大学伯克利分校发起RISC-VTEE框架Keystone，2020年Intel发布TDX，2021年Arm发布CCA，2024年Apple推出私有云计算PCC，2026年NVIDIA发布VeraRubinNVL72实现机架级机密计算，构成了机密计算从芯片级、系统级到集群级的演进主线。在产业实践中，NVIDIAVeraRubinNVL72平台首次实现机架级机密计算，整个机架作为统一TEE运行；ApplePrivateCloudCompute基于定制芯片专用云端节点，为端云协同AI推理提供隐私保护。两者分别代表了机密计算3.0在异构超节点和端云协同方向上的落地实践。机密计算3.0具备以下六大核心特征。•虚拟化。通过云计算与机密计算技术融合，一方面可提高云计算服务的可信度，另一方面可降低用户在云环境下使用机密计算的门槛。在机密计算3.0阶段，基于硬件的虚拟机级机密计算已成为主流形式，AMDSEV-SNP、IntelTDX、ARMCCA等以虚拟机为基本隔离单元，支持虚拟机、容器在TEE内运行，国内外主流云平台已陆续推出基于机密计算虚拟机的云服务。•集群化。随着算力需求规模增长，机密计算已从单节点向集群化发展。在机密计算3.0阶段，集群中异构服务器节点的机密计算环境可实现统一纳管，支持机密计算虚拟机及容器的跨节点迁移，并提供多节点间高效、统一的可信度量与远程证明。•异构互联。AI大模型场景中，CPU、GPU、NPU、DPU等多类型异构计算资源协同工作已成为常态。在机密计算3.0阶段，异构计算资源被纳入机密计算的安全边界，其基础是PCI-SIG定义的TEE设备接口安全协议（TDISP）：它构成涵盖CPU、PCIe链路与加速器的机密互联框架，CPU侧的IntelTDXConnect、AMDSEV-TIO、ArmCCA的RME设备分配（RME-DA）与设备侧的NVIDIAGPU等均在此框架内实现各自的设备分配能力。在此之外，NVLink、CXL等高带宽互联技术面向特定场景提供补充。当前各厂商的互联协议与证明机制尚未统一，跨厂商的机密互联仍需通过标准规范推动成熟。•超节点。超节点通过多芯片、多加速卡的紧耦合互联，将安全边界从单芯片扩展到整个机架，在机架内构建统一信任域，所有总线传输均实施加密保护，整个机架作为统一TEE运行。超节点可有效提升单节点内可信计算的算力上限，满足大模型训练等高密度算力场景的安全需求。•热迁移。机密计算3.0支持机密计算虚拟机的安全热迁移，迁移过程中内存数据、密钥状态和可信度量信息可完整传递，迁移前后TEE安全属性不降级，目的节点通过远程证明验证后方可接收迁移负载。安全热迁移支持按资源利用率动态调度与弹性扩缩容，保障大模型训练等长周期任务的运行连续性。•端云协同。随着端侧可信执行能力的增强，机密计算从纯云端向端云协同方向拓展。终端设备TEE与云端TEE协同工作，可实现数据从采集、传输到处理全链路的机密保护，适用于隐私敏感的AI推理、边缘计算及物联网等场景。当前业界仍存在一些核心挑战：异构算力适配能力受限，仅能兼容同厂商的AI加速芯片；难以形成跨厂商异构机密计算的成熟生态；集群化部署能力不足，跨节点机密计算环境的热迁移与统一可信度量仍有待完善；安全边界受限，仅能覆盖芯片内计算环境，尚无法全面构建机架级、端边云全链路的可信安全边界。呼吁产业界共同构建异构机密计算互联标准。2.2.1机密计算技术路线概述机密计算概念被提出以来，已经出现了很多机密计算技术路线，主流指令集架构都增加了对机密计算支持，推动着云计算、大数据、AI加速器场景的计算向着机密计算安全范式在转变。通过深入比较机密计算的各条技术路线可知：进程级TEE（如IntelSGX）需改造应用、侧信道攻击面较大，虚拟机级TEE（如IntelTDX、AMDSEV-SNP、ArmCCA）兼容性与可扩展性更好；各路线安全能力相近，差异主要体现在机密性与完整性的具体实现上。就成熟度与生态而言，X86与ArmCCA是当前两大主流的虚拟化机密计算路线，其中X86路线云侧应用最广，Arm在服务器与终端均已形成较完善的架构与开源生态；RISC-V代表新型路线，开放灵活、后发优势明显，但产业生态尚处培育期。系统级TEE因更好的兼容性和扩展性，受到更多产业界关注，是未来云侧机密计算的重要发展方向。ARM架构作为全球主流的精简指令集计算架构，凭借其卓越的能效比、灵活的扩展性以及完备的硬件安全能力，已成为驱动服务器、终端及嵌入式系统全域计算的关键技术底座。其原生支持的分层特权机制、可信执行环境与硬件级隔离技术，为机密计算的实现提供了坚实的底层支撑。虽然这些技术都有各自的特点与实现方式，但它们在发展中是相互借鉴、相互融合的，具备一定的共性：如都依赖硬件安全机制来提供隔离，可以抵抗一定的特权攻击者；都在尽可能减小系统TCB，将代码量庞大的通用hypervisor、操作系统等排除在TCB之外；都提供信任根、完整性度量和远程证明等安全可信原语；主要安全目标都是对关键计算进行隔离，对敏感数据进行安全保护，提供机密性、完整性等安全属性，并兼顾高效性与通用性。当前机密计算硬件级技术演进形成了两大核心技术路线：一是以CPU片内集成TEE为核心的片内集成式路线，二是独立扩展卡级异构TEE路线，两条路线互补发展，共同推动机密计算硬件能力的持续升级。ArmCCA机密计算Arm提出了机密计算架构（CCA）及域管理扩展（RME），以支持Arm设备中的机密计算。引入域（Realm）作为机密计算环境的基本单元，域管理监视器（RMM）充当域隔离的轻量级虚拟机管理程序，受委托调度域并管理内存资源，但不能访问域内数据。硬件层面以粒度保护表（GPT）跟踪每一内存页的所有权，每次内存访问由硬件执行粒度保护检查（GPC）；系统内存管理单元（SMMU）经增强后代加速器执行GPC，当加速器被分配给特定域时，其所有DMA请求均被限制在所属域的内存粒度内。RMM负责协调设备分配，在设备分配给域之前确保其使用的内存区域已在GPT中正确标记，从而防止设备访问宿主操作系统或其他域的内存。隔离通常以硬件安全引擎作为硬件信任根，将关键CCA安全功能从应用处理器转移至隔离的可信子系统，承担启动度量、身份与认证服务、调试认证及生命周期管理。安谋科技“山海”S30FP/S30P是一套完善的硬件安全模块（HSM）子系统，能与自研Cortex-M52CPU共同组成满足CCA需求的硬件信任根，为高性能计算芯片提供全栈安全解决方案。ArmCCA通过RME设备分配（RME-DA）支持异构机密计算，可将GPU等外设安全分配给Realm，并保障数据传输与处理的机密性、完整性。RME-DA借助TEE设备接口安全协议（TDISP）标准化设备接口，使Host无需在Realm内部署特定设备驱动即可分配GPU，从而缩小TCB；计算开始前，Realm通过远程度量与认证决定是否将GPU接口纳入其TCB，采用安全协议和数据模型（SPDM）协商密钥，配合完整性与数据加密（IDE）保护SoC与外部GPU之间的物理链路，防止中间人窃听或篡改。GPC作为核心硬件机制，借助GPT使SMMU在硬件层检查GPU的所有内存请求，越界访问将被直接拦截；启用内存加密上下文（MEC）时，以唯一MECID关联加密上下文，确保驻留系统内存中的数据仅能由授权实体解密。在业界实践方面，机密计算厂商基于ArmCCA的下一代Armv9通用处理器，内建基于硬件的可信执行环境。其通过RME将主机OS与Hypervisor排除在Realm之外，每个域受唯一硬件派生密钥保护，启动链度量并验证RMM、生成证明令牌；并利用IOMMU/SMMU实现设备分配，将TCB安全扩展至GPU，使数据在CPU与GPU之间安全流动，实现端到端的机密AI。X86机密计算X86路线产业化成熟，呈现Intel与AMD双轨并行的格局，两家厂商均已完成从进程级隔离到虚拟机级隔离的代际演进。Intel于2013年推出软件防护扩展（SGX），通过一组新的指令集扩展与内存加密机制在用户空间构建进程级飞地；2020年发布信任域扩展（TDX），转向虚拟机级抽象，其核心是新增的安全仲裁模式（SEAM），TDXModule运行于该模式下并负责信任域（TrustDomain）的生命周期管理，内存加密采用多密钥全内存加密（TME-MK）为每个信任域分配独立密钥，远程证明则借助基于SGX的引证飞地生成证明报告，并通过TDXConnect将保护范围延伸至GPU等加速器。AMD自2016年起相继推出SEV、SEV-ES与SEV-SNP三代安全加密虚拟化技术，以每虚拟机独立密钥透明加密内存，由平台安全处理器（PSP）负责密钥管理、启动度量与证明签名；SEV-SNP进一步引入反向映射表（RMP）为每个物理页记录归属与权限，在机密性之上提供内存完整性保护，并通过虚拟机权限级（VMPL）分层机制支持在客户机内部构建安全服务层（SVSM），其设备侧扩展SEV-TIO同样面向加速器的安全分配。在生态成熟度方面，X86路线具备完整的软件栈与工业落地能力：Linux6.x内核已完整支持TDX与SEV-SNP的宿主机和客户机侧能力，主流云服务商均已推出商用机密计算实例，开源侧有Occlum、星绽等库操作系统与安全组件，以及以Rust实现的coconut-svsm。其主要局限在于硬件信任根依赖CPU厂商，安全性建立在厂商固件与密钥基础设施之上；同时由于部署规模大、研究关注度高，X86机密计算也是侧信道与物理攻击研究的主要对象，近年来针对IntelTDX的微架构侧信道分析[9]、经由DDR5内存总线插入实施的攻击[10]、针对硬件内存加密中调整值复用的密码分析[11]，以及利用遗留固件接口攻陷机密虚拟机的方法[12]等相继被提出，推动了相关防护机制的持续迭代。NVIDIAGPU机密计算与X86、ArmCCA以CPU为中心的虚拟化路线不同，NVIDIA从加速器一侧切入，是首个在通用GPU上原生提供机密计算能力的厂商，其技术路线遵循协同设计思路，从芯片设计阶段起将安全贯穿GPU、互联通道与配套CPU。在单设备层面，GPU通过引导序列逐级建立信任链，以内置的熔丝级设备身份密钥生成经签名的证明报告，由NVIDIA远程证明服务（NRAS）验证后方可承载敏感工作负载；运行时以AES-GCM对CPU与GPU之间的数据通信通道进行加密，并借助硬件防火墙与每虚拟机独立的加密密钥实现多租户隔离。在设备接入层面，自Blackwell架构起，NVIDIAGPU支持TEE-I/O，可在TDISP框架下与CPU侧的TDXConnect、SEV-TIO等能力协同，完成设备认证、链路加密与安全分配；在GPU间互联层面，NVLink提供域内加密，NVLink-C2C为CPU与GPU之间的片间互联提供加密保障。从架构演进看，该路线经历了从单设备TEE（Hopper）、到多GPU机密互联（Blackwell）、再到机架级统一信任域（VeraRubin）的三代扩展，其中机架级统一信任域以配套CPU原生支持机密计算为前提，从而消除了此前CPU侧的信任缺口。相关架构细节与集群级扩展参见2.5.2节。国内机密计算路线（1）飞腾机密计算路线飞腾通过深度融合PSPA（飞腾处理器安全架构）标准、国密算法硬件加速能力，以及自研的PhyTEE可信执行环境软件栈，构建了覆盖芯片内核、虚拟化层到跨域协同的全生命周期机密计算体系，其技术路线遵循三阶段演进路径：第一阶段基于TrustZone构建芯片级可信执行环境，在芯片内部实现“安全世界”与普通运行环境的物理级隔离，并将SM2/SM3/SM4等国密算法引擎深度集成于安全世界中；第二阶段在ARMEL2特权级上构建轻量虚拟化层，脱离对宿主机操作系统的依赖，支持虚拟机级与进程级双重隔离；第三阶段正加速向ARMCCA机密计算架构演进，推动Realm安全执行环境等CCA核心特性在飞腾芯片中的深度适配与优化落地。此外，飞腾已将机密异构互联纳入技术布局，在自研AI加速器中引入硬件可信根，并设计了外设加速器与CPU之间的密钥协商与机密信道建立机制。（2）华为鲲鹏机密计算路线华为鲲鹏BoostKit推出新一代机密计算ConfidentialComputingArchitecture（CCA）硬件架构，构建Realm域虚拟化管理模块RMM，基于R-EL2特权级实现机密虚拟机能力，支持普通虚拟机软件栈整体迁入机密环境，机密虚拟机的CPU和内存受CCA硬件隔离保护并支持内存加密；具备远程证明、机密设备直通、国密加速、机密容器等关键特性，覆盖机密云主机、数据保险柜、密态计算、可信数据空间等场景。面向AI时代训练和推理的机密计算需求，扩展异构机密计算能力，昇腾NPU具备硬件根、机密内存管理能力。鲲鹏CPU机密计算环境通过双向设备认证可信扩展至NPU，实现芯片级全链路加密的异构机密计算。（3）海光CSV机密计算路线海光CSV（ChinaSecureVirtualization）是海光信息在其C86处理器上自主研发的机密计算技术，对标国际主流的AMDSEV-SNP和IntelTDX，是国内实现大规模商业化的国产CPU机密计算技术之一。其CSV3.0架构以全内存加密为基础，由CPU硬件自动对虚拟机内存进行加密（支持国密SM4算法），密钥由安全处理器管理，对Hypervisor和主机操作系统不可见；使用ASID区分不同CSV虚拟机和主机，确保缓存、TLB等资源的独立；支持基于芯片内置密钥的可信启动和远程身份认证，验证TEE环境的真实性；并支持CPU与海光DCU（深度计算处理器）共享同一安全域，为大模型训练和推理提供全栈机密计算保护。（4）独立扩展卡级TEE路线独立扩展卡级TEE路线在架构思路上与片内集成式路线形成互补。该路线在单张PCIe扩展卡内实现了业务执行与安全管控的硬件级解耦——CPU单元作为主要系统运行环境，独立的安全芯片构建硬件级可信安全围栏，作为整机系统的硬件根信任锚，在硬件层面实现远程认证、可信度量、流量管控、密钥全生命周期管理、国密加解密加速等核心安全能力。该架构仅通过高速总线与外界通信而无其他外部访问入口，即使宿主CPU、操作系统被恶意攻破，攻击者也无法渗透进入TEE内部。面向AI大模型场景，配套的密态AI升级卡通过PCIe接口与主流GPU/NPU卡直连，构建AI加速芯片的专属硬件级TEE，与宿主CPU侧的协处理器形成可信互联，解决传统方案“CPU侧安全、GPU侧明文”的断点问题。2.2.2机密计算架构体系机密计算架构目前已经形成了分层标准化的技术体系，从底层硬件到上层应用的各层级协同实现全链路安全可信，同时软件与开源生态快速成熟，为技术规模化落地提供了完善支撑。根据隔离粒度和适用场景的不同，当前主流机密计算架构可分为CPU机密计算架构与扩展架构两大类：（1）系统/进程级TEE架构：例如IntelSGX安全边界为进程，将应用的核心代码和数据运行在隔离的Enclave中，适合需要细粒度隔离的场景，如密钥管理、隐私计算等。（2）虚拟机（VM）级TEE架构：例如IntelTDX、AMDSEV-SNP、ARMCCA，安全边界为整个虚拟机，操作系统和应用都运行在加密的可信域中，支持现有应用无修改迁移，适合云场景下的整机机密机部署。（3）异构TEE架构：支持GPU、FPGA等多种硬件的机密计算能力，实现异构计算资源的统一可信调度，如NVIDIAH100CC、IntelTDXConnect等技术，适用于AI训练、大数据分析等需要异构加速的机密计算场景。扩展架构并非独立于CPU机密计算架构之外的新类型，而是在其基础上的延伸：异构TEE在CPU侧也仍表现为进程级或虚拟机级隔离，例如IntelTDXConnect即是在虚拟机级TEE的基础上将保护范围延伸至加速器。机密计算分层技术架构机密计算按照系统层级功能，自下而上可以划分为硬件层、系统软件层、系统服务层和应用层四个层级，四个层次软硬件协同，共同保障了机密计算环境的安全功能。同时该分层技术架构的开源技术生态快速发展，为规范的机密计算应用落地提供了完善的支撑。硬件层是机密计算技术体系的底层基石，提供实现安全可信功能所需的硬件资源，并通过可信固件进行初始的可信配置与引导。硬件资源包含：CPUTEE，CPU提供的扩展指令，可以确保安全工作负载的隔离执行；异构TEE，为依赖GPUs、FPGAs以及其它加速器的安全工作负载提供可信执行环境；密码引擎，为内存加密提供高性能加解密算法，基于设备根密钥和随机数发生器提供密钥派生功能；可信硬件，如TPM/TCM，为机密计算平台提供不可篡改的平台信任根，还可以提供各种可信计算功能；设备根密钥，是固化在硬件中不可篡改的唯一密钥，是整个机密计算平台的唯一标识，作为根密钥可以派生用于机密计算环境的各种其它功能密钥；随机数发生器，为密码计算提供真随机数生成，主要用于密钥生成与派生。可信固件主要基于安全硬件提供安全引导机制，通过完整性度量与签名验证，确保关键硬件配置与核心系统软件的完整性；此外，可信固件可能还提供密钥派生、内存隔离、外设隔离、系统软件的安全切换等基础功能。•系统软件层系统软件层是上层机密计算功能/应用与底层硬件安全资源之间的融合剂，向下是管理各种硬件安全资源，向上是基于硬件安全资源提供抽象接口。根据具体机密计算应用场景，通常系统软件层可能包含可信虚拟化管理软件（如ARMCCA中的RMM模块）、可信操作系统（如TrustZone中的安全世界）、可信运行时（如RISC-VKeystone中的EyrieRT运行时）。•系统服务层该层包含两方面功能，一是基于各种TEE硬件架构和密码技术提供一些通用的安全机制与可信服务，如安全隔离、安全存储、远程证明、可信信道、密钥管理、证书管理、完整性度量等；二是为上层机密计算应用提供通用的机密计算平台抽象，开发者和用户通过这些抽象可以使用底层机密计算硬件、固件和安全服务的能力。该层为机密计算应用开发者提供统一的API接口和SDK支撑，使得各个行业或者技术领域的开发者可以基于机密计算开发各种安全应用，如机密AI/ML、机密数据库、机密多方计算、机密区块链、机密函数加密、机密联邦学习等。近年来机密计算软件生态快速完善，在操作系统、中间件、开发工具链三个层面都实现了显著优化。操作系统层，Linux6.x内核已完整支持TDXHost/Guest、SEV-SNP、CCA等特性，WindowsServer2022已原生支持机密VM部署，国产操作系统实现了与国产TEE硬件的全栈适配。中间件层，MySQL、PostgreSQL、Redis等数据库已推出机密计算版本，支持全内存加密、密态查询，容器runtime如containerd、runc已支持机密容器原生调度，Kubernetes的CoCo插件实现机密工作负载自动化编排。开发工具链方面，IntelSGXSDK、OpenEnclaveSDK等工具链已成熟，支持多语言开发、远程证明集成、性能profiling等能力。机密计算开源项目机密计算的开源生态正呈现“架构追赶”与“语言重塑”并行的特征：X86依赖成熟商业开源项目主导工业落地，ARM通过软件模拟填补硬件真空。X86在机密计算领域，开源生态已形成覆盖底层固件、操作系统、远程证明到云原生容器的完整项目链。底层固件由TianoCore社区的EDK2提供OVMF构建，ovmf-inteltdx与ovmf-amdsev分别面向IntelTDX和AMDSEV-SNP机密虚拟机。Linux内核社区中，IntelTDXhost侧支持已进入主线，TDX模块运行时更新合入Linux7.2，KVM侧大页支持补丁迭代至v3；AMDSEV-SNP的KVM基础支持补丁迭代至v7基线，SNP证书获取机制已进入kvm-x86仓库。远程证明方面，IntelDCAP/PCCS提供开源证明材料缓存服务，AMDVirTEE工具结合KDS服务实现SEV-SNP证明报告生成与验证，社区另有CMC、dcap-qvl等跨平台证明库同时支持SGX、TDX与SEV-SNP。云原生侧，ConfidentialContainers原生提供kata-qemu-tdx、kata-qemu-snp、kata-qemu-sev运行时类，Trustee组件可对TDX、SEV-SNP、SGX等平台执行证明。模拟与验证侧，QEMU自10.1版本起正式支持TDX与SEV-SNP，支持通过VFIO与guest_memfd访问受保护内存，并可直接以IGVM文件启动加密虚拟机。ARM在机密计算领域，基于virCCA和CCA在开源生态方面同样形成了从固件到容器的完整项目链。底层固件与监控器方面，TF-A在EL3层提供RME支持，管理Root、Secure、Non-Secure、Realm四个安全状态间的切换，代码托管于TrustedF；TF-RMM作为RMM规范的参考实现，以开放治理社区项目形式在TrustedF上维护，运行于RealmEL2，负责Realm生命周期管理。操作系统与虚拟化方面，Arm持续向Linux内核社区提交KVM的CCA支持补丁，截至2026年3月已迭代至v13版本；EDK2的Realm客户机固件补丁亦已提交至tianocore社区审查。远程证明方面，ProjectVeraison由Arm发起后捐赠至ConfidentialComputingConsortium，采用Apache2.0许可证，提供可复用的远程证明验证组件。云原生容器方面，ConfidentialContainers与KataContainers集成，使KubernetesPod可运行于ArmCCARealm中，该项目已于2026年7月成为CNCF孵化项目。模拟与验证方面，Arm的AEMFVP提供RME扩展支持，开发者无需物理硬件即可在FVP上运行完整的CCA参考软件栈。国内openEuler社区在机密计算开源项目中，已形成以secGear统一开发框架为底座，基于virtCCA/CCA机密虚拟化与Kuasar机密容器为上层方案的完整技术栈。目前secGear框架已支持IntelSGX和ARMTrustZone（安全OS支持iTrustee），具体包括：•SecGear框架：secGear是为了解决业界机密计算技术种类繁多（IntelSGX、ARMTrustZone、RISC-Vkeystone等）、各SDK千差万别导致开发者开发维护成本高、生态隔离的问题。通过该开发框架，让开发者不感知底层各种机密计算架构和接口的差异，实现不同架构共源码，降低机密计算的使用门槛。；其中，2026年5月，openEuler社区基于secGear推出机密应用StarterKit，解决了官方仅提供最小化Demo、缺少标准化工程模板和自动化测试流程的问题；2026年8月，secGear新增同态加密（HE）支持，实现openEuler系统上对隐私计算、多方数据联合等场景的支•VirtCCA：该项目由openEuler社区Confidential-computingSIG组主导，基于ArmCCA标准接口，在TrustZone固件之上构建TEE虚拟化管理模块，实现完整的机密虚拟机（CVM）支持，包括内存隔离、上下文与生命周期管理、页表管理，并支持应用无缝迁移至TEE。2025年11月，openEuler社区联合Arm、Linaro、百度智能云、麒麟软件、麒麟信安、统信软件、上海交通大学、华中科技大学和全球计算联盟（GCC）等共同发布全球首个ArmCCA机密计算解决方案，使openEuler成为首个原生支持CCA机密虚机的开源操作系统。•基于Kuasar机密容器解决方案：2023年，华为在CNCF峰会上推出一款支持多种沙箱隔离技术的创新型容器运行时Kuasar，它能够在单个节点上灵活运行多种不同类型的沙箱容器。2025年7月，openEuler社区发布iSulad+Kuasar+secGear云原生机密容器方案，该方案基于轻量级沙箱容器和机密计算结合构建机密容器，保护容器镜像的机密性和完整性，保护工作负载的机密性，防止非授权实体的非法访问，同时兼容云原生生态，提高机密计算的易用性。Kuasar机密容器已支持virtCCAKata机密容器启动，支持K8s纳管，并支持机密镜像仓库配置。注：来源/zh/blog/20250701-Kuasar/20250701-Kuasar.html而国内openKylin社区在机密计算领域的布局并非单一项目驱动，而是通过多个SIG协同、分层推进的方式构建完整能力栈。当前形成了ConfidentialComputingSIG（ARMCCA应用层）与X-TeeOSSIG（Rust可信内核底座）双轮驱动，并辅以TrustedComputingSIG在可信计算基础软件层面提供支撑的格局。呈现“双核驱动+基础支撑+产学研协同”的特征：•双核驱动：ConfidentialComputingSIG聚焦ARMCCA应用生态（AI推理+机密容器），X-TeeOSSIG聚焦Rust可信内核底座（X-Kernel）；•基础支撑：TrustedComputingSIG提供可信软件栈与国密支持；•产学研协同：与清华大学等高校在Rust内核、TEE安全等方向开展联合研究与人才培养。这一架构使openKylin在机密计算领域形成了从内核到应用、从技术研发到产品落地的完整开源能力链。注：来源https://www.openkylin.top/news/4066-cn.html#1此外，国内的龙蜥社区(OpenAnolis)成立了云原生机密计算SIG，致力于构建开源、标准的机密计算技术栈，并已孵化多个项目。•InclavareContainers：由阿里云和蚂蚁集团主导研发的业界首个面向机密计算场景的开源容器运行时，旨在抹平机密计算的高使用门槛。•Occlum：用于IntelSGX的内存安全多进程库操作系统（LibOS），可使旧版应用几乎无需修改源码即可在SGX上运行。•KubeTEE：一个云原生大规模集群化机密计算框架，旨在解决TEE技术在云原生环境中开发、部署和运维的整体流程问题。•ConfidentialAI：龙蜥社区推出的开源解决方案，为端云一体场景提供端到端的安全保护，涉及CryptPilot（磁盘加密）、Trustiflux（远程证明与敏感资源管理）、TNG（环境验证与加密通信）等组件。•TEEFL：一个基于机密计算的联邦学习框架，聚合服务器运行在机密计算环境中以保证参数聚合安全。下表汇总了X86和ARM两类平台的机密计算代表性开源项目，RISC-V平台的机密计算开源情况详见2.4节。），AI推理现“lift-and-shift”），目包补丁迭代至v7.1-案密在最底层EL3级别实现运行于R-EL2级别，实力为CCA虚拟机提供UEFI进合Arm、Linaro、基于ArmCCA标准实现全球首个ArmCCA机密1.0对应固件、edk2、出出起），•cf.io/blog/2026/07/22/confidential-containers-becomes-a-cncf-incubating-project/#1•https://confidentialcomputing.io/2021/09/#ajax-content-wrap•https://www.openkylin.top/news/3928-cn.html•https://www.openkylin.top/news/4066-cn.html#1•/openkylin/community/blob/master/sig/TrustedComputing/README.md#1从机密计算的开源项目实施情况看，X86适合作为机密计算成熟方案的研究参考；RISC-V则是最具潜力的研究方向，特别是在软硬件协同设计和形式化验证方面，提供了更高的自由度。此外，一个显著的跨平台趋势是Rust语言正在取代C/C++成为TEE组件开发的首选语言，这正成为机密计算领域的新常态。机密虚拟机（CVM）和机密容器是当前云场景下机密计算的主流落地形态，其核心技术围绕TEE硬件与虚拟化软件栈的协同优化、安全防护能力增强与性能损耗控制三个方向发2.3.1TEE硬件与虚拟化软件协同机制从硬件到应用的完整信任链条包含六个层级：硬件层由AMDPSP或IntelTDXModule建立硬件信任根并执行固件初始化；逐页度量内存并生成启动度量值；固件层的OVMF/EDK2在加密内存中执行并验证自身完整性；Bootloader层验证内核签名并加载内核；内核层验证机密计算元数据并建立与AttestationAgent的通信；应用层获取证明。六个层级构成了从硬件信任根到应用层证明的完整信任传递链条。在硬件层能力暴露与虚拟化层适配方面，各主流技术栈形成了各自的核心机制：AMDSEV-SNP的权限控制通过RMP（ReverseMapTable）实现，每个物理页在RMP中有条目记录归属和权限；IntelTDX的核心是SEAM模式，TDXModule运行于此并负责TrustDomain生命周期管理，内存加密采用TME-MK实现多密钥加密；ARMCCA最新特性包括Realm管理扩展和TF-RMM1.0；海光CSV则基于ASID隔离配合SM4全内存加密并支持远程证明。在I/O虚拟化与异常处理方面，由于DMA设备无法直接访问加密内存，需要SWIOTLBBounceBuffer作为中转；SEV-ES/SNP中Guest执行需Hypervisor介入的操作时触发#VC异常而非直接VMEXIT，Guest通过GHCB与Hypervisor通信后返回继续执行。机密容器分为两种核心技术路线：一是基于机密VM的轻量级容器，隔离性强，如KataContainers+CoCo方案；二是基于进程级TEE的容器，性能开销更低，如InclavareContainers+Occlum/Gramine方案。2.3.2核心防护技术SVSM（SecureVMServiceModule）是AMD推出的机密VM安全增强技术，核心是VMPL分层机制：VMPL0为最高特权级，SVSM运行于此；VMPL3为最低特权级，GuestOS运行于此，VMPL间通信通过VMGEXIT实现。SVSM提供vTPM服务、安全引导服务（托管UEFI变量存储，防止Hypervisor篡改SecureBoot数据库）、密钥管理服务与内存服务。coconut-svsm是SVSM的开源实现，完全用Rust编写以利用Rust的内存安全特性，直接运行在裸机VMPL0环境。每次SVSM调用需要VMPL3到VMPL0的切换，优化方向包括批量处理SVSM请求与vTPM状态缓存。VeriSMo是微软研究院于USENIXOSDI2024发表的面向AMDSEV-SNP机密虚拟机安全监控器的形式化验证工作。该工作使用专为Rust设计的验证框架Verus，对运行于VMPL0的安全监控器进行全量验证，表明可在不牺牲功能与性能的前提下显著收敛机密虚拟机TCB的可信度。侧信道攻击是机密虚拟机面临的重要安全威胁，已知攻击类型包括CacheOut、CrossTalk、AEPICLeak、SEVered等。防护措施分为硬件级与软件级两个层面：硬件级包括缓存分区、时序噪声注入与防时序攻击的算法实现；软件级包括指令调度优化、内存访问随机化和常量时间算法实现。2.3.3机密容器技术栈深度解析CNCFConfidentialContainers（CoCo）是CNCF旗下的机密容器统一架构项目，核心组件包括operator、kata-containers、attestation-agent与trustee/KBS密钥代理服务。其工作流程为：containerd通过shimv2调用kata-runtime启动加密GuestVM；镜像加密使用OCI镜像加密标准；容器启动时由AttestationAgent获取证明报告并发送到KBS验证与解封密钥，最终解密镜像层。在国产机密容器方案方面，阿里云InclavareContainers基于进程级TEE并支持Occlum/Gramine，华为CCE机密容器支持鲲鹏TrustZone。2.3.4性能优化技术与基准机密计算的性能优化涵盖三个方向：硬件加速方面，内存加密依托加密指令和硬件密码模块加速；软件栈优化方面，通过快速Enclave创建与轻量级容器启动降低冷启动延迟；场景化优化方面，AI训练场景聚焦GPU直通加密或通信通道加密，数据库场景侧重加密分页。总体来看，当前主流机密计算技术的性能损耗已控制在可接受的范围内，能够满足大多数生产环境的性能需求。2.4.1RISC-V机密计算架构与关键技术•硬件原生安全基础RISC-V的原生安全能力主要体现在四个维度：一是特权级与内存保护，引入H扩展后支持M/HS/VS/U四级特权级隔离，结合PMP及其增强版ePMP实现内存访问权限的精细控制；二是密码计算能力，通过Zvk向量密码扩展支持SM3、SM4等国密算法及AES、SHA等国际算法；三是硬件信任根兼容，可兼容OpenTitan与Caliptra等方案；四是虚拟化扩展支撑，完整的H扩展为服务器级机密虚拟机提供底层支撑。•机密虚拟机扩展（CoVE）机密虚拟机是服务器级机密计算的核心形态，RISC-V国际基金会AP-TEE工作组制定的CoVE规范即为该平台的标准解决方案。CoVE的核心隔离技术是内存跟踪表（MemoryTrackingTable,MTT），由硬件强制执行内存所有权跟踪。物理内存页的状态由TEE安全管理器（TSM）管理并记录在MTT中，明确其属于宿主机还是特定的TEE虚拟机（TVM），硬件MMU在TVM运行期间查询MTT以确保隔离。CoVE还利用两阶段地址转换实现地址空间隔离，TVM的G-stage页表完全由TSM创建和保护。可信I/O方面，CoVE-IO规范将保护范围从CPU延伸至外部设备，支持SSD、网络接口卡及AI加速器等外设安全地直连机密虚拟机。•软件栈体系RISC-V机密计算遵循最小可信计算基原则，安全固件通常采用两级结构：运行于M态的TSM-Driver负责底层资源控制与安全策略下发，运行于HS态的可信安全监视器（TSM）负责虚拟机生命周期管理与隔离策略执行。•远程证明与密钥管理远程证明用于向远程验证方证明目标环境确实运行在合规TEE之内，RISC-V基于硬件信任根实现跨平台、跨厂商的可信验证，相关协议标准化工作正在推进。在密钥管理方面，TEE与KMS的深度联动正成为重要方向，可推动TEE成为监管认可的新型密码模块。2.4.2主流技术路线与典型实现方案当前，全球RISC-V机密计算已形成国际标准、国内自主、开源框架、商用芯片四大主流技术路线，各路线定位清晰、优势互补。•国际标准路线国际标准路线以RISC-V国际基金会AP-TEE工作组制定的CoVE/CoVE-IO规范为核心，不修改基础ISA，兼容嵌入式、边缘、云端全场景硬件，支持Salus等开源TSM实现，已完成Linux、KVM等主流基础软件适配。此外，S态物理内存保护（SPMP）指令扩展已合入RISC-V路线图，可支持蓬莱等TEE的构建。•国内自主路线国内自主路线以RISC-V（国产增强型RISC-V）为核心，聚焦国产芯片全适配、大模型安全优化、TEE密码模块监管认可与异构集群规模化部署，已完成CoVE兼容扩展、增强版可信I/O与TEE+KMS联动等工作。•开源框架路线（学术界）Keystone由加州大学伯克利分校研发，利用PMP机制实现轻量级内存隔离，主要面向科研与嵌入式场景；Penglai（蓬莱）由上海交通大学IPADS实验室研发，支持进程级与虚拟机级双隔离模型，已全面适配国产RISC-V芯片；Sanctum源自MIT，专注内存隔离与侧信道防护；OPTEE面向嵌入式与智能终端场景；Salus是CoVE规范的官方参考TSM实现。学术界也有前沿探索：武汉大学提出的原生双抽象TEE架构，首次在RISC-V平台上实现同时支持虚拟机抽象与进程抽象的统一安全框架；Coffer设计了基于逻辑PMP与飞地模块的可扩展TEE方案；Trust-V聚焦TEE持久化数据的完整性保护。•商用芯片路线（工业界）国产商用RISC-V芯片已实现规模化落地：玄铁C950作为5nm服务器级处理器，原生支持CoVE扩展与向量密码扩展；飞腾端侧RISC-VTEE方案搭载PSPA安全架构，支持国密算法与可信启动。•技术路线对比云计算/AI服务器式度整体来看，国际CoVE方案生态成熟，RISC-V方案贴合国内监管与产业需求，开源框架适合科研场景，商用芯片则为规模化落地提供硬件支撑。2.5.1基于GPU、NPU的异构TEE技术由于传统CPU厂商的TEE设计尚未将异构加速器纳入保护范围，导致TEE难以高效处理AI训练与推理任务。因此，基于GPU、NPU、DPU等加速器的异构TEE成为机密计算发展的新方向，其目标是保护异构计算任务的机密数据与计算资源。异构计算环境中，CPU与加速器通过PCIe或AXI等总线交互，交互方式包括加速器对CPU端任务内存的直接内存访问（DMA）与内存映射输入输出（MMIO）。相应地，攻击者可攻击CPU、加速器等硬件或将任务诱导至虚假环境以破坏计算环境真实性，可通过软件或物理方式访问任务所在内存，也可破坏DMA或通过MMIO篡改加速器寄存器。目前，异构TEE设计尚未考虑物理或软件层面的侧信道攻击（如时序、内存、电压等）以及拒绝服务攻击。异构TEE在实际部署中面临以下问题：可信计算基逐渐增大、兼容性支持不足、用户友好性较差，以及对内存加密与可信认证的支持较为薄弱。2.5.2异构机密AI大模型安全技术大语言模型的训练与推理高度依赖GPU、NPU等异构加速器的并行算力：CPU主要承担任务调度与系统管理等控制面功能，而矩阵运算、注意力计算、梯度更新等计算密集型操作则卸载到加速器执行，数据生命周期中最核心的“使用中”阶段发生在加速器一侧。仅在CPU上构建可信执行环境无法覆盖加速器上正在处理的数据，异构机密计算正是为弥补这一缺口而发展的方向。异构计算系统在安全层面面临三方面的突出挑战，每类挑战对应着相应的使能技术方第一是数据传输环节的暴露风险。模型参数、Prompt、KV缓存、训练梯度等高价值数据需在CPU与加速器之间经总线高频传输，而这些通道由设备驱动和主机侧I/O协议栈等特权软件管理，未必处于可信计算基之内。应对这一挑战，加密DMA可在数据离开可信内存域前完成加密，I/O内存隔离限定加速器仅能访问授权内存，认证I/O协议叠加完整性校验与防重放保护；TEE-IO和TDISP等规范已在PCIe层面定义标准化机制。第二是多租户共享执行环境下的隔离风险。云端推理中多个租户常被调度到同一块加速器上并行处理，而大模型推理是有状态的，KV缓存在会话的多个token间持久存在；若显存在租户切换时未彻底清理便被复用，残留数据可能被后续租户读取。应对这一挑战，安全内存分配器按租户划分互不重叠的显存区域并在任务结束后安全清零，飞地辅助设备管理将GPU流与内存绑定纳入CPU侧飞地管控，NVIDIAMIG等硬件强制分区机制可将单块GPU划分为多个物理隔离的实例。第三是加速器自身的信任缺口。多数加速器由厂商私有微架构、闭源固件和专有驱动栈管控，外部无法独立审计，也不具备标准化的远程证明机制。应对这一挑战，部分加速器已内置熔丝级设备身份密钥以生成签名证明报告，度量启动机制将固件各阶段哈希值链入硬件信任根的度量链，安全配置框架则将密钥发放与设备证明结果绑定。相比于具有长期迭代历史的传统CPUTEE，当前异构TEE的发展刚刚度过初期阶段，起步较晚。且异构TEE领域的研究以学术界工作居多，工业界成品（例如2021年左右推出的NVIDIAH100机密GPU）较少。因此，我们以学术界工作为主要参考，并归纳当前工业界研究，初步总结了当前的异构TEE设计框架。现有异构TEE系统架构按信任根的锚定位置可归纳为四类设计范式：设备中心型、主机中心型、互联中心型和协同设计型。第一类是设备中心型架构，将信任根置于加速器内部，通过修改加速器的命令处理器和固件使其具备安全自治能力。以Graviton为代表，它在GPU内部定义了与会话密钥密码学绑定的安全上下文，由可信固件管理、主机无法访问。其优势是加速器可独立于主机安全状态自我保护、可信计算基较小；局限是需定制修改加速器硬件与固件，且闭源设计难以审计。同类方案还包括面向NPU的MGX和Seculator、TNPU等。对于该架构，其工业界的代表工作为华为与ETH合作研发的GuardAInNPU（基于昇腾NPU）等。第二类是主机中心型架构，复用成熟的CPUTEE基础设施，通过修改主机侧I/O路径和驱动组件，将安全保障延伸到未经修改的商用加速器。以HIX为代表，它将GPU驱动整体迁移到可信飞地内运行，所有DMA和MMIO流量经飞地认证加密后才发往设备。其优势是无需改动加速器硬件、减少依赖非主机侧硬件等；局限在于加速器仍处于信任边界之外，执行状态与显存内容不受硬件级保护。同类方案还包括StrongBox、Honeycomb等工作。目前，对于该架构，其工业界的代表工作为蚂蚁提出的HyperGPU设计方案等。第三类是互联中心型架构，将安全能力下沉到互联交换层面，利用可编程PCIe交换矩阵和集中式安全控制器动态分配并物理隔离加速器资源。以HETEE为代表，所有通信经安全控制器路由并执行密码学保护与物理隔离。其优势是将信任与执行解耦、提供强物理隔离；但集中式设计引入单点故障风险与任务切换延迟开销。目前，对于该架构，其工业界的代表工作为深圳机密计算科技的SPU方案、蚂蚁与南科大协作研发的MPU-A1（ccAI）密态升级卡等。第四类是协同设计型架构，将安全作为一等设计原则，从芯片设计阶段起贯穿CPU、互联通道和加速器的完整硬件栈。该架构由工业界主推，其代表性工作是PCI-SIG提出的TDISP设计规范。在该规范中，CPU端的主流架构厂商推出了其异构TEE扩展，例如IntelTDXConnect、ArmRME-DA、AMDSEV-TIO。在互联通道端，PCI-SIG推出了自PCIe5.0依赖的IDE方案，支持加密数据通路。而在加速器端，NVIDIA推出了这一范式的早期标志性产品H100GPU，后续继续完善推出Blackwell、VeraRubin等方案。以上设计通过引导序列逐级建立信任链，使用AES-GCM全路径加密主机与设备间的数据传输，并通过硬件防火墙和per-VM密钥实现多租户隔离。该类架构安全覆盖最全面，但设计复杂度大且存在较强厂商锁定效应。总线互联安全是从单设备走向机架级机密计算的关键基础。在PCIe层面，TEE-IO和TDISP规范定义了链路级加密与认证设备访问协议；在高速互联层面，NVIDIANVLink支持域内加密，NVLink-C2C为CPU与GPU片间互联提供加密保障。当前跨厂商的统一远程证明框架仍有待建立。NVIDIAGPU机密计算经历三代演进：第一代Hopper（H100/H200）首次在通用GPU上实现硬件级机密计算，支持GPU内存加密和远程证明，但仅限单GPU；第二代Blackwell（B200/B300）消除了机密模式下安全性与性能的传统权衡，并通过TrustedI/O扩展至多GPU场景；第三代VeraRubin实现了机架级机密计算。VeraRubinNVL72将72块RubinGPU与36颗VeraCPU通过第六代NVLink全互联，在CPU、GPU和NVLink三大域之间建立统一信任域，整个机架作为一个统一的可信执行环境运行。实现机架级统一信任域的关键在于VeraCPU的引入。此前GraceCPU不支持机密计算，机密域仅能覆盖GPU侧，CPU与GPU之间的信任边界存在断裂；VeraCPU原生支持机密计算，与RubinGPU通过NVLink-C2C形成统一地址空间，使二者首次可共同纳入同一加密域。在远程证明方面，NVIDIA远程证明服务（NRAS）可对机架内的CPU、GPU、网卡、固件、驱动及运行中的工作负载进行密码学完整性验证，在机架规模上实现全栈信任建立。机架级机密计算可进一步向集群扩展，安全需求从机架内全域加密延伸到跨机架安全通信、分布式远程证明与多节点密钥管理。尽管异构机密计算已取得显著进展，仍有若干关键问题有待解决：TEE的内存保护粒度较粗，难以对KV缓存、中间激活值、梯度等运行时动态敏感数据提供精细化保护；现有设备证明机制多为集中式和静态的，大规模部署下可扩展性不足；全路径内存加密对自回归推理的逐token延迟影响明显；异构TEE跨越多厂商硬件、固件与驱动，可信计算基庞大复杂，形式化验证方法的引入至关重要随着大模型的快速发展，运行在端侧的各种AI应用需要依赖云侧计算能力来处理复杂的用户需求。然而，传统的云服务模型在处理个人敏感数据时，面临着一系列安全与隐私挑战，如运行时缺乏安全保护、用户数据被非法存储、安全隐私机制缺乏透明性难以验证等。虽然在端侧处理用户数据可以保护用户隐私，但对于需要云端大模型支持的更复杂AI任务，端侧处理能力是远远不够的。为了在提供强大AI功能的同时，将端侧设备隐私和安全保障扩展到云侧，需要采用隐私云计算方案，使用机密计算技术创建一个端云协同的机密AI推理系统，确保即使用户数据在云侧处理，也只有用户本人能够访问，即使是云厂商和模型供应商也无法接触到用户数据，从而在不牺牲用户隐私的前提下，释放云侧AI的潜力。近年来，随着OpenClaw等AIAgent开发框架的快速普及，AIAgent已广泛渗透到个人智能助理、企业办公自动化、工业智能管控、政务智能服务等千行百业，端侧作为AIAgent落地的核心载体，其安全防护需求已成为机密计算技术发展的核心新赛道。端侧AIAgent面临的安全风险集中体现在三个维度：一是软件级防护存在根本性信任根缺陷，主流的AIAgent安全加固方案均为软件层实现，其安全策略高度依赖宿主操作系统与内核的安全性，一旦主机被植入恶意代码或遭遇内核级攻击，所有防护规则均可被直接篡改或绕过；二是端侧执行全链路安全闭环缺失，AIAgent从端侧指令发起、工具调用、网络请求到云端大模型推理的全流程存在多个数据明文暴露环节；三是企业级管控能力不足，AIAgent在企业级应用中面临用户凭证泄露、工具调用越权、安全策略被提示词投毒篡改、操作审计日志可被删除篡改等核心风险。端侧机密计算技术的核心演进方向，是以硬件级TEE重构端侧AIAgent的信任根，打造软硬一体的端侧机密计算解决方案，实现AIAgent全生命周期的硬件级安全防护。机密计算新一代参考框架（如图所示）自下而上由机密计算环境、机密计算管理服务（可选）以及机密计算应用生态三大核心板块构成，分别对应算力提供方、服务提供方以及应用提供方的角色分工与职责边界，共同构建协同演进、开放兼容的机密计算技术与产业生态体系。同时，在产业工程落地中，业界常将“机密计算环境”与“机密计算管理服务”的有机结合统称为机密计算平台，应用提供方可直接依托平台所封装的高内聚、低耦合的标准化能力，实现机密计算业务的高效构建与无缝迁移。在此基础上，面对分布式智算、跨主体数据协同与全周期合规监管的演进诉求，新一代参考框架进一步向外延展并融入了跨域互联层、监管适配层与生态协同层，形成了更加完备、立体的全景参考体系。3.1.1.机密计算环境机密计算环境是实现数据运行态机密性与完整性保护的底层算力载体与安全执行体，主要由纵向技术栈机密计算资源与横向赋能层机密计算基础功能两大核心部分构成。机密计算资源（硬件与系统支撑栈）机密计算资源是构建可信执行环境的基石，遵循由物理底层向虚拟化和微服务层层递进的垂直体系结构，包含以下核心