机密计算 × GPU AI 推理 —— TEE 环境下的隐私保护机器学习实战

content=

当 GDPR 遇上大模型，当医疗数据遇上云端推理，如何在不可信的云端保护模型和数据的机密性？GPU TEE（可信执行环境）技术正在给出答案。

content=

一、为什么 AI 推理需要机密计算？

2025 年，某医疗 AI 公司将训练好的医学影像模型部署到公有云进行推理服务。黑客通过虚拟机逃逸漏洞获取了宿主机权限，直接转储 GPU 显存中的患者 CT 影像数据和模型权重——这不是科幻场景，而是真实发生的安全事件。

AI 推理场景面临三重信任危机：

content=
1. 数据机密性（Data Confidentiality）：推理请求中包含的用户数据（医疗影像、金融交易、个人对话）可能被云管理员、 hypervisor、甚至同机的其他租户窃取。
content=
2. 模型机密性（Model Confidentiality）：模型权重是企业的核心知识产权（一个 GPT-4 级别模型训练成本超过 1 亿美元），部署到不可信环境意味着裸奔。
content=
3. 推理完整性（Inference Integrity）：模型可能被篡改（注入后门、修改输出分类），攻击者通过 DMA 攻击或内存篡改改变推理结果。
content= content= content=

传统方案的局限：

content= content=
content=
• 同态加密（FHE）：推理延迟增加 1000x-10000x，不适用于在线服务。
content=
• 安全多方计算（MPC）：通信开销巨大，对大模型不现实。
content=
• 可信平台模块（TPM）：只提供密钥保护，无法保护运行时的 GPU 内存。
content=
content= content=

GPU TEE 技术的成熟——NVIDIA H100/H200 的 Confidential Computing、AMD SEV-SNP 的虚拟机级加密、Intel TDX 的透明域隔离——为解决这些威胁提供了硬件级保障。

content= content=

---

content= content=

二、GPU TEE 架构全景

content= content=

2.1 NVIDIA Confidential Computing 架构

content= content=

NVIDIA 从 Hopper 架构（H100）开始原生支持机密计算，核心机制：

content= content=

content=┌─────────────────────────────────────────────────────────┐
content=│  Host OS / Hypervisor (不可信)                           │
content=├─────────────────────────────────────────────────────────┤
content=│  ┌───────────────────────────────────────────────┐      │
content=│  │  TEE (可信执行环境)                             │      │
content=│  │  ┌─────────────┐    ┌──────────────────┐       │      │
content=│  │  │  Guest OS   │    │  GPU Driver      │       │      │
content=│  │  │  (Linux)    │    │  ( nvidia.ko )   │       │      │
content=│  │  └──────┬──────┘    └────────┬─────────┘       │      │
content=│  │         │                    │                  │      │
content=│  │         ▼                    ▼                  │      │
content=│  │  ┌──────────────────────────────────────┐      │      │
content=│  │  │  CUDA Runtime / cuDNN / TensorRT     │      │      │
content=│  │  └──────────────────┬───────────────────┘      │      │
content=│  │                     │                          │      │
content=│  └─────────────────────┼──────────────────────────┘      │
content=│                        ▼                                 │
content=│  ┌──────────────────────────────────────────────┐       │
content=│  │  GPU Hardware                                  │       │
content=│  │  ┌────────┐  ┌────────┐  ┌─────────────┐      │       │
content=│  │  │ GSP    │  │ TEE    │  │ VRAM        │      │       │
content=│  │  │ RISC-V │  │ Engine │  │ (AES-256    │      │       │
content=│  │  │ 固件   │  │        │  │  加密)      │      │       │
content=│  │  └────────┘  └────────┘  └─────────────┘      │       │
content=│  └──────────────────────────────────────────────┘       │
content=└─────────────────────────────────────────────────────────┘
content=

content= content=

关键技术要点：

content= content=
content=
• AES-256 显存加密：GPU 显存（VRAM）中的所有数据由硬件自动加密，使用每个 VM 唯一的密钥，密钥由 GPU 内部的 TEE Engine 生成和管理，外部无法读取。
content=
• DMA 保护：IOMMU 加密引擎确保外部 DMA 设备无法读取明文数据。
content=
• 远程证明（Attestation）：通过 GPU 的 SPDM（Security Protocol and Data Model）机制，客户端可以在发送敏感数据前验证 TEE 的完整性和真实性。
content=
• GPU 内部计算解密：数据在 GPU 计算单元（SM）内部自动解密，对 CUDA 程序完全透明。
content=
content= content=

2.2 AMD SEV-SNP GPU 方案

content= content=

AMD 的 SEV-SNP（Secure Nested Paging）通过反向映射表（RMP）实现虚拟机级内存加密：

content= content=
content=
• 每个 VM 拥有唯一的 AES-256 密钥（由安全处理器 ASP 管理）
content=
• 内存完整性保护：防止重放攻击和内存别名攻击
content=
• 需要 GPU 厂商配合实现显存加密（目前 AMD Instinct MI300X 开始支持类似能力）
content=
content= content=

2.3 Intel TDX GPU 方案

content= content=

Intel TDX（Trust Domain Extensions）将 CPU 侧的 Trust Domain 与 GPU TEE 协同：

content= content=
content=
• 通过 TDX Connect 协议保护 CPU-GPU 之间的 PCIe 数据传输
content=
• Trust Domain 内的 CPU 内存和 GPU 显存分别加密，通过共享总线保护
content=
• Intel Data GPU (Ponte Vecchio) 提供配套支持
content=
content= content=

---

content= content=

三、远程证明（Remote Attestation）实战

content= content=

远程证明是机密计算的第一道门——在发送推理请求之前，客户端必须确认对方的 GPU TEE 确实处于可信状态。

content= content=

3.1 NVIDIA GPU 远程证明流程

content= content=

content=Client                          Cloud TEE
content=  │                                 │
content=  │  1. GPU Driver 生成证明报告     │
content=  │ ◄───────────────────────────── │
content=  │  2. 向 NVIDIA Attestation       │
content=  │     服务提交报告验证             │
content=  │ ─────────────────────────────► │
content=  │  3. NVIDIA 返回验证结果          │
content=  │ ◄───────────────────────────── │
content=  │  4. 验证通过，建立 TLS 通道       │
content=  │ ─────────────────────────────► │
content=  │  5. 发送加密推理请求              │
content=  │ ─────────────────────────────► │
content=  │  6. 返回加密推理结果              │
content=  │ ◄───────────────────────────── │
content=

content= content=

3.2 Python 验证示例

content= content=

以下代码演示如何通过 NVIDIA 远程证明验证 GPU TEE 的状态：

content= content=

content=import jwt
content=import requests
content=from dataclasses import dataclass
content=
content=@dataclass
content=class AttestationResult:
content=    attestation_success: bool
content=    driver_version: str
content=    vbios_version: str
content=    gpu_uuid: str
content=    nonce_verified: bool
content=
content=class NvidiaGPUVerifier:
content=    """NVIDIA GPU 远程证明验证器"""
content=    
content=    NVIDIA_ATTESTATION_URL = "https://nras.attestation.nvidia.com/v1/attest/gpu"
content=    
content=    def __init__(self, policy: dict):
content=        self.policy = policy
content=        # NVIDIA 公钥用于验证 attestation token
content=        self.nvidia_public_keys = self._fetch_nvidia_public_keys()
content=    
content=    def verify_attestation(self, attestation_token: str, nonce: bytes) -