在 AI 推理服务领域，一个核心信任问题是：用户如何确信推理提供商真的运行了声称的模型？尤其是当提供商可能通过量化模型冒充完整精度模型以降低成本时，验证模型完整性变得至关重要。TEE（Trusted Execution Environment）结合远程认证（Remote Attestation）提供了一种硬件级的解决方案，本文深入剖析 Intel SGX 与 AMD SEV-SNP 两种主流技术的工程实现细节。
为什么需要硬件级模型完整性验证
传统的软件完整性检查存在根本缺陷：验证方无法确认运行环境中实际加载的代码和数据是否与预期一致。攻击者可以通过_rootkit_、_内存修改_或_动态加载_等手段替换模型文件，而传统 TLS 加密只保护传输通道，无法保证服务器端运行的是哪个模型。TEE 通过硬件隔离创建一个可信执行环境，远程认证则允许验证方 cryptographically 证明该环境中运行的代码和数据的哈希值与预期值完全匹配。
在 AI 推理场景中，这种技术可以解决几个关键问题：首先，防止提供商使用量化模型冒充 FP16 或 FP32 模型；其次，确保模型权重在推理过程中未被篡改；第三，验证推理服务使用了经过审计的安全代码路径。这不仅是技术问题，也是商业信任的基础。
Intel SGX 远程认证机制深度解析
SGX Enclave 测量与 MRENCLAVE
Intel SGX 的核心概念是 Enclave—— 一个被硬件保护的内存区域，其内容对操作系统甚至管理员都不可见。当 Enclave 被加载时，CPU 会计算其初始状态的哈希值，这个值称为 MRENCLAVE（Measurement Register for Enclave）。MRENCLAVE 的值由 Enclave 的代码、数据、入口点以及加载顺序共同决定，任何微小的改动都会导致完全不同的哈希值。
在 AI 推理场景中，有两种主要方式将模型绑定到 MRENCLAVE：第一种是将模型权重编译进 Enclave 镜像，这样 MRENCLAVE 直接包含了模型的哈希值，实现简单但更新不灵活；第二种是运行时从安全存储加载模型权重，在 Enclave 内部计算哈希并与预先嵌入的参考值比对。第一种方式适合模型不频繁更新的场景，第二种则提供了更大的部署灵活性。
Attestation Quote 生成流程
远程认证的最终产物是一个签名的 Quote，包含以下关键信息：MRENCLAVE 值、MRENCLAVE 的哈希、硬件信息、TCB（Trusted Computing Base）版本、以及可选的用户数据。生成流程如下：
第一步，Enclave 内部调用EREPORT指令生成测量报告。这个指令接受目标 Enclave 的 ID 和输出缓冲区作为参数，返回一个包含测量数据的结构体。第二步，引用 Quote Generation Service（Quote Generation Enclave，QGS）—— 这是 Intel 提供的专门用于生成远程认证 Quote 的 Enclave——Enclave 通过本地认证将报告传递给 QGS。第三步，QGS 使用 Intel 的 Attestation Key（由 Intel EPID 或其他密钥基础设施管理）为报告添加签名，生成最终的 Quote。
在实际部署中，验证方需要执行以下校验：首先，使用 Intel 的认证服务验证 Quote 签名的有效性，确认 Quote 确实由 Intel 认证的硬件生成；其次，检查 TCB 版本是否满足最低要求，防范已知硬件漏洞；第三，将 Quote 中的 MRENCLAVE 与预期值比对，只有完全匹配才说明运行的是经过审计的代码。
运行时模型验证的工程考量
SGX 的测量机制在加载时完成，这对于静态模型文件是充分的。但如果模型在运行时可能发生变化，或者需要支持多模型切换，就需要额外的设计。一个可行的方案是：在 Enclave 内部维护一个模型状态注册表，每次推理请求前执行内部一致性检查；或者使用 SGX 的 Sealing 功能将模型哈希密封到硬件中，每次启动时自动验证。
AMD SEV-SNP 远程认证深度剖析
SEV-SNP 架构与测量模型
AMD SEV-SNP（Secure Nested Paging）是 AMD 的机密计算技术，与 Intel SGX 的 Enclave 模式不同，SEV-SNP 保护整个虚拟机的内存。SEV-SNP 的测量模型基于 VM 的启动状态，包括初始内存内容、启动固件和虚拟 CPU 状态。VM 的测量值（称为初始测量）由 AMD Secure Processor（ASP）在启动时记录，并包含在远程认证报告中。
SEV-SNP 引入了report_data字段，这是一个最多 64 字节的用户自定义数据区域，Attestation Quote 请求方可以利用这个字段嵌入挑战（nonce）和期望验证的信息。在 AI 推理场景中，我们可以将模型哈希嵌入report_data，使得 Quote 在验证 MRENCLAVE 的同时也绑定了模型身份。
SNP Attestation Report 生成流程
生成 SEV-SNP Attestation Report 的流程如下：首先，在 SEV-SNP Guest 内部，推理服务计算模型文件的 SHA-256 哈希，得到model_id。然后，构建report_data结构，通常包含域标识符（如 "AIINF" 用于 AI Inference）、model_id的前 32 字节、以及验证方提供的 nonce 以防止重放攻击。接下来，通过 Guest Kernel 的/dev/sev接口或相应的 ioctl 调用SNP_GET_REPORT指令，传入report_data。
AMD Secure Processor 接收到请求后，生成包含以下内容的 Attestation Report：Guest 的初始测量值、传入的report_data原始内容、TCB 版本信息、策略标志（如是否启用调试模式）、以及 ASP 使用 AMD 密钥对该报告的签名。这个 Report 随后可以被封装成 Quote 格式，用于远程验证。
验证流程的工程实现
验证方收到 Quote 后，需要执行多层校验才能建立信任。第一层是密码学验证：使用 AMD 提供的证书链验证签名的有效性，检查证书是否被撤销，以及 TCB 状态是否在可接受范围内。第二层是平台验证：确认 TEE 类型为 AMD SEV-SNP，且 TCB 版本满足最低安全要求。第三层是测量验证：将 Quote 中的 Guest Measurement 与已知的允许列表比对，确认运行的是经过审计的 VM 镜像。第四层是模型验证：解析report_data，提取model_id并与预期的模型哈希比对，同时验证 nonce 的新鲜性。
完成以上验证后，验证方可以建立绑定到 Attestation 的安全通道（如在 Enclave 内部终止的 TLS 连接），然后发送敏感的推理输入。只有当所有验证通过，推理请求才会被处理，这从根本上防止了量化模型冒充完整精度模型的攻击。
两种技术的对比与选型建议
Intel SGX 与 AMD SEV-SNP 各有优劣，选择取决于具体的部署场景。从安全边界看，SGX 提供更细粒度的保护，适合单租户场景；SEV-SNP 保护整个 VM，更适合需要完整操作系统支持的场景。从生态成熟度看，SGX 的 tooling 和云服务商支持更为完善，SEV-SNP 作为后起之秀正在快速追赶。从性能开销看，两者都会引入一定的计算和内存开销，具体数值取决于模型大小和推理复杂度。
在云端部署时，主流云服务商提供了不同的支持：AWS 的 Nitro Enclaves 与 Intel SGX 类似，Azure 的 Confidential Computing 同时支持 SGX 和 SEV，Google Cloud 的 Confidential VM 基于 AMD SEV-SNP。开发者应根据目标云平台、可接受的信任模型以及运维复杂度做出选择。
落地实施的关键参数清单
在生产环境中部署 TEE 远程认证时，以下参数值得关注：MRENCLAVE 或 VM Measurement 的预期值应通过安全渠道预先公布，并关联到具体的模型版本；TCB 最低版本要求应根据安全公告动态调整，建议至少每月审查一次；report_data中的 nonce 长度应不少于 32 字节以防止暴力猜解；验证服务的缓存策略需要权衡安全性和性能，证书链的缓存时间通常不超过 24 小时。
此外，监控告警机制不可或缺：当 Attestation Quote 验证失败时，应立即触发安全事件响应流程；定期审计允许列表中的 Measurement 值，防止长期使用的值被暴力破解；日志系统应记录每次 Attestation 的结果，但不能记录敏感的业务数据。
总结与展望
通过 TEE 与远程认证技术，我们能够为 AI 推理服务建立硬件级的模型完整性保障。这种保障不依赖于服务提供商的善意，而是由 CPU 硬件的信任根提供支撑。虽然技术实现涉及多个层面的考量 —— 从底层硬件指令到上层的协议设计 —— 但核心思路是清晰的：将模型哈希绑定到 Attestation Quote 中，让验证方能够端到端地确认推理服务运行的是声称的模型。随着机密计算技术的持续普及，我们有理由相信这种硬件级验证将成为 AI 服务可信度的标准配置。
参考资料
- Intel Attestation Services for Software Guard Extensions: https://www.intel.com/content/www/us/en/developer/tools/software-guard-extensions/attestation-services.html
- AMD Confidential Computing with SEV-SNP: https://www.amd.com/en/products/processors/server/epyc/confidential-computing.html