机密计算保障人工智能系统安全研究报告

由赛迪发布了《机密计算保障人工智能系统安全研究报告》这篇报告。以下是对该报告的简单概括，更多内容请前往原报告进行下载查看。现有AI安全解决方案主要集中在数据安全、算法安全和模型安全三个层级，常见的措施包括模型加密、对抗样本检测、差分隐私等，一定程度上提高了安全性，但应对更复杂的安全威胁时往往显得力不从心。

新一代AI逐渐渗透到了各行各业，在显著提高生产力和效率的同时，也带来了前所未有的安全挑战，亟需建立一个涵盖各个层次的AI安全框架，有效控制AI安全风险。现有AI安全解决方案主要集中在数据安全、算法安全和模型安全三个层级，常见的措施包括模型加密、对抗样本检测、差分隐私等，一定程度上提高了安全性，但应对更复杂的安全威胁时往往显得力不从心。

机密计算是利用具有通用计算能力的硬件可信执行环境（TEE）来保障“使用中”的数据安全，TEE应具备可编程性，可确保数据的可用且不可见，从而保护使用中的数据并维护数据的完整性和隐私。

微软Azure机密AI技术基于AMD的 SEV-SNP，由运行可信执行环境中的机密机器学习推理模块、客户端以及通用模块三部分组成。微软Azure机密AI架构引入了可信第三方角色，将部分信任问题从Azure的云服务转嫁给可信第三方负责，从而避免了模型提供者和用户相互不信任的问题。• 微软通过远程证明服务将Azure中已经存在的ACI （Azure容器实例）、AKV（Azure密钥管理库）和AAD（Azure目录控制）云产品进行了整合，使之在单独发挥功能的同时共同组成一套安全解决方案。• 使用代理网关的模式，在不对推理客户端程序和服务端程序进行修改的前提下，实现了二者间的可信安全通信。• 微软Azure应用了英伟达Hopper架构的GPU机密计算加速功能，实现了将GPU加速纳入机密AI体系架构中。

阿里云机密AI运用机密计算可信执行环境分离开了模型数据的所有权和使用权，并结合TEERuntimeTrustiflux和信任管理服务Trustee等软件框架，在允许模型提供者能够安全可信地将模型数据授予其他多个实体使用的同时，还能继续保持对模型数据的独占性。

机密AI的核心TEE Runtime Trustiflux，主要作用于以下两个执行过程：一是模型数据在可信执行环境中的解密过程，二是用户隐私数据隧道的建立过程。 • 机密AI保护模型的基石-信任管理服务Trustee，通过远程证明功能，能够代表模型使用者等对目标可信执行环境的真实性存疑的角色实现基于远程证明过程的认证与授权机制；此外，还提供可信审计日志、可信本地存储、可信运维通道、自主身份管理等功能• 机密AI保护模型使用者隐私的窗口-可信客户端。

AI模型作为重要的数字资产，其安全保护聚焦于模型知识产权，以应对盗窃、非法复制和滥用等风险当前，AI模型安全保护技术主要包括以下四种，其中基于机密虚拟机的保护方案展现出显著优势。