机密计算证明的边界：软件可验证，人无法验证

机密计算认证证明了软件的身份，而非运营基础设施的人。

The Promise Of Confidential Computing Attestation

机密计算认证使真正的工程飞跃成为可能。可信执行环境——无论是机密虚拟机、机密 GPU Enclave，还是硬件根信任的 TEE——现在可以生成签名加密报告，确认加载到其中的代码与已知良好的度量值匹配。没有 Hypervisor 篡改。没有静默的二进制替换。没有未验证的启动链。

对于多租户推理场景，这解决了一个在 AI 基础设施架构中曾经无解的问题：在他人 GPU 容量上运行模型的客户，现在可以获得数学证明——推理栈在他们权重和提示词接入前未被修改。这不是边际改进。在认证出现之前，"信任云提供商"是在共享基础设施上运行敏感任务的全部安全模型。认证用证据取代了信仰。

这部分每个人都能理解。也是大多数分析止步的地方。

The Question It Never Answers

认证只证明一件事：这是我所期望的软件。它不回答谁拥有运行该软件的环境，不回答谁在操作其下的基础设施，也不回答该操作者实际上代表谁的利益。

这是不同的问题，而架构师们正越来越多地将它们混为一谈——同样的混淆出现在身份控制通过但授权链失败时，或者身份提供商回答了与所问问题不同的问题时。一个机密 GPU Enclave 可以生成一份完美的认证报告——正确的度量值、有效的签名、回到硬件根的完整信任链——而控制物理基础设施的实体、Neocloud 中间商或主权邻近容量提供商，仍然完全处于架构师实际信任假设之外。工作负载已验证，但交易对手没有。

在未验证的操作者下运行已验证软件，不是假设的边缘案例。它与代理系统继承信任而未经质疑的失败形态相同，也是当前大多数多租户 AI 基础设施的默认状态。

Why This Assumption Used To Be Safe

没有人故意构建这个盲点。在企业基础设施的大部分历史中，软件身份和操作者身份是同一事实，一次发现。如果拥有硬件，就控制运行其上的软件，并且按定义就是操作者。验证软件在功能上等同于验证交易对手，因为没有单独的交易对手需要验证。

公有云松开了这种耦合，但没有完全打破——架构师将信任扩展到一小部分超大规模厂商，这些厂商的身份和声誉从未真正受到质疑，即使底层硬件不是他们能检查的。操作者仍然可被认知，即使不是架构师自己的组织。

AI 架构学习路径对运行时治理的讨论更深入地涵盖了这个领域，但简而言之：多租户 AI 基础设施才是真正打破这一假设的原因。机密 GPU 容量越来越多地通过 Neocloud、容量中间商和主权邻近提供商流转，这些提供商与架构师所能识别的任何品牌都相隔数层。机密计算认证没有创造这个差距。它暴露了软件身份和操作者身份开始属于不同组织的时刻——并给架构师提供了足够精确的验证工具，来证明这一分裂中的软件部分，而将操作者部分完全搁置。

What Attestation Proves — And The Question It Leaves Unanswered

机密计算认证用密码学方法证明了特定代码正在未修改地运行。现有任何认证机制都无法证明谁控制该代码运行所在的环境——不是硬件，不是物理访问权限，也不是在出问题或有人决定查看时进行干预的能力。

对于在任何不拥有的容量上部署敏感推理的架构师，诚实的诊断问题很简单：认证确认了软件。什么确认了操作者？

如果没有答案，信任链就有一个认证报告永远无法弥补的缺口——因为它从未被设计用来弥补这一点。

认证证明了信任问题的一半：软件可以信任吗？AI 基础设施越来越多地依赖第二个问题：操作者可以信任吗？

这两个问题曾经有相同的答案，因为在基础设施的大部分历史中，只有一个参与方需要评估。多租户 AI 打破了这一点。工具在一侧赶上了，但在另一侧还没有跟上。

将干净的认证报告视为可信交易对手证据的架构师，验证了软件，并对其他一切做了假设。

Originally published at rack2cloud.com