技术摘要：当智能体处理机密信息：面向智能体 AI 的机密计算综述

1. 问题陈述

大语言模型（LLM）驱动的智能体的部署引入了与独立模型推理截然不同的威胁面。与无状态的查询 - 响应系统不同，智能体 AI 系统自主规划、调用外部工具、维护持久化记忆，并通过模型上下文协议（MCP）和智能体对智能体（A2A）等协议与同级智能体进行协调。这种扩大的操作范围创造了软件层防御（例如提示词防护、输出分类器）无法完全解决的漏洞，特别是针对拥有特权的基础设施 adversaries（例如被攻陷的云服务运营商或虚拟机监控器），他们能够检查模型权重、窃取对话历史，或在传输过程中操纵工具输出。

虽然全同态加密（FHE）等密码学方法提供了严格的保障，但其计算开销使其难以适用于交互式、百亿参数规模的工作负载。本文指出了一个关键缺口：现有的综述分别探讨了智能体安全或独立推理的机密计算（CC），但缺乏对硬件根信任（可信执行环境，即 TEEs）如何应用于完整的多步骤智能体栈的持续关注。具体而言，智能体系统需要针对工具调用隔离、持久化记忆机密性以及智能体间消息溯源的保护，这些保护范围超出了单次调用推理的范畴。

2. 方法论

本文采用结构化的综述方法，以综合面向智能体 AI 的机密计算设计空间。

• 语料构建：文献汇编始于机密 LLM 推理和智能体安全研究的种子集，通过向后/向前滚雪球法扩展，并结合针对性关键词搜索（例如 TEE、安全飞地、远程证明、MCP、A2A）。
• 分类协议：保留的核心论文按 TEE 基础架构、操作类别（独立推理、使用工具的单智能体、工作流智能体、多智能体系统）、受保护智能体层、adversary 类别和安全目标进行编码。仅当系统保护了工具使用、工作流执行、持久化记忆或智能体间协调时，才被标记为“直接面向智能体”。
• 分析视角：分析围绕三个维度组织：
  1. 功能智能体层：感知、规划、记忆、行动和协调。
  2. Adversary 特权：范围从外部攻击者（A1）到被攻陷的共租户（A2）、恶意基础设施运营商（A3）以及被攻陷的同级智能体（A4）。
  3. 部署边界：进程飞地、机密虚拟机（CVMs）、安全世界/域隔离，以及 CPU 到 GPU 的机密执行。

3. 主要贡献

A. 统一的 TEE 平台分类法

本文提出了六种与智能体部署相关的 TEE 平台的比较分类法：Intel SGX、Intel TDX、AMD SEV-SNP、ARM TrustZone、ARM CCA 和 NVIDIA H100 CC。分析从六个维度评估了它们：

• 隔离粒度：进程级（SGX）与虚拟机级（TDX、SEV-SNP）与域级（CCA）。
• 可信计算基（TCB）大小：可信计算基的规模。
• 加速器机密性：平台是否将信任扩展到 GPU 内存（例如 NVIDIA H100 CC），或仍局限于 CPU 中心。
• 边缘部署能力：适用于移动/边缘与云数据中心的适宜性。
• 飞地间通信成本：隔离组件间通信的开销。
• 证明模型：远程验证的机制。

B. 以智能体为中心的威胁模型

作者形式化了一个五层威胁模型，将 adversarial 能力映射到具体的安全目标：

1. 感知：摄入用户提示词和检索到的文档。
2. 规划/推理：LLM 核心处理和工具选择。
3. 记忆：短期上下文、长期向量存储和 KV 缓存。
4. 行动/工具执行：调用外部 API 和现实世界工具。
5. 协调：智能体间委托与通信。

该模型对应九项安全目标：输入机密性、模型机密性、执行完整性、记忆机密性、工具调用完整性、消息真实性、溯源性、新鲜性和侧信道抗性。

C. 机密计算防御的比较综述

本综述根据威胁模型分析了代表性系统（例如 TEESlice、CMIF、TEECHAT、Omega、AttestMCP、CAEC、BlockA2A）。主要发现包括：

• 推理与智能体：目前大多数证据支持独立推理（感知/规划层）的输入和模型机密性。
• 缺口：针对持久化记忆、工具调用完整性和多智能体协调的保护仍然不完整。
• 直接面向智能体的系统：像 Omega（SEV-SNP + NVIDIA H100 CC）这样的系统展示了端到端的机密运行时，具有基于证明的工具访问控制；而 CAEC（ARM CCA）则为多智能体协作实现了机密共享内存。

D. 开放研究挑战

本文综合了六个关键的开放挑战：

1. 复合证明：建立跨多跳智能体链（用户 → 编排器 → 专家 → 工具）的传递信任。
2. 基于 TEE 的 RAG：创建经过证明的向量存储，其中检索操作由证明机制控制。
3. CC 感知协议：重新设计 MCP 和 A2A，以原生支持证明、溯源性和新鲜性。
4. 侧信道泄露：解决特定于自回归推理模式（例如 KV 缓存访问）的微架构泄露。
5. GPU-TEE 性能：表征在 LLM 规模（405B+ 参数）和并发多智能体工作负载下的开销。
6. 监管对齐：弥合技术证明证据与合规要求（例如欧盟《人工智能法案》、DORA）之间的差距。

4. 结果与发现

• 硬件成熟度：硬件信任原语（SGX、TDX、SEV-SNP、CCA、H100 CC）已足够成熟，可用于针对性部署，但没有任何单一平台主导智能体设计空间。
• 选择性保护：实际设计将信任边界与最高价值层（例如保护系统提示词和凭证）对齐，而不是试图封闭整个智能体栈，后者由于内存和 I/O 限制往往不可行。
• 机密计算的局限性：
  • 机密计算保护“使用中”的数据免受拥有特权的基础设施运营商侵害，但无法防止语义提示词注入（A1）或确保外部输入的真实性。
  • 证明确立了正在运行什么代码，而非代码的目标是否与人类意图一致。
  • 侧信道攻击（时序、缓存、总线争用）仍然是一个重大风险，特别是针对共租户 adversaries。
  • 可用性无法保证；TEE 引入了新的操作脆弱性（例如内存容量限制、证明服务依赖）。
• 平台 specifics：
  • Intel SGX：最适合敏感组件的细粒度隔离，但受限于 EPC 容量且缺乏原生 GPU 信任扩展。
  • Intel TDX/AMD SEV-SNP：适用于云规模的智能体服务“直接迁移”，但在跨虚拟机的机密共享内存方面面临挑战。
  • ARM CCA：在多域协调和边缘/云混合部署方面前景广阔，但依赖于较新的研究原型。
  • NVIDIA H100 CC：对于大模型推理机密性至关重要，但需要可信的 CPU 端根（例如 TDX）来实现端到端的系统完整性。

5. 意义与主张

本文主张，机密计算为智能体 AI 提供了一种必要的、基于硬件的防御基础，以抵御拥有特权的基础设施 adversaries，填补了纯软件防御留下的空白。然而，作者保持了适度的立场：

• 部分解决方案：机密计算并非智能体安全、模型鲁棒性或端到端系统可信度的通用解决方案。它解决了特定的安全目标（机密性、执行完整性），但无法解决语义错位或输入可信度问题。
• 组合式未来：前进的道路在于组合式进步——结合经过证明的内存服务、协议原生的溯源机制以及 GPU 感知的性能表征——而非纯粹的架构突破。
• 当前状态：虽然几种硬件原语已成熟，但“目前尚无广泛建立的端到端框架将它们绑定为生产级智能体 AI 的连贯安全基础”。本综述旨在定义设计空间，强调从仅推理系统到智能体系统的可转移性（及其缺失），并界定从试点部署迈向受监管的、生产级智能体系统所需的具体挑战。