该论文针对远程证明（remote attestation）在专有软件场景下的信任缺口提出了一种新架构。背景是：可信执行环境（TEE）通过硬件绑定密钥对自身配置信息签名，生成包含内部加载代码度量值（cryptographic digests / measurements）的证明报告，远端验证方将报告中的度量值与参考值（reference values）比对，从而确认运行环境的完整性。但问题在于：当被度量的构件（artifact）是闭源或专有软件时，验证方无法自行推导参考值，只能依赖第三方提供的参考值，并且只能确认「某个具有特定度量值的程序在 TEE 内运行」，而无法确认该程序的行为是否符合预期，这相当于把全部信任转移给了参考值提供方，形成了供应链信任盲区。论文提出的方案在不披露源码与构建产物的前提下弥合这一缺口，其核心是把两个 TEE 工作负载组合起来：(1) attestable build（Hugenroth 等，2025），把源代码摘要与构建产物的度量值绑定；(2) attestable audit（本文提出），把同一份源代码摘要与在 TEE 内部执行的自动化审计结论绑定，审计手段包括模糊测试、静态分析、AI 代码审计、形式化方法等。作者将两者统一抽象为 Confidential Computing Proofs，即把 TEE 证明视为一种硬件支撑的零知识证明。通过把两份证书串联（chaining），验证方可以得出结论：正在运行的构件确实由满足所审计属性的源代码构建而来，而整个过程既不需要披露源代码，也不需要披露构建产物，从而把「信任参考值提供方」转变为「可验证的构建—审计链路」。作者在 Intel SGX 配合 Gramine Library OS 上实现了概念验证，并对 Python 代码运行 Bandit 安全分析器，证明了该方案在工程上可行。适合关注 TEE 证明、机密计算、软件供应链安全与专有软件合规审计的研究者和安全工程师阅读。

该论文针对机密计算（Confidential Computing）在交互式开发流程中的结构性矛盾提出了新的系统范式。传统上，机密计算依赖 AMD SEV-SNP、Intel TDX 等可信执行环境（TEE）来保护"使用中数据"的机密性与完整性，而 TEE 的完整性保障建立在远程证明（Remote Attestation）之上：只有在启动时对初始内存状态做一次性、静态的度量，才能向数据提供方证明运行环境可信。问题在于，这一"静态、一次性"的信任模型与真实的数据处理工作流严重冲突。论文指出，在 LLM 微调、探索性数据分析等场景中，数据使用方需要人在回路（human-in-the-loop）能力，包括动态注入代码、检查中间状态、调整超参数等。这些操作本质上是动态且非确定性的，一旦允许就会破坏远程证明所承诺的"代码与数据在证明后不再变化"这一前提，导致数据提供方无法继续信任该环境。 为解决这一张力，作者提出"交互式机密计算（interactive confidential computing）"范式：在不牺牲数据机密性的前提下，允许不可信的数据使用方在 TEE 内执行动态、非确定性的操作。其核心洞察是——本质上不可度量的人类交互必须被排除在可信计算基（TCB）之外，因此应将 TEE 逻辑上拆分为"交互控制器"与"可验证运行时"两部分，前者承载不可信的人类决策，后者保持可被验证与度量的确定性。 在此基础上，作者实现了 INTCC 框架，包含三项关键机制：（1）基于代理（proxy）的分发系统，使开发者在保持原生开发体验的同时完成调度；（2）基于安全格（security lattice）的细粒度信息流控制机制，用于防止数据经由动态代码路径泄漏；（3）隐私保护的可验证执行机制，用以保证动态工作流的运行时合规性。作者基于 AMD SEV-SNP 与 Confidential Containers 完成实现，并在多种真实负载上评估。实验表明，INTCC 在安全性与交互性之间取得平衡，相对于基线执行，LLM 微调场景的额外开销低于 5%，数据分析场景低于 17%。 该工作适合关注机密计算、TEE 应用落地、云上数据协作与隐私增强计算的研究者与安全工程师阅读，为"如何在可验证环境中安全开放交互式能力"提供了架构级参考。

2025 年，针对可信执行环境（TEE）的物理访问类攻击被陆续披露（如 TEE.fail、Battering RAM），此类攻击需要攻击者能够物理接触目标机器，因而对当前 TEE 部署构成严重威胁。论文的核心观察是：目标机器的物理防护越严格，这类攻击越难实施，于是“机器是否处于可信组织管理之下”成为一项新的安全需求。然而现有 TEE 远程证明只能证明运行环境（固件、软件、配置）的可信度，无法证明机器归属于哪个组织；攻击者因此可以把一台自己可控、但可被物理接触的机器伪装成在合法环境中运行的机器，从而绕过依赖证明结果的信任决策。为此作者提出 TEE Anchor，一种基于 X.509 的轻量级机制，用于证明“哪个组织在管理该机器”。其设计不依赖额外信任根（如 (v)TPM）：由组织针对芯片唯一标识 Chip ID（每颗 CPU 独有）签发证书，构建自身的 PKI；验证方在收到证明证据后，将证据中的 Chip ID 与该组织证书中的 Chip ID 做匹配，即可确认机器的组织归属。相比基于 (v)TPM 的既有方案，TEE Anchor 在运营成本与可部署性上更优，可跨主流 TEE 使用而不被厂商锁定，并允许任意组织独立于 TEE 厂商声明归属。作者实现了原型，并验证包括证书配置（provisioning）与验证在内的全部操作均可在数毫秒内完成。

该论文提出了一种新的密码学原语——可信模型环境（Trusted Model Environment, TME），用于支撑“私有语义计算”。所谓私有语义计算，是指参与方在不暴露各自数据的前提下，联合完成需要理解语义、上下文与数据间关系的计算任务，例如对文本或非结构化数据的联合推理。作者指出，现有多方安全计算（MPC）等传统密码学原语主要针对规则化运算设计，难以直接支持这类依赖语义理解的计算；生成式模型虽然擅长此类任务，但通常在明文上运行，而基于密码学的私有推理效率低、难以规模化，因此需要专门的新原语。TME 的核心思路是把生成式模型放入可信执行环境（TEE）中执行，并对模型输出施加泄漏控制。论文为 TME 设定了六项设计目标：(i) 有效——能正确完成语义任务；(ii) 机密——保护计算过程与敏感输入；(iii) 效用保持——在其他任务上不显著损失模型效用；(iv) 可验证——提供防篡改的计算证据；(v) 高效——相比基线模型计算只引入较低开销；(vi) 可扩展——支持多个参与方。在实现层面，有效性由生成式模型本身提供，机密性由 TEE 提供；针对敏感输入的机密性，作者将对抗训练（用于抑制模型逐字复现输入内容，即 verbatim leakage）与一个信息流控制模块（用于抑制语义层面的泄漏）相结合；在可验证性方面，论文引入了新的 attestation 机制，使参与方能够核验 TME 在其数据与查询上执行的操作，并通过批处理等优化提升效率与可扩展性。作者实现了 TME 的概念验证原型，并在三类应用上进行了评估，声称其满足上述全部要求。

该论文面向跨机构数据协作中的隐私与数据控制权问题，提出一种结合可信执行环境（TEE）与链上数字权益代币（Digital Rights Tokens, DRT）的可验证计算架构。研究背景是：数据所有者希望将各自私有数据合并成数据池以支持联合分析，但又必须保留对数据处理方式的控制权，避免数据在合并后被无限制复制或滥用。核心问题在于如何让第三方数据分析者能够在合并后的敏感数据上执行计算并获得结果，却不暴露底层原始数据，同时使授权过程可追溯、可验证且范围严格受限。 作者提出的方法由三部分组成。其一，数据所有者在 TEE 内部将私有数据合并为密封数据池，数据在受硬件隔离保护的环境中保持加密或不可直接读取状态。其二，数据所有者通过发行 DRT 来授予第三方分析者“计算权”；每个 DRT 绑定一段特定的开源代码和一个数据池，明确限定可执行的逻辑与范围，防止分析者自由读取数据。其三，DRT 的发行与赎回记录在分布式账本（论文中为 Solana）上，使得授权和实际执行过程可审计、不可篡改。分析者获得的是在其指定开源代码上执行 TEE 内密封数据并取回计算结果的权利，而不是数据本身。 论文强调一种“以控制为中心”的隐私观：数据创作者应事前（ex ante）保留对数据如何被处理的控制，而非仅依赖事后追责或合同约束。作者实现了一个参考系统，能够在密封数据集上运行 WebAssembly（WASM）/Python 任务，并在 Solana 上记录 DRT 的赎回事件，从而验证该架构在工程上的可行性与局限。 主要贡献在于把 TEE 远程证明、代码绑定授权与链上权益管理组合成一个可验证计算框架，为隐私保护的数据要素流通和跨机构联合分析提供了一种可审计的控制机制。适合研究隐私计算、机密计算、区块链治理与数据权益管理的读者阅读；对安全从业者而言，其价值在于理解 TEE 与链上代币结合后的信任边界、审计路径与潜在攻击面。

本文针对人类基因组数据"一旦泄露不可撤销、且可直接指向个体身份"这一特殊性，研究基因组基础模型（genomic foundation model）在第三方算力上推理时的隐私可行性问题。作者提出并回答的核心问题是:算力提供方能否在完全不接触明文查询基因组序列的前提下，执行一个已公开发布的基因组基础模型，以及正确性、显存与时间成本是否会阻碍完整加密推理。 方法上，作者首先在原模型上复现了三类基因组任务，并冻结了一套经过独立验证的数值参考（reference），作为后续加密推理正确性的比对基准。随后实现了一套"客户端辅助的近似同态加密（approximate homomorphic encryption）协议":算力提供方在密文上完成线性代数运算（矩阵乘、线性层等）；而掌握密钥的数据所有者在固定边界上负责需要精确数值行为的算子——归一化、因果 softmax 以及激活函数。这种划分把非线性、对数值精度敏感的算子留在客户端，避免在密文域内近似导致的精度塌陷。 实验给出了两类配置结果:非交互式（noninteractive）配置只能完成一个释放权重的 transformer block，当尝试按需组合多个 block 时，显存占用超出所测试加速器的可用内存上限，说明纯密文端到端推理受限于显存而非算力算术。客户端辅助配置则成功执行了全部释放的 transformer block 以及任务头（task head），对一条留出（held-out）基因组信号输入在其完整提示长度下完成推理:最终输出标签与冻结参考一致，峰值加速器显存 9,839 MiB，单卡耗时 6,683 秒。 结论是:对于完整的分类器任务，该方案在算术层面已被证明可行，即在既定威胁模型下算力方无需看到明文的、由查询派生的激活值。但作者明确指出可重复性、网络传输开销以及私有的 token 索引查找（private token-index lookup）仍未解决。论文的临床/生物医学意义在于，它为基因组模型的"计算外包但不暴露数据"提供了一条可验证的技术路径，同时也暴露出延迟与内存开销在实际部署中的明显瓶颈。

该论文研究如何在可信执行环境(TEE)中高效、安全地运行大语言模型(LLM)推理。背景问题是: 用户提交给 LLM 的提示(prompt)可能包含敏感或隐私信息, 而远程部署的模型可能通过重训练时的无意记忆等途径滥用这些信息。一个自然的防护思路是把 LLM 放进 TEE 中执行, 使服务提供方无法接触 TEE 内的计算与数据交互。但现有 TEE 主要基于 CPU, 其算力远低于为 LLM 推理优化的 GPU, 因而性能代价高昂。作者沿用 Tramer 与 Boneh(2019)在 Slalom 中提出的「分割推理」架构——把神经网络推理拆分到 TEE 与不可信 GPU 两侧执行, 并对送往 GPU 的中间输入做保护——将这一思路扩展到 LLM 推理场景, 但把保护手段从加密改为差分隐私(DP)。 论文首先论证了保护中间表示的「必要性」: 作者展示了一种提示重建攻击, 可从中间表示中恢复原始提示, 准确率接近 80%, 说明若把中间张量明文交给 GPU 将造成严重隐私泄漏。其核心贡献是针对 LLM 关键函数做全局敏感度分析, 从而给出所需差分隐私噪声尺度的上界, 使噪声量级可被定量控制而非经验性设定。与加密方案相比, 差分隐私不需要量化(quantization), 因此 LLM 可以保持在浮点域中运行, 避免量化带来的精度损失; 作者同时推导了掩码与 TEE 内噪声消除所引入的浮点误差上界, 并给出其与隐私参数 epsilon 的函数关系。 实现层面, 作者基于 Intel TDX 构建原型, 使用 Llama-3.2-3B 与 Qwen3-4B 两个模型进行评估。结果显示: 分割执行比 TDX 内纯 CPU 推理快近一倍, 比基于加密的 Slalom 方案快 5 至 15 秒且精度更高。最后, 作者证明即便攻击者掌握差分隐私机制的具体形式, 提示重建也无法恢复出比一个无关提示更多的信息, 即隐私收益具有可证明的边界。该工作主要面向机密计算、隐私增强技术(PET)与 LLM 服务安全的研究者和工程团队。

该论文系统性研究了可信执行环境（TEE）构建过程的可复现性（reproducibility）问题，选题紧扣云上机密计算信任链的根基。研究背景是：TEE（如 Intel SGX、Intel TDX、AMD SEV）已成为现代云计算的关键基础设施，为代码与数据提供强机密性与完整性保障；而支撑这一信任模型的核心机制是远程证明（remote attestation）——外部验证方通过密码学度量值（measurement）来确认 TEE 内运行的代码是否可信。然而，远程证明的有效性有一个常被忽视的前提：验证方必须能够把收到的度量值一路追溯到原始源代码，而这一属性只能通过可复现构建来保证；若构建不可复现，度量值就无法与公开源码建立可信对应关系，远程证明在实践中的意义将被大幅削弱。 核心方法上，作者对 115 个真实世界 TEE 部署进行了技术分析，覆盖 Intel SGX、Intel TDX、AMD SEV 等主流方案，逐项核查是否同时提供了源代码与参考构建（reference build）这两个可复现性的必要条件，并尝试验证构建结果是否与度量值一致。为探究不可复现的根本原因，作者联系了 50 个 SGX 项目的维护者，并成功招募 12 位来自工业界与学术界的开发者进行访谈。 主要发现具有较强冲击力：91% 的被调查部署不可复现，其中 80% 连源代码和参考构建这两项基本前提都未能同时提供。访谈结果与量化结论相互印证——12 位受访者中仅 1 人表示可复现性在开发过程中属于优先事项。作者进一步区分了两类障碍：一类是技术上可较快解决的因素（例如构建产物中混入时间戳等非确定性内容），另一类是更棘手的生态级挑战，例如涉及多方利益相关者的项目中，单个开发者无法控制构建环境。基于此，作者主张 TEE 的可复现性需要超越个体开发者的整体性开发流程与更强的组织/生态承诺，而不应把 TEE 当作一个可以贴上就完事的“安全徽章”。 该工作适合云安全、机密计算、供应链安全、可信证明与软件工程（构建可复现性）方向的研究者与工程实践者阅读。

该论文关注机密虚拟机（Confidential VM，CVM）场景下既有 TLS 服务的会话证明（session attestation）难题。当把现有服务迁移进可信执行环境（TEE）后，若要向对端证明这条 TLS 连接确实终止于一个经过远程证明的可信环境，传统做法往往需要改动应用程序、替换 TLS 实现或重新签发证书，迁移成本高且兼容性差。作者提出 SessionLatch，目标是在完全不修改应用、TLS 库与证书三者的前提下提供会话级证明。其核心洞察是：只要能可信地观测到服务器本地生成的临时公钥（ephemeral public key），再结合 TLS 标准的密钥确认（key confirmation）流程，就足以建立 TEE 端点保证，而无需访问或导出任何 TLS 会话机密。基于此，作者把证明集成下沉到操作系统层：设置一个临时 latch 暂存客户端的加密记录，使证据交换与应用自身的 TLS 握手并行重叠，验证完成后 latch 自行移除，连接随即回到原生 TLS 数据路径，不引入额外的载荷加密，并完整保留企业原有的服务认证机制。双向证明复用同一构造，两端并行生成证据。作者完成了 Linux 与 Windows 集成，并在真实 Hygon CSV 证明环境上评估，交错 Linux/Windows 实验中短上传平均时延相较 TNG 分别降低 63.1% 与 23.0%。结果说明，会话证明可以在不把永久代理塞进数据路径的前提下增强既有机密服务。

该论文研究的是"选择性同态推理"(selective homomorphic inference) 这一隐私保护推理范式。背景是: 全同态加密 (FHE) 允许服务端在完全不解密用户数据的前提下完成模型推理, 隐私性最强, 但代价是把整个输入都放进密文域计算, 开销极高, 尤其在深层网络上会迅速变得不可接受。作者提出的折中方案是: 只对输入中真正敏感的区域 (region of interest, ROI) 进行加密, 而与该区域无关的计算全部在明文域执行。论文强调, 这种选择性评估在网络架构不做任何重训练的前提下, 能够产出与"对整个输入做全 FHE 推理"完全一致的输出, 因此不损失模型精度, 只改变计算代价。 核心问题是: 这种混合模式在什么条件下才真正高效? 作者给出的解释是, 收益取决于"加密依赖"在网络中扩散的速度——一旦某个后续张量元素的计算依赖于被加密的 ROI, 该元素就必须一起进入密文域, 密文计算量因此随依赖传播而膨胀。对于较小的加密 ROI, 保局部性的架构 (计算只在小邻域内耦合, 例如局部感受野的卷积结构) 可以把加密依赖限制在很小的子张量内, 从而获得数量级的同态求值加速; 相反, 具有"早期全局混合"特性的架构 (例如在浅层就引入全局注意力、全局池化或其他跨位置聚合的结构) 会让加密依赖在前几层就扩散到整个特征图, 等于退化为全密文推理, 几乎没有任何加速可言。 论文的主要贡献可归纳为: (1) 提出并形式化了选择性同态推理的概念, 明确了它相对全 FHE 的等价输出与不重训练特性; (2) 用"加密依赖扩散速度"作为解释性机制, 把推理开销与网络架构的局部性联系起来; (3) 通过实验表明, 局部性保持型架构可获得数量级加速, 而早期全局混合架构基本无收益。结论是: 局部性 (locality) 是决定选择性同态推理收益的关键架构属性。 适合阅读的人群包括: 从事隐私保护机器学习、机密计算、FHE 推理系统优化的研究者与工程师; 需要在合规约束下设计或选型模型架构的架构师; 以及关注模型侧隐私泄漏面与加密边界的合规/安全人员。

本文提出了一种名为 GPU Travelling 的新型机制，旨在解决机密协作机器学习（Confidential Collaborative ML）中因模型和数据集规模快速增长而导致的通信开销过大的问题。在传统的多方联合训练场景中，多个互不信任的数据持有方需要共同训练一个模型，同时保护各自私有数据的机密性。然而，现有方法通常需要在训练过程中通过较慢的常规网络频繁交换模型参数和梯度，当训练对象为大规模语言模型（LLM）等现代工作负载时，通信成本急剧上升，成为性能瓶颈。GPU Travelling 的核心思想是利用新兴的机密 GPU 技术（如 Intel TDX 和 NVIDIA H100 机密计算能力），让 GPU 以安全的方式“移动”到某个数据持有方处，直接将数据集加载到 GPU 的受保护内存中，然后再返回计算节点进行训练，从而完全避免了原始数据的网络传输，同时将机密性保障提升到数据中心级别。作者基于 Intel TDX 和 NVIDIA H100 构建了原型系统，并在基于 CUDA 的 LLM 训练项目 llm.c 上进行了性能评估。实验结果表明，与传统的传输方式相比，在传输 512 MiB 数据块时，GPU Travelling 实现了至少 4 倍的加速，同时保持了较强的安全保证。该研究为隐私保护下的协作训练提供了一种新的硬件辅助思路，尤其适用于模型和数据集规模庞大的场景，但也面临硬件依赖、数据中心内信任边界以及调度复杂性等挑战。

论文《NACRE: Rethinking Confidential Containers through Native Architectural Support》针对Linux容器在共享主机内核设计下的安全缺陷展开研究。传统容器依赖主机内核实现高密度和快速生命周期操作，但也使被攻陷的主机能够任意查看或篡改容器状态。现有机密计算方案通常保护的是整个地址空间（enclave）或完整客户操作系统，即便有容器粒度的保护系统，也仍需引入额外的隔离保护上下文，未能将“一组由主机管理的动态Linux进程”视为体系结构层面的原生保护单元。为此，作者提出NACRE——一种基于RISC-V的软硬件协同设计，用于实现原生机密容器。其核心思想是：将主机对资源的管理权限与对受保护状态的访问/提交权限显式分离。硬件可识别容器身份，并将受保护陷阱导向隔离的S-mode代理；同时由M-mode监控器负责提交安全关键的身份、映射和页面转换状态。代理可在不修改satp的前提下将部分服务委托给主机Linux运行，且只要服务不访问私有字节或修改受保护状态，就无需陷入M-mode，从而显著降低开销。作者通过扩展QEMU、OpenSBI、Linux、可信代理和runc构建了原型系统，实现了单容器私有内存基础子层，覆盖启动、缺页异常、fork/写时复制、用户态访问及拆除路径。实验结果表明，在lmbench的5个系统调用和管道指标中，三次运行均值与runc基线相差在3.5%以内；在8种nginx对象大小的等权均值下，聚合吞吐量仅降低1.9%，有效验证了该架构的高性能和可行性。该研究为机密容器提供了体系结构级的新思路，适合从事系统安全、云基础设施和机密计算架构研究的读者。

本文提出了一种名为 Reducio 的机密无服务器云部署优化方案，面向企业客户对数据隐私与低延迟的双重需求。近年来，基于机密虚拟机（Confidential Virtual Machines, CVM）的无服务器平台被提出，旨在解决无服务器函数在处理敏感数据时的隐私泄漏问题，同时保持较低的调用延迟。然而，作者的研究表明，现有方案为了实现隐私与低延迟，通常需要在基础设施层面进行大量改动，并消耗较大的平台内存资源，这给实际部署带来了较高门槛。Reducio 是一种替代性的无服务器平台设计，核心目标是不要求基础设施变更，并显著降低平台内存占用。其设计包含两个关键组件：(1) 基于内核去特权化特性的函数隔离框架，该框架在 CVM 内部实现函数级隔离，从而最小化对底层基础设施的依赖；(2) 一种分层缓存方法与算法，能够高效利用小容量的内存函数缓存，减少冷启动和重复加载的开销。实验评估表明，Reducio 能够同时降低平台部署要求和函数内存消耗，在保持机密性的前提下提升了资源利用效率。本文适合关注机密计算、无服务器架构、函数隔离和云安全的研究人员与平台开发者阅读。

本文针对TEE卸载的LLM推理中一种防御方案ArrowCloak发起安全分析。TEE卸载将大模型线性层以混淆形式交给不可信加速器，在可信环境内仅保留小规模修正，以在保护模型权重的同时加速推理。先前攻击ArrowMatch利用权重向量方向不变性破坏了早期方案，ArrowCloak通过在所有权重向量中注入同一隐藏方向的标量倍数实现轻量级可信修正，以抵抗方向匹配。然而本文指出，这类重用使得加速器可见的完整矩阵存在秩一关系：所有行向量共享一个公共方向，仅标量不同。针对实值方案，作者提出SpectralLeak，先估计并移除共享分量，再训练替代模型；在12种任务设置下，替代模型平均准确率达87.98%，而受害模型为89.85%，说明攻击几乎无损。针对ArrowCloak的模Q安全版本，mod-Q运算虽抑制了谱信号，但秩一关系在模Q下仍保持为代数关系，构成一个隐藏格。作者提出LatticeLeak，利用该格结构在BERT-Base和GPT2-Base上精确重建每个受保护的定点参数；在所有评估架构上，重建模型无需任何受害者查询、标签或微调即可获得与受害者相当的任务准确率。实验证实共享秩一重用是泄露的根因。基于此，作者设计ButterflyCloak，一种带密钥的最大秩蝴蝶掩码，用不同掩码行替代重用方向，同时保留TEE内快速修正的能力。该论文彻底揭示了轻量级权重混淆的数学缺陷，并为TEE-LLM安全推理提供了新的防护设计思路。

本文针对NVIDIA Blackwell B200 GPU上可信执行环境（TEE）的性能开销进行了系统性基准测量。研究背景是：随着机密计算（Confidential Computing, CC）在AI/LLM工作负载中的重要性上升，用户需要在保护模型权重和用户数据的同时，了解启用TEE后对推理与训练性能的实际影响。作者在单一物理主机上成对运行机密与非机密任务，唯一变量为GPU的CC位和虚拟机启动时的Intel TDX机密客户机对象，从而隔离出纯CC带来的开销。核心实验结论是：在配置正确的前提下，Blackwell GPU上的机密推理吞吐量开销仅为约1-3%（低个位数）；而使用默认或未经优化的推理栈时，开销会高达30-40%，但这些高开销源于可避免的配置问题，并非硬件的可达常驻点。作者指出，CC开销并非单一数值可以概括，而是由两个独立成本轴共同决定：一是固定的每主机操作成本，其随批量大小增加而摊薄；二是每NVLink流量成本，其与步骤中加密集合通信所占比例成正比。究竟哪一轴占主导，取决于具体工作负载与软件栈。论文进一步将每种成本定位到特定加密边界，并提供了一个微基准，能够在提交计数级预估服务化场景的性能惩罚。最终给出了具体部署建议，同时验证了CC对GPU计算能力、功耗和可用内存容量均无影响。本文对正在评估NVIDIA Blackwell机密计算能力、希望在大模型推理/训练中启用TEE而不过度牺牲性能的工程师和架构师具有直接参考价值。

本文提出了一种名为 PowerHooK 的新型侧信道攻击技术，旨在针对 AMD SEV（安全加密虚拟化）技术实现基于软件的电能侧信道泄露。AMD SEV 系列（包括 SEV、SEV-ES 和 SEV-SNP）被广泛用于保护云环境中的虚拟机隔离，但其硬件设计仍可能受到瞬态执行攻击的影响。作者发现，通过瞬态执行重放（transient-execution replay）技术，攻击者可以在虚拟机内部诱导微架构层面的瞬态行为，从而在不依赖物理功耗测量（如板载电压调节器或示波器）的情况下，将功耗相关的信号转化为可观测的软件侧信道。核心方法利用了 AMD 处理器中某些指令的功耗差异与数据值之间的关系，并通过重放瞬态执行路径来放大这些差异，最终提取加密操作（如 AES、RSA）的密钥信息。实验在多个 AMD EPYC 平台（包括支持 SEV-SNP 的最新一代）上验证了攻击的有效性，展示了从 SEV 保护的虚拟机中恢复密钥的完整流程。该研究揭示了即使是最新的硬件级隔离机制，仍可能因微架构功耗侧信道而面临泄露风险。文章还探讨了可能的缓解策略，例如指令级随机化、功耗均衡或对瞬态执行窗口的改进限制。论文适合关注硬件安全、虚拟化安全、侧信道攻击与防御的研究人员及云服务提供商的安全工程师阅读，以理解当前 SEV 技术尚未完全解决的物理侧信道问题。

该论文围绕机密 Serverless 计算中的安全挑战，提出了一种“可复用 Enclave”机制。在无服务器计算场景下，每次函数调用通常需要创建或加载一个受信任执行环境（TEE/Enclave），这带来显著的启动延迟和资源开销；同时，不同函数之间的隔离策略也影响安全性和性能。论文的核心思路是让多个租户或函数安全地复用同一个 Enclave 实例，通过细粒度的内存隔离、密钥管理和生命周期控制，在保证机密性和完整性的前提下减少冷启动成本。文中可能设计了一套运行时架构和调度协议，并基于主流 TEE 平台（如 Intel SGX）进行原型实现。实验部分可能通过微基准测试和端到端工作负载对比，证明该方法能有效降低函数调用延迟、提升吞吐量，同时维持与独立 Enclave 相当的安全边界。该研究对构建高效、可扩展的机密 Serverless 平台具有参考价值，也引发了关于共享 Enclave 中攻击面扩张、侧信道隔离和故障隔离的进一步讨论。由于仅基于标题与摘要信息，具体技术细节和实验数据需结合原文确认。

本文提出 CCAegis，一种基于 Arm 机密计算架构（CCA）的进程内隔离方案，旨在保护机密虚拟机（CVM）中敏感数据和操作免受操作系统及进程内攻击者的侵害。传统机密计算主要依赖 CVM 隔离云厂商，但操作系统特权攻击仍是重大威胁。现有的细粒度隔离方案（如 SHELTER）提供进程级保护，却无法应对进程内攻击，且许多技术仍依赖操作系统管理隔离域，导致可信计算基（TCB）过大。CCAegis 通过静态分析追踪敏感数据流，识别处理敏感数据的函数，在函数调用和返回点插入权限切换指令，利用粒度保护表（GPT）动态调整内存访问权限，确保只有被授权的函数能访问隔离数据。其核心创新在于仅信任安全监视器（Secure Monitor），由其配置 GPT 并管理域切换，从而最大限度缩小 TCB。作者在官方模拟器和真实开发板上实现了 CCAegis，并使用真实密码学工作负载进行评估。实验结果表明，CCAegis 能有效隔离敏感数据和操作，性能开销与原始版本相比仅为 1.01x 到 1.43x。该研究为机密计算环境下的进程内隔离提供了更细粒度、更低信任依赖的解决方案，适合对机密计算、隔离技术和系统安全感兴趣的研究人员阅读。

机密计算通过可信执行环境（TEE）保护运行中的应用，但持久存储仍然面临安全威胁。即便使用磁盘加密，恶意的云服务提供商仍可对磁盘状态实施回滚、重放、分叉或篡改攻击，破坏状态型应用所依赖的完整性和新鲜性保证。现有解决方案要么假定存储可信，要么引入高昂的性能开销，或将完整性逻辑强加于应用程序。为此，本文提出 ShieldFS——一个符合 POSIX 规范的文件系统，在机密计算威胁模型下为持久存储提供端到端的完整性和新鲜性保护，且无需修改应用程序。ShieldFS 使用简洁的密码学承诺来表征允许的文件系统状态，这些承诺在 TEE 内部维护，并复制到轻量级可信注册表中。磁盘上的数据结构（包括写前日志和存储池）通过哈希链和嵌入式 Merkle 树进行认证。ShieldFS 利用事务和写时复制机制原子地更新持久文件系统状态及其承诺。在读取时验证承诺，使得即使整个 I/O 栈不可信，也能检测到回滚、重放和分叉攻击。作者通过扩展 ZFS 实现了该设计，得到 ShieldZFS。使用标准文件系统基准和真实工作负载的评估表明，ShieldZFS 在提供强完整性和新鲜性保证的同时，性能与现有先进文件系统相当。该研究为机密计算环境下的存储安全提供了实用的系统级解决方案，适合系统安全研究人员、云服务提供商以及使用 TEE 的开发人员阅读。

该论文提出了一种名为 SparSEEty 的新型令牌提取攻击，针对利用激活稀疏性优化推理性能的大语言模型（LLM）服务系统。现代 LLM 在推理时仅激活部分神经元，这一特性被许多服务系统用于跳过非激活神经元的权重访问和计算，从而提升效率。然而，这种优化导致权重访问模式依赖于输入令牌，进而可能通过侧信道泄露敏感信息。SparSEEty 利用这一漏洞，构建了一个端到端的令牌提取攻击框架。其核心方法分为三步：首先，通过神经元权重访问侧信道构造神经元激活预言机（neuron-activation oracle）；其次，在推理过程中高效地监控神经元激活状态，以降低被检测的风险；最后，将部分二进制的激活轨迹逆向映射为原始输入令牌。作者在 Intel TDX 机密虚拟机（CVM）保护的 LLM 服务系统中实例化了该攻击，并解决了三个关键挑战：利用 CVM 暴露的侧信道组合构建激活预言机、减少推理时监控开销以增强隐蔽性、以及准确地将不完整的激活轨迹反转为令牌。实验表明，SparSEEty 能在多种模型和数据集上以高 BLEU 分数（>0.95）重建提示词和响应令牌，同时仅引入 3.7% 至 7.2% 的监控开销。该研究揭示了稀疏性优化与机密计算结合时的新安全风险，强调 LLM 服务系统即使运行在可信执行环境中，仍可能面临侧信道泄露。

该论文提出了一种名为MOSAIC的方法，用于解决安全且高效地外包AI计算的问题。具体场景是：一个可信但计算能力较弱的客户端拥有输入数据和模型参数，希望将推理计算外包给一个功能强大的不可信服务器，同时要求服务器无法获知输入数据和模型中的任何敏感信息。这一挑战在大型语言模型（LLM）推理中尤为突出，因为现代模型包含数十亿参数，计算量巨大。MOSAIC的核心是一个新颖的矩阵乘法掩蔽协议，相比之前的工作，它可以扩展到规模更大的矩阵，从而支持如大型Transformer推理等现代工作负载。该协议通过向乘法结果中引入少量噪声来放松正确性要求，从而实现了最优的渐近客户端开销，并且实际运行时间比此前方法快几个数量级。其安全性归约到判定性LWE（Learning with Errors）和LPN（Learning Parity with Noise）假设。由于在Transformer的众多层中噪声会累积，一个关键技术挑战是控制误差增长；MOSAIC通过基于随机Hadamard旋转的误差缩放机制解决了这一问题。在70B参数的大型Transformer模型上，MOSAIC的困惑度与流行的量化方法相当，甚至在HumanEval任务上匹配了全精度BF16推理的效果。论文还给出了端到端实现，说明了MOSAIC如何为现代数据中心的大规模机密AI铺平道路。现有的非机密推理已经采用分阶段（prefill/decode）、分层和时间维度上的分布式部署，以最大化异构硬件利用率，并使用类似RDMA的网络在节点间迁移激活值、缓存的KV值和权重。MOSAIC通过保持可信计算基（TCB）较小，并将大部分AI计算外包给不可信的加速器，实现了机密计算的扩展。这项工作为在不可信基础设施上安全运行大模型推理提供了一条新的技术路径，对于隐私敏感的应用场景具有重要意义。

该论文提出 CAGE，旨在为 Arm 机密计算架构（CCA）提供 GPU 加速支持。CCA 是 Arm 推出的机密计算技术，通过创建多个隔离地址空间（称为 realm）来保护安全敏感任务的数据机密性和完整性。然而，现有的硬件和固件不支持机密 GPU 工作负载，且已有方案（如基于 TEE 的 GPU 保护）与 CCA 的 realm 式架构不兼容，或引入庞大的可信计算基（TCB）。为解决此问题，CAGE 利用 Arm CCA 现有的安全特性，在统一内存 GPU（Arm 设备主流加速器）上实现机密 GPU 计算。CAGE 提出影子任务（shadow task）机制，灵活管理机密 GPU 应用，使其适配 CCA 的 realm 架构；同时利用 CCA 的内存隔离机制保护数据机密性和完整性，对抗强敌手；并优化安全操作以降低性能开销。无需修改硬件，仅依赖 CCA 通用硬件安全原语防御特权敌手。原型实现和评估表明，CAGE 能有效为 Arm CCA 提供 GPU 支持，平均性能开销仅 2.45%。 读者适合：研究机密计算、Arm 安全架构、GPU 安全的研究人员；对 Arm CCA 扩展感兴趣的系统安全工程师。

本文针对AI工作负载对安全、可扩展计算资源的迫切需求，提出了一种基于Intel TDX、Intel Trust Authority和NVIDIA机密计算技术的去中心化机密计算平台。当前集中式云服务商在定价和安全模型上占据主导地位，且高端GPU集群（如8xH100、8xH200、8xB200）的高昂成本限制了组织、初创公司和独立研究者的使用。论文设计了一个分布式生态系统，其中硬件提供者贡献支持Intel TDX的计算资源，每个参与节点被配置一个全新实例化、唯一加密的Ubuntu 24.04机密虚拟机（CVM），从而在数据静止、传输和使用三个阶段提供保护。通过去中心化机密计算栈，并在独立运营的节点间利用机密计算，该工作展示了传统云基础设施的可行替代方案。实验结果表明，该系统能够提供增强的安全保证、透明的成本结构，并普及企业级安全计算能力，为下一代AI开发奠定更开放、安全且公平的基础。

该论文针对英特尔TDX（Trust Domain Extensions）这一基于虚拟机的机密计算环境，系统研究了其微架构侧信道攻击面。TDX旨在保护租户代码和数据免受特权云操作系统的侵害，但往往将微架构侧信道排除在威胁模型之外。作者发现了四个新的侧信道原语：SEPTrace、Load+Probe、TSX-Probe和MWAIT-Probe，它们从主机侧以不同的时间精度暴露页级和缓存级活动。基于这些原语，作者构建了TDXRay框架，该框架能够产生未修改的机密虚拟机的高精度、缓存行粒度的内存访问轨迹。通过两个案例研究验证了TDXRay的攻击能力：(1) 经典AES T-table攻击，恶意虚拟机管理器通过访问模式泄露恢复出秘密密钥；(2) 针对大语言模型的攻击，主机通过监控标记化过程中的内存访问推断用户提示。实验表明，TDXRay能够从单次内存访问轨迹中可靠地恢复用户提示，对私有LLM推理构成严重威胁。最后，论文探讨了系统级和应用级的缓解策略，如基于ORAM的短期解决方案，并强调了长期改进TDX架构的必要性。

本文提出了一种针对可信执行环境（TEE）的新型物理攻击方法，称为TEE.Fail。攻击者通过在DDR5内存总线上进行中间人拦截（Memory Bus Interposition），能够在TEE（如Intel SGX、AMD SEV等）的保护下窃取敏感数据或注入恶意数据。研究团队设计并实现了一个基于FPGA的硬件探测平台，该平台可以无干扰地插入到DDR5内存通道中，实时监控和修改内存流量。实验在真实硬件（包括Intel和AMD的最新处理器）上验证了攻击的有效性：攻击者可以绕过TEE的内存加密和完整性保护，读取CPU与内存之间传输的明文数据（如加密密钥、机密计算负载）。论文还讨论了防御措施，包括更严格的物理安全、内存总线加密以及完整性校验机制。该工作揭示了即使是最新一代DDR5内存标准也无法完全抵御物理层攻击，对依赖TEE的云服务、机密计算场景构成严重威胁。

本文提出了一种名为“它是特性而非缺陷”的状态回滚机制，旨在解决机密云计算中应用状态一致性与安全审计的冲突。在机密计算环境中，应用运行于可信执行环境（TEE）内，但云提供商或恶意攻击者可能试图通过回滚状态（如日志、数据库快照）来破坏完整性或隐藏攻击痕迹。现有方案要么牺牲安全性（允许任意回滚），要么牺牲灵活性（禁止回滚）。本文设计了一种可审计的状态回滚协议，利用加密累加器（如Merkle树）记录所有状态变更的历史，并强制回滚操作必须经过多方共识和审计日志记录。核心创新在于将回滚视为一项显式功能，而非需要防止的漏洞：系统允许回滚，但每次回滚都会产生不可抵赖的证据，供事后审计。实现上，作者在Intel SGX和AMD SEV-SNP原型上进行了验证，实验表明性能开销在可接受范围内（约15%）。该工作适合云计算安全、可信执行环境、审计日志领域的研究人员和工程师阅读。

该论文研究了移动Arm系统级芯片（SoC）中集成多种协处理器和外设所带来的安全与效率挑战。现有方案依赖内存加密来保护I/O数据，但在移动平台中，实时数据处理和严格的功耗要求使得内存加密引入显著的性能和功耗开销，阻碍了Arm机密计算架构（CCA）的广泛采用。为此，作者提出了Portal，一种面向移动Arm SoC上Arm CCA的安全高效设备I/O接口。Portal通过利用Arm CCA提供的内存隔离机制，实现硬件级别的访问控制，确保只有指定的Realm虚拟机和外设能够访问受Portal保护的明文内存区域，从而在不使用内存加密的情况下实现安全I/O。这一设计消除了加密开销，支持动态外设集成，并保持强大的安全保证。实验评估表明，Portal仅引入一次性9.8%的性能开销，同时提升了可扩展性和能效，为在移动和资源受限环境中推广Arm CCA提供了关键解决方案。该工作适合计算机架构、系统安全和移动平台安全的研究人员阅读。

该论文提出了一种名为V-ORAM的通用且自适应的不透明随机访问机（ORAM）框架，旨在解决传统ORAM方案在处理动态工作负载时效率低下的问题。ORAM是一种用于隐藏内存访问模式的技术，广泛应用于机密计算和安全处理器设计中，以保护数据隐私。然而，现有ORAM方案通常针对特定工作负载优化，难以适应访问模式的变化。V-ORAM通过引入服务变换（Service Transformation）机制，能够根据工作负载的动态特征（如访问频率、数据块大小等）自动选择或切换不同类型的ORAM协议（如Path ORAM、Tree ORAM、Ring ORAM等），从而在安全性与性能之间取得平衡。框架的核心包括一个在线监控模块，用于实时分析工作负载；一个决策引擎，用于选择最优的ORAM实例；以及一个转换执行模块，负责无缝切换ORAM策略而不中断服务。实验表明，V-ORAM在多种动态工作负载下，相比单一最优静态ORAM方案，平均性能提升约2.3倍，同时保持相同的安全保证。该工作为自适应内存访问隐私保护提供了新思路，适用于云环境、嵌入式系统等需要高效隐私保护的场景。

本文针对大语言模型（LLM）在云环境部署中面临的敏感数据泄露和完整性风险，系统研究了利用CPU与GPU可信执行环境（TEE）实现端到端机密AI工作流的可行性与性能开销。当前主流云服务（Azure、GCP、AWS）依赖集中式基础设施，用户必须共享训练代码和敏感数据，而传统TEE（如Intel SGX/TDX、AMD SEV-SNP）主要保护CPU侧，NVIDIA H100/H200 GPU TEE虽已推出，但缺乏对端到端工作流（CPU+GPU组合）的全面评估。论文提出了一个集成CPU TEE（Intel TDX和AMD SEV-SNP）与GPU TEE（NVIDIA H200）的参考架构，在虚拟机级和应用级分别设计机密性与完整性保护机制。特别指出了Kubernetes管理员可能利用特权访问机密虚拟机内容的潜在攻击面。实验采用行业基准（如MLPerf）评估性能开销，重点分析了TDX+H200配置下的推理与训练延迟。主要贡献包括：1）首次公开评估CPU+GPU TEE端到端工作流的性能与安全性；2）识别出Kubernetes管理员层面的信任边界漏洞；3）提出应用级完整性保护方案以防止VM级旁路。该工作为云环境中机密LLM部署提供了设计参考，但尚未解决GPU TEE的远程证明标准化问题。

本文针对第三方共享加速器基础设施上部署大型基础模型面临的模型窃取风险，提出了一种纯软件的内存混淆框架CloakLM。在现有服务部署中，模型提供者控制虚拟机或裸金属服务栈，但无法控制底层硬件（如主机到GPU互连、加速器结构、相邻基础设施组件），这些组件已被证明可被利用。例如，Hermes通过被动PCIe观察实现无损DNN重建，TunnelS通过驱动级访问以高吞吐量窃取HBM内容而不干扰推理，共租户VM可访问内存映射接口或错误配置的RDMA区域。这些攻击利用ML系统的一个共同特性：模型权重以大型、连续且反复访问的内存区域存储，使得截获的PCIe传输和HBM转储足以揭示模型结构和参数。CloakLM通过三种机制消除这种结构规律性：PCIe流量塑形、层内和层间权重混洗、以及物理HBM页面重映射。授权执行保留有效的虚拟内存布局并带来可忽略的开销，而未授权观察者则看到碎片化和语义不一致的状态。CloakLM集成vLLM和PyTorch，无需硬件改动，并补充了机密计算。在LLaMA和Qwen模型上的分布式推理评估显示，性能接近原生，同时显著增加了对PCIe嗅探和HBM转储攻击的抵抗力，使推理时的模型窃取变得不切实际。该研究适合安全工程师、AI基础设施团队和机密计算研究人员阅读，以了解如何在不依赖硬件信任根的情况下防御模型窃取。

该论文系统性地研究了AMD SEV-SNP（安全加密虚拟化-安全嵌套页表）中的密文侧信道问题。先前工作（CipherLeaks，USENIX Security 2021）仅关注VMSA（虚拟机保存区域）页面的密文变化，通过监控上下文切换时VM保存的寄存器值，成功打破了OpenSSL中RSA和ECDSA的恒定时间加密实现。本论文扩展了这一攻击面，指出密文侧信道并非局限于VMSA页面，任何内存页面（包括内核数据结构、栈和堆）的密文都可能泄漏信息。因此，AMD针对CipherLeaks的现有固件补丁（在VMSA页面的密文中引入随机性）不足以从根本上解决问题。根本原因在于AMD SEV内存加密使用了无状态且未认证的加密模式，并且攻击者对加密内存的密文具有无限制的读取权限。由于从硬件设计层面彻底修复漏洞面临挑战，该论文提出了一套软件缓解措施，包括对操作系统内核和加密库的补丁，并正在与AMD合作将这些变更合并到受影响的开源项目中。论文贡献在于揭示了比CipherLeaks更广泛的攻击面，证明了现有固件缓解措施的不足，并提出了实用的软件防御方案。

该论文针对云推理服务（CIS）中用户请求包含大量个人敏感或企业机密信息，而现有保护方案（如苹果的PCC、谷歌的Private AI Compute）依赖专有硬件和封闭生态系统，难以被其他厂商采纳的问题，提出了OpenPCC：一个基于商用可信执行环境（TEE）的开放且机密的LLM服务框架。论文首先分析了构建安全、开放CIS的基本需求，然后设计了OpenPCC架构，该架构利用商用的Intel SGX或AMD SEV等TEE硬件，在不依赖专有硬件的前提下实现机密性保护。作者实现了开源原型，并在Llama-3 8B vLLM负载上进行了端到端评估，分离了OpenPCC自身开销与底层TEE硬件开销。分析和评估证明了系统的可行性和安全性。论文适合云安全研究人员、LLM服务提供商和隐私工程师阅读。

本文针对跨组织协作计算中，参与方需要处理敏感数据和专有代码但不愿将其暴露给不可信基础设施或其他参与者的难题，提出了一种名为双向机密虚拟机（2cVM）的双层架构。该架构将硬件可信执行环境（TEE）与工作负载内隔离层相结合。与普通机密虚拟机（CVM）不同，2cVM 强制执行共存工作负载之间的相互隔离，确保各参与方对自己的数据和代码保持控制。2cVM 中所有计算受一份“承诺清单”约束，该清单枚举了参与方、组件组成、允许的数据通道以及授权输出；清单被锁定在虚拟机中并纳入远程证明证据，使得策略在虚拟机整个生命周期内不可变且可独立验证。概念验证实现结合了 AMD SEV-SNP 提供的硬件保护与 WebAssembly 组件模型提供的细粒度沙箱隔离。在商用硬件上针对四类基准测试的评估表明，两层隔离的开销并非线性叠加：一旦工作负载在 WebAssembly 沙箱内执行，启用硬件内存保护的边际成本很小。开销取决于工作负载，主要由内存访问模式决定，从顺序访问的几乎可忽略到不规则指针追逐访问的大约 2 倍。这些结果表明，2cVM 为隐私保护的协作计算提供了实用且可验证的基础。

论文提出 GDPRuler，一种用于不可信云环境中的键值存储（KVS）的可验证 GDPR 合规中间件系统。背景：GDPR等隐私法规对个人数据的存储、处理和审计提出严格要求，而KVS简单数据模型和不可信云部署使合规极具挑战。现有方案需侵入式代码修改、性能开销高或忽略合规机制本身的完整性。核心方法：GDPRuler 在机密虚拟机（CVM）内运行可信 GDPR 监视器，无需修改KVS代码。监视器强制执行GDPR策略、管理合规元数据、维护防篡改审计日志。声明式策略语言将核心GDPR义务转化为可执行的运行时规则。为提升效率，GDPRuler 将元数据紧凑编码到KV记录中，为GDPR特定查询建立专用元数据索引，仅以空间高效格式记录合规相关事件。实现：作为透明代理支持未修改的Redis和RocksDB。评估：使用YCSB和GDPR启发的工作负载，GDPRuler 开销低：吞吐量约为原生KVS的61%，其中CVM环境贡献28%-32%；元数据存储开销低于20%；GDPR查询通过元数据索引获得13-182倍加速。贡献：通过将可验证策略嵌入可信中间件层，为不可信云基础设施上的KVS提供了实现GDPR合规的实用路径。

随着LLM即服务等机密云工作负载的兴起，用户数据必须在可信且未被篡改的环境中处理，这需要密码学证明。现有的解决方案，特别是Confidential Containers (CoCo)，强制采用严格的“每个Pod一个虚拟机”模型，仅证明客户操作系统栈，而忽略了容器级别的身份验证，并且每个虚拟机带来巨大的资源开销。本文提出了dstack-capsule，一个基于Kubernetes的平台，在Intel TDX上实现了Pod级别的远程证明。其核心思想是两层证明架构：静态平台测量通过不可逆的特权熔断机制冻结在RTMR[3]中，而动态Pod身份（pod_uid、pod_spec_hash、workload_id）嵌入在TDX Quote的report_data字段中，每次请求由硬件签名。dstack-capsule引入了以下主要贡献：(1) Pod级别证明协议，将Pod规范摘要绑定到硬件签名的Quote上；(2) 特权熔断机制，将节点从设置模式原子性地转换到安全模式；(3) 多层沙箱，涵盖存储、运行时、准入、API和网络隔离层；(4) 基于Kubernetes 1.32、Intel TDX和Sysbox的完整开源实现。实验评估了安全属性、证明正确性和性能特征，表明dstack-capsule实现了Pod粒度的验证，而无需每个虚拟机隔离的资源开销。该工作适合对机密计算、Kubernetes安全以及硬件辅助信任执行环境感兴趣的安全工程师和研究人员。

该论文针对AMD SEV（安全加密虚拟化）技术缺乏形式化安全保证的问题，提出了一套形式化验证框架。AMD SEV是机密计算中的关键技术，通过硬件内存加密保护虚拟机内敏感数据。然而，现有实现缺乏对安全性属性的严格证明。研究首先对AMD SEV规范进行设计级和属性级抽象，建立精确的模型，然后通过属性检查（property checking）验证机密性、完整性和可用性（CIA三元组）。该方法为定义和验证执行环境的关键安全属性提供了严谨的数学基础。实验表明，该框架能够有效捕获规范中的安全约束，并发现潜在的安全缺口。该工作适用于安全架构师、云服务提供商和形式化方法研究人员，有助于提升对AMD SEV安全性的信任度。

随着云原生技术的快速普及，多租户环境中的机密容器部署需求日益迫切。然而，现有基于微虚拟机（microVM）架构的机密容器设计，虽然增强了容器间隔离，但其复杂的软件栈导致较高的启动延迟和资源开销，不适合短期容器工作负载。本文提出 Fasco，一种基于 ARM 机密计算架构（CCA）的轻量级机密容器运行时。Fasco 将每个容器直接实例化为独立的容器域（Container Realm），利用 CCA 的硬件强制隔离机制，确保容器内应用数据的机密性和完整性。此外，Fasco 引入专门系统域（System Realm）为容器域提供系统服务和资源管理。通过异常转发和共享缓冲区，Fasco 保证不同容器域之间的隔离。作者在 ARMv8 硬件上实现了 Fasco 原型并进行了性能评估，实验结果表明，Fasco 相比现有机密容器架构，显著降低了启动延迟和性能开销，同时保持了较小的可信计算基（TCB）。该工作为机密容器提供了一种更轻量、高效的实现方案，特别适用于函数计算、微服务等短期容器场景。

本文实证研究了在Intel SGX2安全区内运行Arrow-native DataFrame引擎Polars的性能特性。作者使用Gramine作为LibOS，在TPC-H SF30基准测试集（约22-73 GB）和Azure Blob Storage环境下，测量了端到端、仅查询和表加载三种性能开销。实验发现，端到端开销相对稳定在1.49-1.56倍，但分解后显示：仅查询开销从1.51-1.52倍下降至1.43-1.44倍，而表加载开销则从2.27倍上升至4.07倍，说明数据摄入是主要瓶颈。查询级分析显示，中位数SGX减速为1.45倍，最大2.57倍，部分查询因状态性EPC压力出现运行时间剧烈波动。此外，比较了Polars的惰性（lazy）与急切（eager）两种API，惰性执行整体快2.25-2.27倍，而急切执行在41 GB及以上时因内存不足失败。与近期DuckDB-SGX2研究对比，结果表明SGX2支持Arrow-native分析处理的额外开销与SQL引擎相当，但加载路径放大和API级优化是影响端到端性能的主要因素。该研究为机密分析工作负载在TEE中的部署提供了定量参考。

本文提出EBCC（Enclave-Backed Confidential Containers），一种兼容OCI（Open Container Initiative）的运行时架构，旨在将机密计算工作负载无缝集成到标准容器生命周期管理中。现有机密容器系统通常依赖虚拟机后端或特定TEE的执行基板，导致机密执行与常规OCI运行时生命周期分离，增加了部署和管理的复杂性。EBCC将REE（富执行环境）侧的锚点和TEE（可信执行环境）侧的机密阶段视为一个单一的容器化机密计算复合体，保留标准OCI生命周期操作（如创建、启动、停止、删除），并将TEE特定执行逻辑封装在后端适配器之后。它维护每个实例的持久状态和每个阶段的工件，用于请求处理、响应生成、日志记录和证据绑定。作者在Keystone TEE后端上实现了EBCC原型，并评估了其正确性、性能、内存占用和并发行为。结果显示，EBCC相比原生Keystone执行引入了额外延迟，主要来自生命周期中介、请求验证、EID分配、后端分发和工件持久化，但额外开销集中在主机端管理状态。跨TEE案例研究（SGX、TDX、OP-TEE）表明，相同的生命周期和阶段抽象可以映射到enclave风格、VM风格和嵌入式风格的TEE。这些结果表明EBCC能够使基于TEE的执行通过OCI风格的生命周期进行管理，而不会显著扩大受保护侧的TCB（可信计算基）。

近期的研究工作反复证明了侧信道攻击能够破坏可信执行环境（如Intel SGX）的机密性保证。与此同时，云环境中的可信执行正朝着机密虚拟机（CVM）方向发展。不幸的是，一些侧信道攻击在CVM上依然可行，并且新发现了针对CVM架构的攻击。以往工作探索了保护用户空间飞地（如Intel SGX）免受侧信道攻击的防御措施，但基于CVM的混淆执行引擎的设计空间在很大程度上尚未被探索。本文提出了一种名为INCOGNITOS的unikernel设计，为基于CVM的云工作负载提供全系统混淆。INCOGNITOS完全拥抱unikernel原则，如最小化可信计算基（TCB）和直接硬件访问，使得全系统混淆成为可能。INCOGNITOS改造了两个关键操作系统组件——调度器和内存管理，以实现一种新颖的自适应混淆方案。INCOGNITOS的调度器设计为通过同步滴答传递，从不可信hypervisor的定时器中断中实现自主权。这使得INCOGNITOS能够可靠地监控hypervisor执行控制权（即VMExit）的频率，并调整由分页子系统执行的内存重随机化频率，该子系统通过直接MMU访问透明地执行内存重随机化。最终的INCOGNITOS设计为自混淆unikernel作为安全的CVM部署策略提供了依据，同时与以往工作相比进一步推进了混淆技术。评估结果表明，INCOGNITOS对CVM攻击具有弹性，并且其自适应混淆方案为实际程序提供了可接受的性能。

本文是一篇关于机密计算（Confidential Computing, CC）如何保障自主AI代理系统安全的综述。随着LLM驱动的代理系统（如基于MCP和A2A协议进行规划、调用工具、维持持久内存以及委托任务的系统）的兴起，其暴露的攻击面显著不同于独立的模型推理。这类代理积累敏感上下文、持有凭证，并在多方不完全控制的流水线上运行，从而面临提示注入、上下文窃取、凭证盗取以及代理间消息投毒等威胁。当前防御完全在软件栈内实现，容易被具有足够特权的攻击者（如被攻陷的云运营商）静默绕过。机密计算提供了一种基于硬件的替代方案：可信执行环境（TEE）将代理代码和数据与特权系统软件隔离，远程证明则能在分布式部署中建立可验证的信任。本综述从四个部分综合设计空间：（i）对六种TEE平台（Intel SGX、Intel TDX、AMD SEV-SNP、ARM TrustZone、ARM CCA和NVIDIA H100 CC）的统一分类，涵盖部署角色和性能权衡；（ii）一个以代理为中心的威胁模型，涵盖感知、规划、记忆、行动和协调层，映射到九个安全目标；（iii）对基于CC的防御的对比调查，区分了从单次调用推理中迁移的发现与需要全新代理设计的发现；（iv）六个开放挑战，包括多跳代理链的复合证明以及LLM规模的GPU-TEE性能。尽管多个硬件信任基元在针对性部署中已足够成熟，但尚未有广泛建立的端到端框架将它们绑定为生产级代理AI的连贯安全基座。本文适合AI安全研究人员、系统架构师和云基础设施开发者阅读。