本文针对AI工作负载对安全、可扩展计算资源的迫切需求，提出了一种基于Intel TDX、Intel Trust Authority和NVIDIA机密计算技术的去中心化机密计算平台。当前集中式云服务商在定价和安全模型上占据主导地位，且高端GPU集群（如8xH100、8xH200、8xB200）的高昂成本限制了组织、初创公司和独立研究者的使用。论文设计了一个分布式生态系统，其中硬件提供者贡献支持Intel TDX的计算资源，每个参与节点被配置一个全新实例化、唯一加密的Ubuntu 24.04机密虚拟机（CVM），从而在数据静止、传输和使用三个阶段提供保护。通过去中心化机密计算栈，并在独立运营的节点间利用机密计算，该工作展示了传统云基础设施的可行替代方案。实验结果表明，该系统能够提供增强的安全保证、透明的成本结构，并普及企业级安全计算能力，为下一代AI开发奠定更开放、安全且公平的基础。

该论文针对英特尔TDX（Trust Domain Extensions）这一基于虚拟机的机密计算环境，系统研究了其微架构侧信道攻击面。TDX旨在保护租户代码和数据免受特权云操作系统的侵害，但往往将微架构侧信道排除在威胁模型之外。作者发现了四个新的侧信道原语：SEPTrace、Load+Probe、TSX-Probe和MWAIT-Probe，它们从主机侧以不同的时间精度暴露页级和缓存级活动。基于这些原语，作者构建了TDXRay框架，该框架能够产生未修改的机密虚拟机的高精度、缓存行粒度的内存访问轨迹。通过两个案例研究验证了TDXRay的攻击能力：(1) 经典AES T-table攻击，恶意虚拟机管理器通过访问模式泄露恢复出秘密密钥；(2) 针对大语言模型的攻击，主机通过监控标记化过程中的内存访问推断用户提示。实验表明，TDXRay能够从单次内存访问轨迹中可靠地恢复用户提示，对私有LLM推理构成严重威胁。最后，论文探讨了系统级和应用级的缓解策略，如基于ORAM的短期解决方案，并强调了长期改进TDX架构的必要性。

随着LLM即服务等机密云工作负载的兴起，用户数据必须在可信且未被篡改的环境中处理，这需要密码学证明。现有的解决方案，特别是Confidential Containers (CoCo)，强制采用严格的“每个Pod一个虚拟机”模型，仅证明客户操作系统栈，而忽略了容器级别的身份验证，并且每个虚拟机带来巨大的资源开销。本文提出了dstack-capsule，一个基于Kubernetes的平台，在Intel TDX上实现了Pod级别的远程证明。其核心思想是两层证明架构：静态平台测量通过不可逆的特权熔断机制冻结在RTMR[3]中，而动态Pod身份（pod_uid、pod_spec_hash、workload_id）嵌入在TDX Quote的report_data字段中，每次请求由硬件签名。dstack-capsule引入了以下主要贡献：(1) Pod级别证明协议，将Pod规范摘要绑定到硬件签名的Quote上；(2) 特权熔断机制，将节点从设置模式原子性地转换到安全模式；(3) 多层沙箱，涵盖存储、运行时、准入、API和网络隔离层；(4) 基于Kubernetes 1.32、Intel TDX和Sysbox的完整开源实现。实验评估了安全属性、证明正确性和性能特征，表明dstack-capsule实现了Pod粒度的验证，而无需每个虚拟机隔离的资源开销。该工作适合对机密计算、Kubernetes安全以及硬件辅助信任执行环境感兴趣的安全工程师和研究人员。