Google Private AI Compute：基于硬件隔离与临时数据设计的隐私AI推理方案

谷歌近日发布了Private AI Compute，这是一个旨在利用Gemini云端模型处理AI请求，同时保护用户数据隐私的系统。谷歌称，该技术旨在“为AI体验解锁Gemini云端模型的全部速度和能力”，并能让用户“获得更快、更有帮助的响应”。

多层架构与硬件隔离

Private AI Compute通过多层防护机制来处理数据。其核心是基于AMD的硬件可信执行环境（TEE），用于CPU和TPU工作负载，以实现“对内存和处理进行加密，并与主机隔离”。谷歌将其Titanium硬件安全架构扩展至TPU硬件，从第六代Google Cloud TPU（Trillium）开始，以满足Private AI Compute的要求。

架构还在可信节点之间使用Noise和应用层传输安全（ALTS）等协议建立了加密通信通道。谷歌会对节点进行认证，以验证其完整性，并声称这一设计能将用户数据与更广泛的谷歌基础设施屏蔽开来。

防范特权滥用与数据临时性

该系统针对特权访问滥用设计了防护措施。其运行基于临时性（Ephemeral）原则，“输入、模型推理和计算仅在满足用户查询所需的时间内保留”，这旨在防止攻击者访问过往数据。

关键服务运行在基于AMD硬件TEE的机密计算平台上，前端服务则在机密虚拟机中运行。谷歌表示，这种方法能保护客户虚拟机中的工作负载免受主机影响，并通过认证验证代码。此外，系统还使用了由第三方运营的IP盲中继（IP-blinding relays）来将流量隧道传输至Private AI Compute，旨在消除将用户IP地址或网络识别信息与特定查询关联的能力。

应用场景与行业趋势

目前，Private AI Compute已用于提升部分Pixel设备的本地功能。例如，在最新的Pixel 10手机上，它使“Magic Cue能够提供更及时的建议”；Pixel的录音机应用则利用它来“支持更广泛语言的转录摘要”。

Private AI Compute反映了行业向注重隐私的AI系统发展的趋势。苹果的Private Cloud Compute和Meta的Private Processing也追求类似的目标，即在将AI工作负载卸载到云端的同时，实施加密和基于硬件的保护。

有评论指出，已有研究论文详述了可信执行环境可能遭受的攻击方式，并且TEE制造商持有密钥本身也存在风险。作为外部审计方，NCC Group已验证Private AI Compute的系统设计符合隐私与安全指南。

对于希望了解私有AI推理架构的开发者，可以关注GitHub上的开源框架OpenPCC，该仓库提供了相关的技术细节供研究和实验。这为关注人工智能基础设施安全性的工程师提供了有价值的参考。