谷歌私有AI计算：数据泄露的终结？

要点

• 硬件支持的隔离：Titanium Intelligence Enclaves（TIE）物理隔离数据处理，防止即使是Google工程师也无法访问。
• 可验证的隐私：远程证明允许用户设备在发送任何数据之前验证飞地的完整性。
• 临时处理：所有数据和计算在会话结束后立即丢弃，不留痕迹。
• 企业就绪：为对将敏感数据上传到公共AI云犹豫不决的企业解决了”黑盒”问题。

在争夺人工智能主导地位的竞赛中，出现了一个关键瓶颈：信任。多年来，企业和注重隐私的用户面临一个艰难的选择——将敏感数据上传到云端以访问像Gemini这样的强大模型，或者将数据保留在本地，满足于能力较弱的设备端模型。对数据泄露的恐惧，无论是通过恶意攻击还是无意中用用户数据进行训练，一直是采用的主要障碍。

Google对这一困境的答案是Private AI Compute，一种于2025年11月推出的新云架构。通过利用被称为**Titanium Intelligence Enclaves（TIE）**的专用硬件，Google声称已经解决了隐私悖论，提供云端AI的巨大能力，同时具有本地设备的数据安全保证。

这篇深度分析探讨了Private AI Compute的技术架构、Titanium Intelligence Enclaves的工作原理，以及这一转变对安全云计算未来的意义。

背景：通往隐私之路

隐私悖论

随着生成式AI模型规模的增长——从数十亿到数万亿参数——在本地运行它们变得越来越困难。虽然像Apple这样的公司推动设备端处理，但最强大的模型仍然需要数据中心的大规模计算资源。这造成了一个”信任缺口”：用户不得不盲目信任云提供商不会窥探他们的数据。

机密计算的兴起

行业最初的回应是”机密计算”，一套旨在加密正在处理的数据（使用中的数据）的技术。然而，早期的实现往往受到性能限制，或仅限于特定的CPU架构。

Google的Titanium演进

Google多年来一直在开发其定制芯片。“Titanium”项目最初专注于将基础设施任务（如网络和安全）从主机CPU卸载到专用卡上。通过Private AI Compute，Google已经将这一架构重新利用并演进，专门用于AI工作负载的独特需求。

理解Private AI Compute

Private AI Compute不仅仅是一个软件功能；它是Google数据中心处理AI工作负载方式的根本性重新架构。它结合了定制硬件、加密协议和最小化的可信计算基（TCB），为AI创建一个”洁净室”。

工作原理

该过程遵循严格的”先验证后信任”模型：

1. 远程证明：在你的设备发送一个字节的数据之前，它会向云服务器发出质询。服务器必须证明它在Titanium Enclave内运行的是真实的、未修改的Google硬件和软件。
2. 安全隧道：一旦验证通过，你的设备就会建立一个直接通往飞地的加密隧道（使用Noise等协议）。
3. 隔离处理：数据进入飞地，由定制TPU上的AI模型处理，响应被加密后发送回来。
4. 立即销毁：一旦推理完成，飞地就会从内存中擦除数据。不保留任何日志，数据也永远不会写入磁盘。

为什么重要

这种架构确保没有任何人，即使是拥有root访问权限的Google管理员，也无法查看飞地内的数据。加密密钥保存在硬件本身内，使物理提取或基于软件的窥探在数学上不可行。

理解Titanium Intelligence Enclaves（TIE）

这个系统的核心是Titanium Intelligence Enclave。把它想象成数据中心内的一个数字保险库。

技术规格

• 硬件信任根：安全性锚定在验证启动过程的定制Titan安全芯片中。
• 内存加密：内存中的所有数据都使用在处理器内部生成且永不离开处理器的密钥加密。
• 外设隔离：TIE将AI加速器（TPU）与主机隔离。主机管理调度，但无法看到有效载荷。

纵深防御

Google实施了多层防御：

• IP盲化：请求通过第三方中继路由，以向Google的内部日志隐藏用户的IP地址。
• 二进制透明度：飞地中运行的软件被发布到透明日志中，允许独立研究人员审计代码。
• 入侵检测：定制主板配备物理入侵检测以防止篡改。

数据

向Private AI Compute的转变是由市场对安全的需求驱动的。

关键统计数据：

• $100 Billion+：2025年末对AI基础设施的估计投资，其中很大一部分用于安全计算。
• 220 Million：OpenAI预计的付费用户群，突显了Google旨在通过卓越的隐私来夺取的云AI使用规模。
• 零：Google声称从Private AI Compute会话中保留的持久日志数量。

行业影响

对企业的影响

对于医疗保健、金融和法律等行业，这是一个改变游戏规则的因素。医院现在可能可以在患者数据上使用最先进的诊断AI模型，而不违反HIPAA，因为数据在技术上从未对云提供商”可见”。

对消费者的影响

对于日常用户，这为Pixel手机上的新”诈骗检测”等功能提供动力。虽然为了速度，检测在设备端进行，但复杂的案例可以卸载到云端进行更深入的分析，而用户无需担心他们的私人通话被录制或被分析用于广告。

挑战与限制

尽管架构强健，但没有任何系统是完美的。

1. 性能开销：加密和证明过程会引入少量延迟。虽然Google声称这可以忽略不计，但在连接不佳的情况下，现实世界的测试结果可能有所不同。
2. 硬件依赖：这个解决方案与Google的定制硬件（TPU和Titanium）紧密耦合。它不容易移植到其他云或本地数据中心。
3. 信任芯片：归根结底，用户仍然必须相信Google的硬件设计是无缺陷的。虽然”可验证”，但现代芯片的复杂性意味着隐藏的硬件错误始终是一个理论上的风险。

接下来会怎样？

短期（1-2年）

预计”私有计算”将成为所有企业AI服务的标准层级。像AWS（Nitro Enclaves）和Azure（机密计算）这样的竞争对手可能会加速其自己的专用AI硬件产品，以匹配Google的TIE。

长期（5+年）

该行业可能会转向”同态加密”，即数据可以在完全加密的状态下被处理，从而消除了即使在飞地内也需要解密的必要。在那之前，基于硬件的隔离是黄金标准。

结论

Google的Private AI Compute代表了AI行业的成熟。市场正在越过”快速行动，打破常规”的时代，进入一个安全和隐私是基础的阶段。通过使用Titanium Intelligence Enclaves在物理和加密上隔离用户数据，Google试图证明你不必为了智能而牺牲隐私。这是第一次，云可能真的和你口袋里的设备一样安全。

资料来源 (3)

• blog.google Google Private AI Compute Blog
• docs.cloud.google.com Titanium Hardware Security Architecture
• thehackernews.com The Hacker News Analysis