AI 数据通道：JSON·Markdown

元认知：所有软件安全都建立在一个谎言上 #

特权层的窥探悖论 #

通用 CPU 上有一个根本矛盾——执行代码的层，永远能被更上层的特权层窥探。

1
2
3
应用层      ←  内核能读它的内存
内核层      ←  hypervisor 能读它的内存
hypervisor  ←  ？谁来保证它不被读？

这条链条没有尽头。无论你在应用层做了多精妙的加密、签名、沙箱，只要密钥最终要加载进普通内存被 CPU 执行，那一刻它就是明文，能被更高特权级读到。

这不是某个操作系统的 bug，是冯·诺依曼架构的固有缺陷：代码和数据共享同一内存空间，”谁特权高谁就能看”。你写的每一行安全代码，都跑在一个你无法控制的特权层之下。

软件隔离的信任假设 #

所有软件安全方案——全盘加密、OS 沙箱、容器隔离、虚拟机——都建立在一个未明说的假设上：

内核 / hypervisor 是可信的。

这个假设在日常场景下成立。但在以下情况会破裂：

  • 内核零日漏洞（rootkit 提权后，全盘加密的密钥从内核内存里被掏走）
  • 云环境中的恶意 hypervisor（云厂商或被入侵的宿主能读取你的虚拟机内存）
  • 供应链攻击（固件被植入后门）

一旦这个假设破裂，上层一切防护归零。因为软件隔离的本质是”约定不碰”——约定内核不去读应用的内存。但约定可以被打破。

TEE 要解决的根本问题 #

TEE（Trusted Execution Environment，可信执行环境）要解决的是一个极端问题：

在”连内核都不可信”的前提下，仍然能保护一段代码和数据的机密性。

这只能靠硬件。因为软件再聪明，运行时终究要落到 CPU 和内存上，而这层由硬件掌控。软件说”这块内存不能读”，内核可以说”我不管，我直接读物理地址”。但硬件说”这条总线事务我不放行”，内核没有任何办法绕过——因为它面对的是晶体管，不是 if 判断。

TEE 的本质不是”更安全的软件”，而是让 CPU 自己划出一片”内核也进不去”的区域。把安全信任的锚点从”可被攻破的操作系统”下沉到”物理上无法篡改的硅片”。

搭积木：TEE 的六块原理积木 #

理解了”为什么要靠硬件”，接下来看硬件具体怎么做。TEE 不是一项单一技术，是六块积木拼成的体系。每一块解决一个原理问题。

积木一：在总线上画一道硬件的墙 #

以 ARM TrustZone 为例。它在 CPU 硬件总线上加了一个位——NS（Non-Secure）bit。

1
2
3
每个总线事务都带一个 NS 位：
  NS = 1 → Normal World 请求（普通系统）
  NS = 0 → Secure World 请求（安全世界）

这个位由 CPU 当前状态决定，软件改不了（除非通过受控的切换指令）。总线上的所有外设——内存控制器、加密引擎、中断控制器、Flash 控制器——都看这个位来决定是否响应。

1
2
3
4
5
6
7
8
9
10
      ┌─────────────────────┐
      │     物理内存         │
      │  ┌───────────────┐  │
      │  │ Secure 区域    │  │ ← NS=0 才能访问
      │  ├───────────────┤  │
      │  │ Normal 区域    │  │ ← NS=1 能访问
      │  └───────────────┘  │
      └─────────────────────┘
            ↑
内存控制器看 NS bit 决定放行

关键原理：隔离不是靠软件检查权限，而是靠总线物理上拒绝。Normal World 发出的地址哪怕精确指向 Secure 区域的物理地址，也会被内存控制器直接拒绝——这是晶体管级别的拒绝，不是操作系统的 if 判断。

一个类比：普通系统是开放大办公室，TEE 是里面的金库。不是说”员工约定不进金库”，而是金库的门禁是物理的——员工没有门禁卡，门就是打不开，连物业经理（内核）都不行。

Intel SGX 用的是另一种实现——不分割世界，而是在进程地址空间内划出 Enclave，CPU 的内存加密引擎（MKTME）把 Enclave 的内存加密，内核即使读到物理地址也只能看到密文。实现不同，原理相同：硬件级拒绝，不是软件级约定。

积木二：两个世界之间受控的门 #

光有墙不行，还得有受控的”门”。否则 Secure World 永远运行不了任何代码，密钥永远用不上。

ARM 用一条专用指令 SMC（Secure Monitor Call）做切换：

1
2
3
4
5
6
Normal World  ──SMC──>  Monitor Mode  ──>  Secure World
                  ↑
            这是一条硬件陷阱，触发后：
            1. CPU 自动切到 NS=0
            2. 跳转到 Secure World 预设入口
            3. 保存 Normal World 的全部寄存器状态

切换的入口地址在 CPU 复位时由硬件固定（或由 ROM 锁定），软件无法篡改这个入口。所以 Normal World 不能”随便跳进 Secure World 任意地址”，只能跳进这个固定入口，然后由 Secure World 的代码决定做什么。

最小信任接口是安全设计的核心原则。攻击面只有这一个入口 + 它暴露的服务调用（密钥操作、签名等），而不是整个内核。墙画好了，门只有一个，而且门后面有人查身份。

积木三：信任链锚定在硅片上 #

上面说的”硬件固定的入口”——凭什么相信它本身是干净的？万一 Secure World 的代码被换掉呢？

这靠 Secure Boot，本质是一条信任链：

1
2
3
4
5
6
7
8
1. CPU 上电 → 从片内 ROM（厂商烧死、不可改）的固定地址取指
              └─ 这是硬件 root of trust，物理上无法改

2. ROM 里的代码验证 bootloader 的签名（用烧死在 ROM 里的公钥）
              └─ 签名不对就拒绝启动

3. bootloader 验证 Secure World OS 的签名
4. Secure World OS 验证 TA（Trusted Application）签名

每一级只信任上一级已验证过的代码，链的根是片内 ROM——硅片本身。要攻破这条链，必须物理替换芯片或破解非对称签名，软件层面无解。

原理核心：信任不能凭空产生，必须有锚点。软件的锚点在硬盘上（可被改写），硬件的锚点在硅片里（出厂烧死，物理不可改）。Secure Boot 把整个信任体系从”可刷写的固件”下沉到”不可改的硅片”。

这是为什么 TEE 能扛住 rootkit——内核可以被植入后门，但后门改不了 ROM 里的验证逻辑。

积木四：向陌生人证明”我是我” #

本地隔离做完了，但还有个问题：你的手机 TEE 里跑着银行 App，银行服务器怎么知道这真的是你的手机 TEE，而不是攻击者伪造的？

这叫远程证明（Remote Attestation），原理是：

1
2
3
4
5
6
7
8
9
10
11
12
13
1. 芯片出厂时，硬件烧死一个唯一私钥 SK_device（对应公钥 PK_device）
   └─ 这个私钥从不离开芯片，从不进入内存明文

2. 厂商 CA 用自己的根私钥给 PK_device 签发证书
   └─ 证书证明"这个公钥属于一块合法 TEE 芯片"

3. 证明时：
   - 服务器发一个随机挑战 nonce
   - TEE 用 SK_device 对 (nonce + 当前运行代码的哈希) 签名
   - 把签名 + 代码哈希 + 证书发给服务器

4. 服务器验证：证书链 → 签名 → 对比代码哈希
   └─ "确实是合法芯片，且里面跑的是预期的代码"

原理核心：用硬件私钥做签名，让”我是谁 + 我在跑什么”成为密码学可验证的事实，而非口头声明。 私钥永不出芯片，所以无法伪造。这是”证明”和”声明”的本质区别——声明可以复制，签名不可伪造。

远程证明是 TEE 区别于”纯本地加密”的关键能力。没有远程证明，你只能自己信自己；有了远程证明，你能向全世界证明”这段代码确实跑在合法 TEE 里，且未被篡改”。

积木五：数据不出去的流模型 #

这是 TEE 设计上最反直觉、也最关键的积木。

你可能想：把密钥读出来用一下再擦掉不行吗？

不行。原因是 TOCTOU 问题（Time-of-Check to Time-of-Use）的极端化：

1
2
3
4
5
6
7
8
T0:  密钥在 TEE 里
T1:  把密钥读出 → 拷到普通内存（明文）
T2:  CPU 用密钥加密数据
T3:  擦掉普通内存里的密钥

        ↑
   T1~T3 之间，密钥暴露在普通内存
   内核 / DMA / 中断在这窗口内可以把它偷走

这个窗口哪怕只有几微秒，攻击者用 DMA 引擎或内核漏洞也能精确截获。所以 TEE 的设计原则是：

敏感数据永远不离开 Secure World 的内存边界。需要使用时，把”待处理的数据”送进去，在里面算完，只把”结果”送出来。

1
2
3
4
5
❌ 错误流：密钥出来 → 在外面加密 → 擦掉密钥
           （T1~T3 暴露窗口）

✓ 正确流：密文进去 → TEE 内解密 + 计算 → 结果出来
          （密钥从未离开边界）

这本质上是把数据流改造成”输入穿越边界，输出穿越边界，中间过程全在墙内”。密钥永远不出来，只把计算结果送出来。

这就是为什么指纹解锁安全：指纹图像直接送进 TEE，在 TEE 内比对，只返回”通过”或”拒绝”给 Android。指纹原图、模板始终没离开过 TEE。Android 拿到的只是一个 yes/no。

积木六：现成硬件的版图 #

理解了原理，看现实——不是所有设备都有 TEE，不同阵营差异巨大：

平台TEE 方案状态
ARM 移动端（高通/联发科/苹果/三星/华为）TrustZone / Apple Secure Enclave✅ 全系覆盖，事实标准
Intel 服务器SGX（进程级）→ TDX（VM 级）SGX 限数据中心，TDX 是继任者
AMD 服务器SEV-SNP（VM 级）✅ 主流云厂商标配
ARM 服务器CCA🚧 早期
消费级 x86 PC无应用级 TEE❌ Intel 11 代后砍掉 SGX
Apple Silicon MacSecure Enclave✅ 消费级 PC 里少数有 TEE 的

一个关键区分：TPM ≠ TEE。 大部分 PC 有 TPM，但 TPM 只是密钥存储+签名的协处理器，不能跑任意代码，能力远弱于 TEE。TPM 是”保险箱的锁”，TEE 是”保险箱本身”。

你手机里大概率有 TEE 在跑——指纹、Face ID、支付全靠它。但你桌上的 Windows 笔记本基本没有。这是 Intel 主动放弃 SGX 的结果（后面缺陷部分会讲为什么）。

案例即原理：用 TEE 造一个数字记忆的根 #

六块积木单独看是抽象的。用一个真实场景把它们串起来——Personal Root Device：一个保护个人数字记忆的硬件设备。

这个案例不是假设。当 AI 越来越懂你，你的”数字记忆”（对话、偏好、工作流、人际关系）就成了比你银行卡密码更敏感的数据。如果记忆存在云端，它属于平台；如果存在本地，内核被入侵就泄露。需要一块硬件，默认离线，用 TEE 做安全地基，让记忆真正属于你。

为什么 Memory Point 天然适配 TEE #

数字记忆的最小单位是 Memory Point（记忆点）——任何能够客观描述一个事实的内容：

1
2
3
今天认识了张三。
今天完成了项目的部署。
今天决定开始创业。

每个记忆点只有最基本的信息：时间、事实、来源、重要程度、标签、关联人物、关联项目。序列化后大约 200-500 字节。

算一笔账：

量级体积TEE 能装下吗
每天 20 条记忆点~10 KB轻松
一年~3.6 MB进得去
十年~36 MB临界——中等 TEE 能放
四十年~144 MB放不进 TEE，但可加密存外部

这是整个架构能成立的关键。TEE 的安全内存通常只有几 MB 到几十 MB——这是所有 TEE 方案的硬伤。但数字记忆存的是意义（Mean Storage），不是原始数据（Everything Storage）。一条记忆点是”今天认识了张三”这种事实，不是会议录音。轻量的”意义”可以整体放进 TEE，重量的”附件”加密存外部。

分层架构：意义进 TEE，原始数据加密存外部 #

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
┌──────────────────────────────────────────────┐
│  TEE 内（Secure World，几 MB 安全内存）          │
│  ┌──────────────────────────────────────┐    │
│  │ ① 主密钥 MK（永不出去）                │    │  ← 积木五：数据不出去
│  │ ② Memory Point 全量（文本，MB 级）     │    │  ← 轻量意义，适配 TEE
│  │ ③ 经验图谱的节点+边（结构化，KB 级）      │    │
│  │ ④ 访问控制策略 + 授权令牌签发逻辑        │    │
│  │ ⑤ Merkle Root（防篡改日志的根哈希）     │    │  ← 积木三：信任链
│  │ ⑥ 远程证明私钥（设备身份）              │    │  ← 积木四：远程证明
│  └──────────────────────────────────────┘    │
├──────────────────────────────────────────────┤
│  普通存储（Flash，GB-TB 级）                   │
│  ┌──────────────────────────────────────┐    │
│  │ ⑦ 附件密文（照片/录音/视频，AES-256）    │    │  ← 用 MK 派生的数据密钥加密
│  │ ⑧ Memory Point 的追加日志（哈希链）      │    │
│  │ ⑨ 程序性记忆 skill 包                    │    │
│  └──────────────────────────────────────┘    │
├──────────────────────────────────────────────┤
│  接口层                                        │
│  USB-C 物理连接（默认离线）                     │
│  临时授权令牌（有时效，到期失效）                 │
└──────────────────────────────────────────────┘

这个架构里每一层都对应一块原理积木：

  • 主密钥在 TEE，附件密文在 Flash——对应积木五（数据不出去的流模型）。密钥永不离开 TEE，需要解密附件时，把密文送进 TEE 解密，只把结果送出来。
  • 默认离线 + USB-C——最彻底的安全来自不连接，而不是加密以后再联网。
  • AI 是访客不是拥有者——AI 申请权限读取 Memory，读取结束权限立即失效，对应积木二（最小信任接口）。

不可篡改：Merkle Tree + 远程证明 #

“防止篡改”是核心需求。原理是 append-only 日志 + Merkle Tree：

1
2
3
4
5
每条 Memory Point 写入时：
  MP_n → hash(MP_n) → 与前一个叶子哈希组合 → 生成新的 Merkle Root

所有记忆点组成一棵哈希树，TEE 持有 Root
任何一条记忆被篡改 → 叶子哈希变化 → Root 变化 → 校验失败

向第三方证明时（比如法院要求证明”这条记忆确实生成于某天且未被篡改”），只需要提供：

1
2
3
1. 这条 Memory Point
2. 从它到 Merkle Root 的哈希路径（O(log n) 个哈希）
3. TEE 用设备私钥对 Root 的签名

原理串联：Merkle Tree 让”证明某条记忆存在且未篡改”不需要导出全部记忆，只需要对数级的哈希路径。TEE 对 Root 签名，把”整棵树的完整性”绑死在硬件身份上。这是积木三（信任链）和积木四（远程证明）的组合——信任链保证 TEE 代码没被篡改，远程证明保证记忆树没被篡改。

双芯片方案：记忆版硬件钱包 #

落地到具体硬件，推荐双芯片架构：

1
2
3
4
5
6
7
8
9
10
11
12
┌─────────────────────────────────┐
│  主 MCU（ESP32-S3 或 STM32）      │  ← 负责 USB-C 通信、文件系统、
│                                  │     附件加密存储、授权 UI
│  Flash：附件密文 + 追加日志        │
├─────────────────────────────────┤
│  Secure Element（NXP SE050）     │  ← 独立安全芯片
│                                  │
│  - 主密钥 MK                     │
│  - 远程证明私钥                   │
│  - 签名 / 解密操作                │
│  - EAL6+ 认证（防物理攻击）        │
└─────────────────────────────────┘

为什么双芯片而不是单 SoC？独立 Secure Element 的安全认证等级（EAL6+）远高于 SoC 内的 TrustZone。SE050 专门做密钥存储和加解密，物理攻击防护级别更高——防探针、防激光、防功耗分析。主 MCU 做重活，SE 做安全操作，两者通过 I2C 加密通信。

这本质上是硬件钱包（Ledger、Trezor）的架构。Personal Root Device 就是”记忆版硬件钱包”——存的是记忆密钥而不是比特币私钥，但安全模型完全相同。

设计决策回溯表 #

设计决策对应的积木原理
主密钥永不出 TEE积木五TOCTOU 窗口无法消除，数据必须不出去
Merkle Tree 防篡改积木三信任锚定在硅片，哈希链不可伪造
远程证明可验证积木四硬件私钥签名，密码学可验证
USB-C 默认离线—不连接比加密更安全
双芯片（MCU+SE）积木一物理隔离优于软件隔离
Memory Point 进 TEE积木五轻量数据适配 TEE 内存限制

缺陷与批判：TEE 管不到的地方 #

TEE 不是银弹。理解它的边界，比理解它的能力更重要。

缺陷一：侧信道是架构级原罪 #

TEE 的安全承诺是”攻击者看不见内部计算”。但通用 CPU 为性能做了大量推测执行、缓存共享、分支预测——这些都成了侧信道。

1
2
3
enclave 内做 if (secret_bit) access A; else access B;
                          ↓
            缓存里留下痕迹 → 攻击者计时测量 → 反推 secret

这是架构级矛盾：性能优化依赖共享微架构状态，安全隔离要求状态不共享。要彻底修就得砍掉乱序执行、砍掉共享缓存——CPU 性能倒退 20 年。所以侧信道不是 bug，是通用 CPU 的”原罪”。

SGX 的覆灭史是最佳案例。2018 年起一连串侧信道漏洞把”即使内核被攻破也安全”的承诺戳穿了：

漏洞年份后果
Foreshadow (L1TF)2018推测执行读 L1，能读 enclave 内密钥
SGAxe2020从 enclave 里掏出 Intel 远程证明根密钥
ÆPIC Leak2022架构级泄露 enclave 内存

致命点是 SGAxe——它泄露的是 Intel 用来做远程证明的根密钥，意味着攻击者可以伪造”这是合法 SGX”的证明。远程证明整个体系崩塌（积木四被攻破）。

每次漏洞 Intel 都得发微码补丁，补丁又拖性能，且总补不全。最终 Intel 砍掉消费端 SGX，把资源押到服务器端的 TDX（VM 级隔离）。这是”架构级安全 vs 性能”矛盾在通用 CPU 上解不开的直接证据。

缺陷二：TEE 保护设备，不保护 AI 的内存 #

回到数字记忆的案例。TEE 保护了你的 Personal Root Device——密钥不出设备，记忆不被篡改。但有一个 TEE 管不到的窗口：

1
2
3
4
5
6
7
8
1. AI 申请读取最近七天的记忆
2. TEE 校验授权令牌，返回明文 Memory Point 给 AI
3. AI 在自己的内存里处理
4. 授权到期，权限失效

        ↑
   步骤 3 中，AI 如果偷偷把 Memory Point 缓存到自己的存储
   权限失效后副本还在——TEE 管不到 AI 的内存

TEE 保护的是你的设备，不是 AI 的内存。 这是 Memory Protocol 真正的难点，比”防篡改”难得多。这不是硬件能解决的，必须在协议层设计：返回给 AI 的每条记忆带盲水印（事后可追溯泄露源），或者 AI 侧也跑在 TEE 内（云端 Confidential VM），形成端到端可信链。

缺陷三：消费级 PC 的 TEE 缺位 #

这是最现实的问题。如果你想在自己的 Windows 笔记本上做 TEE 应用开发——做不到。

  • Intel 消费端：11 代（Tiger Lake）之后取消 SGX，桌面/笔记本没有应用级 TEE
  • AMD 消费端：Ryzen 系列没有 SEV，SEV 是 EPYC 专属
  • TPM：大部分 PC 有，但 TPM ≠ TEE，只是密钥存储协处理器，不能跑任意代码

为什么 PC 放弃了？因为 SGX 的安全承诺被侧信道连续击穿，补丁补不动、性能还倒退；消费端生态又起不来——开发者难用、普通用户无感知、应用面窄。Intel 干脆砍掉消费端 SGX，把筹码全押到服务器端。这是”架构级安全 vs 性能”矛盾的工程妥协。

后果：要做 TEE 应用，要么面向移动端（Android StrongBox / Apple Secure Enclave），要么在云上租 Confidential VM。普通 x86 PC 基本是 TEE 荒漠。

缺陷四：信任锚定在芯片厂商 #

TEE 的整个信任链，根在芯片厂商：

  • Secure Boot 的根公钥烧在 ROM 里——厂商决定
  • 远程证明的证书链——厂商的 CA 签发
  • TEE OS 的代码——通常厂商提供

用 NXP、ST、Apple 的芯片，你能蹭到厂商的可信链（这些厂商有成熟的 PKI 和安全审计）。但用白牌芯片，根信任就是未知数。自研 TEE 基本不可行——需要数亿流片费用、自己的 PKI 和 Secure Boot 根、安全审计。这是芯片公司干的活，不是个人或小团队能做的。**

信任的锚点在硅片，但硅片是厂商造的。这是 TEE 体系最底层的信任假设——你必须信任芯片厂商。这个假设比”信任操作系统”强得多（芯片厂商造假的动机和成本远高于黑客攻破内核），但它仍然是一个假设，不是物理定律。

总结：TEE 是什么 #

回到最开始的问题：TEE 到底是什么。

TEE 是 CPU 里的一块硬件保险箱，敏感数据进去后就出不来，只把处理结果送出来，连操作系统都碰不到里面。

三句话概括原理：

  1. 靠硬件在总线上画一道线（NS bit）——让内核特权级在物理上失效。不是软件权限检查，是晶体管拒绝。
  2. 靠 Secure Boot 把信任锚定在硅片上——root of trust 是出厂烧死的 ROM，不是可刷写的固件。
  3. 靠”数据不出去，只让计算进出”的流模型——从根上消除”读出来用一下”的暴露窗口。

软件隔离是”约定不碰”，TEE 是”物理上碰不到”。

但”物理上碰不到”也有边界。侧信道是架构级原罪——性能优化和安全隔离共享微架构状态，这在通用 CPU 上解不开。TEE 保护设备，不保护数据离开设备后的去向。信任锚定在芯片厂商，你必须信任那家公司。

理解 TEE 的边界，比理解它的能力更重要。它能挡住内核、挡住 rootkit、挡住物理拆 Flash，但挡不住推测执行的缓存侧信道，挡不住 AI 偷偷缓存读取结果，挡不住芯片厂商自己。TEE 是目前最硬的隔离手段，但它不是物理定律，是工程妥协。

在数字记忆、个人 AI、隐私计算这些场景里，TEE 是安全地基的必要条件——没有它，一切软件隔离都建立在”信任操作系统”的沙滩上。但地基之上，还需要协议层（Memory Protocol）、端到端可信链、供应链审计来填补 TEE 管不到的缝隙。

硬件画线，信任锚硅，数据不出去。这是 TEE。但它之上的世界，还需要人去建。