当模型权重、私有语料和企业知识库逐渐成为核心资产，智算云面临的问题也在变化：客户不仅关心算力够不够、服务稳不稳，还会追问——数据交给平台计算之后，谁有能力访问它？

存储加密能够保护静态数据，TLS等机制能够保护传输中的数据。但当数据进入内存、显存并参与运算，保护边界就变得更加复杂。对于承载敏感业务的智算云，安全不应只是采购材料中的一个勾选项，还需要成为客户可以理解、核验和持续管理的交付能力。作为智算云服务，九章智算云正在将机密计算从合规选项升级为可核验的交付能力。

机密计算的价值，正在这一环节显现。它不是对所有安全问题的统一答案，而是通过硬件支持的可信执行环境与远程证明，减少敏感计算对部分基础设施特权层的信任依赖。

使用中的数据，需要一条更清楚的保护边界

数据通常有三种状态：存储中、传输中和使用中。前两种状态已有较成熟的加密与访问控制机制；第三种状态同样存在保护技术，但在异构计算和多租户云环境中，落地难度更高。

传统通用计算通常需要将数据以明文形式交给处理器执行。在未配置相应硬件保护的虚拟化环境中，宿主系统和虚拟化层的高权限能力，可能成为访问租户内存的路径。仅在磁盘和网络上加密，并不能自动消除这类风险。

机密计算并不等于让所有运算始终在密文上完成。它的核心，是在硬件支持、可通过远程证明核验的可信执行环境内处理数据。以典型的机密虚拟机方案为例，硬件内存加密与隔离机制可以限制宿主操作系统、Hypervisor等非授权主体读取受保护数据。

这里必须区分宿主环境与受保护环境内部的软件：机密虚拟机中的操作系统和应用，仍可能按照自身权限访问数据。因此，可信执行环境不是“任何人都看不见”的黑箱，其保护范围取决于具体硬件、固件、软件及部署配置。

从保护诉求，到可以核验的工程要求

AI业务让使用中数据保护更加重要。模型权重、训练数据和私域知识库具有较高的商业价值，泄露后的影响也未必能够通过撤销权限来逆转。客户需要的不只是“平台承诺不访问”，还包括能够解释清楚的技术边界，以及独立核验关键环境状态的手段。

与此同时，数据治理要求也在推动企业建立更充分的安全证据。GDPR第32条要求依据风险采取适当的技术与组织措施，保障处理系统和服务的保密性、完整性、可用性及韧性；欧盟《人工智能法案》也对高风险AI系统的稳健性和网络安全提出要求。

这些要求并不意味着企业必须采用某一种机密计算方案，更不意味着开启相关功能后就自动满足全部合规义务。机密计算可以支持部分安全目标，但仍需与访问控制、密钥管理、审计、数据分类分级和合法性评估协同。数据本地化及出境要求，也不会因为数据被加密而自然消失。九章智算云在为客户交付机密计算环境时，同样面临上述工程问题——如何把硬件能力转化为客户可以核验的安全边界。

打开一个开关，与交付一套能力之间

支持启用机密计算，是平台能力建设的起点，而不是终点。对于智算云，真正的工程问题是：在明确的硬件与软件配置下，业务是否跑得起来，保护边界是否说得清楚，客户是否能够验证，异常状态是否会被及时阻断。

首先是设备与链路。CPU、GPU、网络设备和互连组件共同构成AI计算路径，但设备直通、GPU机密计算模式、DMA隔离和链路加密并不是同一件事。平台需要说明哪些组件处于何种保护范围，数据经过哪些边界，以及哪些环节仍依赖其他安全机制。设备数量多、直通成功，并不能单独证明整条计算链路安全。

其次是证明与授权。远程证明提供关于环境身份、配置及状态的证据，验证方再依据策略判断是否接受。CPU与GPU分别通过验证，也不自动意味着两份证据对应同一个实际业务环境；跨设备证据关联、证据新鲜度和策略一致性，都需要在交付中得到处理。

IETF的RATS架构已讨论复合设备及多个证明方的协同关系，但具体到不同厂商、不同设备和不同业务流程，仍存在互操作与工程实现问题。对于客户，重要的不只是“有一份证明”，而是证明能否支持明确的访问决策。

最后是性能与稳定性。机密计算能力需要在实际启用保护的条件下测试，并明确硬件型号、驱动版本、模型、并发、上下文长度及对照基线。网络带宽、单项算子和端到端推理是不同指标，不能用某一个接近裸金属的结果代替整个业务的性能结论。

智算云的下一道门槛，是客户能够自己验证

从产品交付看，一套可核验的机密计算服务，至少应回答五个问题：哪些规格支持，哪些数据和组件受到保护，客户如何验证，验证失败后如何处理，以及事后可以拿到什么记录。

一个合理的交付闭环是：客户确认适用规格与威胁模型，核验执行环境的证明及其关联关系；验证通过后，再按照策略向指定环境交付密钥或敏感数据；验证失败、证据过期或配置不符合要求时，系统应拒绝相关授权，并留下可追溯记录。具体实现仍需结合产品架构和客户要求验证。

对于九章智算云而言，这也提供了一条清晰的产品建设与交付评价路径：把底层可信能力转化为客户能够使用、验证和管理的服务，而不只是展示硬件支持列表。

九章云极在智算云安全领域的积累并非从零开始。其Alaya NeW智算操作系统已在算力、推理、训练、数据等领域通过中国信通院相关标准评测，Alaya Token也通过了高质量Token云服务等能力评估，这些经过验证的基础能力，为机密计算环境的交付提供了坚实的底层支撑。与此同时，九章云极也保持着同样严谨标准：平台基础能力的评测通过，不等同于所有产品和规格均已具备同等的机密计算保护能力，每一项具体能力仍需在明确的硬件与软件配置下，通过客户可核验的方式完成验证。同样，弹性调度与按量计费有助于减少部分闲置资源成本，但机密计算方案是否经济，还需要把安全规格溢价、性能影响、密钥与证明服务、运维投入等因素纳入同口径比较。交付能力与成本优势，都应由具体条件下的证据支撑。

从“宣称支持”走向“可验证交付”

机密计算不会取代既有云安全体系，也无法消除所有风险。侧信道、应用漏洞、硬件及固件缺陷等问题仍需持续应对，可信执行环境之外的数据路径也需要独立保护。它所带来的变化，是让部分原本依赖平台管理权限与制度约束的信任，能够借助硬件隔离和远程证明得到更具体的表达与核验。

对智算云而言，竞争不只在于拥有多少算力，也在于能否把算力以边界清楚、证据充分、行为可预期的方式交给客户。九章智算云的选择是，把底层可信能力转化为客户能够使用、验证和管理的服务，而不是停留在硬件支持列表上。

从“合规项”走向“交付项”，不是把安全承诺说得更满，而是把承诺拆成可测试的能力、可核验的证据和可执行的流程。这才是机密计算为智算云提出的新门槛。九章智算云正在做的，就是把这道门槛变成客户可以亲手验证的交付标准。