ZeroClave 隐私安全网关技术原理解析

1. 问题定义

1.1 云端大模型调用引入的数据暴露面

企业应用调用云端大模型 API 时，数据以明文形式离开企业内部控制范围，进入第三方云服务的处理链路。需要区分两种不同的保护层次：

• 传输层加密（TLS）：只保护数据在网络传输区段内的机密性与完整性。数据到达模型服务后需解密才能参与计算，因此在模型服务内部以明文存在。

• 服务条款与合规协议：属于合同层面的约束，约定处理目的、保留期限与责任归属，但不提供对实际数据处理路径的技术性证明。

因此，在既有调用模式下，企业无法仅通过上述两类手段，对「数据在云端被如何处理」形成可技术验证的保证。

1.2 静态脱敏的固有取舍

基于规则或正则的脱敏方案，需要在两类失效之间取舍：

• 脱敏不足：规则覆盖不全，敏感字段残留，暴露面未被实际消除。

• 过度脱敏：无差别删除或替换敏感片段，破坏上下文语义，导致模型的理解与推理质量下降。

两类失效的共同来源是：脱敏决策在调用前静态确定，不感知具体任务，也不区分同一片段在不同任务中的语义作用。

1.3 合规约束

数据以明文送入外部云服务的处理链路，会扩大数据处理者的责任范围。在《个人信息保护法》框架下，向外部主体提供个人信息涉及告知同意、委托处理约定，以及特定情形下的个人信息保护影响评估；涉及跨境提供时另需满足数据出境的相关要求。

---

2. 总体架构：可信处理边界

ZeroClave 在调用链路上的位置是企业应用与云端大模型之间。它不替换企业既有的业务系统，也不替换所使用的大模型服务，属于调用链中的中间处理组件。

其核心结构是在自身运行环境中划出一段可信处理边界，边界内外数据的形态不同：

位置	数据形态
边界外（企业应用 → 边界）	原始明文数据，或经端到端加密的密文
边界内	明文，但位于硬件隔离的执行环境中
边界外（边界 → 云端大模型）	经策略处理、保留任务所需语义的信息

边界内依次完成四类处理：会话保护与身份验证 → 隐私识别 → 策略执行 → 受控还原。云端大模型只接触最后一类形态的数据，不接触原始敏感数据。

---

3. 硬件级隔离：基于 Intel TDX

3.1 信任锚的位置

方案使用 Intel TDX（Trust Domain Extensions）作为运行环境的隔离基础。TDX 提供的是硬件级内存隔离与内存加密：在执行环境（Trust Domain）中运行的工作负载，其内存由 CPU 硬件加解密，隔离由硬件机制强制。

这一设计的直接含义是信任锚从软件层转移到 CPU 硬件：云平台管理员即使持有宿主机 root 权限，也不能直接读取该执行环境内的明文内存，也不能篡改其中的执行逻辑。

3.2 与软件隔离方案的差异

虚拟化隔离、容器隔离、权限控制等软件层机制，其正确性依赖管理平面自身的可信。TDX 的隔离边界由 CPU 实现，将管理平面移出信任范围。这决定了威胁模型的差异：

• 软件隔离方案：可信集合包含云平台管理员与虚拟化层。

• TDX 方案：可信集合缩小至 CPU 硬件与 CPU 厂商。

---

4. 远程证明

4.1 架构依据

远程证明部分遵循 IETF RATS（Remote ATtestation procedureS）架构，即 RFC 9334。该架构将流程拆分为两个角色：

• Attester（证明方）：运行在被验证环境内，负责生成证明证据（Evidence）。

• Verifier（验证方）：负责检验证据并输出证明结果（Attestation Result）。

• Relying Party（依赖方）：根据证明结果决定是否建立信任。

ZeroClave 的实现中，验证方由 CNCF 机密容器项目（Confidential Containers）的 Trustee Attestation Service（Trustee AS）承担。

4.2 证据链

流程如下：

1. TEE 内的 ZeroClave 工作负载生成硬件证明证据（对应 TDX 的 Quote 结构，由 CPU 硬件签名）。

1. Trustee AS 验证硬件证据与工作负载证据，并将已验证的工作负载身份绑定到证书。

1. 客户端获取证书链与证明证据，独立复验。

1. 复验通过后，才建立可信会话。

证书链的自底向上路径为：Intel 根证书 → 平台/CPU 级证书 → 工作负载证书。客户端验证的是这条完整链路，而非接受服务方的单方声明。

4.3 该机制解决与不解决的问题

• 解决：客户端可以确认「与之通信的工作负载确实运行在真实 TEE 中，且其代码度量值与预期一致」。策略版本、代码版本可被纳入度量并对外可验证。

• 不解决：证明不保证运行在 TEE 内的代码逻辑本身无缺陷。证明的对象是「身份与完整性」，不是「行为的正确性」。

---

5. Token 级隐私防火墙

该组件在 TEE 内运行，处理对象是请求文本切分后的 token 序列。整体分为三层。

5.1 算法层：token 级双维评估

对每个 token 计算两个维度的评分：

• 重要性（importance）：该 token 对完成当前任务推理的必要程度。

• 隐私性（privacy）：该 token 所承载信息的敏感程度。

两个维度共同决定该 token 的防护等级 L0 / L1 / L2。这一设计的关键点在于：处理决策以 token 为单位，且同时考虑语义价值与敏感度，而非按字段类型做统一处理。这是对 1.2 节所述静态脱敏取舍的直接应对——同一片段在「需要精确引用」和「仅需类别信息」两类任务中，可获得不同的处理强度。

5.2 策略层：等级到动作的映射

策略层将防护等级映射为具体的处理动作，并支持按行业场景配置模板。

处理动作	技术机制	特征
格式保留加密（FPE）	使用分组密码的格式保留模式，密文保持原长度与字符集	下游格式校验可通过，可逆
差分隐私	对数值注入满足差分隐私定义的噪声，ε 控制隐私预算	不可逆，引入效用损失
泛化	将具体取值替换为更粗的分类区间	不可逆，精度降低
掩码	部分字符替换为固定符号，保留结构	不可逆，保留可读轮廓
删除	移除该 token	不可逆，语义损失最大

上述动作在可逆性和语义保留度两个维度上分级，策略层据此在隐私强度与任务效用之间取点。

5.3 引擎层：处理开销与延迟控制

在 TEE 内执行 token 级评估会引入额外计算，且这部分计算无法卸载到加速卡（TEE 的隔离范围通常不包含异构加速器的完整数据通路）。引擎层通过以下五项优化控制开销与延迟：

• 长文本滑窗并行：长上下文按滑动窗口切分并行处理，避免串行遍历带来的线性延迟增长。
• 按 SLO 的动态批处理：批处理规模依据服务等级目标（SLO）动态调整，在吞吐与尾延迟之间取舍。
• 租户隔离缓存：缓存按租户隔离，避免跨租户复用带来的信息残留。
• 推理图优化与混合精度：在计算图层做算子融合等优化，并在低精度可行处使用混合精度计算。
• 异步推理流水线：将评估与策略执行阶段流水化，隐藏部分串行等待。

---

6. 会话保护与端到端加密

增强接入模式下，会话保护采用以下密钥协商与派生流程：

• 会话密钥协商：客户端与 TEE 之间使用 ECDH-P256 协商会话密钥。P-256 为 NIST 定义的 256 位素数域椭圆曲线，ECDH 提供前向安全所需的密钥协商基础。
• 请求级密钥派生：每一次请求独立派生 AES-256-GCM 密钥。AES-256-GCM 为认证加密（AEAD）模式，同时提供机密性与完整性校验。

「每次请求独立派生」意味着单个请求密钥的泄露不影响其他请求，符合前向安全的目标。

---

7. 受控还原

云端大模型只接收经策略保护的信息。当任务需要维持实体引用关系时，处理流程如下：

1. 敏感实体在发送前被替换为受控占位符。占位符本身不含原文信息，但保持引用位置与一致性。
2. 模型响应返回可信边界后，ZeroClave 依据同一映射关系完成还原。
3. 还原过程在 TEE 内进行，边界外不接触原始敏感数据。

该机制的约束是映射关系的范围一致性：还原只能在该次请求（或该会话）建立映射的范围内进行。跨请求、跨会话的还原需要映射持久化，而持久化映射本身构成新的敏感数据存储，需要在设计上单独处理。

---

8. 调用审计

方案提供调用审计链，支持对以下三类信息追溯：

• 可信状态：当次请求时工作负载的证明状态。

• 策略版本：当次请求所适用的策略版本。

• 处理结果：策略执行的动作与结果。

审计记录的设计要求是不包含原始敏感数据，即审计可追溯处理过程，但不构成新的数据暴露面。

---

9. 接入方式

三种接入路径对应不同的改动量与防护等级：

接入方式	改动量	安全等级	适用场景
API 切换	修改 base_url 与 api_key	标准（TLS）	存量系统、快速试点
Sidecar 代理	部署容器	增强（端到端加密 + 远程证明）	存量系统、高安全需求
Native SDK	集成 SDK	增强（端到端加密 + 远程证明）	新项目、深度集成、高安全需求

技术要点：

• API 切换保持 OpenAI 兼容接口，改动集中在端点配置。此模式不建立端到端加密，数据在边界与客户端之间依赖 TLS 保护，防护等级为标准级。

• Sidecar 代理以本地代理容器的形式插入调用链，对应用代码透明，同时启用会话密钥协商与远程证明。

• Native SDK将客户端逻辑集成进应用进程，可获得更细粒度的调用控制，适用于新建项目。

三种模式的业务应用均不需要重构既有的模型调用方式，差异在于信任建立的强度。