Jiayun's Blog

一个不可能三角

当你使用WhatsApp时，你的消息受到端到端加密（E2E）保护——理论上只有你和对方能看到消息内容，连Meta自己也无法读取。

现在，WhatsApp想给你的聊天加上AI功能：消息摘要、智能回复建议、内容理解。但这些功能需要AI模型看到你的消息明文才能工作。

这就构成了一个看似不可能的三角：

1. 端到端加密：没有第三方能看到你的消息
2. AI功能：需要模型处理你的消息
3. 隐私保护：Meta不应该有能力访问你的消息

Meta的解决方案叫做Private Inference——可能是迄今为止最雄心勃勃的尝试，试图同时满足这三个需求。Trail of Bits刚刚完成了对这个系统的安全审计，他们的发现值得每个关心AI隐私的人关注。

技术核心：可信执行环境（TEE）

Private Inference的核心依赖可信执行环境（Trusted Execution Environment, TEE）——一种硬件级别的安全隔离技术。

TEE的基本原理

TEE在处理器内部创建一个加密隔离区（enclave）：

• 代码和数据在enclave内部以明文运行
• enclave外部的任何东西——包括操作系统、管理员、甚至物理访问者——都无法读取enclave内部的数据
• 硬件保证enclave的完整性：如果代码被篡改，enclave会拒绝运行

WhatsApp Private Inference的架构

简化的数据流程如下：

1
2
3
4
5
6
7
8
9

用户设备                  Meta服务器TEE                    用户设备
   │                         │                              │
   ├──加密消息──────────────>│                              │
   │                    [TEE内部解密]                        │
   │                    [AI模型处理]                         │
   │                    [生成摘要/回复]                      │
   │                    [加密结果]                           │
   │<─────────────加密结果──┤                              │
   │                         │                              │

关键设计：

• 用户的消息只在TEE内部以明文存在
• AI模型运行在TEE内部
• Meta的服务器运营人员无法进入TEE读取数据
• 处理完成后明文立即销毁

Trail of Bits的审计发现

Trail of Bits的审计报告揭示了这个系统的优势和挑战。

肯定的方面

1. 架构设计合理：将AI推理与E2E加密结合的整体思路是正确的
2. 攻击面最小化：TEE的使用有效限制了数据暴露的范围
3. 远程证明（Attestation）：用户设备可以验证TEE中运行的代码是否是预期版本

需要关注的挑战

挑战一：侧信道攻击

TEE不是银弹。历史上，Intel SGX和AMD SEV等TEE实现都遭受过侧信道攻击：

核心问题：TEE的安全性依赖于硬件的正确实现。而硬件bug是不可避免的——它们只是还没被发现。

挑战二：模型本身的信息泄露

即使TEE完美工作，AI模型的输出本身也可能泄露信息：

• 摘要的内容隐含了原始消息的信息
• 模型的输出模式可能被逆向工程来推断输入
• 如果模型被更新，新旧模型对同一输入的不同响应可能泄露信息

挑战三：信任链的复杂性

用户需要信任一条很长的链：

1. 信任TEE硬件制造商（如Intel/AMD）
2. 信任TEE固件没有后门
3. 信任Meta部署了正确的代码
4. 信任远程证明过程不可绕过
5. 信任AI模型不会在推理过程中泄露训练数据

任何一环的失败都可能破坏整个系统的安全保证。

更大的图景：AI时代的隐私架构

WhatsApp的Private Inference不是一个孤立的案例。它代表了AI行业即将面对的一个核心矛盾：AI功能越强大，需要访问的数据就越敏感。

三种架构路线

Apple的策略倾向于设备端推理（Apple Intelligence在设备上运行小模型），Meta选择了云端TEE路线。两种路线各有取舍：

• Apple路线：隐私更强，但功能受限。你的iPhone上跑不了GPT-4级别的模型
• Meta路线：功能更强，但隐私保证依赖于对TEE硬件的信任

我的判断：未来3-5年，混合架构将成为主流——简单任务在设备端处理，复杂任务通过TEE在云端处理，极敏感任务则完全不使用AI。

AI Agent时代的安全隐患

Krebs on Security的报道指出了一个更紧迫的问题：AI Agent正在根本性地改变安全边界。

当AI助手拥有以下能力时：

• 访问你的文件系统
• 读取你的邮件
• 执行代码
• 调用在线服务

它实际上获得了超级用户权限。一旦AI Agent被攻破（通过prompt injection、供应链攻击或其他方式），攻击者等于获得了用户的全部数字身份。

Schneier on Security的分析也指出：黑客群体已经开始系统性地研究如何利用AI——不仅是用AI来攻击，更是攻击AI本身。

这两个趋势——AI需要更多访问权限来提供价值，以及AI成为攻击目标——构成了一个危险的正反馈循环。

我的判断与预测

判断一：TEE将成为AI基础设施的标配

不仅是通讯应用，所有处理敏感数据的AI服务最终都需要TEE保护。这将推动：

• 数据中心大规模部署TEE（推动Intel TDX、AMD SEV-SNP、ARM CCA的普及）
• TEE性能优化成为硬件厂商的竞争焦点
• TEE安全审计成为合规要求

判断二：隐私将成为AI产品的差异化要素

当所有AI产品的能力趋同时，隐私保护将成为用户选择的关键因素。能够证明"我们无法看到你的数据"的公司将获得信任溢价。

判断三：2026-2027年将出现重大TEE安全事件

TEE技术在AI场景的大规模部署是全新的。历史规律告诉我们，任何新技术在大规模部署后都会暴露之前未发现的漏洞。这不是if的问题，而是when的问题。

对读者的建议

1. 安全架构师：开始评估TEE在AI工作负载中的应用。重点关注Intel TDX和AMD SEV-SNP的最新安全评估
2. 产品经理：在设计AI功能时，将隐私架构作为第一天的设计约束，而不是事后补丁
3. 开发者：学习Confidential Computing的基础概念和SDK。Open Enclave和Gramine是两个好的入门点
4. 普通用户：当APP告诉你"我们用AI来帮助你，但不会看到你的数据"时，问一个问题：技术上如何保证？ 如果答案不涉及TEE或设备端推理，那承诺可能是空洞的

参考来源

• Trail of Bits: What we learned about TEE security from auditing WhatsApp’s Private Inference
• Trail of Bits: mquire: Linux memory forensics without external dependencies
• Krebs on Security: How AI Assistants are Moving the Security Goalposts
• Schneier on Security: How Hackers Are Thinking About AI
• 404 Media: Google, Microsoft, Meta All Tracking You Even When You Opt Out