IOSG：TEE隐私之外的未来

文章转载来源： IOSG

作者：Yiping、Jiawei、Danny，IOSG

什么是 TEE？

TEE 在处理过程中将敏感数据隔离在受保护的 CPU 隔离区中。隔离区的内容（包括正在处理的数据和处理方法）仅对授权的程序代码可见，其他任何人或事物（包括云服务提供商）都无法访问或了解。

▲ 来源：Twitter

TEE 的配置决定了哪些实体被授权输入数据、可以处理的数据集和程序类型，以及允许的输出结果。TEE 的核心功能之一是通过单独的认证流程来验证其正确的配置。认证过程为 TEE 的硬件和配置元素提供加密验证，从而保障其隔离处理的安全性。

TEE 的发展和演变

TEE 的演变主要围绕三个概念：

开发者体验
性能
安全性

开发者体验

Intel SGX 革新了安全硬件，提供了接近本地性能的强隔离能力，但其开发者体验存在挑战。开发者需要对应用程序进行大量重写以适应 SGX 的编程模式，这一复杂性限制了其在密钥管理等少数领域以外的应用。

随着像 Gramine 这样的框架的引入，开发者体验显著提升。Gramine 为 CPU 隔离区提供软件抽象，开发者可以直接将应用编译为二进制文件并运行在 SGX 中。Gramine 的作用类似于将 SGX 环境与常规 Linux 环境连接的“粘合剂”。

性能提升

随着 TEE 发展为 Confidential VMs 和 GPU（如 Intel TDX 和 H200），开发者可以直接部署未经修改的应用程序。开发者可以将整个生产环境打包并直接运行在加密虚拟机中。H200 是首个提供 GPU 级 TEE 的产品，能够运行更多 AI 和图像处理相关的应用。

例如，dStack 平台进一步简化了开发者在机密计算环境中的部署和扩展。dStack 基于微服务架构，支持多个微服务在单个 TEE 实例中部署并安全通信。这种模块化设计使得更复杂的工作流能够在 TEE 中安全运行。

安全性

TEE 的安全性依赖于硬件制造商提供的信任根，但这也带来了对专有硬件和闭源实现的依赖，可能引发透明性和潜在后门的担忧。为了解决这些问题，开源 TEE 解决方案（如 Keystone 和 OpenTEE）正逐步成为可行的替代方案。尽管目前性能逊色于专有解决方案，但其透明设计和可验证的制造过程增强了硬件完整性的信任。

开发者还可以结合不同供应商的多个 TEE，运行相同的工作负载并对比输出结果，通过这种交叉验证降低单一 TEE 潜在漏洞的风险。

另一个关键的安全挑战是侧信道攻击（side-channel attacks）。这类攻击通过时间、功耗或电磁泄漏等物理特性来提取 TEE 中的敏感数据。一种新颖的解决方案是将 TEE 部署在完全隔离的环境中。例如，SpaceCoin 项目计划将 TEE 发射到轨道卫星中，通过卫星的物理隔离性来消除基于接近的攻击威胁。通过在太空中运行计算，这些 TEE 实现了对侧信道攻击及其他物理威胁的保护。

TEE 的未来

随着 TEE 进一步发展，权衡变得更加复杂：

提升开发者体验可能会增加可信计算基（TCB）。
开源指令集可能降低性能，但可提高可验证性。
通过 Yocto 项目改进 TCB 可能会使部署更复杂。

从创建有趣的社交体验，到建立公平的全球金融系统、训练带有敏感数据的大型模型，再到实现全球规模的隐私身份管理，我们需要达到 TEE 的第五级别 —— 加密计算的圣杯，未来前景令人振奋。

早期 TEE（如 SGX）要求开发者编写自定义 C 代码，或使用像 Gramine 这样的抽象层提供类似 Linux 的接口。

高级解决方案（如 TDX 和 Nitro）现在支持类似 Docker 的容器化工作流，但调试仍然困难。

Paradigm 展望通过多方计算（MPC）或全同态加密（FHE）实现多隔离区协作，以缓解单一隔离区故障的风险。

对于 Crypto x TEE，Phala、Automata 和 Flashbot 正在推动标准的建立。通过提供标准并完善 Tee 相关基础服务，让 Crypto TEE 被更多协议所快速采用。

▲ 来源：IOSG

TEE 的用例

去中心化网络中的 TEE 硬件创建了一个可信的计算环境，被称为 Decentralized Confidential Computing，催生了加密领域众多有趣且具市场关注度的用例，包括 Agent、DePIN 和社交媒体账号管理。在众多新兴基础设施中，Unichain、Flashbots 和 Taiko 也正在利用 TEE 来优化其服务。

▲ 来源：IOSG

MEV 相关用例

作为 MEV 领域的先驱，Flashbots 早在 2022 年 12 月就开始探索像 TEE 这样的隐私技术在交易生命周期中的作用。其主要目标是实现交易供应链中的信任无关协作，包括去中心化区块构建和订单流共享。Flashbots 进行了一系列与 TEE 相关的研究和实验，例如在 Intel SGX 中运行 Ethereum 客户端 Geth，以及在 SGX 中执行区块构建器的操作。

长期以来，Ethereum 区块的 90% 都由仅两个区块构建者构建，这对 Ethereum 的去中心化、弹性和抗审查能力构成了持续的风险。为了增强区块构建的去中心化，Flashbots 推出了 BuilderNet，一个由 TEE 提供支持的 Ethereum 去中心化区块构建网络。该网络还支持向来自 dApp、钱包和用户的上游订单流提供退款，同时确保安全性和性能。

随后，Flashbots 停止了其在主网上的集中化区块构建器的运行，并迁移至 BuilderNet。目前 Ethereum 排名第一的区块构建者 Beaverbuild 也将其软件、基础设施和订单流集成到这一去中心化网络中。

几个月前，Flashbots 联合 Uniswap Labs 和 OP Labs 在 Unichain 上推出了 Rollup-Boost，这是一个基于 TEE 支持的可验证 Rollup 区块构建平台。

基于类似的 TEEcoprocessor 技术，Flashbots 还发布了 Teleport——一个应用程序，它利用 TEE 协处理器实现了智能合约对 Twitter 账户的控制。

AI 相关用例

Crypto 和 AI 结合诞生了诸多环节，这一点在 IOSG 之前的文章中有所阐述。随着对于 TEE 跑在 GPU 的支持增加，AI 各个环节对于 TEE 的需求得到落地，包括

数据收集&标注
模型训练
模型推理
自治 agent

数据收集&标注

在 Scailing law 的影响下，数据成为了 AI 发展最重要的一环。而 Crypto 在数据层能为 AI 提供最大的帮助是通过去中心化的机制，鼓励用户贡献私有数据、贡献数据标注，弥补无法在公开网络中获得的数据集尤其是标记数据。通过 TEE 能够提高数据收集和标注的隐私性和安全性。

以 Vana 举例，Vana 是一个去中心化数据网络，其中 Satya 类型的验证者专门提供 TEE 环境。通过 TEE 验证节点，Vana 中作为数据市场的数据流动池（DLP）能够在不暴露原始数据的情况下，确保数据的溯源性和准确性，并安全地提供数据。用户提交加密数据到智能合约，智能合约为用户创造资产标识。用户数据通过端到端加密协议（如 TLS）传输到 TEE 节点，数据在 TEE 节点中解密，生成质量证明。

从用户角度来看，TEE 将数据转化为了可验证的资产，数据变成一种“使用权”，用户保留数据的所有权，获得对应类型的代币奖励并通过治理机制参与决策。

▲ 来源：Phala 2025 Report

尤其是对于医疗或金融等敏感数据，TEE 使数据的提供和标记隐私化。这对于维护用户放心大胆提供数据和在合规层面遵守 GDPR 和 CCPA 等数据保护法规至关重要。

模型训练

TEE 的独立性意味着其是模型训练的最佳场所。随着基于 GPU 的 TEE 的普及、硬件性能的提高，TEE 能够支持更多训练的场景。目前，通过 Nvidia H200 GPU，可以对诸如 Llama-3.1-8B 类开源模型进行 fine tuning，不仅能确保训练数据和计算的隔离与加密，还可以生成加密证明和模型指纹，供公众验证。在参数适当的情况下，TEE 的模型训练性能足够支撑大部分模型。在 H200 GPU 的 TEE 中训练 Llama-3.1-8B，仅用 1 小时完成 30 轮训练，达到 98% 的准确率，几乎无性能损失。

Tee 依赖硬件的性质决定了需要一个去中心化的 GPU 网络才能够支持其训练的稳定性。如 Hyperbolic 利用 TEE 支持分布式节点间的 AI 训练，相比 OpenAI 等中心化 GPU 提供商，成本更低，同时还能提供可验证的执行证明。

▲ 来源：Phala 2025 Report

对于 AI 训练有强大需求的平台都可以较为轻松地接入 TEE 技术，如 Near 通过和 phala 一同搭建 TEE 的模型训练能力

▲ 来源：Twitter

模型推理

从用户的角度来看，最在意的是使用模型是否真的经过了对应模型的计算。上至 Chatgpt 接口，下至 TEE 环境内的开源模型。TEE 支持的推理过程可以让模型的推理结果得到验证，Nvidia GPU TEE 让推理过程在不牺牲速度和准确性下能够保护用户隐私。服务如 Phala 的保密 AI 推理，会为每个输出生成验证证明，用户可以验证推理是否真正发生在 TEE 内，提升对 AI 输出结果的信任。平台如 0G 将 TEE 集成至 AI 推理服务中，确保从请求到响应的端到端数据保护和可验证性。

▲ 来源：Phala 2025 Report

对于 AI 训练有强大需求的平台都可以较为轻松地接入 TEE 技术，如 Near 通过和 phala 一同搭建 TEE 的模型训练能力

▲ 来源：Twitter

自治 agent

Crypto Agent 正在逐渐成为链上活动的重要参与者。而真正让 agent 更有效的参与链上金融体系，需要给予 agent 自治和主权能力。

自治，意味着 Agent 的运行、决策、输入、输出不受人为干预。举例来讲，自治意味着 Truth Terminal 推上的输入、输出内容无法由 Andy 控制。目前虽不是直接干预，但仍有后台 prompt 引导嫌疑。主权，则强调所有权。包括 Crypto 资产和计算资源。Agent 对资产 100% 操控权和对自身运行环境的独立控制。

自治和主权的 agent 是开启更多用例的前提。只有 Agent 拥有自主权才能够充当更多经济活动中的角色。同时这是从未有过的社会实验，且只能在 Crypto 中发生，任何的进展都是超级 Meme，在 crypto 市场中会产生极大的注意力经济。

目前，最为广泛使用的 ai16z 的 Eliza 框架已经集成了 TEE 技术，开发者可以快速通过 Eliza 部署带有 TEE 特性的 agent。Agent 通过 TEE 能够自主的获取对于推特账号、钱包、计算资源的控制权。

最早的 TEE agent 实验是来自 Pet rock，一个跑在 TEE 环境并掌握推特权限的 agent。后来的 AI pool 是通过 Agent 在 TEE 中的操作不受外界干涉这一特质，提供了一个公平发射并富有随机性的 launchpad。只需要往特定地址打钱，agent 会以安全参数进行初始化，初始化后，待打钱过程完成，agent 会自动选取随机时间、随机 Ticker，并部署流动性以及发射代币。这一切操作都运行在 TEE 保护的环境中，人类无法干涉。Spore.fun 更是通过 TEE 展现了 Agent 管理钱包这一过程。

任何的 TEE agent 都有相应的验证流程，能让用户随时进行 agent 是否跑在 TEE 中，是否真的权限不受人类控制相关的验证。这一点除了 TEE 也可以通过 ZK 做到。

许多 TEE 项目在尝试和 Agent 项目合作创造一些比较有新意的玩法。

▲ 来源：IOSG

随着 Agent 更加智能，其在链上生态中扮演的角色更加重要，减少其受人类影响的重要性也就更高。将 TEE 嵌入 agent 的生命周期是最可见的实现方式。

结语

对于 Crypto 来说，TEE 是目前可用性较强，应用发展速度较快的一个可信计算工具，其发展围绕着开发者体验、性能、安全性三个方向发展，并同时受制于硬件，随着英伟达主导的 GPU 发展，TEE 从 SGX 逐渐向 TDX 过度。

应用层面，AI、社交、depin 是 Toc 的强应用的方向，区块搭建则是偏 infra 的应用方向。随着 AI 叙事的发展，TEE 在去中心化计算上能够贡献不同 AI 环节的计算隐私、模型 / 数据溯源能力，并能够赋予 Agent 独立自治运行的能力。社交和 depin 则是不断探索的零售新方向。对于区块链本身的运行来说，TEE 未来会充当重要的节点能力，为区块链带来隐私和公平性。

随着底层服务 /SDK 越来越成熟，各类项目对 TEE 技术的运用门槛也越来越低。专注于 TEE 之于 crypto 应用的服务提供商们正在往规范统一标准、成熟的开源技术支持等方向积累，并已经诞生出不小新的用例。随着这样的垂直整合发生，我们期望看到更多基于 TEE 应用的爆发。