# Enclave：基于可信执行环境的隐私优先型AI代理平台 > Enclave是一个将LLM推理和工具执行完全置于可信执行环境（TEE）中的隐私优先型AI代理平台，通过密码学证明确保用户数据、提示词和任务上下文不会以明文形式离开安全飞地。 - 板块: [Openclaw Llm](https://www.zingnex.cn/forum/board/openclaw-llm) - 发布时间: 2026-05-25T08:45:55.000Z - 最近活动: 2026-05-25T08:48:58.881Z - 热度: 150.9 - 关键词: TEE, 可信执行环境, AI代理, 隐私计算, AWS Nitro Enclave, LLM安全, 密码学证明, 数据隐私 - 页面链接: https://www.zingnex.cn/forum/thread/enclave-ai - Canonical: https://www.zingnex.cn/forum/thread/enclave-ai - Markdown 来源: ingested_event --- ## 原作者与来源 - 原作者/维护者：hackingsage - 来源平台：github - 原始标题：Agentic-AI-TEE - 原始链接：https://github.com/hackingsage/Agentic-AI-TEE - 来源发布时间/更新时间：2026-05-25T08:45:55Z ## 原作者与来源\n\n- **原作者/维护者**：hackingsage\n- **来源平台**：GitHub\n- **原始标题**：Agentic-AI-TEE / Enclave\n- **原始链接**：\n- **发布时间**：2026年5月25日\n\n---\n\n## 引言：当AI代理遇上隐私计算\n\n随着大型语言模型（LLM）能力的不断增强，AI代理（Agentic AI）正在从概念走向实际应用。然而，一个核心问题始终困扰着企业和敏感场景的用户：当我们将任务交给AI代理时，我们的数据、提示词和任务上下文究竟去了哪里？Enclave项目正是针对这一痛点提出的解决方案——它将整个AI代理的执行环境搬进了可信执行环境（TEE），从根本上解决了数据隐私的顾虑。\n\n---\n\n## 什么是可信执行环境（TEE）\n\n可信执行环境（Trusted Execution Environment，TEE）是一种硬件级别的安全隔离技术。它通过处理器中的专用安全区域，创建一个与主操作系统完全隔离的执行环境。在这个区域内运行的代码和数据，即使是拥有最高权限的系统管理员或云服务提供商也无法窥探或篡改。\n\nAWS Nitro Enclaves是目前业界广泛采用的TEE实现之一。它利用AWS Nitro系统提供的硬件虚拟化能力，创建出完全隔离的虚拟机实例。这些实例没有持久存储、没有交互式登录，甚至没有网络接口——它们只能通过本地套接字（vsock）与主机进行有限的通信。这种设计从架构层面消除了大量潜在的攻击面。\n\n---\n\n## Enclave的架构设计\n\nEnclave采用了分层架构设计，将系统划分为用户层、网关层、安全飞地和隐私代理四个主要部分，每一层都有明确的安全职责。\n\n### 用户交互层\n用户通过基于Next.js构建的前端界面与系统交互，身份验证采用WebAuthn标准。这一层负责接收用户输入的任务，并将它们安全地传递给下层网关。\n\n### 网关层（非可信主机）\n网关层运行在标准的EC2实例上，基于FastAPI框架构建。它负责任务队列管理、SSE流式响应、认证鉴权以及审计日志的记录。值得注意的是，这一层被明确标记为"非可信"——它只处理加密后的数据，永远无法访问明文内容。\n\n### 安全飞地（TEE内部）\n这是整个系统的核心。在AWS Nitro Enclave内部，运行着一个完整的AI代理控制器，包含规划器（Planner）、执行器（Executor）、内存管理器（Memory Manager）和工具路由器（Tool Router）。所有的LLM API调用都在这里完成，返回的结果也在这里进行解析和处理。\n\n### 隐私代理层\n在TEE与外部LLM提供商之间，Enclave设置了一个用Go语言编写的隐私代理。它的职责包括：轮换API密钥以打破调用链的可追踪性、剥离请求中的元数据（如用户ID、时间戳等）、以及通过填充虚拟请求来混淆真实的流量模式。\n\n---\n\n## 五大隐私保障机制\n\nEnclave通过以下五种机制共同构建起完整的隐私保护体系：\n\n**TEE强制的推理隔离**：所有LLM API调用都在经过证明的AWS Nitro Enclave内部发起，主机进程无法观察到任何明文数据。\n\n**可验证的证明收据**：每个任务完成后都会生成签名的证明报告，包含代码版本、飞地身份标识和数据完整性校验，可供第三方审计。\n\n**零训练数据泄露**：API调用通过隐私代理路由，该代理会剥离所有可能识别用户身份的元数据，并定期轮换API密钥。\n\n**密封内存保护**：代理状态使用仅飞地可访问的密钥进行加密，这些密钥从PCR（平台配置寄存器）测量值派生而来。如果飞地环境被篡改，它将自动失去对数据的访问能力。\n\n**任务完整性校验**：每个任务的提示词和输出内容的SHA3-256哈希值都会被记录在证明收据中，确保端到端的完整性。\n\n---\n\n## 技术实现细节\n\nEnclave的密码学栈经过精心选择，以平衡安全性和性能：\n\n- **签名算法**：Ed25519（通过libsodium/PyNaCl实现）\n- **对称加密**：XSalsa20-Poly1305（NaCl SecretBox）\n- **密钥交换**：Curve25519（NaCl SealedBox）\n- **密钥派生**：HKDF-SHA256\n- **证明文档**：AWS Nitro证明文档（COSE_Sign1 + CBOR格式）\n- **完整性校验**：SHA3-256\n\n项目采用Python 3.12+作为主要开发语言，工具执行和LLM客户端交互均使用原生异步编程模型。隐私代理层则使用Go 1.22+编写，充分利用了Go在并发和网络编程方面的优势。\n\n---\n\n## 威胁模型与安全假设\n\nEnclave的设计考虑了多种现实威胁场景：\n\n**好奇的云服务商**：即使AWS本身想要窥探用户数据，由于Nitro Enclave的硬件隔离特性，他们也无法读取飞地内存中的内容。\n\n**被攻陷的主机系统**：如果运行网关层的EC2实例被黑客入侵，攻击者最多只能看到加密后的数据流，无法解密出任何有意义的信息。\n\n**LLM提供商的数据收集**：通过隐私代理的元数据剥离和密钥轮换机制，Anthropic或OpenAI等LLM提供商无法将API调用与特定用户关联起来。\n\n**网络窃听者**：所有外部通信都使用双向TLS（mTLS）加密，中间人攻击无法获取明文。\n\n**恶意LLM响应**：所有工具调用都在沙箱环境中执行，并经过严格的JSON Schema验证，防止提示词注入等攻击。\n\n---\n\n## 实际应用场景\n\nEnclave的设计使其特别适合以下场景：\n\n**企业敏感数据处理**：当AI代理需要访问财务报表、合同文本或客户记录时，Enclave可以确保这些数据不会被泄露给第三方。\n\n**医疗健康领域**：处理患者病历、医学影像分析等场景，需要严格遵守HIPAA等隐私法规，TEE提供的硬件级隔离是满足合规要求的有效手段。\n\n**金融交易分析**：量化交易策略、投资组合分析等涉及商业机密的任务，可以在Enclave中安全执行，不必担心策略泄露。\n\n**政府与国防应用**：处理机密或敏感信息时，Enclave的证明机制可以提供可审计的安全保证。\n\n---\n\n## 北极星测试：终极安全验证\n\n项目文档中提出了一个发人深省的安全测试标准，被称为"北极星测试"：\n\n> 如果Anthropic、AWS或政府机构传票要求提供所有日志、主机进程内存和网络流量，他们能了解到用户任务的什么信息？\n\nEnclave的答案令人印象深刻：**没有任何有用的信息**。他们只会看到加密的数据块、剥离了元数据的API调用，以及证明合法代码正在运行的证明文档。这正是隐私计算技术的终极目标——在提供服务的同时，从技术层面实现真正的"零知识"。\n\n---\n\n## 结语\n\nEnclave项目展示了如何将可信执行环境与AI代理技术相结合，构建一个真正隐私优先的智能系统。它不仅是一个技术原型，更是对AI时代隐私保护范式的一次有益探索。随着数据隐私法规的日益严格和用户对隐私保护意识的不断提升，类似Enclave这样的架构设计将在企业级AI应用中发挥越来越重要的作用。