谷歌把提示词也加密了：Prompt Encryption SDK 正式开源

7 月 6 日，谷歌一次性放出了三件事：开源 Prompt Encryption SDK、上线基于英伟达 RTX PRO 6000 Blackwell 的 Confidential G4 VM 预览版、给 Confidential Space 加上 Intel Trust Authority 认证和 Hopper GPU 支持。三件事串起来是同一个故事——把机密计算（Confidential Computing）从 CPU 时代真正推进到 GPU 推理时代，并且第一次把「提示词本身」纳入加密边界。

对做 B 端 AI 应用的团队来说，这条更新的分量不轻。过去一年，大家谈 AI 安全谈了不少，但绝大部分方案停留在传输加密（TLS）和存储加密（KMS）这两层，提示词进模型那一瞬间是明文的——推理服务器的内存里躺着完整的 prompt 和 response，云厂商、运维、甚至被攻破的宿主机都能看到。这个「使用中数据」的空白，谷歌这次想用硬件 TEE + SDK 一起补上。

Prompt Encryption SDK 到底解决什么

先说结论：这个 SDK 干的事，是在客户端和运行在 TEE（可信执行环境）里的推理服务器之间，建立一条经过硬件证明（attestation）的加密通道。

流程大概是这样的：

1. 客户端发起请求前，先向目标推理服务器索取「证明报告」（attestation report）——这是 TEE 芯片对当前运行环境做的一次加密签名快照，包括 hypervisor、guest OS、镜像哈希等测量值。
2. 客户端拿到报告后，验证签名是否来自可信芯片、测量值是否匹配预期的镜像哈希。任何一环对不上，SDK 直接抛 AttestationError，prompt 根本不会发出去。
3. 验证通过后，客户端用报告里绑定的公钥加密 prompt，密文一路传到 TEE 内部才解密，模型输出同样在 TEE 内加密后回传。

这套机制的关键在第 2 步——信任的对象不是「谷歌云」这个抽象概念，而是那台机器此刻正在运行的具体二进制。哪怕谷歌自己的运维想 SSH 进去 dump 内存，也拿不到明文，因为宿主机根本没有解密密钥。

谷歌把 SDK 直接扔到了 GitHub（google/prompt-encryption-sdk），带 Codelab，Python 客户端调用大致长这样：跑一个 setup.sh 在 Confidential Space 里拉起服务端，客户端用 ConfidentialSDKClient 发请求，SDK 自动完成 attestation 握手。工程侵入度不算高，但要求推理服务端必须部署在 Confidential Space 里——这也是谷歌的算盘：SDK 免费开源，算力还是得买它的机密 VM。

Confidential G4 VM：Blackwell 终于进机密计算

光有 SDK 不够，得有能扛住大模型推理的 TEE 硬件。这次配套上线的 **Confidential G4 VM（预览版）**用的是英伟达 RTX PRO 6000 Blackwell Server Edition GPU 加 第五代 AMD EPYC Turin（代号 Turin）CPU，靠 AMD SEV-SNP 做内存加密和虚拟机隔离。

这里有个技术细节值得说：机密计算过去两年最大的瓶颈是 CPU-GPU 之间的数据搬运。传统方案里，即使 CPU 侧在 TEE 内，数据一旦通过 PCIe 送到 GPU，就得再解密一次——等于门开了半扇。英伟达从 Hopper H100 开始把 TEE 扩展到 GPU，Blackwell 这一代进一步把「近乎未加密的性能」扩展到机架规模（这也是英伟达 Vera Rubin NVL72 主打的东西）。RTX PRO 6000 是 Blackwell 家族里偏工作站/推理定位的型号，96GB GDDR7 显存，适合中等规模模型的机密推理场景，比动辄几十万美元的 HGX B200 更容易落地。

从产品定位看，谷歌这次的组合拳很清楚：

• A3 系列（H100）：训练和大规模推理的机密方案，已经 GA 一段时间；
• G4 系列（RTX PRO 6000 Blackwell）：偏推理和企业微调，新预览；
• C3 系列（Intel AMX）：纯 CPU 的机密推理，适合小模型和 embedding。

三档打通，覆盖从 embedding 到 70B 级别模型的机密推理需求。

Confidential Space 升级：跨机构联合训练的通行证

如果说 Prompt Encryption SDK 是给 C 端 API 服务用的，Confidential Space 就是给 B2B、B2G 数据协作场景准备的。

这次升级两件事：

1. 集成 Intel Trust Authority 作为独立的第三方认证服务。以前 attestation 报告要么谷歌自己验，要么客户端自己搭验证服务，现在多了一个中立机构做背书——这在多方联合训练里很关键，谁都不完全相信对方，那就都相信 Intel。
2. 加入 Hopper GPU 支持。原来 Confidential Space 只能跑 CPU 侧 TEE，训练大模型基本没戏；现在能拉 H100 集群做联邦训练，医院之间联合训癌症影像模型、银行之间共建反洗钱模型这类场景真正跑得动了。

谷歌自己给的两个典型用例挺有代表性：

• 医疗：多家医院用各自的 MRI/CT 数据联合训练病灶检测模型，Confidential Space 保证任何一家的原始影像都不出本地信任边界，只有聚合后的梯度进入 TEE；
• 金融：多家银行共享可疑交易信息训练 AML 模型，客户隐私不外泄，但模型能看到全行业模式。

这类协作过去不是没人做，用差分隐私、同态加密都试过，但要么精度掉太多，要么算力开销大到不可用。TEE 的路线本质是用硬件信任换密码学开销，性能损失控制在 10% 以内，工程上更容易落地。

有几个问题要冷静看

吹归吹，几个客观限制得摆出来：

第一，attestation 生态还没标准化。谷歌用的是 AMD SEV-SNP + NVIDIA Confidential Compute，Azure 用 Intel TDX 也在推自己的路线，客户端 SDK 目前是绑死单一云厂商的。多云部署的公司要么自己抽象一层，要么等 CCC（机密计算联盟）出跨厂商规范。

第二，Prompt Encryption SDK 目前只覆盖「客户端到推理服务器」这一段。如果你用的是 RAG 架构，向量检索那部分数据还得单独考虑——SDK 没管这个。

第三，性能损耗仍然存在。TEE 内存加密、attestation 握手、密钥协商都是开销，尤其在高并发短 prompt 场景下（比如客服机器人），首 token 延迟会明显上升。谷歌没公布具体 benchmark，实测数据得等 GA 后社区跑出来。

第四，这条路线的假想敌是 OpenAI 的 ZDR（Zero Data Retention）和 Anthropic 的类似承诺。云厂商想告诉你：与其相信模型厂商的「合同承诺」，不如相信「硬件强制」。但对大部分企业而言，法务上的合同和技术上的 TEE 谁更值钱，其实要看行业——医疗金融政务偏后者，互联网公司多数还是前者。

给开发者的实操建议

如果你在做企业级 AI 应用，尤其是给医疗、金融、政务客户交付的，这次更新至少值得做三件事：

• 把 SDK 拉下来跑一遍 Codelab，理解 attestation 的验证流程，这是未来一两年 B 端招投标会点名要求的能力；
• 评估自己模型的部署路径。如果是自研或开源模型（Llama、Qwen、DeepSeek 这些），Confidential Space + G4 VM 可以直接托管；如果是调 API，得看模型供应商是否支持在 TEE 里部署；
• 重新审视数据流图。TEE 只保护「使用中」这一段，端上的输入采集、日志留存、缓存策略都得配套改，否则前后门大开。

顺便说一句，我们 OpenAI Hub 聚合了 GPT、Claude、Gemini、DeepSeek 等主流模型的 API，兼容 OpenAI 格式国内直连。目前 API 层面的传输和存储加密都是标配，TEE 级别的机密推理正在跟进评估中——如果你的业务对「使用中数据」有强合规要求，可以留意后续更新。

一个更大的判断

把这次谷歌的动作放到更长的时间线看，其实是 AI 基础设施的「合规化拐点」。过去两年比拼的是模型能力、上下文长度、多模态；接下来这一年，B 端市场的核心议题会转向「模型能不能进我们数据中心的信任边界」。谁先把 TEE、attestation、密钥托管这套东西打通并且做得工程友好，谁就能吃到金融、医疗、政务这几块最厚的蛋糕。

谷歌这次抢了一个身位，微软和 AWS 的机密 GPU 方案还在路上，但节奏不会慢太多。真正的悬念是开源社区的响应：vLLM、SGLang 这些主流推理框架什么时候原生支持 TEE 模式，会决定这条路线是变成企业标配，还是继续困在少数超大客户的私有部署里。

参考来源

• IT之家：谷歌升级 Google Cloud 机密计算产品，新增英伟达 RTX PRO 6000 Blackwell 虚拟机 — 本次更新的中文首发报道，涵盖 G4 VM、Prompt Encryption SDK 和 Confidential Space 三项升级要点
• google/prompt-encryption-sdk - GitHub — SDK 官方仓库，包含 Python 客户端源码、Codelab 脚本和 attestation 验证示例