银行想用闭源大模型处理客户数据，向来有个绕不开的难题：要么把数据传到模型厂商的云上，合规部门不同意；要么让厂商把模型权重拷进自家机房，厂商不同意。最后双方多半只能在合同里写上"不得查看对方数据"，靠违约责任来约束。
9 月 22 日，存储公司 VAST Data 发布了 DataEnclave 的预览版，想用硬件验证来代替这类合同条款。按它的设计，机器的 CPU、GPU、系统镜像和运行策略必须先通过验证，模型才能解密运行，否则连启动都做不到。正式版计划在 2027 年第一季度通过 VAST、Cisco 和 Supermicro 交付，主要卖给金融、医疗和政府这些不方便把数据送到外部 API 的客户。
模型放在客户机房，钥匙留在厂商手里
DataEnclave 集成在 VAST 的 DataEngine 平台里。模型权重加密后存放在客户自己的 VAST 集群上，解密密钥则由模型厂商保管。每次启动，运行环境都要拿出一份由芯片签名的证明，说明自己的硬件、固件和软件跟厂商事先批准的配置一致，厂商核对无误后才会发放密钥。整个过程中，客户机房的管理员看不到运行中的明文权重。
GPU 显存也要隔离
磁盘加密和网络加密只能保护存储和传输中的数据。模型推理时，权重、提示词和中间结果都要以明文形式载入内存，光保护 CPU 侧还不够，数据进了普通 GPU 显存照样会暴露。
因此 DataEnclave 把隔离范围扩展到了 GPU。每个敏感任务运行在单独的机密虚拟机里，CPU 内存、GPU 显存和两者之间的数据传输都由硬件隔离开。宿主操作系统、虚拟化层、机房管理员以及同一台服务器上的其他租户，都接触不到里面的数据。
这对硬件有明确要求。根据 NVIDIA 今年 4 月发布的部署指南，目前只有 Hopper 和 Blackwell 两代 GPU 支持这种模式，CPU 也要支持 Intel TDX 或 AMD SEV-SNP。Hopper 做多卡部署时走 Protected PCIe 模式，单卡和多卡的完整机密计算模式要到 Blackwell 才有。换句话说，客户要采购的是一整套经过兼容性核对的软硬件组合，CPU、GPU、固件、驱动、操作系统和互联方式都得对得上。
启动时怎么拿到密钥
VAST 的白皮书把启动流程拆成了 11 步，主要环节如下：
机密虚拟机先向厂商的验证服务器申请一个一次性随机数，防止有人拿旧的证明重复使用；
虚拟机在内部生成一对临时密钥，私钥始终留在虚拟机里；
CPU 和 GPU 的硬件信任根对硬件、固件、镜像、运行策略、随机数和公钥一并签名；
验证服务器检查签名和随机数，再把各项度量值跟批准过的参考值逐一比对；
比对通过后，服务器签发一个与该公钥绑定、有效期 5 分钟的令牌；
模型的解密密钥用这把公钥加密后发给虚拟机，只在受保护的内存里解开。
这套流程有现成的标准可循。IETF 的 RFC 9334 定义了远程证明的基本架构：由被验证方提交证据，验证方按策略判断，再由依赖方决定是否放行。文档里还专门举了"验证通过后才发放模型解密密钥"的例子。VAST 做的工作，是把这套机制接入 DataEngine 的容器部署、密钥申请和审计记录。
密钥也不由 VAST 集中保管。模型厂商可以在自己的环境里运行验证服务器和密钥管理系统，企业为自己的数据另设一套。授权到期后，厂商只要不再给新的实例发密钥就行，用不着客户机房配合。
有几类风险它管不了
硬件证明能确认机器是否按批准的配置运行，至于模型给出的回答安不安全，它无从判断。VAST 在白皮书里列出了三类不在保护范围内的问题。
一是应用自身的漏洞。提示词注入可能诱使模型泄露检索到的数据，攻击者也可以通过大量重复查询来摸索模型的行为。验证服务器只能确认运行的是批准过的镜像，镜像里的程序逻辑有没有问题，仍要靠开发者自己负责。
二是工作负载主动往外传数据。容器完全可以通过正常接口或日志把数据发出去，企业还是得自己限制网络出口，检查模型服务会记录哪些内容、能访问哪些地址。DataEnclave 防的是基础设施窥探工作负载，反过来，恶意的工作负载它防不住。
三是可用性。机房可以拒绝启动实例，也可以随时关掉；验证服务器或密钥系统一旦连不上，新实例就拿不到密钥。另外，应用启动后如果不再请求受保护的资源，会一直持有已经拿到的密钥，想定期重新验证，需要应用自己调用相应接口。
信任关系也只是缩小了范围。资产所有者仍要信任自己的验证服务器、密钥系统、参考值和策略，整条链条最终依赖 CPU、GPU 的硬件信任根和芯片厂商的签名密钥，固件漏洞、侧信道攻击、物理攻击和供应链被攻破的风险依然存在。镜像没有被篡改，也不代表镜像本身没有漏洞。
交付之前还缺哪些数据
VAST 公布的模型合作方包括 Cohere、CrowdStrike、Deepgram、Factory、Fundamental 和 TwelveLabs，整机则由 Cisco 和 Supermicro 提供。这能说明几家公司愿意按同一套架构对接，但还谈不上实际部署效果。此次公告没有提到已上线的客户，也没有给出性能损耗、首个实例的启动时间、扩容速度、故障恢复、验证服务器的承载能力或额外硬件成本等数据。
到 2027 年第一季度交付时，采购方可以先核实四件事：在实际使用的模型上，吞吐和延迟会下降多少；多卡扩容和故障切换是否稳定；验证策略、参考值和吊销信息如何更新；审计记录能否把每一次密钥发放对应到具体的镜像、节点和策略版本。
这些问题如果都能拿出可以复核的答案，企业和模型厂商谈合作时，就不必只在合同里约定谁不能看什么，而是可以逐项核对验证服务器归谁管、凭什么证据能拿到密钥、还有哪些网络出口没有关闭。DataEnclave 能否进入强监管行业，要看正式交付后的兼容性、性能和运维表现，合作方名单说明不了太多。
