TEE (محیط اجرای مطمئن) چیست؟

توجه: این سند ترجمه خودکار نسخه اصلی انگلیسی است.

TEE (محیط اجرای مطمئن) چیست؟

محیط اجرای مطمئن (Trusted Execution Environment یا TEE) ناحیه‌ای امن و جداسازی‌شده در سطح سخت‌افزار درون پردازنده است که کد را اجرا و داده را به‌گونه‌ای پردازش می‌کند که از بقیه سیستم — از جمله سیستم‌عامل، هایپروایزر و حتی مالک فیزیکی ماشین — محافظت شده باشد. کدی که درون TEE اجرا می‌شود، توسط نرم‌افزارهای بیرونی قابل مشاهده یا دستکاری نیست. TEEها سازوکاری برای محاسبات محرمانه فراهم می‌کنند: اجرای بارهای کاری حساس روی سخت‌افزار غیرمعتمد با تضمین‌های اعمال‌شده در سخت‌افزار.

خلاصه: TEE یک «اتاق مهروموم‌شده» سخت‌افزاری درون پردازنده است. کد و داده درون آن برای هر چیز بیرونی — از جمله اپراتور سرور — نادیدنی و دست‌نیافتنی است. این فناوری AI محرمانه روی ماشین‌های غیرمعتمد را ممکن می‌کند.

مسئله‌ای که حل می‌کند

در AI غیرمتمرکز، محاسبات را طرف‌های غیرمعتمد تأمین می‌کنند. وقتی کاربر داده حساسی را برای استنتاج به نود GPU راه دور می‌فرستد، یا وقتی مالک مدل، مدل اختصاصی‌اش را روی سخت‌افزار شخص ثالث مستقر می‌کند، پرسشی بنیادی پیش می‌آید: چگونه جلوی خواندن داده یا سرقت مدل توسط تأمین‌کننده محاسبات را بگیریم؟

جداسازی سنتی مبتنی بر نرم‌افزار (ماشین‌های مجازی، کانتینرها) بارهای کاری را از یکدیگر محافظت می‌کند اما نه از اپراتور زیرساخت. اپراتور سیستم‌عامل، هایپروایزر و سخت‌افزار را کنترل می‌کند — او در اصل می‌تواند حافظه را بازرسی کند، ترافیک شبکه را شنود کند یا اسرار را استخراج کند. TEEها با انتقال مرز اعتماد به درون خودِ سخت‌افزار این مسئله را حل می‌کنند.

چگونه کار می‌کند

TEE یک انکلیو (enclave) می‌سازد — ناحیه محافظت‌شده‌ای از حافظه و اجرا که در سطح سخت‌افزار رمزنگاری و کنترل دسترسی می‌شود. فرایند کلی چنین است:

1. ایجاد انکلیو. برنامه از پردازنده می‌خواهد یک انکلیو امن بسازد. پردازنده ناحیه‌ای از حافظه رمزنگاری‌شده اختصاص می‌دهد که برای همه نرم‌افزارهای دیگر ماشین دست‌نیافتنی است.
2. بارگذاری کد. کد اپلیکیشن و داده‌های نیازمند محافظت درون انکلیو بارگذاری می‌شوند. پردازنده کد بارگذاری‌شده را اندازه‌گیری (هش) می‌کند تا اثر انگشتی از آنچه دقیقاً بارگذاری شده بسازد.
3. اجرای مهروموم‌شده. کد درون انکلیو اجرا می‌شود. همه داده‌های حافظه انکلیو توسط پردازنده رمزنگاری می‌شوند. حتی اگر مهاجم دسترسی فیزیکی به ماشین داشته باشد و مستقیماً تراشه‌های RAM را بخواند، فقط داده رمزنگاری‌شده می‌بیند.
4. گواهی (attestation). TEE یک گزارش گواهی تولید می‌کند — اثباتی رمزنگارانه، امضاشده توسط سخت‌افزار، که می‌گوید: «این کد مشخص درون یک TEE اصیل روی سخت‌افزار اصیل در حال اجراست و اندازه‌گیری‌اش با این هش مطابقت دارد.» طرف راه دور (کاربر، قرارداد هوشمند، راستی‌آزما) می‌تواند گواهی را راستی‌آزمایی کند تا مطمئن شود انکلیو واقعی است و کد مورد انتظار در حال اجراست.
5. تحویل نتیجه. انکلیو خروجی‌اش را تولید می‌کند و می‌تواند آن را برای طرف درخواست‌کننده رمزنگاری کند. اپراتور ماشین هرگز ورودی به‌صورت متن آشکار، وضعیت داخلی یا خروجی را نمی‌بیند.

گواهی ویژگی کلیدی است

بدون گواهی، TEE صرفاً ادعایی از امنیت است. گواهی آن را قابل راستی‌آزمایی می‌کند. وقتی پروژه AI غیرمتمرکزی از TEE استفاده می‌کند، گزارش گواهی همان شاهدی است که نشان می‌دهد اجرای محرمانه واقعاً رخ داده است. گزارش‌های گواهی می‌توانند on-chain توسط قراردادهای هوشمند راستی‌آزمایی شوند و پیوندی میان حریم خصوصی در سطح سخت‌افزار و راستی‌آزمایی‌پذیری در سطح بلاکچین بسازند.

پیاده‌سازی‌های اصلی TEE

چند سازنده سخت‌افزار فناوری TEE عرضه می‌کنند، هر یک با معماری و فرض‌های اعتماد متفاوت:

پیاده‌سازی	سازنده	دامنه	ملاحظات
Intel SGX	Intel	انکلیوهای سطح اپلیکیشن	از اپلیکیشن‌های منفرد محافظت می‌کند؛ حافظه انکلیو محدود؛ به‌طور گسترده مطالعه‌شده و آزموده
Intel TDX	Intel	جداسازی سطح VM	از کل ماشین‌های مجازی محافظت می‌کند؛ پشتیبانی حافظه بزرگ‌تر از SGX؛ فناوری جدیدتر
AMD SEV / SEV-SNP	AMD	جداسازی سطح VM	کل حافظه VM را رمزنگاری می‌کند؛ SNP محافظت یکپارچگی می‌افزاید؛ در سرویس‌های ابری استفاده می‌شود
ARM TrustZone	ARM	جداسازی سطح سیستم	پردازنده را به «دنیای امن» و «دنیای عادی» تقسیم می‌کند؛ در دستگاه‌های موبایل و IoT پرکاربرد
NVIDIA Confidential Computing	NVIDIA	جداسازی سطح GPU	محاسبات محرمانه را به بارهای کاری GPU گسترش می‌دهد؛ برای استنتاج و آموزش AI حیاتی

برای بارهای کاری AI، پشتیبانی TEE در سطح GPU اهمیت ویژه دارد، چون مدل‌های AI عمدتاً روی GPU اجرا می‌شوند، نه CPU. افزونه‌های محاسبات محرمانه NVIDIA اجازه می‌دهند استنتاج مدل درون TEE روی خودِ GPU اجرا شود و وزن‌های مدل و داده ورودی در طول محاسبات شتاب‌یافته با GPU محافظت شوند.

چرا TEE برای کریپتو AI مهم است

TEEها مسئله‌ای عملی را حل می‌کنند که فناوری‌های دیگر حریم خصوصی هنوز نمی‌توانند در مقیاس پاسخ دهند: اجرای مدل‌های بزرگ AI روی سخت‌افزار غیرمعتمد با کارایی قابل قبول.

استنتاج محرمانه AI

مورد استفاده اصلی در کریپتو AI، استنتاج محرمانه است. شبکه استنتاج غیرمتمرکز درخواست‌های کاربران را با تأمین‌کنندگان GPU تطبیق می‌دهد. بدون TEE، تأمین‌کننده GPU می‌تواند ورودی کاربر، وزن‌های مدل و خروجی را ببیند. با TEE، استنتاج درون انکلیوی مهروموم‌شده در سخت‌افزار اجرا می‌شود — تأمین‌کننده سخت‌افزار را می‌آورد اما به محاسبه دسترسی ندارد.

این قابلیت سناریوهایی را ممکن می‌کند که در محیط بی‌نیاز از اعتماد در غیر این صورت ناممکن بودند:

• کاربر می‌تواند داده مالی حساس را برای تحلیل AI ارسال کند بدون این‌که تأمین‌کننده محاسبات آن را ببیند.
• مالک مدل می‌تواند مدل اختصاصی‌اش را روی GPUهای شخص ثالث مستقر کند بدون خطر سرقت مدل.
• عامل AI می‌تواند داده خصوصی کاربر را در جریان کاری on-chain پردازش کند و داده را محرمانه نگه دارد.

AI قابل راستی‌آزمایی از طریق گواهی

گواهی TEE اثباتی قابل راستی‌آزمایی می‌سازد که مدل مشخصی درون محیطی محافظت‌شده اجرا شده است. وقتی این گواهی on-chain ثبت می‌شود، شاهدی فراهم می‌کند که محاسبه AI با تضمین‌های محرمانگی انجام شده است. در زمینه AI قابل راستی‌آزمایی، گواهی TEE از نظر ریاضی کم‌دقت‌تر از اثبات‌های دانش صفر است اما برای مدل‌های بزرگ بسیار عملی‌تر — TEE می‌تواند مدل‌هایی با میلیاردها پارامتر را با سرعتی نزدیک به بومی اجرا کند، در حالی که راستی‌آزمایی مبتنی بر ZK فعلاً به مدل‌های کوچک محدود است.

مدل اعتماد

تمایز حیاتی: امنیت TEE بر اعتماد به سازنده سخت‌افزار استوار است. اگر پیاده‌سازی سازنده باگ یا در پشتی داشته باشد، تضمین امنیتی می‌شکند. این با اثبات‌های ZK که تضمینشان ریاضی است و به هیچ فروشنده سخت‌افزاری وابسته نیست، بنیاداً فرق دارد. پژوهشگران امنیت چند حمله کانال جانبی علیه Intel SGX نشان داده‌اند که به وصله‌ها و طراحی‌های بهبودیافته انجامید. امنیت TEE حوزه‌ای در حال تحول است و فرض اعتماد به سازنده سخت‌افزار باید فهمیده شود، نه نادیده گرفته شود.

در کارت‌های پروژه DecAIHub کجا دیده می‌شود

قابلیت‌های مرتبط با TEE در چند فیلد ظاهر می‌شوند:

• AI component — مقادیری مانند «TEE-based inference»، «confidential execution» یا «attested model serving» نشانگر استفاده از TEE هستند.
• جدول Evidence — شواهد Tier-1 برای TEE شامل لاگ‌های راستی‌آزمایی گواهی، مستندات پیاده‌سازی TEE استفاده‌شده، ممیزی‌های امنیتی منتشرشده و قراردادهای راستی‌آزمایی گواهی on-chain است.
• سازوکار راستی‌آزمایی — وقتی پروژه TEE را رویکرد خود به AI قابل راستی‌آزمایی قرار می‌دهد (در برابر ZK یا راستی‌آزمایی مبتنی بر اجماع)، این موضوع در توضیح پروژه یا فیلد AI component ذکر می‌شود.

TEE معمولاً در پروژه‌های دسته‌های AI/Inference و AI/Compute دیده می‌شود، جایی که اجرای محرمانه مدل روی سخت‌افزار شخص ثالث یک نیاز محوری است.

TEE چه چیزی را اثبات نمی‌کند

• گواهی TEE اثبات می‌کند کد درون انکلیو اصیل اجرا شده — اثبات نمی‌کند خودِ کد درست، امن یا مطابق ادعاست. باگ در کد انکلیو، باگی درون TEE است.
• TEE اثبات نمی‌کند مدل AI خوب، بی‌طرف یا دقیق است. محرمانگی و یکپارچگی اجرا را اثبات می‌کند، نه کیفیت مدل را.
• TEE اثبات نمی‌کند تمرکززدایی وجود دارد. یک ارائه‌دهنده تنها می‌تواند بارهای کاری محافظت‌شده با TEE اجرا کند. تمرکززدایی از معماری شبکه می‌آید، نه از خود TEE.
• TEE اثبات نمی‌کند سخت‌افزار در برابر همه حملات مصون است. حملات کانال جانبی، آسیب‌پذیری‌های فرم‌ور و ریسک‌های زنجیره تأمین همچنان حوزه‌های فعال پژوهش امنیتی‌اند.
• TEE نیاز به اعتماد به کسی را حذف نمی‌کند — اعتماد را از تأمین‌کننده محاسبات به سازنده سخت‌افزار منتقل می‌کند. این کاهش چشمگیری در سطح اعتماد است اما بی‌نیازی کامل از اعتماد نیست.

اشتباه نگیرید با

• ZK (اثبات‌های دانش صفر) — ZK تضمین‌های ریاضی برای یکپارچگی و حریم خصوصی محاسبات می‌دهد. TEE تضمین‌های مبتنی بر سخت‌افزار. هر دو برای AI قابل راستی‌آزمایی به کار می‌روند، اما مدل‌های اعتماد و ویژگی‌های کارایی متفاوتی دارند.
• حریم خصوصی — حریم خصوصی هدف گسترده‌تر است؛ TEE یکی از سازوکارهای رسیدن به آن. سازوکارهای دیگر شامل اثبات‌های ZK، MPC و رمزنگاری همومورفیک است.
• رمزنگاری (encryption) — رمزنگاری داده را در حالت سکون یا انتقال محافظت می‌کند. TEE داده را در حین محاسبه (در حال استفاده) محافظت می‌کند. این‌ها مکمل‌اند، نه جایگزین یکدیگر.
• ماشین‌های مجازی / کانتینرها — VMها و کانتینرها جداسازی نرم‌افزاری بین بارهای کاری فراهم می‌کنند اما در برابر اپراتور زیرساخت محافظت نمی‌کنند. TEE جداسازی سخت‌افزاری‌ای می‌دهد که در برابر اپراتور محافظت می‌کند.
• Secure Enclave (به‌عنوان نام محصول) — «Secure Enclave» اپل پیاده‌سازی مشخصی در دستگاه‌های اپل است. مفهوم کلی انکلیو TEE گسترده‌تر است و در سازندگان مختلف به کار می‌رود.

پرسش‌های متداول

TEE با رمزنگاری چه فرقی دارد؟

رمزنگاری داده را هنگام ذخیره (در سکون) یا ارسال (در انتقال) محافظت می‌کند. TEE داده را هنگام پردازش (در حال استفاده) محافظت می‌کند. رمزنگاری استاندارد ایجاب می‌کند داده پیش از محاسبه رمزگشایی شود که آن را در معرض هر کسی که محاسبه را اجرا می‌کند قرار می‌دهد. TEE داده را در حافظه رمزنگاری‌شده نگه می‌دارد و درون انکلیو مهروموم‌شده در سخت‌افزار پردازش می‌کند؛ پس داده هرگز خارج از انکلیو به‌صورت متن آشکار در معرض قرار نمی‌گیرد — حتی برای اپراتور ماشین. TEE و رمزنگاری مکمل‌اند: داده در مسیر رسیدن به TEE رمزنگاری می‌شود، درون آن محرمانه پردازش می‌شود و نتیجه در مسیر بازگشت به کاربر رمزنگاری می‌شود.

آیا TEEها را می‌توان هک کرد؟

پیاده‌سازی‌های TEE موضوع پژوهش‌های امنیتی بوده‌اند و چند حمله کانال جانبی نشان داده شده — به‌ویژه علیه نسخه‌های اولیه Intel SGX. این حملات معمولاً تفاوت‌های زمانی، الگوهای مصرف توان یا رفتار کش را برای استنباط اطلاعات درباره محاسبه انکلیو به کار می‌گیرند. سازندگان سخت‌افزار با وصله‌های فرم‌ور و بهبودهای معماری پاسخ می‌دهند. نسل فعلی پیاده‌سازی‌های TEE (Intel TDX، AMD SEV-SNP) تدابیر کاهشی برای کلاس‌های حمله شناخته‌شده دارند. امنیت TEE مطلق نیست، اما سطح دشواری را نسبت به جداسازی صرفاً نرم‌افزاری به‌طور چشمگیری بالا می‌برد. ریسک عملی به پیاده‌سازی مشخص TEE، نسخه فرم‌ور و مدل تهدید بستگی دارد.

چرا پروژه کریپتو AI ممکن است TEE را به‌جای اثبات‌های ZK انتخاب کند؟

دلیل اصلی کارایی است. TEE اجازه می‌دهد مدل‌های بزرگ AI (از جمله مدل‌هایی با میلیاردها پارامتر) با سرعتی نزدیک به بومی و با سربار حداقلیِ جداسازی سخت‌افزاری اجرا شوند. راستی‌آزمایی مبتنی بر ZK (zkML) فعلاً مستلزم تبدیل مدل به مداری ریاضی و تولید اثبات رمزنگارانه است که مرتبه‌ها گران‌تر است و به مدل‌های کوچک محدود. TEE امروز راهکاری عملی و قابل استقرار برای AI محرمانه روی سخت‌افزار غیرمعتمد است. بده‌بستان، فرض اعتماد به سازنده سخت‌افزار است که اثبات‌های ZK به آن نیازی ندارند.

گواهی TEE چیست؟

گواهی اثباتی رمزنگارانه است که سخت‌افزار TEE تولید می‌کند و تصدیق می‌کند: این کد مشخص، با این اندازه‌گیری (هش) مشخص، درون انکلیو اصیل TEE روی سخت‌افزار اصیل در حال اجراست. گواهی با کلیدی امضا می‌شود که سازنده در سخت‌افزار تعبیه کرده است. طرف راه دور می‌تواند گواهی را در برابر ریشه اعتماد سازنده راستی‌آزمایی کند تا اصالت انکلیو را تأیید کند. در کریپتو AI، گزارش‌های گواهی می‌توانند on-chain توسط قراردادهای هوشمند راستی‌آزمایی شوند و پیوندی قابل راستی‌آزمایی میان امنیت سطح سخت‌افزار و شفافیت سطح بلاکچین بسازند.

منابع خارجی

• Confidential Computing Consortium — پروژه بنیاد لینوکس برای تعریف استانداردها و ترویج پذیرش محاسبات محرمانه مبتنی بر TEE در صنعت.
• Intel SGX Developer Reference — مستندات فنی Software Guard Extensions اینتل، یکی از پرکاربردترین پیاده‌سازی‌های TEE.
• ARM TrustZone Technology — مروری بر پیاده‌سازی TEE شرکت ARM که در دستگاه‌های موبایل و رایانش لبه استفاده می‌شود.

همچنین ببینید

• حریم خصوصی در کریپتو و AI چیست
• ZK (دانش صفر) چیست
• zkML چیست
• استنتاج چیست
• دسته AI/Compute
• دسته AI/Inference