AI加密盲区：数据在计算时裸奔怎么办

数据在硬盘里加密，在传输中加密，但一进GPU就裸奔——这是AI系统最大的安全盲区。医疗影像、金融信号、专利配方，都在模型推理的那几毫秒里暴露无遗。标准加密协议管不了"使用中"的数据，而AI偏偏全程都在用。

联邦学习里的梯度共享、多云架构的跨节点计算、第三方推理API调用——这些场景下，明文数据必须进内存才能处理。攻击者不需要攻破数据库，只要盯准计算节点就行。更隐蔽的是"梯度反演"：研究人员已证明，仅凭共享的梯度更新就能重建原始训练数据，绕过所有访问控制。

生产环境需要四层防护，每层解决不同层面的暴露问题。

同态加密（HE）：直接在密文上计算，明文永不出现。结果解密后与明文计算一致。当前主流方案是CKKS（近似算术，适合浮点运算）和BFV/BGV（精确整数运算）。代价是性能：HE推理比明文慢1000到10000倍，需专用硬件加速和精心设计的计算图裁剪。

零知识证明（ZKP）：证明"我算对了"而不透露输入。联邦学习中，ZKP可验证节点提交的梯度确实来自本地训练，而非随机噪声或恶意构造。瓶颈在证明生成时间——大型神经网络的证明成本仍在实用化边缘。

可信执行环境（TEE）：硬件级隔离，CPU/GPU的飞地内存连 hypervisor 都无法读取。Intel SGX、AMD SEV、NVIDIA H100的机密计算模式均属此类。延迟最低（通常<10%开销），但信任锚定在硬件厂商，侧信道攻击风险持续存在。

后量子密码（PQC）：RSA-2048和椭圆曲线算法已被证明可被量子计算机破解。NIST 2024年标准化的CRYSTALS-Kyber（密钥封装）和CRYSTALS-Dilithium（数字签名）需现在开始迁移——等量子计算机落地再换，成本将翻数倍。

没有银弹。同态加密保护最强但最慢，TEE最快但信任模型受限，ZKP解决验证问题而非隐私本身，PQC应对的是未来威胁而非当前漏洞。实际部署通常是组合：TEE处理实时推理，HE用于离线批量分析，ZKP审计关键计算步骤，PQC替换所有长期密钥。

选型错误代价高昂：选太慢的，模型推不动；选太弱的，合规审计过不了。医疗AI和金融科技公司已在这条路上踩了足够多的坑——他们的基准测试数据和迁移经验，比论文更有参考价值。