一家前沿大模型企业，这次采购的不是模型权重，也不是原始算力资源，而是一套信任底座 —— 也就是让客户敢于把敏感数据交给大模型的可信运行能力。这或是企业级 AI 赛道换轨的信号。
10 月 13 日，机密计算企业 Opaque Systems 官宣团队加入 Anthropic，原有业务逐步关停。法国科技媒体 LeMagIT 于 10 月 14 日跟进报道：本次并非整体收购，而是技术授权 + 核心人才吸纳的安排，交易财务条款未披露。
Opaque的背景值得交代：脱胎于加州大学伯克利分校RISELab，主攻机密计算与可信AI，累计融资约5550万美元，2026年2月刚完成2400万美元B轮。一家技术卡位清晰的公司整体并入Anthropic，说明在“模型公司做安全”这件事上，自建的慢与外购的贵之间，Anthropic 选了后者——考虑到金融、医疗、政务客户是当前 AI 商业化最想啃但最难啃的骨头，这笔钱花得不难理解。
真正的信号在于交易标的：Anthropic引入的不是模型能力，不是agent框架，而是可信执行环境（TEE）、策略与密钥管理、智能体行为约束这一层。换句话说，前沿模型公司开始为“信任基础设施”付费。模型能力的军备竞赛之外，第二条战线正在拉开。
为什么是机密计算：数据进了内存，就没保护了
传统数据安全管两头：存储加密、传输加密。但数据进入计算环节——在内存里、在加速卡显存里被模型真实读取的那一刻——传统的加密就脱手了。有权访问宿主机的人，理论上能把这些数据原样读走。
机密计算的思路是把“使用中的数据”也关进硬件隔离的环境：CPU内存页由硬件加密，加速卡显存受总线级访问控制保护，环境的完整性由远程证明来验证。对金融、医疗、政务这类“数据不出域”是硬约束的场景，这是目前能让敏感数据安全进入 AI 计算的现实路径——同态加密理论上更彻底，但性能开销在可预见的将来撑不起大模型推理。
需求侧的方向明确。据 IIM《全球及中国可信执行环境行业趋势与展望报告（2026）》，机密计算实例采用量2026年上半年同比增长68%，中国TEE市场2026 年预计规模约170亿元人民币，增速快于全球近5个百分点。
不过要泼一盆冷水：机密计算不等于绝对安全。TEE 仍可能受软硬件漏洞影响，Side-channel攻击的历史也不短。Opaque自己的平台介绍里也承认，机密计算并不意味着数据在所有环节保持密文。这个领域比拼的不是“有没有”，而是“可不可验证”。
真正的难点不在单卡，在整机
这里有一个行业里不太被说破的事实：绝大多数“支持机密计算”的宣称，止步于单卡直通——开一台机密虚拟机，塞一张加速卡，跑个推理，拿一份证明，PPT 就能汇报了。而生产环境需要的是整机乃至整个集群进安全域，难度完全不在一个量级。
九章云极近期披露的实践，把这件事的工程细节摊开了。一台8卡加速服务器里有21个物理设备：8张加速卡、4颗卡间交换芯片、9张高速网卡。要让训练真正跑在机密环境里，这21个设备必须整组直通进入同一台机密虚拟机——少一颗交换芯片，卡间互联的链路就暴露在信任边界之外；少一张网卡，RDMA就退化成普通网络。
工程上有三道坎。第一道是“整组”：21个设备一个都不能落单，全部要进同一个硬件安全域。第二道是地址空间：设备直通不只是“分配给它”，还要让它的 DMA访问被硬件拦住，IOMMU映射、加密位配置、设备与虚拟机的信任关系，任何一处没对齐，要么起不来，要么起来了但没加密——后者更麻烦，因为它不报错。第三道最难，是“降级成功”：设备枚举正常、任务能跑、日志无异常，但机密模式实际没生效，或者链路带宽悄悄掉了三成。这类静默失败不会报错，客户却按机密计算的标准付了钱、向监管做了承诺。机密计算领域最危险的故障模式，恰恰是看起来一切正常。
四层核对之外：支撑整组直通的，是一整套底座工程
九章智算云的验收设计是把环境核对拆成四层，每层都要可复核的结果，而不是一句“正常”：设备层，21个设备21/21落位，全部落在预期的IOMMU组内；能力层，单机显存池约1.1 TB，端到端虚拟化开销仅1.7%；可信层，CPU 硬件度量报告与预期值匹配，加速卡与交换芯片远程证明12项全部通过——证明不通过，全盘加密的密钥不下发，机器拒绝启动，这是刻意的设计：宁可开不了机，也不要开一台说不清状态的机器；运行层，多天连续运行稳定，9 张高速网卡聚合带宽 3.4 Tb/s，RDMA 达到裸金属的 99.3%。
但这四层核对能成立的前提，是平台每一层都刚好接得住。这是九章智算云这份样本里更值得拆的部分——整组直通本质上是对整座平台的一次抽查：
调度层要先认得拓扑。8张加速卡必须来自同一台物理机、同一个卡间互联域，不能跨机拼凑。九章智算云的算力池做拓扑感知调度，先解析机器内部的互联结构，再决定实例落在哪里。拼出来的实例卡是齐的、链路是断的，这种实例在普通云上是次品，在机密环境里直接不可用——拓扑感知不是优化项，是准入项。
网络层要把通信的开销做进网络里。机密模式下的跨机通信，容不得协议栈的额外损耗。九章智算云用轨道优化互连拓扑配合网络内计算（in-network computing），把 All-Reduce 等集合通信的一部分计算下沉到交换层完成：All-Reduce性能提升2倍，数据流量减少50%，带宽利用率保持在95%以上。这层能力直接决定了9张网卡直通进安全域之后，还能不能跑出99.3%的裸金属水平——加密是有代价的，工程的意义在于把代价消化在客户感知不到的地方。
存储层要接得住密钥边界。机密训练有一个容易被忽略的细节：checkpoint 是数据落盘的边界，也是密钥生效的边界。数百GB的检查点写不快，整个训练节奏就被拖住，而机密环境下每一次落盘都要过密钥流程，慢是乘性的。九章智算云的 DingoFS把数百GB检查点归档从30多分钟压缩到60秒以内——这不是一个存储性能指标，而是机密环境下长周期训练能不能持续的问题。
系统层要兜得住带密钥的故障。机密实例的故障恢复比普通实例更麻烦：密钥、证明、加密盘的状态都要重新对齐，任何一个状态错位，恢复出来的实例就是一台“说不清的机器”。九章智算云的自动运维体系做到硬件故障自动检测、秒级隔离、断点无感恢复；在集群规模上，千节点集群的整体扩展时间缩短逾85%，节点配置提速逾7倍。扩展速度同样是安全属性——机密算力要规模化交付，靠的不能是手工作坊式的逐台配置。
再往上一层是平台本身。九章智算操作系统在算力调度、模型训练、模型推理、数据处理四个领域获得中国信通院认证；机密算力通过VKS、DKS与Alaya Token三种形态对外交付，训练、微调、推理都能找到对应入口。换句话说，机密能力不是一条独立的产品线，而是长在智算云平台主干上的一个交付形态——这决定了它能不能跟着平台一起迭代，而不是发布即巅峰。
纸面上的“零明文”说服力有限，这套环境还留了两组客户可以当场复现的验证：同样的 root 权限 dump 内存，通用虚拟化架构上读得到明文，机密虚拟机里读到全零字节；用加速卡厂商的官方调试工具 attach 进程，未开机密模式显存数据一览无余，开启之后什么都拿不到。同样的权限、同样的工具，区别只在硬件安全域是否开启——把“安全”从厂商承诺变成客户可自行复核的证据，这是机密计算和传统安全方案最根本的分野。
行业共同面对的下一道题
有一条技术共识需要放在前面：机密计算今天已经能解决“数据在使用中不被读取”，但还没有解决“两条证明链如何合成一个可信整体”。CPU 硬件度量报告、加速卡远程证明报告各自独立可信，但两条证明链无法自动形成完整的端到端可信链路。行业将这个难题称为复合证明（composite attestation），目前尚无统一成熟标准。The Register 今年 7 月报道显示，业界提出的 7 类握手中继证明方案，都无法完全抵御中继攻击。
这是整个行业正在共同推进的方向，并不是某一家的问题。Anthropic把 Opaque的团队和技术接进来，是在补这块能力；九章智算云的做法则更务实：不夸大“端到端”的完整性，而是把现阶段能证明的部分逐项证明清楚——CPU度量匹配、远程证明12项通过、密钥在证明之后下发——同时把完整证明链导出给客户，由客户自行比对、留存并向审计方举证。
在标准形成之前，把可验证的部分做实、把验证权交给客户，是相对稳妥、也更容易被第三方复核的路径。行业标准一旦明确，这套已经跑通的工程体系也更容易平滑升级。
海外厂商选择收购团队补齐可信基础设施，国内厂商选择从底层算力底座做全栈工程落地，两条路径，共同指向同一个命题：企业 AI 商业化，信任已经成为刚需。
