NEAR AI
证明链写得细，出资关系没写

NEAR AI 是品牌，法人在合同文本里写得很明确：NEAR AI Cloud 服务条款的缔约方是 Jasnah, Inc. d/b/a NEAR AI，适用特拉华州法；隐私政策写 Jasnah Inc., d/b/a NEAR AI, a Delaware corporation，“及其子公司和关联方”；Trust Center同样写由 Jasnah Inc. 运营。公司页自称 AI 研究、工程与产品开发公司，写 “Founded by Illia Polosukhin”，并称他是 Transformer 论文的共同作者和 NEAR 区块链的创建者；前一项可回 arXiv 的作者栏核到（八位作者里的第八位）。名单列 11 人：创始人 Illia、产品负责人 Sergey Astretsov、市场拓展负责人 Cameron Dennis、产品营销和设计负责人各一位，以及六位技术成员，其中 Pierre Le Guen 是 DCML 论文的第三作者。名单里另有一栏 “NEAR Foundation”，写 “Supported by key contributors from NEAR Foundation”，列出基金会的产品营销负责人、高级法律顾问和 IT 与安全总监三人，没有写他们与公司的雇佣或服务安排。2026-05 的百慕大合作稿还署了一位 “GM of NEAR AI” George Zeng，他不在团队页上；2024 年与 Illia 共同领导实验室的 Alex Skidanov 也不在，现任职务本刊没有核到。

它和 NEAR 区块链、NEAR 基金会的关系，一手材料能拼出几块。其一，NEAR 官方史页写，2017 年 Illia 与 Alex Skidanov 共同创立 NEAR AI，目标是做能根据自然语言描述写代码的模型；雇各国学生贡献训练后遇到算力不足和跨境付款困难，转向区块链，2018 年创立 NEAR Protocol。旁证有三处：GitHub 组织 nearai 创建于 2017-06-02，留着当年的 program_synthesis 与 torchfold 仓库；Wayback 存的 2017-08 的 near.ai 首页写 “Teaching Machines to Code”，2018-07 的首页已改成用自然语言造手机 app；nearprotocol.com 最早的存档在 2018-08-28。其二，NEAR 基金会 2023-11-07 宣布 Illia 出任基金会 CEO；2024-05-22 他发文称基金会将投资 NEAR 成为“用户自有 AI”（User-Owned AI）的生态，同时 “recently started the NEAR.AI R&D Lab, led by Alex Skidanov and me”，并把底气归于 “ample financial resources stewarded by a not-for-profit Swiss Foundation”；史页写 2024-11 NEAR AI 作为研究分支推出。其三，NEAR AI 自己的稿子里，2025-12-17 的 OpenMind 合作稿署 Illia 为 NEAR AI 的 CEO，同一页的投资披露却署他为 “NEAR Foundation CEO and NEAR AI Founder”；2026-05 的百慕大稿署 “Co-Founder of NEAR and CEO of NEAR AI”；基金会 2026-10-14 的理事会公告把他列为理事会成员，理事会是基金会的治理与监督机构，公告没有再称他为基金会 CEO。

没有写的部分更关键。Jasnah, Inc. 与 2017 年那个 near.ai 之间有没有法律上的承接，它的股东和董事是谁，NEAR 基金会或代币持有人有没有出资、持股，基金会侧三位人员的费用怎么安排，本刊在公司页、条款、隐私政策、基金会页面和 NEAR 站点博客里都没有读到，也没有找到 NEAR AI 的融资公告；SEC 全文检索里 “Jasnah” 对 Form D 没有命中（只说明没有以该名字提交，不等于没有融资）。基金会在 AI 上的出资有明确记录，但流向别处：2024-09 与 Delphi Labs 合办的加速器给每支入选团队 10 万美元投资和 5 万美元算力额度，2025-02 的 AI Agent Fund是向 agent 代币投放的 2000 万美元基金，对象都是第三方项目。也不要和 SovereignAI 混：2025-10 纳斯达克公司 OceanPal 的 1.2 亿美元定向增发稿里，SovereignAI 是它的全资子公司，用来积累 NEAR 代币，Illia 任其顾问委员会主席，稿内没有出现 NEAR AI。

代币与产品的关系分愿景和机制两层。2025-12-03 的发布文把长期愿景写成链上协调的去中心化机密计算层，让 NEAR 代币成为这套 AI 云经济的原生资产（愿景表述，不是已上线的机制）；2026-07-30 起上线了质押换额度：质押 NEAR，用质押收益折算 Cloud 额度（文档写 1 个额度对应 1 美元用量，本金可取回），NEAR 站点同日的文章称这是 “utility-driven source of token lockup”。Cloud 平时按 token 的美元价计费，质押只是另一种付款入口。本刊没有读到 NEAR AI 发行自己的代币，也没有读到向投资者出售股权或代币的公告；质押 farm 的奖励资金从哪里来，文档没写。

官方描述的路径是这样：模型跑在 Intel TDX 机密虚拟机里，用 NVIDIA 机密计算模式的 H200，每个 Private LLM Node 配 8 块 GPU；请求先到同样跑在 TEE 里的网关，再转到模型的 TEE（私有推理文档）。客户可以带自己生成的随机数去取证据：校验 Intel TDX quote，重放运行时事件日志核对 RTMR3，再把配置字符串的哈希与 quote 里的 MRCONFIGID 对上；响应可以另取一份签名，签名文本是“模型名:请求哈希:响应哈希”，签名者要与事先验过的模型证据对得上（验证文档、响应签名、模型证据）。2026-08-12 起，TDX 证据还会送到 Intel Trust Authority 换一份 Intel 签名的令牌，NEAR AI 的说法是，此前运营方出证明、运营方自己验证的循环由此拆开。性能方面，DCML 论文在 H200 上测了三个开源模型，TEE 相对裸机的总 token 吞吐开销在 1.58% 到 12.09% 之间（NEAR AI 自己的实验，没有找到同行评议版本）。以上都是厂商自述的设计与文档。

文档自己写下的边界，比官网首页具体得多。验证策略页写 attestation 不验证模型回答的质量，不保护被攻破的客户端，也不能代替对镜像出处的单独检查；模型证据页写同一模型的多个实例共用一个签名密钥，签名者对得上并不证明报告和这次补全来自同一个实例；响应签名页写预检证据加一次响应签名 “do not yet form a complete model-to-Gateway-to-final-response chain”，网关在改写字节时（流式、别名解析、Responses API）要自己签；TLS 绑定页写浏览器取不到对端证书，无法做连接绑定；直连端点被标为实验性，不建议用于生产验证。《Assume We’re Lying》（2026-10-02）进一步承认：网关保留用量日志；模型服务器的前缀缓存目前只按 token 匹配、不看客户身份，相同前缀可以在不同客户之间共享缓存计算，响应时间会暴露某个猜测的前缀是否被处理过；端到端加密是 SDK 的可选项，网关仍看得到路由和鉴权元数据。服务条款 §14 要求客户在提交敏感负载前自行验证 attestation，并承认侧信道、固件和微码漏洞可能存在，且部署时 NEAR AI 可能并不知道。

客户一侧写得更具体。Brave 为这条路径开源了验证器，README 先列它信任的根——Intel 的签名密钥（“A compromised Intel signing key means a forged quote verifies”）、NVIDIA 的证明服务、Sigstore、dstack 操作系统、GitHub 上的 nearai 仓库、Hugging Face——再列“通过不等于什么”：不等于被审计的源码没有后门；模型运行时（vllm、sglang 等第三方）不做出处检查也不重建，只确认哪个镜像在服务；不等于证明环境之后怎么处理你的提示；NVIDIA 对 GPU 的签名只证明有真 GPU 为这次随机数出了证据，而 TDX quote 并不承诺该证据，所以网关理论上可以把随机数转给别处的真 GPU，要封住需要 NEAR AI 把 GPU 证据绑进 report_data。README 还写 compose-manager-launcher 目前无法逐位重建。这份清单出自客户之手，不是独立审计，但它是目前对这套栈信任边界最具体的外部文字。

“可验证”覆盖哪些模型，要看档位。文档把模型分成三档：NEAR 自己 GPU 机队上的 TEE、第三方（点名 Chutes）的 TEE，以及 OpenAI、Anthropic、Gemini 等不在 TEE 内的转发。本刊在 2026-10-20 取了公开模型接口：59 项里 46 项是外部转发，9 项是 NEAR 自托管的 TEE（4 个聊天模型，含 GLM 5.3 Flash，其余是图像、语音、嵌入等），4 项是 Chutes 托管的 TEE。官网首页突出的 8 个 “private” 模型里，deepseek-v3.2、Kimi K2.6、Kimi K3、qwen3.5-397b 这 4 个属于 Chutes 档，而文档写这一档的模型级验证取决于客户端（JavaScript SDK 验证 Chutes 的模型证明，Python SDK 只验证网关）。经 OpenRouter 的路径，NEAR AI 在自己的说明里写这条路由前面的网关 “is not attested”。“源码公开”也要拆开看：网关 cloud-api 的许可证是 PolyForm Strict 1.0.0，只许非商业使用，不许分发或改作；inference-proxy 与 compose-manager 的仓库根目录没有许可证文件；验证器与 SDK 是 MIT。源码可读、构建可复现，与开源许可，是两回事。

Brave 是一手来源最全的一条。2026-10-15 的博客写：Leo 与开源权重模型 GLM 5.3 Flash 的对话由浏览器用 Oblivious HTTP 在设备上加密，只有通过硬件证明的 TEE 才能解密；Brave 的开源网关充当 OHTTP 的 relay，看得到 IP、读不到内容，以 Brave 自己的账户把密文转给 NEAR AI 的网关 TEE，对 NEAR AI 而言每个请求都像来自 Brave（“every request looks like it comes from Brave”）；模型跑在 NEAR AI 运营的、Nvidia 支持的机密环境里。Brave 的验证 oracle 在批准每个 NEAR AI 部署前校验 Intel 与 NVIDIA 的证明，并从公开源码重建 NEAR 编写的镜像核对哈希；第三方模型运行时不重建，由硬件证明的部署日志钉住。Brave 同时写了现状局限：目前浏览器仍依赖 Brave 的网关做这项检查（“relies on the gateway for this check”），浏览器侧自验排在后面，GLM 5.3 Flash 还在 beta，覆盖的只有这一个模型路径。其信任终点清单见 §02。《关了训练，还剩什么》§08 写到的正是这条路径（全文）。博客没有披露商业条款。

其余客户多是 NEAR AI 一侧的合作稿。Venice 自己的博客更值得读：TEE 模式下数据仍经过 Venice 的代理，“you are still trusting Venice that the data in transit is not being retained”，所以支持网页搜索、文件上传和记忆；端到端加密模式把这些功能关掉，因为它们需要在 enclave 之外解密。百慕大稿称初期是给公务员的安全 AI 助手原型，政府一侧的原始稿本刊没有读到。OpenMind 稿带着 Illia 个人是其投资者的披露。Abound、Corbits、SayGm 目前只有 NEAR AI 一侧的稿子。发布文称首批合作平台累计服务超过 1 亿用户，是自述数字；各家的合同金额和调用量都没有披露。官网还写自己是 Confidential Computing Consortium 成员和 NVIDIA Inception 成员，本刊没有找到第三方名单核对。

产品线在收缩和扩张同时发生。2025-12 与 Cloud 一起发布的消费者聊天产品 Private Chat，页内公告写 2026-09-28 起只读、11-15 关停；官网现行导航里已经没有 Private Chat。扩张的一侧是 IronClaw 与 Agent Market：后者让开发者上架自己跑着的 agent、按单收费，买家可以经 MCP 从 Claude 里雇用，支付含 Stripe 提现和 USDC。Cloud 的规模只有零星线索：职位板一个在招岗位（LLM 推理工程师），Trust Center 的子处理方名单里有 AWS、Corvex、OVHcloud 等云提供方，没有写哪一家承载 TEE GPU。

第三方材料：FailSafe 在 2026-04-15 发布了对 agent 运行时 IronClaw v0.19.0 的评估，4 个问题（1 高 3 中），包括输出截断绕过泄露检测与注入扫描，NEAR AI 合并了补丁；它随后又与 NEAR AI 合推 AttackBench，NEAR AI 的发布文写 IronClaw 的违规数最少，所以 FailSafe 既是评估方也是合作方。CVE-2026-18980（2026-08-06，VulDB 登记）是 IronClaw 0.29.0 至 0.29.1 的命令注入，NVD 记 CVSS 3.1 为 6.3。两者都不是 TEE 推理网关。Trust Center 列了 ISO 27001:2022 证书（签发日 2026-09-21）和 SOC 2 的聘用确认函，本刊没有核到证书与函件本体；这两项管的是管理体系，不是 TEE 证明链。对证明链本身，本刊没有找到独立的渗透测试或代码审计报告。nearai-cloud-verifier 的 issue #27（2026-06-07）里，UIUC 与 MATS 的研究团队说发现了验证器的若干潜在健全性问题，询问私下披露渠道，截至 2026-10-20 零评论、仍开着；cloud-api #1230（2026-10-10，外部用户提）指出生产镜像经提升流程时不产生出处证明，验证者分不清生产与预发的摘要。同一仓库里还开着 RUSTSEC 依赖公告等 issue。

硬件根是共同的天花板。NEAR AI 的论文和条款都承认依赖厂商：DCML 写 TDX 里的代码 “could be compromised if Intel is compromised”，条款把硬件漏洞列为客户须知的风险。Fanti 与 Juels 主编的综述（2026-08-21）把 NEAR AI Cloud 与 RedPill、Venice、Tinfoil、Chutes 并列为生产环境可用的 TEE 机密推理提供方，同一节写服务器时代的 TEE（TDX、SEV-SNP）“not by design secure against a physical attacker”，并点名 TEE.Fail 这类内存总线攻击；NEAR AI 的文档则写 TEE 即使有物理访问也防得住云提供方。两句话谈的威胁模型不同，读者应按自己的威胁模型取舍；综述论述的是整类技术，不是对 NEAR AI 的评估。对照只写有出处的：Venice 写 TEE 提供方还有 Phala，文档写第三方 TEE 是 Chutes；Apple、Azure、Google 的机密推理，本刊没有读到点名本家的对照，不写。同系列 № 50 Irregular 与 Anthropic 联合发表过一份机密推理系统白皮书（见 Irregular 的说明页），可以对照看设计原则。

本刊没有核到的有：Jasnah, Inc. 的特拉华注册日期、股东与出资方，以及它与 NEAR 基金会的法律和资金关系；基金会侧三位人员的安排；Illia 在 2026 年是否仍任基金会 CEO；Alex Skidanov 的现任职务；对机密推理栈的独立审计；UIUC 与 MATS 披露请求的后续；TEE GPU 机队托管在哪家云；官网自述的 Confidential Computing Consortium 与 NVIDIA Inception 成员资格；IronClaw 三项基准成绩；各客户的合同与用量。本刊也没有拿 API 密钥亲手跑一遍 attestation 校验，上述判断依据文档、公开模型接口和 Brave 的验证器说明。