TINFOIL
证明的是代码，信任的是芯片

Tinfoil, Inc. 在官网自称 “security research lab building an AI cloud for private, verifiable computation”，一个安全研究实验室，造一朵让计算既私密又可验证的 AI 云。产品有三个：Tinfoil Chat（网页和 iOS，每月 20 美元）、Tinfoil Inference（兼容 OpenAI 接口的 API，按 token 计费）、Tinfoil Containers（在飞地里跑任意 Docker 镜像；飞地即 enclave，硬件隔离的可信执行环境。GPU 按小时计价、需要月度承诺，单价见定价页）。它只托管第三方开放权重模型：安全页写明提供的是一组第三方开源模型，选哪个、担什么责任由用户决定；定价页上的模型来自 DeepSeek、Z.AI 的 GLM、Moonshot 的 Kimi、Gemma、GPT-OSS、Llama 等。所以它不是“训练模型的实验室”，更接近一支做机密计算的安全研究团队，加上托管开放模型的基础设施。

公司页列了 9 个人。三位联合创始人：Jules Drean，MIT 安全硬件与系统博士，曾在 Microsoft Research 和 NVIDIA；Tanya Verma，前 Cloudflare 工程师和研究员，参与过 Workers AI，对外称 CEO（见机密计算联盟的会员公告）；Sacha Servan-Schreiber，MIT 密码学与隐私保护系统博士，曾在 Microsoft Research 和 MongoDB。Drean 在 arXiv 上有可查的个人研究，比如抗 Spectre 的隔离方案Citadel（2023）和用商用硬件做可验证 FHE（2024），这些是他个人的学术产出，不是公司论文；Tinfoil 作为公司，本刊没有找到同行评审论文或预印本。2025 年的Launch HN署名是四个人，第四位 Nate 如今不在官网团队页，原因本刊没有核到。

成立时间官网没有写。能核到的线索是：YC 公司页写 Founded 2024、批次 Spring 2025、旧金山，GitHub 组织tinfoilsh创建于 2024-04-29；公司登记日期本刊没有核到。钱的部分，官网只写 “Backed by top-tier VCs”，投资方标识是 Felicis 和 Y Combinator，另列四位天使（Nick Sullivan、Alana Renda、Michael Grinich、Paul Graham）；金额、轮次、日期和领投方，本刊没有找到一手公告，数据库类站点给出的数字互相冲突，这里不采用。规模方面，官网列 9 人，YC 页写 5 人，两处对不上。

机制先按它自己的安全与隐私 FAQ（更新于 2026-10-12）写。客户端 SDK 每次连接做五件事：取飞地里由硬件签名的证明报告；把证书链验到 CPU 厂商的根证书（AMD SEV-SNP 对应 AMD）；取 GitHub Actions 构建产生的 Sigstore 记录；把证明里的度量值和 Sigstore 公布的比对；最后开一个绑定到被证明公钥的 TLS 会话。任何一步失败，SDK 拒绝发送数据。验证覆盖启动软件与系统、推理服务器、模型权重（用 Modelwrap 把权重打成只读的 dm-verity 卷，根哈希写进配置）、处于机密模式的 GPU，以及接收请求的密钥。推理 API 里多一层：客户端先验证 router 飞地，router 再验证目标模型飞地（见架构文档）。支持的硬件按入门文章是 AMD EPYC 第 3 至 5 代的 SEV-SNP、Intel Xeon 第 5 代和 Xeon 6 的 TDX、NVIDIA H100、H200、B200 的机密计算模式。

一个值得注意的细节是 GPU 那一段。架构文档写，GPU 的证明由飞地启动流程调用 NVIDIA 的 nvattest 检查，并链接进 CPU 的证明报告，客户端验证 CPU 报告时“间接”验到了 GPU 配置。按这个写法，客户端直接验的是 CPU 一侧，GPU 一段由飞地自己去验（这是本刊对文档的归纳）。信任根方面，入门文章直接写明：你要信任硬件厂商正确实现了硅根信任和飞地依赖的密码原语，验证的是应用代码；不需要信任的是云厂商的软件栈、虚拟机监控器和同机租户。

它自己写下的“没被证明的部分”相当长。FAQ 第 9 节列出不防的东西：网络元数据（源 IP、包时序、字节量，基础设施商可见）；硬件漏洞，文中直言研究者已展示 AMD SEV-SNP 的密钥提取和 Intel TDX 的证明伪造，并链到TEE.fail；侧信道；I/O 访问模式泄漏；客户误配置和凭据泄漏；客户端设备被攻破；云厂商可以节流或终止服务。使命页（2026-01-12）写得更直：短期内无法防定向的物理攻击，同时认为近期的物理攻击多源于为降开销而选的弱内存加密，是工程限制，不是机密计算前提本身的限制。TEE.fail 的论文页（IEEE S&P ’26）称，用自制的 DDR5 总线插件能从 Intel TDX 和带 Ciphertext Hiding 的 AMD SEV-SNP 提取出密钥，包括某些情况下的证明密钥，并称这些密钥可被用来攻破 NVIDIA 的 GPU 机密计算；这是论文页的自述，本刊没有核对它对 Tinfoil 具体部署的影响。Tinfoil 官方博客目录里没有专门回应 TEE.fail 的文章，FAQ 和入门文章的态度是承认并链接，称公开攻击通常需要物理接触和大量资源。

还有几条边界写在条款和文档里。服务条款（2026-10-12）写机密计算降低风险但不消除风险，证明“不是硬件没有未披露漏洞的担保”；直连 REST 接口会跳过连接时校验，只能事后审计，所以要求用 SDK；V3 证明及依赖它的持久卷、attested keys 等功能在功能状态页里仍标 beta；加密持久卷不防重放旧扇区。物理机谁掌握，几处写法并存：条款的 Containers 一节写 Tinfoil 运营底层物理基础设施，FAQ 又把 Cloudflare、AWS 和“GPU 云厂商”称为基础设施提供方，Trust Center 的子处理方清单共 19 家，云厂商类有 AWS、Cloudflare、Ubicloud，另有 Latitude.sh、Shadeform AI 等。哪些机房、哪些机器由谁物理控制，没有一处明说，而这正是上面物理攻击的前提。

最硬的一手来源是 DuckDuckGo 的Duck.ai 隐私帮助页。页面写，发往 Anthropic、OpenAI、Mistral、Azure 和 Tinfoil 的请求都先被 DuckDuckGo 匿名化，IP 等个人元数据被移除；提供方表里 Tinfoil 托管 GPT-oss 120B 和 Gemma 4 31B，“零数据保留”与“禁止训练”两栏都标 ✔️+，脚注说 Tinfoil 额外使用了可信执行环境，DuckDuckGo 因此能“通过技术手段确保”它无法读取、保留、共享或用于训练这些提示、回答和上传内容；这两个模型在 Duck.ai 里带 “zero provider visibility” 标签。Tinfoil 的客户页引了 DuckDuckGo 产品执行总监 Tim Raybould 的话，说团队借此 “take it one step further with hardware attestation enforcing this policy”。

同一页有三处要读清楚。第一，为检测儿童性虐待材料，用户上传的图片和文件会被送到第三方审核服务，对 Tinfoil 托管的模型也一样，页面写明这一步在加密通道之外；文本提示和回答不走这条检查。第二，谁在验证：Tinfoil 文档里的“每次连接校验”由客户端 SDK 完成，在 Duck.ai 里客户端是 DuckDuckGo 的服务器，不是用户的浏览器。帮助页没说 DuckDuckGo 是否运行了 Tinfoil 的 SDK，也没说是否向用户公开验证记录，所以这是本刊的推断：普通 Duck.ai 用户自己验证不了这一段，依赖的是 DuckDuckGo 的说法加上 Tinfoil 的公开机制。第三，合作起始日期只能靠上面的网页存档推断，两家的联合公告本刊没有找到。

其他客户基本是 Tinfoil 官网自己挑选的引语：Maple、Screenpipe、Syncopate Lab、Cybera、MZLA Technologies（Thunderbolt）、Workshop Labs、Pour Demain，以及伯克利和哈佛的研究者，对方的一手页本刊没有逐个核对。Tinfoil 博客称 Pour Demain 用 Containers 在飞地里对一个 7440 亿参数的模型做灰盒可解释性评测，权重不外露（博客摘要）。外部机构的页面有三个：Red Hat 的博客写在上游社区合作，并声明不是受支持产品；Meta 的Llama 案例页刊登 Tinfoil 的案例，称多数情况下性能开销低于 10%、处理了数十亿 token，页面自己注明这些结果是自报、“not identifiably repeatable”；Canonical 的案例页写 Tinfoil 选用 Ubuntu 25.04，做出一个同时覆盖 AMD 与 Intel 的证明镜像。OpenRouter 的公开提供方列表里没有 Tinfoil。

可用性方面，状态页在 2026-10-20 显示全部服务在线，用约 180 天的条形图列各端点的 uptime：gpt-oss-120b 99.948%，gemma4-31b 99.737%，deepseek-v4-1-flash 97.940%；页面没写这些百分比的统计窗口。本档案的缘起是 DeepDive《关了训练，还剩什么》§08 提到 Duck.ai 用 Tinfoil 托管的开源模型走可信执行环境，补录它，是为了把“服务方看不到”这句话背后的机制和边界摊开。

先分开自述和第三方验证。第三方一侧，本刊能核到的有：机密计算联盟的会员公告，只证明入会；Trail of Bits，官网首页把一条链接写成 “Security audit and webinar collaboration”，链接指向的是一场联合网络研讨会，Trail of Bits 把它列为 2025-12 的 Webinar，而它在 GitHub 上的公开审计报告库里，本刊没有找到以 Tinfoil 命名的报告；SOC 2 Type II，FAQ 与隐私政策写已完成，覆盖安全、可用性与保密性，Trust Center列有 SOC 2 标签，报告须向其申请，审计方、覆盖期和结论本刊没有核到；Trust Center 另写每年至少委托一次外部渗透测试，测试方、日期和发现均未公开。没有找到的有：对 Tinfoil 的独立安全审计报告、同行评审论文；GitHub 上 11 个主要仓库也没有已发布的安全公告，这只是查询结果，不等于没有漏洞。

再看性能和“唯一”“首个”。官网技术页称私密负载的性能与非私密计算 “almost the same”，Llama 案例页称多数情况下开销低于 10%；而 Tinfoil 自己 2026-06 的基准博客给出的是一个范围，约 1% 到 30%，低并发下超过 100%，训练 18% 至 32%，并把差别归因于 GPU 与 CPU 之间加密的“弹跳缓冲区”，取决于推理引擎是否针对机密计算优化。“唯一提供多 GPU 机密计算”“首个公开的 Blackwell 基准”都是自述，本刊没有第三方核对。

它在 2026-09 给 Chat 加的飞地内安全护栏，是自己提出的隐私与安全的权衡。机制是：托管前用 297 条精选的“硬禁止”提示评测，超过 5% 答错的模型不上架；Chat 运行时在飞地里跑安全模型审阅回答，违规时只有“发生了违规”的标志和对话 ID 离开飞地，对话内容和触发的类别不外传，反复被标记会导致账号停用。政策只覆盖三类：鼓励自残、大规模暴力与恐怖主义、儿童危害；只适用于 Chat，API 和 Containers 不检查。博文承认缺点：不能用客户数据调优，也不能人工复核误报，并写下“隐私绝对主义者会说一旦存在扫描器就走向监控”的反对意见及自己的回应。本刊没有找到第三方对此的公开反应。

几处对照只写有出处的部分。Apple 在2024-06-10 的 PCC 文章里把“不可定向”（即使攻击者能对节点做物理攻击，也不应能针对特定用户）和“可验证透明”（公开每个生产构建的镜像）写成设计要求；Tinfoil 的使命页则写短期内不防定向物理攻击。Anthropic 与 Irregular 在 2025-06 发布的机密推理研究（Irregular 的说明页，站内另有№ 50 Irregular 档案）只是设计草稿，明说暂时依靠算力提供方维护物理数据中心和 hypervisor 的安全。2026 年的一篇arXiv 综述把 Tinfoil 与 NEAR AI Cloud、RedPill、Venice、Chutes 并列为生产环境可用的 TEE 机密推理提供方，同时指出 TEE 本不是为抵抗物理攻击设计的，云厂商也必须被信任来保护硬件的物理安全。这些文件各自说各自的，不构成对 Tinfoil 的审计。

本刊没有核到的有：融资金额与轮次、公司登记日期、第四位创始人 Nate 的去向、SOC 2 与渗透测试的审计方和结论、承载飞地的机房与托管方、DuckDuckGo 合作的起始日、TEE.fail 对 Tinfoil 部署的实际影响，以及定价页已列的 B300 是否已在生产上线（硬件文档的支持列表里没有）。