BlindAI：隐私保护的机密AI推理引擎

场景引入：医院里「裸奔」的患者数据

想象这样一个场景：某三甲医院放射科引入了一套AI辅助诊断系统，医生上传患者的肺部X光片，AI在云端给出诊断建议。问题来了——这些包含患者隐私的影像数据，在传输、存储、推理的全过程中，是否真的安全？

传统方案下，数据在云端对服务商是「可见」的。哪怕服务商承诺「不会滥用」，数据本身依然暴露在内存中、磁盘里、日志文件里。更严峻的是，如果AI模型本身是医院的核心资产，服务商在提供推理服务时，也能看到模型的权重和结构——这无异于把商业机密拱手让人。

BlindAI 正是为解决这一双侧隐私难题而生的开源方案：它让AI模型的推理过程，在硬件层面就被隔离保护起来。

项目背景：法国安全公司的开源实践

BlindAI 由法国巴黎的 Mithril Security 公司开发和维护，2021年正式开源，目前 GitHub 获 511 Stars。项目使用 Apache-2.0 许可证，核心技术栈为 Rust + Python + Intel SGX。

Mithril Security 专注于机密计算（Confidential Computing）领域，核心团队来自学术机构和安全行业。项目在 README 中明确注明：当前项目已停止活跃维护，不再适合处理真正的敏感数据——但其架构设计和代码实现仍具有重要的参考价值。

技术原理：硬件级隔离的「黑盒子」

BlindAI 的核心安全机制建立在 Intel SGX（Software Guard Extensions） 之上。这是一种 CPU 级别的硬件隔离技术，能够在内存中划出一个称为 Enclave（飞地） 的受保护区域：

• Enclave 内的代码和数据，连操作系统内核和管理员也无权访问
• 数据在 Enclave 内解密处理，输出结果后才以密文形式传出
• 通过远程证明（Remote Attestation），用户可以远程验证 Enclave 确实在运行正确的代码

形象地说，Intel SGX 给 AI 推理提供了一个「物理保险箱」：数据送进去，推理在箱内完成，只有结果拿出来，箱内的一切对外界完全不可见。

架构解析：Rust服务端 + Python客户端

BlindAI 分为两大组件：

服务端（Rust + SGX Enclave）

核心二进制 src/main.rs 是用 Rust 编写的 SGX Enclave 应用。关键模块：

• model.rs：模型加载与管理，支持 ONNX 格式
• model_store.rs：模型仓库，按上传顺序管理多个模型
• client_communication.rs：HTTP 风格的通信层，通过 rouille（Rust Web框架）处理加密请求
• Tract ONNX Runtime：集成在 tract/ 子目录中，负责 ONNX 模型的加载和执行推理

服务端通过 sgx_isa crate 处理 SGX 远程证明（Quote 验证），调用 Intel DCAP 服务获取 TCB（Trusted Computing Base）认证信息。

客户端（Python）

Python 包 client/blindai/ 提供简洁的 API：

import blindai

# 上传 ONNX 模型（AI公司侧）
client = blindai.Core(url="https://your-blindai-server.com")
response = client.upload_model(model="./COVID-Net-CXR-2.onnx")
model_id = response.model_id

# 运行推理（用户侧）
result = client.run_model(model_id, confidential_image)
print(result.output[0].as_flat()[0][1])  # 0.8906（Covid阳性概率）

client/blindai/api.py 还封装了 Audio.transcribe() 方法，可直接调用 Whisper 模型进行音频转写，全程在 Enclave 内完成。

构建链路

服务端构建极为复杂，需要：

1. cargo build --target x86_64-fortanix-unknown-sgx（Fortanix SDK）
2. ftxsgx-elf2sgxs 将 ELF 转为 SGX 格式
3. 生成 manifest 文件（dev/prod 环境分离）
4. runner 二进制作为可信加载器

justfile 记录了完整的构建配方。

适用场景与局限

适用场景：

• 医疗影像的AI辅助诊断（数据不出院）
• 金融风控模型的隐私推理
• 企业自有AI模型的对外服务（防止模型被窃取）
• 边缘设备上的隐私敏感推理

当前局限：

1. 项目已停止维护（README 明确警告），不再适合生产环境处理真实敏感数据
2. 严重依赖 Intel SGX 硬件，没有 GPU 支持
3. 仅支持 ONNX 模型格式，PyTorch/TensorFlow 模型需转换
4. 构建复杂度极高，需要 Fortanix SDK + Intel DCAP，文档中缺少 Docker 一键部署
5. Python SDK 功能有限，生产级 API Gateway、限流、监控等均需自行实现

行业意义：机密计算生态的一环

BlindAI 代表了隐私计算领域的重要技术路线：基于硬件可信执行环境（TEE）的机密AI推理。与联邦学习、安全多方计算（MPC）等纯密码学方案相比，TEE 方案的性能损失极低（约5-10%），但对硬件和厂商有依赖。

Intel SGX 在 2020 年后的处理器中逐步被限制（Plundervolt 等侧信道攻击），AMD SEV 和 Nitro Enclave 成为替代方案——BlindAI 文档中也能看到 Nitro TCB 的示意图。Mithril Security 后来推出的 Bastionlab（差分隐私工具）可视为其在隐私保护ML领域的延续。

总结：BlindAI 是一部设计精良的机密AI推理系统范本，尽管已停止维护，但其 Rust + SGX Enclave + ONNX Runtime 的技术组合、远程证明协议实现、以及 Python SDK 的 API 设计，对理解隐私AI的工程实践具有很高的学习价值。在生产环境中使用，建议等待官方重启维护或迁移至 Bastionlab 等活跃项目。

分析时间：2026-06-23 | 数据来源：GitHub API + 源码分析