给AI芯片装上 “查找”，一场追踪技术竞赛

如何才能对先进AI芯片实现位置核验呢？芯片厂商可以搭建防篡改的信任根硬件、部署加密签名与传输机制，甚至为每一颗芯片生成独立指纹。这套方案可以追踪AI芯片在全球的实际位置，原理类似苹果广为人知的 “查找” 功能，用来定位丢失的苹果设备。

信号探测，锁定位置

位置核验有多种实现方式，包括地理定位机制、库存管理工具、邮寄核查、视频核查等。安全与新兴技术中心（CSET）9月发布的一份芯片位置追踪报告认为，多种方案组合使用具备可行性，可靠性更强，例如基于信号探测的位置核验（PLV） 辅以实地核查。

PLV通过测量信号从芯片发往全球多个可信 “基准服务器” 并返回的往返时长，推算AI芯片所在位置。该报告合著者、CSET高级研究分析师Kyle Miller表示，新款AI芯片可以直接在硬件内集成PLV能力；已经流通在外的芯片，则可以通过固件升级加装该功能。

研究人员同时指出，并非所有AI芯片都需要追踪。“管控优先级应当放在最高端的数据中心芯片，也就是顶尖的数据中心GPU。” 报告合著者、CSET高级数据研究分析师Jacob Feldgoise说。

另一套配套方案是传输加密的主权证书。安全计算企业Lucid Computing发布的规范草案介绍，这类证书属于加密凭证，能够提供可核验、无法伪造的证明，记录CPU、GPU这类计算设备在某个时间点的物理位置。

Lucid Computing首席执行官、联合创始人Kristian Rönn解释：“特定芯片内置私钥，用这个密钥对消息签名，再发送给基准服务器。多轮发送、计时之后，就能划定芯片所处的范围。很多现代芯片都搭载可信执行环境，支持硬件信任根，刚好可以完成这类消息签名。”一旦芯片开机，就会向基准服务器发送探测信号，当系统标记芯片出现在非许可地区时，PLV数据可以帮助我们判断芯片在何时、何地被转移。

但基于信号探测的位置核验，只能在违规转用发生之后才发现问题。处于仓储、运输途中、尚未开机的离线芯片，无法被追踪。同时，如果芯片没有响应探测信号，系统无法区分是正常原因，还是人为规避管控。

这就需要实地核查作为补充。Miller说：“后续必须开展调查工作，派人前往数据中心现场审计。简单来说，PLV负责提供线索，再顺着线索追查。”

位置核验系统流程示意图。受控AI芯片与基准服务器通信，汇总时延数据至中央上报服务器。PLV系统的核心，就是芯片向可信服务器收发信号、测算传输时延。

数据中心的 “测谎仪”

即便配套防护机制，信号探测定位方案依然存在被攻击的风险。举例来说，如果对手拿到芯片实物，既可以阻止芯片向外发送信号，也可以提取加密密钥，伪造信号，伪装成芯片仍在许可地区。

为此，部分安全研究人员转而探索硬件指纹方案，替代加密密钥。已有研究验证了GPU指纹识别的原型方案：利用Nvidia H200 GPU之间的制造差异、随机数种子，生成独一无二的硬件指纹。

Rönn说：“我们需要多种指纹识别手段，因为不是所有芯片都自带硬件信任根。可以借助统计指纹技术确认芯片身份。同时芯片本身要有可靠的物理防护，比如防篡改设计。长期来看，理想状态是多层防御叠加。”

CSET报告同时警示，PLV方案的实施成本较高。

无论AI芯片版 “查找” 功能会不会成为强制监管要求，Feldgoise预判，先进AI芯片的出口条件会持续收紧。“算力对国家安全和经济安全的重要性不断提升，生成算力的芯片已经被视作战略资源。未来针对这类设备的尽调要求持续加码，我不会感到意外。”

Rönn则把主权证书看作未来的核心工具，将其比作数据中心的 “测谎仪”，用来回答位置、使用方式、设备类型、使用主体等问题，确认AI系统满足基础安全合规标准。