鉅亨網新聞中心
美國智庫蘭德公司（RAND）近日發布《AI推理資料中心：面向國家安全的垂直安全工程架構策略》報告，提出「安全推理資料中心」（Secure Inference Data Center，SIDC）架構，試圖重新定義AI推理基礎設施的安全邏輯。報告雖以工程設計為主軸，背後卻反映出美國正逐步將AI推理算力從商業基礎設施提升至國家安全層級。
這份51頁報告認為，面對具備OC5級能力的國家級對手，傳統資料中心依靠防火牆、存取控制與加密等措施逐層加固的模式已不足以確保安全。
SIDC因此主張從概念、硬體、軟體到跨域通訊全面採取「原生安全」架構，讓AI推理環境本身成為一座高度隔離的數位堡壘。
所謂OC5級對手，是蘭德先前定義的頂級攻擊組織，可能具備約1,000名各領域頂尖專家、最高10億美元資金，以及國家級基礎設施與合法掩護。SIDC的設計，正是以這類具備強大資源的攻擊者作為威脅模型。
SIDC與一般商業資料中心最大的不同，在於安全機制並非後續附加，而是從整體架構設計之初便被納入。
傳統AI算力中心通常先依商業需求完成建置，再透過防火牆、存取控制與加密通道等方式增加防護。然而，蘭德認為，若攻擊者具備國家級資源，通用運算設備本身的攻擊面、供應鏈遭植入後門的可能性，以及軟體堆疊中的零日漏洞，都可能成為突破點。
因此，SIDC採取多層隔離架構，將整座設施劃分為8個彼此不信任的安全域，包括介面室（IR）、載荷交換室（PER）、可信推理計算聖所（TICS）、可信復原保險庫（TRV）、IT管理中心（ITM）、防護營運中心（POC）、公用設施域與衛生域。
其中，模型權重、推理演算法與參考資料僅能以明文形式存在於TICS內部，並盡可能降低跨域資料流。
在硬體層面，SIDC要求跨域通訊採用物理層固定的單向資料通路，也就是資料二極體，藉此阻斷反向通道與潛伏式通訊管道。即使上層軟體遭到攻破，也能限制資料逆向傳輸的可能性。
此外，跨域協定還必須接受形式化驗證。架構將結合FPGA客製化電路、有限狀態機驗證與後量子密碼學認證，並利用Tamarin、CryptoVerif等工具對跨域互動協定進行數學證明。
蘭德在報告中更直接假設，商業運算硬體與推理軟體供應鏈遭到入侵不僅可能，而且具有高度可能性。因此，SIDC並不將供應鏈安全完全建立在「設備本身值得信任」的前提上，而是試圖透過架構設計降低設備遭入侵後造成的影響。
高度安全隔離也意味著龐大的成本與效率代價。
蘭德估算，SIDC概念驗證版本的建置成本約3,700萬至5,000萬美元，企業級版本則可能達到2.77億至3.45億美元。正常建置時間約2至2.5年，若處於緊急狀態，則可壓縮至14個月。
在運作層面，單次推理請求的往返安全開銷約需3至5分鐘。更大的限制在於，SIDC建成後，軟體堆疊將在5年內維持凍結狀態，硬體則在建設階段便完成鎖定。
換言之，SIDC並不是以商業資料中心追求的彈性、快速更新與大規模擴張為優先，而是將安全性放在最高順位。這也使其更接近一套為高度敏感AI應用打造的專用基礎設施，而非一般企業雲端運算環境。
SIDC的提出，也讓美國AI戰略中的另一項變化更加明顯，即AI安全管制的重心正從模型訓練與晶片供應，進一步延伸至AI推理設施本身。
近年美國持續以國家安全為由，對AI產業鏈進行更廣泛的管控，從半導體設備、GPU與HBM，到AI資料中心相關元件與模型權重等，均逐漸被納入安全審查與出口管制框架。
在這樣的背景下，SIDC所提出的並不只是「如何保護一座資料中心」，而是如何確保美國境內最敏感的AI推理能力，即使面臨供應鏈滲透、硬體遭入侵或內部人員失守等情況，核心模型與資料仍能受到保護。
這也使AI算力的安全邊界從「晶片是否安全」進一步延伸至「晶片所在的整個運算環境是否可信」。
與此同時，中國AI產業的快速發展，也增加了美國對尖端AI能力保護的戰略壓力。
隨著中國模型在推理、長文本處理與低成本推理等方向持續追趕，加上開源模型逐步擴大海外生態，美中AI競爭已不再只是單純比較模型效能，而逐漸延伸至算力、供應鏈、模型安全與全球生態等層面。
在這種競爭環境下，SIDC可以被視為美國針對最敏感AI能力所提出的一套極端安全方案。
從戰略層面來看，SIDC最重要的訊號，是AI推理資料中心的定位正在發生變化。
蘭德建議美國儘快確認SIDC的實施主體並提前進行選址，同時利用既有政府算力設施縮短建設時間。這代表這類資料中心的目標並非一般商業服務，而是可能承擔高度敏感的國家級AI應用。
如果這類架構進一步被採用，前沿AI模型將不再只是部署在商業雲端，而可能被放入由政府或公共利益機構掌控、依照最高安全標準建造的專用環境。
這也可能進一步加深中美AI基礎設施的分化。
一方面，美國正透過晶片、設備、供應鏈與資料中心安全等多個層面建立更嚴格的技術防線；另一方面，中國也持續推進自主可控的AI與算力安全體系。當雙方各自建立高度隔離的技術與供應鏈體系，AI安全標準也可能逐漸出現陣營化趨勢。
從這個角度來看，SIDC並非要取代所有商業資料中心，而更像是針對最敏感、最重要AI能力所設計的「最後防線」。
不過，SIDC的高度安全設計也帶來明顯限制。
首先是軟體凍結與AI快速演進之間的衝突。SIDC要求軟體堆疊長期維持穩定，但AI模型、演算法與工具的更新速度遠高於傳統關鍵基礎設施。蘭德也承認，到了設施5年生命週期結束時，相關軟體與演算法可能已經落後外部發展。
其次是高度隔離與AI 代理發展之間的矛盾。新一代AI逐漸從單純的對話模式轉向具備自主工具調用、狀態管理與複雜互動能力的AI代理，而這類應用需要更頻繁的跨系統互動，與SIDC強調的嚴格隔離存在衝突。
蘭德也將Agentic interaction列為仍待進一步工程化的項目。
第三則是客製化安全硬體與商業規模化之間的矛盾。SIDC需要高度專業化的FPGA通道控制器、形式化驗證協定與專用資料二極體硬體。
報告估計，通道控制器開發成本可能達1,000萬至2,250萬美元，而具備相關能力的人才供給有限，並非單純投入資金就能快速擴大。
因此，SIDC更適合被視為一種國家級AI安全備援與戰略設施，而不是未來所有AI算力中心的標準答案。
分析認為，這份報告真正值得關注的地方，或許正是在於它所反映出的戰略轉向，即當AI推理能力開始被視為國家安全資產，資料中心就不再只是承載GPU的機房，而可能成為需要以最高等級安全標準保護的戰略基礎設施。
AI算力競爭因此也正在從「誰擁有更多晶片」逐步延伸至「誰能建造更安全、更難以滲透的算力堡壘」。
在中美AI競爭持續升溫的背景下，這種以安全隔離為核心的基礎設施思維，也可能讓全球AI產業進一步走向兩套標準、兩套體系並存的局面。
下一篇
