美国智库兰德公司（RAND）近日发布《AI推理资料中心：面向国家安全的垂直安全工程架构策略》报告，提出「安全推理资料中心」（Secure Inference Data Center，SIDC）架构，试图重新定义AI推理基础设施的安全逻辑。报告虽以工程设计为主轴，背后却反映出美国正逐步将AI推理算力从商业基础设施提升至国家安全层级。

这份51页报告认为，面对具备OC5级能力的国家级对手，传统资料中心依靠防火墙、存取控制与加密等措施逐层加固的模式已不足以确保安全。

SIDC因此主张从概念、硬体、软体到跨域通讯全面采取「原生安全」架构，让AI推理环境本身成为一座高度隔离的数位堡垒。

所谓OC5级对手，是兰德先前定义的顶级攻击组织，可能具备约1,000名各领域顶尖专家、最高10亿美元资金，以及国家级基础设施与合法掩护。SIDC的设计，正是以这类具备强大资源的攻击者作为威胁模型。

从「建好再防」转向AI基础设施原生安全

SIDC与一般商业资料中心最大的不同，在于安全机制并非后续附加，而是从整体架构设计之初便被纳入。

传统AI算力中心通常先依商业需求完成建置，再透过防火墙、存取控制与加密通道等方式增加防护。然而，兰德认为，若攻击者具备国家级资源，通用运算设备本身的攻击面、供应链遭植入后门的可能性，以及软体堆叠中的零日漏洞，都可能成为突破点。

因此，SIDC采取多层隔离架构，将整座设施划分为8个彼此不信任的安全域，包括介面室（IR）、载荷交换室（PER）、可信推理计算圣所（TICS）、可信复原保险库（TRV）、IT管理中心（ITM）、防护营运中心（POC）、公用设施域与卫生域。

其中，模型权重、推理演算法与参考资料仅能以明文形式存在于TICS内部，并尽可能降低跨域资料流。

在硬体层面，SIDC要求跨域通讯采用物理层固定的单向资料通路，也就是资料二极体，借此阻断反向通道与潜伏式通讯管道。即使上层软体遭到攻破，也能限制资料逆向传输的可能性。

此外，跨域协定还必须接受形式化验证。架构将结合FPGA客制化电路、有限状态机验证与后量子密码学认证，并利用Tamarin、CryptoVerif等工具对跨域互动协定进行数学证明。

兰德在报告中更直接假设，商业运算硬体与推理软体供应链遭到入侵不仅可能，而且具有高度可能性。因此，SIDC并不将供应链安全完全建立在「设备本身值得信任」的前提上，而是试图透过架构设计降低设备遭入侵后造成的影响。

高昂成本换取最高等级安全

高度安全隔离也意味着庞大的成本与效率代价。

兰德估算，SIDC概念验证版本的建置成本约3,700万至5,000万美元，企业级版本则可能达到2.77亿至3.45亿美元。正常建置时间约2至2.5年，若处于紧急状态，则可压缩至14个月。

在运作层面，单次推理请求的往返安全开销约需3至5分钟。更大的限制在于，SIDC建成后，软体堆叠将在5年内维持冻结状态，硬体则在建设阶段便完成锁定。

换言之，SIDC并不是以商业资料中心追求的弹性、快速更新与大规模扩张为优先，而是将安全性放在最高顺位。这也使其更接近一套为高度敏感AI应用打造的专用基础设施，而非一般企业云端运算环境。

AI竞争从训练算力延伸至推理基础设施

SIDC的提出，也让美国AI战略中的另一项变化更加明显，即AI安全管制的重心正从模型训练与晶片供应，进一步延伸至AI推理设施本身。

近年美国持续以国家安全为由，对AI产业链进行更广泛的管控，从半导体设备、GPU与HBM，到AI资料中心相关元件与模型权重等，均逐渐被纳入安全审查与出口管制框架。

在这样的背景下，SIDC所提出的并不只是「如何保护一座资料中心」，而是如何确保美国境内最敏感的AI推理能力，即使面临供应链渗透、硬体遭入侵或内部人员失守等情况，核心模型与资料仍能受到保护。

这也使AI算力的安全边界从「晶片是否安全」进一步延伸至「晶片所在的整个运算环境是否可信」。

与此同时，中国AI产业的快速发展，也增加了美国对尖端AI能力保护的战略压力。

随着中国模型在推理、长文本处理与低成本推理等方向持续追赶，加上开源模型逐步扩大海外生态，美中AI竞争已不再只是单纯比较模型效能，而逐渐延伸至算力、供应链、模型安全与全球生态等层面。

在这种竞争环境下，SIDC可以被视为美国针对最敏感AI能力所提出的一套极端安全方案。

「AI算力堡垒」可能成为国家级基础设施

从战略层面来看，SIDC最重要的讯号，是AI推理资料中心的定位正在发生变化。

兰德建议美国尽快确认SIDC的实施主体并提前进行选址，同时利用既有政府算力设施缩短建设时间。这代表这类资料中心的目标并非一般商业服务，而是可能承担高度敏感的国家级AI应用。

如果这类架构进一步被采用，前沿AI模型将不再只是部署在商业云端，而可能被放入由政府或公共利益机构掌控、依照最高安全标准建造的专用环境。

这也可能进一步加深中美AI基础设施的分化。

一方面，美国正透过晶片、设备、供应链与资料中心安全等多个层面建立更严格的技术防线；另一方面，中国也持续推进自主可控的AI与算力安全体系。当双方各自建立高度隔离的技术与供应链体系，AI安全标准也可能逐渐出现阵营化趋势。

从这个角度来看，SIDC并非要取代所有商业资料中心，而更像是针对最敏感、最重要AI能力所设计的「最后防线」。

SIDC最大挑战：安全与AI更新速度的矛盾

不过，SIDC的高度安全设计也带来明显限制。

首先是软体冻结与AI快速演进之间的冲突。SIDC要求软体堆叠长期维持稳定，但AI模型、演算法与工具的更新速度远高于传统关键基础设施。兰德也承认，到了设施5年生命周期结束时，相关软体与演算法可能已经落后外部发展。

其次是高度隔离与AI 代理发展之间的矛盾。新一代AI逐渐从单纯的对话模式转向具备自主工具调用、状态管理与复杂互动能力的AI代理，而这类应用需要更频繁的跨系统互动，与SIDC强调的严格隔离存在冲突。

兰德也将Agentic interaction列为仍待进一步工程化的项目。

第三则是客制化安全硬体与商业规模化之间的矛盾。SIDC需要高度专业化的FPGA通道控制器、形式化验证协定与专用资料二极体硬体。

报告估计，通道控制器开发成本可能达1,000万至2,250万美元，而具备相关能力的人才供给有限，并非单纯投入资金就能快速扩大。

因此，SIDC更适合被视为一种国家级AI安全备援与战略设施，而不是未来所有AI算力中心的标准答案。

分析认为，这份报告真正值得关注的地方，或许正是在于它所反映出的战略转向，即当AI推理能力开始被视为国家安全资产，资料中心就不再只是承载GPU的机房，而可能成为需要以最高等级安全标准保护的战略基础设施。

AI算力竞争因此也正在从「谁拥有更多晶片」逐步延伸至「谁能建造更安全、更难以渗透的算力堡垒」。

在中美AI竞争持续升温的背景下，这种以安全隔离为核心的基础设施思维，也可能让全球AI产业进一步走向两套标准、两套体系并存的局面。