Google Cloud 今天宣布，由 NVIDIA RTX PRO 6000 Blackwell Server edition GPU 驱动的 Confidential G4 实例正式全面可用（GA）。这一能力被集成到 Google Cloud 的 AI Hypercomputer 中，目标是让企业在生产环境运行 AI Agent 和处理敏感数据时，不必把模型权重、用户提示词和生成结果暴露给计算过程中的非授权方。Confidential Computing 解决的是“数据在正在计算时如何被保护”的问题。

可用性方面，Confidential G4 现已覆盖 36 个 zones，支持多种消费模式，可在 Compute Engine VM 和 GKE 节点上使用。支持 Confidential Space 的多方安全数据共享功能也将在未来几周进入 GA，用于联合分析和联合模型训练，让多个参与方在不互相暴露原始数据集的情况下协同计算。

安全机制可以概括为三层：不可导出的硬件密钥、可验证的远程证明、透明内存加密。硬件密钥在硬件强制的执行环境中加密数据和模型参数，使知识产权和用户输入对主机管理员、虚拟机监控程序以及云服务商不可见；远程证明允许在释放敏感数据集之前，验证代码、平台配置和环境完整性；内存加密则保护实际计算过程中的数据。部署上无需重构代码，标准 Ubuntu 镜像、NVIDIA 驱动和 CUDA-X 库即可直接运行模型。

官方同时给出了性能基准：在 g4-standard-48 机型上，针对 Llama 3、Llama 3.3、Resnet-50 和 SDXL 等常见开源权重模型，Confidential G4 与标准 G4 相比，AI 推理吞吐量（每秒 tokens 或 images）的下降 不到 3.5%。另一家客户 Vertebrae 的 CEO Andy Qin 也表示，在自己的测试中，用 5.2% 的端到端延迟增加，换来了硬件级隔离保证，让用户对话不会被未授权方窃听。

实际部署案例来自 Polaris Cloud。这家公司为 AI Agent 构建工作区，其 CEO Fred Esere 说，他们从 GPU 获得硬件支持的可溯源信息，并绑定到客户拿到的结果收据中。除了启动时加一个标志外，镜像、驱动、容器运行时都没有改变，性能也保持不变。客户承诺从“我们替你运行 Agent”升级为“你运行的每个工作负载都可验证”。Confidential Core AI 的 CEO Taher Behbehani 则评价说，这类能力能把企业策略和合规要求转化为实时防护，用于监督和治理 AI Agent、模型、数据与工具。

从这次发布看，Google Cloud 和 NVIDIA 给出的定位是：企业不必在安全与 GPU 吞吐量之间做非零和取舍。对于需要满足严格监管要求、同时又要控制推理成本的生产型 AI 工作负载，Confidential G4 提供了可验证的信任边界和接近原生的性能。该产品目前通过 Confidential VM with GPU 文档开放使用。