核心用法
nearai-verify 是一个面向隐私敏感场景的三级验证工具，用于确认 AI 对话端点是否运行在硬件可信执行环境（TEE）中。用户可通过自然语言触发（如"我在私密环境吗""证明这是TEE"），或在处理敏感数据前主动调用。
三级验证架构：
- Level 1（CLAIMED）：读取本地配置与网关日志，识别端点类型。区分四种状态：
[TEE]直接接入TEE、[tee]经网关接入TEE、[!!]NEAR代理第三方模型（非私密）、[XX]其他提供商。关键关注"--served"标志，比对配置链路与实际服务日志，捕捉静默故障转移。 - Level 2（ATTESTED）：实时获取并验证硬件 attestation 报告，包括nonce新鲜度校验、report_data绑定、TLS密钥绑定（证明TLS终止于enclave内部而非前端代理）、Intel TDX quote验证（CPU/CVM）、NVIDIA GPU attestation（GPU机密计算模式）。
- Level 3（PROVEN）：消息级签名证明（尚未实现），需OpenClaw provider插件支持。
智能降级策略：缺失依赖包时不中止验证，而是标记为SKIP并报告已完成的检查。提供--doctor诊断、--install自包含venv安装，始终先征得用户同意再修改环境。
显著优点
1. 硬件级安全保证：不同于软件加密或政策承诺，TEE通过Intel TDX和NVIDIA机密计算实现"操作者不可见"——即使云服务商、NEAR团队或主机管理员也无法读取提示与响应。
2. 精细化信任边界：明确区分直接接入、网关路由、第三方代理三种路径，避免"使用NEAR即私密"的认知陷阱。特别警示故障转移链的隐私降级风险。
3. 防御纵深设计：TLS密钥绑定验证防止代理前端攻击；nonce机制阻断重放攻击；双硬件验证（CPU+GPU）确保完整推理链路可信。
4. 零成本高频验证：attestation端点无需API密钥、不计入用量配额，可任意频次执行。
5. 用户主权优先：拒绝静默安装，所有环境修改需显式授权；部分验证诚实标注优于虚假拒绝。
潜在缺点与局限性
- 快照非持续：Level 2验证仅证明执行时刻的状态，后续对话轮次不自动继承保证。
- 日志时效性：
--served仅读取当日网关日志，历史行为不可追溯。 - 目录缓存延迟：端点分类依赖NEAR公开目录，24小时缓存期内新部署模型可能被误判。
- GPU验证依赖网络：NVIDIA attestation需外连
nras.attestation.nvidia.com，离线或受限网络环境跳过。 - Level 3未实现：当前无法实现单条消息的密码学证明，敏感场景需结合应用层签名。
- 平台限制：
dcap-qvl等工具主要支持Linux，macOS功能受限。
适合的目标群体
- 企业合规与法务团队：需证明数据处理符合GDPR、HIPAA等隐私法规中"技术不可访问"要求。
- 金融与医疗AI应用：处理交易指令、病历等敏感信息，要求云端不可见。
- 安全研究人员与审计方：验证云服务商TEE部署真实性，检测虚假enclave宣传。
- 高净值个人用户：使用开源客户端对话时，确认代理未被中间人替换。
- NEAR生态开发者：构建隐私优先的AI应用，需在架构层集成验证机制。
常规使用风险
- 依赖项生态复杂：
cryptography、dcap-qvl等包可能因PEP 668环境冲突，需venv隔离。--install方案虽自包含，但首次使用增加认知负担。 - 网络可达性：Intel PCS和NVIDIA attestation服务位于境外，企业防火墙可能阻断，导致GPU验证跳过而用户不知情。
- 误报安全感：Level 1的
[tee]状态仅表明配置意图，非实时硬件证明；用户可能混淆"网关路由"与"直接enclave"的安全等级。 - 故障转移沉默性：设计为无感切换的降级链是最大风险源——隐私敏感场景必须显式配置无第三方尾链。
- 性能开销：attestation涉及多次网络往返和加密验证，高频调用可能增加数十到数百毫秒延迟，不适合每轮对话强制验证。
---
许可：LGPL-3.0-or-later | 源码：nearai/nearai-cloud-verifier