空气间隙（Air Gap）

链‑chain · 芯‑chip · 核‑core｜信息安全 × AI 基础设施

1. 3 秒看懂

一句话：空气间隙（Air Gap）是一种将承载关键 AI 训练数据、模型权重的计算环境与互联网及所有外部网络彻底物理断开的安全策略——没有网线、没有 Wi‑Fi、没有蓝牙，两套系统之间只有“空气”。

本质：消除网络攻击面。攻击者即便控制了企业办公网或云端管理面，也无法通过网络抵达隔离区，因为根本不存在 TCP/IP 通路。

2. 3 分钟产业解释

2.1 是什么

2.2 与 AI 产业链的关系

气隙隔离在 AI 产业链中扮演 “安全边界守卫者” 的角色，向下关联安全芯片与硬件，向上支撑核心模型训练与推理部署：

┌──────────────────────────────────────────────────────┐
│                     AI 产业链                          │
│  ┌─────────┐   ┌───────────┐   ┌───────────┐        │
│  │ 芯片层  │──▶│ 算力集群层 │──▶│ 模型/应用层│        │
│  └────┬────┘   └─────┬─────┘   └─────┬─────┘        │
│       │              │               │               │
│       ▼              ▼               ▼               │
│   安全芯片        隔离训练区      本地推理一体化机     │
│  (TEE/SE/HSM)  (Air Gap Zone)    (On‑Prem 部署)     │
│       │              │               │               │
│       └──────────────┴───────────────┘               │
│                       ▼                              │
│              【Air Gap 安全边界】                      │
│       物理层 / 网络层 / 数据层 / 芯片层               │
└──────────────────────────────────────────────────────┘

2.3 关键产业数据快览

3. 技术原理

3.1 核心机制：消灭攻击面

Air Gap 不是一种“安全技术”，而是一种架构决策：从设计上杜绝基于 IP 的入侵路径。

攻击者视角：
  互联网 ──▶ 企业内网 ──▶ 各类网段 ──X──▶ 【Air Gap 隔离区】
                                              ▲
                                         物理层阻断
                                     (无网卡 / 无协议栈)

只要隔离区内节点不具备任何双向网络接口，攻击者就无法远程控制、横向移动或窃取数据。

3.2 隔离的实现层级

3.3 AI 场景下的特殊挑战

3.4 进阶安全技术融合

4. 关键参数

理解 Air Gap 方案，需要关注以下可度量指标：

以上参数大多依赖具体产品规格；采购时应查阅厂商公开数据表及第三方测评报告。

5. 技术路线

Air Gap 的实现并非单一模式，而是沿着一条从粗粒度到细粒度的技术演进路线发展：

5.1 传统物理隔离（2010 年代）

• 特征：机房拉闸、拔网线、上锁；所有数据交换走“U 盘摆渡”。
• 优点：实施简单，符合直观安全认知。
• 缺点：运维成本极高，数据同步慢，容易因人为疏忽导致感染（如 Stuxnet）。

5.2 单向通道标准化（2015‑2020）

• 特征：引入硬件级单向光闸（Data Diode），自动化数据推送，减少人工干预。
• 典型方案：Owl Cyber Defense、Waterfall Security、国内的启明星辰、天融信网闸。
• AI 场景启动：部分金融机构将内部数据仓库通过单向光闸接入 GPU 训练集群，每日增量推送脱敏数据。

5.3 软件定义隔离 + 零信任（2020‑2023）

• 特征：不再完全依赖物理拔线，利用软件定义边界（SDP）和微隔离技术构建“虚拟 Air Gap”。所有访问请求必须经过身份验证和策略决策，数据面不对外暴露。
• 优点：弹性好，适合云化环境，支持远程协作。
• 争议：软件定义隔离无法替代物理隔离在某些合规场景下的强制要求，但仍被视为一种低成本的增强手段。

5.4 芯片级可信执行环境融合（2023 至今）

• 特征：GPU/NPU 原生支持 Confidential Computing，形成“硬件固化的 Air Gap”。例如 NVIDIA H100 的 Confidential Computing 能力允许在加密内存中执行训练，连宿主机也无法读取。
• 路线：未来 Air Gap 可能不再以“机房有没有网线”为唯一标准，而是以“数据与模型在计算时是否始终处于加密硬件边界内”来看待，物理隔离退化为防御纵深的一环。
• 国内动向：华为昇腾系列 AI 处理器配合国产安全芯片，已开始在部分政府/金融项目实现机密计算能力，但目前公开披露的成熟度仍偏低，多为项目制交付。

5.5 混合架构

• 趋势：核心模型在物理隔离区训练，推理和微调则采用芯片级 TEE 或软件定义隔离部署在当地或边缘节点，形成“核心隔离 + 边缘加密”的混合模式。该模式平衡了安全与效率，被多数大型企业视为中长期目标。

6. 上游

Air Gap AI 的上游主要指为构建隔离环境提供的核心材料、组件和底层技术：

上游领域整体技术密集度较高，但大部份基础产品通用性强，与 AI 训练的直接关联体现在定制化集成而非专用材料。

7. 下游

下游即 Air Gap 方案的主要应用行业与需求场景：

当前 AI Air Gap 需求主要由合规驱动，而非自愿性安全加强。随着模型资产价值上升，后续保险、汽车、先进制造等行业可能跟进。

8. 受益公司

本节仅列出与 Air Gap AI 安全产业链相关的公司，不构成任何投资建议。公司业务范围仅限于公开披露信息。

8.1 国内网络安全与隔离设备厂商

8.2 国产芯片与硬件基础设施供应商

8.3 国际厂商（面向合规非敏感行业或国外市场）

受益程度取决于各厂商在信创、等保和 AI 项目中的落地能力，目前市场仍相对分散，尚未出现绝对头部“Air Gap AI 全栈服务商”。

9. 市场规模

（所有数据尽可能标明统计口径与发布机构）

9.1 整体网络安全市场

• 2023 年中国网络安全市场规模约 808 亿元，同比增长约 10%（中国信通院《中国网络安全产业分析报告（2023）》）。网络隔离与信息交换产品作为安全硬件大类中的子项，未单独披露，依据部分上市公司营收结构估算，隔离/网闸相关产品销售额约在 100–130 亿元 区间（2023 年）。
• 全球网络安全市场 2023 年估计超过 2200 亿美元（Gartner, 2024 年 1 月），其中物理隔离相关仅占极小份额。

9.2 单向安全网关（Data Diode）市场

• MarketsandMarkets 报告（2023 年）估计 2022 年全球单向安全网关市场为 5.1 亿美元，预计 2028 年将达到约 11.3 亿美元，CAGR 约 14.1%。增长动能来自关键基础设施保护与工业物联网。
• 国内市场单向光闸出货数据较少公开。根据《中国信息安全》杂志（2023 年 9 月）引述业内专家，国内单向网闸市场年度规模预计在 15‑20 亿元 左右，包含信创和非信创产品。

9.3 Air‑Gapped 数据保护市场

• MarketsandMarkets 针对 Air‑Gapped 备份与恢复市场（包括隔离存储、离线备份等）预测，2023 年全球规模约 8.5 亿美元，2028 年有望增至 25 亿美元，CAGR 约 24.3%。但此统计偏重传统数据保护，不完全等同于 AI 隔离训练市场。

9.4 AI 安全相关市场增量

• IDC 2024 年发布《中国 AI 安全市场初探》提到，中国 AI 安全市场（包括对抗样本防御、模型防盗、数据投毒检测等）2023 年规模约 3–5 亿美元，其中模型保护与隔离部署相关的份额约 30%（估算）。
• 私有化 AI 训练一体机市场在中国快速增长（2023‑2024 年多家厂商推出），但尚无独立市场统计，可参考中国 AI 服务器市场：IDC 报告 2023 年中国加速计算服务器市场规模约 92 亿美元，其中面向政企客户的私有化部署占比逐步提升，据估计 2024 年占比或达 25% 以上，这些项目多数包含物理隔离要求。

关键判断：尽管 Air Gap 的概念在 AI 圈被高频提及，但其直接带动的商业市场仍嵌在大安全、私有化 AI 基础设施之中，目前很难剥离出精确数字，上叙数据多为估算。追踪细分市场可关注网闸及私有化 AI 服务器的招标数据。

10. 玩家对比

以下选取不同类型代表厂商，从“AI Air Gap 解决方案”维度进行定性对比（所有评估均基于公开产品资料，未涵盖未公开项目）：

☆ 数量代表相对优势，不体现绝对性能，也无法穷尽所有细节。

差异化总结：传统安全厂商强在合规性交付与项目实施，但 AI 平台能力需依赖集成；华为等 ICT 巨头提供端到端方案，能同时解决算力、安全芯片和隔离问题，但建设成本高；芯片级机密计算是中长期趋势，但当前尚不能替代物理隔离合规要求。

11. 风险

11.1 技术风险

11.2 效率与成本争议

11.3 合规与监管风险

• 标准缺口：现行等保标准对大规模 AI 训练集群的特殊安全需求（如梯度保护、分布式训练通信安全）覆盖不足，导致企业可能出现“合规但依然脆弱”的情况。
• 审计难度：离线环境缺乏自动化日志上传，难以满足监管对模型训练过程的可追溯性要求，手动审计耗时且容易遗漏。
• 跨境冲突：国内 Air Gap 训练的模型未来若需出口或部署至海外数据中心，可能面临中国技术出口管制与目的地国家数据安全法规的双重约束，目前相关政策尚不清晰。

11.4 长期战略风险

• 数字鸿沟：高昂的物理建设成本可能使只有大机构才能负担最安全的 AI 研发环境，拉大与中小企业在 AI 能力上的差距。
• 虚假安全感：过度依赖“拔网线”可能导致机构忽视内部威胁检测、安全编码和纵深防御，一旦隔离被打破，后果更严重。
• AI 武器化的跑道：各国在 Air Gap AI 上的投入可能间接加速军事 AI 的竞赛，引发国际监管难题。

12. 误读纠偏

误读 1：“Air Gap = 绝对安全”

事实：Air Gap 只能阻止基于网络的攻击，无法防御物理接触、内部人员恶意行为、侧信道攻击和供应链后门。Stuxnet 就是最经典的反正——物理隔离环境被非网络攻击击穿。

误读 2：“只要没联网就是 Air Gap”

事实：临时拔掉网线或关闭 Wi‑Fi 但不改变整体架构、不控制外围设备（如蓝牙、USB）的“隔离”只是心理安慰。真正 Air Gap 要求彻底的设计改造，包括屏蔽、单向数据传输、介质管控和流程制度。

误读 3：“所有 AI 训练都应该 Air Gap”

事实：Air Gap 成本高昂，适用高等级敏感数据场景。对普通企业大模型微调，使用云上虚拟私有云（VPC）配合加密和身份认证已达到合理安全水准。过度使用 Air Gap 会造成资源浪费。

误读 4：“网闸、光闸就是完全安全的”

事实：单向光闸本身也可能存在漏洞，如恶意构造的文件可利用解析器的缺陷在隔离侧执行代码。因此还需要文件格式清洗、杀毒、策略限制输入内容等措施。

误读 5：“有了 TEE 就不需要隔离”

事实：硬件可信执行环境（Confidential Computing）解决了运行时加密问题，但仍依赖复杂的软件栈，侧信道或漏洞仍可能泄露信息，且目前不支持所有 AI 框架。现行国家等级保护要求中，物理隔离仍是强制性措施，TEE 只能作为增强，不能直接替代。

13. 最新事件

（截至 2024 年下半年，公开可查的动态）

• 2024 年 7 月：《生成式人工智能服务管理暂行办法》实施一周年 多个省份发布实施细则，明确要求关键训练数据本地化存储并实施隔离保护，多家金融与政务单位启动 AI 训练安全整改招标。

• 2024 年 6‑8 月：国内大模型私有化一体机密集发布 以华为昇腾、科大讯飞、百度文心为代表的厂商推出面向政企客户的“开箱即用”训练/推理一体机，均强调物理隔离能力与安全审计日志，部分型号通过国家保密科技测评中心检测。

• 2024 年 5 月：国家密码管理局发布《商用密码应用安全性评估管理办法》修订版 进一步要求等保三级以上系统必须采用经认证的密码产品（如国密 VPN、国密硬盘），对 Air Gap 环境中的加密方案提出更高合规要求。

• 2024 年 4 月：美国商务部加强对 GPU 出口限制的新一轮规定 导致中国无法获取 NVIDIA 高端 GPU，间接推动国产算力在隔离环境中的加速部署，海光、昇腾等国产 AI 加速器在政府项目中占比明显提升。

• 2024 年 3 月：某大型银行发布“模型安全屋”项目标书 公开资料显示，该项目要求构建全物理隔离的训练环境，数据仅通过单向光闸导入，预算过亿元人民币，被视为金融机构 Air Gap AI 需求的典型样本。

• 学术前沿：AiR‑Viper 式侧信道攻击演示（本‑古里安大学，2022‑2024 持续更新） 研究者展示利用风扇振动、USB 信号等从 Air Gap 电脑窃取数据，提醒业界物理隔离并非高枕无忧，相关防御技术也在跟进。

14. 跟踪指标

若需持续观测 Air Gap 在 AI 产业中的演进，可关注以下定量与定性指标：

15. 信源

本文所引用的主要公开报告、标准和文献如下（访问时间均截至 2024 年 11 月）：

• 中国信通院，《中国网络安全产业分析报告（2023）》，2023 年 9 月。
• 中国信通院，《网络安全产业白皮书（2023）》，2023 年 12 月。
• GB/T 22239‑2019《信息安全技术 网络安全等级保护基本要求》，国家标准化管理委员会，2019 年 5 月发布。
• MarketsandMarkets， Unidirectional Gateway Market Research Report，2023 年 6 月发布。
• MarketsandMarkets， Air‑Gapped Data Protection Market Research Report，2023 年 12 月发布。
• IDC， China AI Server Market Tracker，2023‑2024 季度更新（付费报告摘要公开）。
• Gartner， Forecast: Information Security and Risk Management, Worldwide，2024 年 1 月。
• 国家密码管理局，《商用密码应用安全性评估管理办法》（2024 年修订版），2024 年 5 月。
• 各上市公司 2022‑2024 年年度报告及半年度报告（启明星辰、天融信、深信服、绿盟科技、海光信息、中科曙光等）。
• 《中国信息安全》杂志，相关行业报道及专家访谈，2023 年 9 月。
• 本‑古里安大学网络安全研究中心公开学术论文（AiR‑Viper 等），2022‑2024 年。
• 中国政府采购网招标公告（搜索关键词“安全隔离 + AI 训练”），2023‑2024 年。

部分数据基于以上信源的交叉推算，已在正文中标注“估算”字样。对未找到公开精确数字的指标一律注明“公开资料未见”，避免误用。

免责声明：本文所有内容基于公开资料整理，旨在解析“空气间隙”在 AI 产业链中的技术概念与产业逻辑，仅供学习交流，不构成任何投资、采购或安全合规建议。文中提及的公司与产品仅作举例说明，不代表任何评价或推荐。相关数据截至 2024 年下半年，实际情况请以官方最新披露为准。