苹果开始在自有数据中心之外运行 Private Cloud Compute，承载方是谷歌云，算力来自英伟达的 GPU。把 Apple Intelligence 中最重的任务交给别家的设备，同时保持原有的隐私承诺，这是一次难度不低的平衡。
走出自家服务器的 Private Cloud Compute
Private Cloud Compute（PCC）是苹果在 2024 年推出的 AI 推理平台，用于把端侧模型处理不了的任务转移到云端，同时保持与 iPhone、Mac 相同水平的安全性。此前，所有 PCC 请求都只在苹果自己掌控的数据中心、苹果自研芯片上运行。
这一前提如今发生了变化。配合新一代 Apple Intelligence，苹果表示将与谷歌和英伟达合作，在谷歌云的系统上运行部分 PCC 负载，涉及的是自主调用工具的智能体处理以及步骤繁多的复杂推理。把 PCC 的隐私要求带入第三方数据中心，这还是第一次。
背后的原因之一在于模型本身的构建方式。新一代 Apple Foundation Models 基于谷歌 Gemini 系列背后的技术打造，让推理环境与训练环境保持一致，实现和延迟都更为顺畅。苹果自研芯片上的 PCC 集群仍在并行运行，因此这是扩容而非迁移。
三家硬件叠出的信任基础
谷歌云上的 PCC，变化在于实现方式而非要求本身。苹果对 PCC 的五项核心要求原样保留：无状态计算、可强制执行的保证、杜绝特权运行时访问、无法被定向针对，以及可验证的透明度。
支撑这些要求的，是三家公司硬件能力的叠加。GPU 一侧由英伟达的机密计算负责，将处理中的数据封闭在隔离的可信执行环境内；CPU 一侧由英特尔 TDX 承担同样的角色；信任的起点则落在谷歌自研的 Titan 安全芯片上。英伟达提供的能力包括：确认负载运行在未被篡改的正品 GPU 上的硬件级信任、部件之间通信的加密，以及在发送敏感数据之前校验平台安全状态的远程认证。
苹果还更进一步，把从固件、宿主机与客户机操作系统直到应用代码在内的每一个组件，都纳入可信计算基。对于在机密虚拟机之外滥用特权的攻击以及侧信道攻击，苹果明确表示不会只依赖机密计算来防御。
以不信任租来的设备为前提
实现细节把苹果对借来的基础设施的戒备表现得很清楚。
其一是部件级的台账。对于构成 PCC 集群的谷歌云硬件，苹果自行保存一份可通过密码学验证的仅追加记录，目的是独立追踪供应链风险，而不是依赖谷歌自己的证明。
其二是双重信任起点。凡是被攻破后可能外泄用户数据的部件，其软件认证都要扎根于至少两个来自独立厂商的信任起点。无论是英特尔、英伟达还是谷歌，单独一家被攻破都不足以打断验证链条。
推理栈的搭法也沿用了苹果自研芯片版本的架构模式：每个请求的首次网络数据解析在拥有独立命名空间的专用进程中完成，共享的推理软件按较短的生存时间回收，经过认证的密钥则放在与外部输入隔离的专用机密虚拟机中。无论硬件在哪里，PCC 软件始终由苹果掌控，苹果设备只信任经苹果密码学批准的 PCC 软件。
公开验证照旧，整个夏天分阶段推进
透明度的做法没有改变。运行在谷歌云上的 PCC 二进制文件全部公开，供外部研究者查验。苹果还会提供研究工具，并通过 Apple Security Bounty Program 继续开放研究模式下的实际节点访问权限。这套让第三方核验自身主张的机制，被原样带到了别家的设备之上。
推进将在夏季预览期内分阶段完成，全部保护能力到位仍需时间。技术细节会在 Confidential Computing Summit 上说明，PCC 安全指南的修订版与研究计划的相关文档预计年内公开。合同金额、锁定的算力规模以及涉及哪些区域，均未披露。
总结
苹果首次把 Private Cloud Compute 扩展到自有数据中心之外，与谷歌和英伟达合作，在谷歌云上运行 Apple Intelligence 的重负载任务。方案叠加了英伟达 GPU 机密计算、英特尔 TDX 与谷歌 Titan 芯片，并通过部件级台账和双重信任起点来验证租来的设备。隐私要求原样保留，二进制公开与研究者访问同样延续。在别家的云上能否兑现与自建时相同的承诺，真正的检验才刚刚开始。
