Google DeepMind 在 2026 年 8 月 27 日公布一項 AI 安全評測試點：讓外部評測方在看不到模型權重的情況下測試 Gemini 2.5 Flash-Lite，同時 Google 也無法查看評測方的私人提示詞。參與者包括新加坡人工智慧安全研究所（Singapore AI Safety Institute）、OpenMined、AVERI 與 MLCommons。Google 將其稱為首個針對專有前沿級 AI 模型的「雙盲評測」。1213

這裡的「雙盲」不是指傳統醫學試驗中的受試者與研究人員，而是指模型提供者與評測方各自保護機密資產：一方不交出模型權重，另一方不公開尚未使用過的測試題目，雙方只在受硬體保護的環境中完成約定的運算。

這次 Gemini 試點測試了什麼？

試點採用 MLCommons AILuminate 安全基準系列中的一小部分私人題目。AVERI 表示，這些提示詞過去未曾提供給 Google DeepMind，並用於檢視模型在網路攻擊協助、化學與生物危害、仇恨言論、自我傷害，以及暴力犯罪誘導等領域的安全行為。1

基準題目在整個評測過程中都維持機密。AVERI 先將提示詞加密，受保護的運算環境再執行模型與評測流程，最後將輸出解密，依照事先約定的標準進行評分。這次試點的重點是展示評測方法，而不是發布一般形式的公開排行榜，因此沒有公布模型的主要分數或底層測試題目。1

「雙盲」環境如何運作？

評測在 Google Cloud Confidential Computing 的 Confidential Space 中進行，部署於 A3 Confidential VM。根據技術報告，Intel TDX 負責加密並隔離主機記憶體；NVIDIA H100 Confidential GPU 則透過硬體加密保護 GPU 記憶體中的模型權重。評測方的提示詞與 Google 的模型資產，分別透過加密連線送入受保護的環境。13

整個設計也加入多層控制，以限制工作負載能執行的內容，以及運算結果可以帶出的資料，包括：

• 加密資料路徑；
• 硬體防火牆；
• 一次性的機密執行環境生命週期；
• OpenMined 的 PySyft 政策層。

模型、推論程式、提示詞及評測程式，只有在獲准的安全飛地（enclave）內才會合併。運算完成後，環境只回傳事先限定的結果，隨即被撤除。13

為什麼遠端驗證很重要？

單靠加密，無法回答一個關鍵問題：參與者到底知道裡面正在執行什麼軟體嗎？遠端驗證（remote attestation）就是用來處理這項疑慮。

在交出受保護資產之前，Google 與評測方可以檢查預先宣告的工作負載，並驗證一份能識別硬體與安全飛地配置的驗證報告。只有在完成驗證後，加密的提示詞與模型資產才會被提供給該環境。13

測試結束時，安全飛地回傳獲准的評測輸出，之後被關閉。在這套設計的信任模型中，Google 無法讀取飛地內的提示詞，外部評測方也無法提取模型權重。這比單純依賴「不記錄、不重複使用評測資料」的合約承諾更強，但並不代表所有信任假設都已消失。13

它要解決 AI 評測中的哪個問題？

其中一個核心問題是「基準污染」（benchmark contamination）。如果模型在訓練、微調或過去的測試中看過題目，之後再面對相同基準，測試結果就較難反映模型真正的泛化能力。MLCommons 指出，可信的基準需要具備乾淨的資料、可追溯的來源、審慎的抽樣方式，以及足夠透明的製作流程，讓其他人理解結果是如何產生的。2024

傳統上，評測往往要在兩種不理想的做法中作選擇：

• 把題目交給模型開發者： 部署簡單，但私人基準題可能遭到記錄，甚至有意或無意地被用於後續訓練，造成資料外洩與測試污染。
• 把模型權重交給評測方： 可避免模型直接接觸題目，但對專有前沿模型而言，權重是重要的智慧財產，也可能涉及能力外洩與濫用風險。
• 使用機密運算環境： 將模型與基準放進硬體保護的環境中執行，讓雙方在不直接取得對方機密資產的情況下完成測試。

因此，這次試點展示了一條折衷以外的第三條路：讓模型與測試題在同一個受保護環境中相遇，同時維持雙方的資訊隔離。不過，它本身並不能證明由此產生的安全結論已經完整，或足以獨立作為最終判定。

這項試點有哪些重要限制？

這是具技術意義的示範，但能夠得出的結論仍受到幾項限制約束。

首先，評測方可以驗證安全飛地所宣告的工作負載與模型介面，卻無法獨立檢查 Google 的專有模型權重或完整推論實作。因此，評測方無法全面稽核執行環境是否在每個層面都完全按照預期運作。13

其次，整個作業環境並未由無關聯的第三方獨立重建並重新執行。部署方式、雲端基礎設施與運作環境仍由 Google 控制；遠端驗證流程也依賴 Google Cloud 的硬體、韌體、模型服務系統與驗證基礎設施。硬體支援的驗證確實比「相信合約中的不記錄承諾」更有力，但仍無法排除對雲端供應商及其硬體、韌體與驗證供應鏈的依賴。13

第三，試點沒有公開私人提示詞，也沒有公布數值結果。保留題目有助於維持其未來測試價值，但也限制了公眾監督、模型間比較，以及外部人士對實質發現的獨立驗證。AVERI 將這次工作描述為定性與小規模定量評估，而非完整的公開基準結果。1

為什麼它還不是業界標準？

安全硬體只處理了 AI 評測問題的一部分。若雙盲測試要成為可長期採用的業界做法，周邊治理也必須同步成熟。

法律與制度保障需要明確規範資料處理、可回傳的輸出、披露規則、責任歸屬與存取權限，尤其是測試涉及危險能力時更是如此。

基準管理則要涵蓋題目來源、抽樣、標註、文件紀錄、限制說明、更新流程及污染監測。MLCommons 強調，基準值得信任，不只是因為資料被保密，也因為它的建立與維護方式經得起檢驗。2025

獨立重現需要讓模型供應商與雲端營運商以外的參與者，在合理程度上驗證軟體建置、驗證鏈、執行政策與報告結果。

可擴展性同樣關鍵。真正可用的標準必須能跨越不同模型開發者、模型架構、雲端環境、評測組織、基準類型，以及多次模型更新，而不能只適用於單一硬體堆疊和量身打造的合作案。

Google DeepMind 的 Gemini 試點，較適合被理解為一套面向更高難度 AI 評測的基礎設施，而不是基準可信度的終極答案。它展示了機密運算如何降低「保護測試資料」與「保護專有模型」之間的衝突；但要成為足以支撐業界結論的制度，仍取決於獨立監督、健全的基準治理、法律保障、可重現性與實際運作成本，而不只是安全飛地的加密技術。1320

Google DeepMind 在 2026 年 8 月 27 日公布一項 AI 安全評測試點：讓外部評測方在看不到模型權重的情況下測試 Gemini 2.5 Flash-Lite，同時 Google 也無法查看評測方的私人提示詞。參與者包括新加坡人工智慧安全研究所（Singapore AI Safety Institute）、OpenMined、AVERI 與 MLCommons。Google 將其稱為首個針對專有前沿級 AI 模型的「雙盲評測」。1213

這裡的「雙盲」不是指傳統醫學試驗中的受試者與研究人員，而是指模型提供者與評測方各自保護機密資產：一方不交出模型權重，另一方不公開尚未使用過的測試題目，雙方只在受硬體保護的環境中完成約定的運算。

這次 Gemini 試點測試了什麼？

試點採用 MLCommons AILuminate 安全基準系列中的一小部分私人題目。AVERI 表示，這些提示詞過去未曾提供給 Google DeepMind，並用於檢視模型在網路攻擊協助、化學與生物危害、仇恨言論、自我傷害，以及暴力犯罪誘導等領域的安全行為。1

基準題目在整個評測過程中都維持機密。AVERI 先將提示詞加密，受保護的運算環境再執行模型與評測流程，最後將輸出解密，依照事先約定的標準進行評分。這次試點的重點是展示評測方法，而不是發布一般形式的公開排行榜，因此沒有公布模型的主要分數或底層測試題目。1

「雙盲」環境如何運作？

評測在 Google Cloud Confidential Computing 的 Confidential Space 中進行，部署於 A3 Confidential VM。根據技術報告，Intel TDX 負責加密並隔離主機記憶體；NVIDIA H100 Confidential GPU 則透過硬體加密保護 GPU 記憶體中的模型權重。評測方的提示詞與 Google 的模型資產，分別透過加密連線送入受保護的環境。13

整個設計也加入多層控制，以限制工作負載能執行的內容，以及運算結果可以帶出的資料，包括：

• 加密資料路徑；
• 硬體防火牆；
• 一次性的機密執行環境生命週期；
• OpenMined 的 PySyft 政策層。

模型、推論程式、提示詞及評測程式，只有在獲准的安全飛地（enclave）內才會合併。運算完成後，環境只回傳事先限定的結果，隨即被撤除。13

為什麼遠端驗證很重要？

單靠加密，無法回答一個關鍵問題：參與者到底知道裡面正在執行什麼軟體嗎？遠端驗證（remote attestation）就是用來處理這項疑慮。

在交出受保護資產之前，Google 與評測方可以檢查預先宣告的工作負載，並驗證一份能識別硬體與安全飛地配置的驗證報告。只有在完成驗證後，加密的提示詞與模型資產才會被提供給該環境。13

測試結束時，安全飛地回傳獲准的評測輸出，之後被關閉。在這套設計的信任模型中，Google 無法讀取飛地內的提示詞，外部評測方也無法提取模型權重。這比單純依賴「不記錄、不重複使用評測資料」的合約承諾更強，但並不代表所有信任假設都已消失。13

它要解決 AI 評測中的哪個問題？

其中一個核心問題是「基準污染」（benchmark contamination）。如果模型在訓練、微調或過去的測試中看過題目，之後再面對相同基準，測試結果就較難反映模型真正的泛化能力。MLCommons 指出，可信的基準需要具備乾淨的資料、可追溯的來源、審慎的抽樣方式，以及足夠透明的製作流程，讓其他人理解結果是如何產生的。2024

傳統上，評測往往要在兩種不理想的做法中作選擇：

• 把題目交給模型開發者： 部署簡單，但私人基準題可能遭到記錄，甚至有意或無意地被用於後續訓練，造成資料外洩與測試污染。
• 把模型權重交給評測方： 可避免模型直接接觸題目，但對專有前沿模型而言，權重是重要的智慧財產，也可能涉及能力外洩與濫用風險。
• 使用機密運算環境： 將模型與基準放進硬體保護的環境中執行，讓雙方在不直接取得對方機密資產的情況下完成測試。

因此，這次試點展示了一條折衷以外的第三條路：讓模型與測試題在同一個受保護環境中相遇，同時維持雙方的資訊隔離。不過，它本身並不能證明由此產生的安全結論已經完整，或足以獨立作為最終判定。

這項試點有哪些重要限制？

這是具技術意義的示範，但能夠得出的結論仍受到幾項限制約束。

首先，評測方可以驗證安全飛地所宣告的工作負載與模型介面，卻無法獨立檢查 Google 的專有模型權重或完整推論實作。因此，評測方無法全面稽核執行環境是否在每個層面都完全按照預期運作。13

其次，整個作業環境並未由無關聯的第三方獨立重建並重新執行。部署方式、雲端基礎設施與運作環境仍由 Google 控制；遠端驗證流程也依賴 Google Cloud 的硬體、韌體、模型服務系統與驗證基礎設施。硬體支援的驗證確實比「相信合約中的不記錄承諾」更有力，但仍無法排除對雲端供應商及其硬體、韌體與驗證供應鏈的依賴。13

第三，試點沒有公開私人提示詞，也沒有公布數值結果。保留題目有助於維持其未來測試價值，但也限制了公眾監督、模型間比較，以及外部人士對實質發現的獨立驗證。AVERI 將這次工作描述為定性與小規模定量評估，而非完整的公開基準結果。1

為什麼它還不是業界標準？

安全硬體只處理了 AI 評測問題的一部分。若雙盲測試要成為可長期採用的業界做法，周邊治理也必須同步成熟。

法律與制度保障需要明確規範資料處理、可回傳的輸出、披露規則、責任歸屬與存取權限，尤其是測試涉及危險能力時更是如此。

基準管理則要涵蓋題目來源、抽樣、標註、文件紀錄、限制說明、更新流程及污染監測。MLCommons 強調，基準值得信任，不只是因為資料被保密，也因為它的建立與維護方式經得起檢驗。2025

獨立重現需要讓模型供應商與雲端營運商以外的參與者，在合理程度上驗證軟體建置、驗證鏈、執行政策與報告結果。

可擴展性同樣關鍵。真正可用的標準必須能跨越不同模型開發者、模型架構、雲端環境、評測組織、基準類型，以及多次模型更新，而不能只適用於單一硬體堆疊和量身打造的合作案。

Google DeepMind 的 Gemini 試點，較適合被理解為一套面向更高難度 AI 評測的基礎設施，而不是基準可信度的終極答案。它展示了機密運算如何降低「保護測試資料」與「保護專有模型」之間的衝突；但要成為足以支撐業界結論的制度，仍取決於獨立監督、健全的基準治理、法律保障、可重現性與實際運作成本，而不只是安全飛地的加密技術。1320