机密容器轻量化

【背景】机密容器（Confidential Containers, CoCo）旨在通过硬件可信执行环境（TEE）保护“使用中”的数据，但传统基于微虚拟机（MicroVM）的方案因启动慢、资源开销大，难以适应Serverless和高并发场景。

近期，业界正通过定制轻量级VMM、Guest OS及重构隔离模型来打破这一瓶颈：

1. 内核与固件层：Intel联合多所高校推出Gramine-TDX，将OS内核二进制体积缩小约50倍，显著降低攻击面；同时发布TD-Shim规范，移除UEFI等冗余组件以加速启动。
2. 架构层：学术界提出Arca（TEE-in-Container）和Fasco（ARM CCA Realm）等新架构，试图在保持强隔离的同时实现接近原生的性能。
3. 工程实践：openEuler社区推广iSulad+Kuasar方案，利用1:N进程管理模型提升启动速度并降低内存消耗。

争议在于：轻量化是否必然牺牲通用性？现有方案在网络/文件系统密集型负载上仍有性能损耗（如Gramine-TDX降至6%），且不同硬件平台（Intel TDX vs ARM CCA）的生态碎片化问题尚未解决。未来需关注各框架在真实AI工作负载下的基准测试数据及跨平台标准的统一进展。