Android AISeal隔离私人上下文：主系统失守后仍有保护边界

Google于2026年10月7日公布Android on-device AI seal（AISeal）架构。它利用Android Virtualization Framework（AVF）和pKVM建立受保护虚拟机，把个人AI上下文与主系统隔开；设计目标是即使主系统完全失守，已进入保护区的数据也不会因此被直接读取。目前正在推进的基础能力是隔离存储，而非完整的封闭环境AI助手。

AISeal保护的对象，是可能由邮件、消息、日历事件和跨应用交互汇成的个人知识库。资料集中后，助手可以据此理解用户的安排与需求，但集中存放也使保护边界更重要。Google给出的路线先处理上下文的加密保存与索引，再把模型推理、智能体和NPU访问纳入同一保护环境；这些阶段不能视为同时落地。

AISeal怎样把私人资料隔离在主系统之外

Android已有应用沙箱和SELinux策略，用来限制应用之间的访问。AISeal增加的是另一层边界：AVF承载受保护虚拟机（pVM），pKVM将它与运行普通应用和服务的宿主系统隔开。这个设计针对集中处理私人上下文的AI工作负载，并不意味着手机上的每个应用都自动运行在pVM里。

主系统失守后的保护承诺有明确范围。攻击者即使控制宿主系统，也不能仅凭这一权限直接读取受保护虚拟机中的数据；没有进入保护区的内容，不会因为AISeal存在就获得同样的隔离。资料在进入pVM之前可能仍经过原有应用和服务，因此保护区也不能消除这些环节本身的访问风险。

隔离还需要处理保护区内部的权限。数据库、模型和智能体若在同一pVM中协作，内部访问控制须限定各组件能接触的资料；对外出口则计划只让预期的最终答复返回主系统。这样的边界解释了AISeal与普通应用沙箱的区别，也说明为何仅把数据库放进pVM，还不足以覆盖助手的整个工作过程。

从主系统到数据库和NPU：数据会跨过哪些边界

按已公布的架构，资料和计算可拆成几段来看。下面的数据流标出了各段的位置与状态；箭头表示设计中的传递方向，不表示所有Android手机都已经接入这些能力。

正在推进的存储路径：主系统中的相关应用与服务 → 受保护虚拟机 → 加密的个人上下文数据库及索引。进入pVM后的数据库位于宿主系统边界之外。
未来的处理路径：保护区内的数据库 → 同一保护区内的模型与智能体 → 经受控出口返回主系统的最终答复。原始上下文留在保护区内，是这一完整工作流的设计目标。
未来的硬件加速路径：受保护虚拟机 → 专用通道 → 片上NPU。直接设备分配计划让保护区内的模型使用神经网络处理器，而不必为获得加速就把处理移回宿主系统。

这几段的状态不同。数据库的硬件隔离存储正在铺开；模型执行、智能体处理和NPU直连被列为后续扩展。因而，“手机支持端侧AI”本身不足以判断某项推理是否发生在AISeal的保护区内，关键仍是该功能实际把数据和计算放在边界的哪一侧。

眼下推进的是加密存储与索引

现阶段的基础里程碑，是把个人上下文保存在硬件隔离的环境中，并在其中建立可检索的索引。AISeal目前采用AppSearch作为优化过的参考实现，同时允许其他数据库，包括设备厂商自己的存储方案。这使数据库选择可以随产品实现变化，但AISeal所要求的宿主系统与pVM之间的隔离边界仍是核心。

对用户而言，资料“保存在手机上”与“保存在受保护虚拟机中”并非同一个安全状态。前者只说明存储地点，后者还说明宿主系统能否直接进入保存资料的环境。厂商需要把相关服务和数据库真正接入这套架构，具体机型及功能的覆盖范围才能据此判断。

封闭环境推理、智能体和NPU仍在后续路线中

下一阶段计划把模型执行和系统级智能体直接移入pVM。模型将来可通过与AICore的集成在本地运行，智能体则可在保护区内结合私人上下文与推理结果完成任务。受控出口的意义是让主系统取得需要展示的答复，同时把处理所用的原始资料留在隔离环境中。

多租户设计允许不同AI组件共享一处保护环境，以兼顾手机的内存和电量约束；共享并不意味着组件之间可以任意读取数据。另两项规划分别是把NPU直接分配给保护区，以及让设备端pVM与设备厂商的机密云服务器之间进行端到端加密的混合推理。后者还涉及跨出手机的处理路径，不能算作已经推进的本地存储能力。

芯片支持开始出现，设备部署仍决定覆盖范围

这次架构说明延续了此前的系统路线。在2026年5月12日的Android安全与隐私更新中，Google已将AISeal与pKVM列入Android 17面向端侧AI的硬件支持隔离机制。系统层面确立了方向，具体能保护哪些数据仍取决于设备与AI功能如何接入。

日本科技媒体ケータイ Watch在2026年10月9日的AISeal报道中列出几项实施进展：经Android通用内核镜像（GKI）提供的基础pKVM开源实现取得SESIP Assurance Level 5（AVA_VAN.5）认证，MediaTek宣布Dimensity 9600 Pro支持基于pKVM的AISeal架构，而Qualcomm Snapdragon芯片组经AVF提供支持仍属扩展计划。这些进展涉及基础实现和芯片支持，不能直接等同于每款手机上的AI功能都已完成隔离部署。

接下来决定保护范围的，是设备厂商把哪些个人上下文实际送入pVM，以及何时把推理、智能体和NPU访问留在保护区内。在这些部署细节明确前，主系统失守后的隔离效果应按已经进入保护区的数据来理解。