AISeal：Android 端侧 AI 的受保护保险库

本系列回答一个问题：AISeal 怎样在受保护 VM 里保护用户的个人数据，自研 SoC 要为它提供什么。

AISeal 是 Android 17 新增的端侧 AI 保险库：一个运行在 pKVM 上的受保护 VM（pVM），里面跑 AppSearch 这类 tenant，即使宿主 Android 被攻破，也读不到 VM 里的数据。

文章	结论
AISeal 的 CE 存储：宿主只保管密文，密钥在 VM 里解开	每个用户一把随机密钥，在 VM 里用 fscrypt 加密；宿主只保存被包裹的密钥文件，自己解不开；芯片侧要提供 DICE 和 Secretkeeper