苹果详解 Secure Exclaves：原始音视频数据不经过主操作系统

苹果安全工程与架构团队（SEAR）和核心操作系统团队于 11 月 12 日在安全研究博客发布《Secure Exclaves and Ambient Sensing》一文，介绍 Apple Silicon 芯片中的 Secure Exclaves 安全隔离架构。该架构将摄像头和麦克风数据的处理放在独立隔离的运行环境中，主操作系统、应用乃至苹果自身都无法访问原始音视频，处理完成后数据即被丢弃，系统只输出检测状态、用户识别结果等元数据。 技术上，Secure Exclaves 采用苹果定制的 L4 微内核，并通过安全页表监控器（SPTM）管理内存访问，确保主系统内核无法读取隔离区专属内存；组件间通过 Swift 编写的 Secure IPC 机制按预定义接口通信。专门的 Exclave Indicator Controller 管理传感器数据何时可以离开隔离环境，屏幕指示点由独立的显示隔离区检查像素、颜色、持续时间和亮度，防止恶意软件伪造指示标志。微内核采用能力（Capability）机制管理权限，并部分开展了形式化验证。 实际应用方面，HomeView 可通过摄像头和麦克风识别最多 6 名已登记用户；iPhone 18 Pro 的 "Hey Siri" 唤醒由常开处理器（AOP）低功耗监听，音频缓冲区先交音频隔离区、再由 Siri 隔离区二轮识别，确认前主系统只收到通知而不获得音频。Secure Exclaves 还应用于 iPhone 18 Pro/Pro Max、iPhone Duo、MacBook Neo 等设备的摄像头和麦克风指示功能。