Intel TDXとは？仮想マシン単位の機密実行環境

位置づけ

TEEの実装にはいくつかの粒度があります。

Intel TDX は後者、仮想マシン単位で保護領域（Trust Domain）を作る方式です。

なぜAIで使われるのか

AI推論のスタックは、OS・ドライバ・推論エンジン・モデルと層が厚く、プロセス単位の保護に載せ替えるのは現実的ではありません。VM単位であれば、既存の構成をそのまま持ち込みやすくなります。

これが、TEEベースのAIクラウドでVM単位の方式が採られることが多い理由です。

対応世代と、提供している事業者

編集部が2026-08-11に各社の公式ドキュメントで確認できた範囲です。

• 対応CPU世代: io.net は「第5・第6世代 Intel Xeon」と明記しています。TDXはXeonのサーバー向け機能で、 デスクトップ向けCPUにはありません
• AMDの対抗機能: AMD SEV-SNP が同じ位置づけの機能です。Akash は「両者は同等のセキュリティ保証を提供する」とし、 利用者は params.tee: cpu と書くだけで、どちらのハードウェアが使われるかはプロバイダ側が解決します
• GPUとの組み合わせ: TDXだけではGPUメモリは保護されません。NVIDIA Confidential Computing と 組み合わせている事業者が、LLM推論では実質的な選択肢になります

提供している事業者と、その適用条件:

アテステーションの検証手順

「TDXで動いている」ことを利用者が自分で確かめる手順は、事業者によって公開の度合いが違います。 現時点で手順書まで公開されているのは次の2つです。

• io.net: NVIDIA公式の nv-attestation-sdk を使う手順を公開。NVIDIAルート認証局まで遡る4階層の証明書チェーン、 OCSPによる失効確認、ドライバとVBIOSのSHA-384測定値（各64個）を検証します
• Cocoon: RA-TLS（TLS上のリモートアテステーション）で接続時に検証し、 ワーカーのVMイメージを再現ビルドしてSHA-256を公開チェックサムと照合できます

性能オーバーヘッドについては、編集部で実測していないため数値を掲載していません。

関連サービス

よくある質問

QTDXを使えばクラウド事業者にデータを見られませんか？

そう設計されている仕組みですが、保護範囲は構成によって変わります。特にGPUを使う場合、CPU側の保護だけでは不十分です。実装の詳細を公式文書で確認してください。

QTDXとSGXの違いは何ですか？

保護の粒度が異なります。SGXはプロセス内のエンクレーブ単位、TDXは仮想マシン単位です。AIワークロードのように層が厚い構成では、VM単位のほうが適用しやすくなります。

本記事の掲載内容の最終確認日: 2026-07-26（34日前）