3、安全威胁模型：针对TinyML的常见攻击类型
TinyML设备通常部署在物理可接触、资源受限且缺乏集中管理的边缘环境中，其攻击面横跨模型训练阶段、模型压缩与转换阶段、固件编译烧录阶段、运行时推理阶段以及物理设备生命周期。理解威胁模型是构建可信边界的第一步——只有清晰识别攻击者能在哪个环节、以何种代价、达成何种破坏目标，才能有针对性地设计防御策略。本章将系统拆解五类最常见的攻击类型：模型窃取、数据投毒、对抗样本、固件篡改与侧信道攻击，并给出每类攻击的原理、判断方法、实战案例与常见误区。
3.1 模型窃取：知识产权与商业价值的直接威胁
核心原理
模型窃取（Model Extraction/Stealing）指攻击者通过合法或非法途径获取TinyML设备中部署模型的结构、权重、超参数或决策边界。在TinyML场景中，模型经过量化、剪枝后通常以二进制权重文件形式存储在Flash或外部存储中。攻击者可能通过以下途径实施窃取：
- 物理提取：拆解芯片，使用JTAG/SWD调试接口读取Flash内容，或通过SPI/I²C总线嗅探外部存储芯片的通信数据。
- 侧信道辅助逆向：通过功耗曲线或电磁辐射推断网络层数、激活函数类型、权重数值范围（详见3.5节）。
- 查询式窃取：若设备提供推理API（如智能音箱的云端接口），攻击者通过大量构造输入并观察输出，训练一个功能近似的替代模型。
- 供应链攻击：在模型转换、打包或OTA分发环节截获模型文件。
判断方法与检测指标
| 检测维度 | 具体方法 | 关键指标 |
|---|---|---|
| 调试接口审计 | 检查JTAG/SWD端口是否禁用或需认证 | 端口状态、访问日志 |
| 存储加密检查 | 验证Flash中的权重是否加密存储 | 密文熵值、密钥存储位置 |
| API行为监控 | 分析推理请求频率与输入分布 | 异常高频查询、输入熵异常 |
| 功耗/时序基线 | 对比正常推理与疑似逆向时的功耗特征 | 功耗曲线相关性、执行时间偏差 |
案例拆解：智能门锁模型被克隆
某智能门锁厂商使用TinyML人脸识别模型（MobileNetV2量化版，约1.2MB）部署在ESP32-S3平台上。攻击者购买同款设备后，通过以下步骤完成窃取：
- 物理拆解：使用热风枪拆下Flash芯片，通过SPI编程器读取完整固件镜像（16MB）。
- 固件分析：使用binwalk提取文件系统，发现模型权重以明文TFLite格式存储。
- 模型重建：使用Netron工具可视化模型结构，提取全部卷积层权重和偏置。
- 替代攻击：将窃取模型部署到攻击者自制的硬件上，成功通过门锁的人脸验证。
复盘：该案例暴露了三个关键缺陷——未加密存储模型权重、未禁用调试接口、未对固件进行完整性保护。修复方案包括：使用mbedTLS对权重进行AES-128-GCM加密、烧录时熔断JTAG保险丝、启用安全启动（Secure Boot）验证固件签名。
3.2 数据投毒：从源头污染模型决策
核心原理
数据投毒（Data Poisoning）发生在模型训练阶段。攻击者通过向训练数据集中注入恶意样本，使模型在特定触发条件下产生攻击者期望的错误输出。TinyML场景中投毒攻击具有特殊性：
- 标签翻转：将某类样本的标签改为错误类别，导致模型对该类特征产生系统性误判。
- 后门注入：在训练样本中嵌入特定图案（如白色方块）作为触发器，模型在正常输入下表现正常，但一旦出现触发器即输出攻击者指定类别。
- 物理世界投毒：针对传感器数据（如麦克风、摄像头），攻击者在训练数据采集阶段物理干扰传感器，使采集到的数据本身包含恶意特征。
- 联邦学习投毒：在联邦学习框架中，恶意参与方上传精心构造的梯度更新，污染全局模型。
判断方法与检测流程
- 数据分布审计：使用PCA或t-SNE对训练数据降维，检查是否存在异常聚类。
- 标签一致性检查：随机抽样验证样本与标签的语义一致性。
- 模型行为测试：构造包含疑似触发器的测试样本，观察模型输出是否异常。
- 梯度异常检测：在联邦学习中，计算各参与方梯度的余弦相似度，识别离群更新。
实战场景：工业质检模型的隐蔽后门
某工厂部署TinyML缺陷检测模型（基于YOLOv5-tiny），用于流水线上的产品外观检测。攻击者（内部人员）在训练数据收集阶段，将一批带有微小划痕（约2mm）的产品标记为“合格品”。模型上线后，所有带有该尺寸划痕的产品均被判定为合格，导致大量次品流向市场。
关键数据：训练集共50,000张图片，其中投毒样本仅200张（0.4%）。模型在正常测试集上准确率保持98.7%，但在含划痕样本上准确率降至12%。
检测过程：质检人员发现异常后，使用梯度加权类激活映射（Grad-CAM）可视化模型关注区域，发现模型对划痕区域的注意力权重异常低。进一步检查训练数据，发现投毒样本的标注时间集中在同一批次，且标注人员账号相同。
修复措施：删除投毒样本并重新训练；建立标注人员双人复核机制；在训练流程中加入数据指纹（如哈希校验）和异常样本检测模块。
3.3 对抗样本：输入空间的微小扰动
核心原理
对抗样本（Adversarial Examples）是指在输入数据上添加人眼难以察觉的微小扰动，导致模型以高置信度输出错误结果。TinyML设备由于模型规模小、特征表达能力有限，对对抗扰动更为敏感。常见攻击方法包括：
- 快速梯度符号法（FGSM）：单步计算损失函数对输入的梯度，沿梯度方向添加扰动。
- 投影梯度下降（PGD）：多步迭代攻击，每步将扰动投影到允许的ε-ball内。
- 物理对抗攻击：在真实世界中构造对抗贴纸、3D打印物体或特定光照条件，使摄像头或传感器采集到的数据包含对抗扰动。
- 通用对抗扰动（UAP）：构造一个对所有输入都有效的扰动向量。
判断方法与防御策略
| 防御层次 | 方法 | 适用场景 | 局限性 |
|---|---|---|---|
| 输入预处理 | 输入去噪、JPEG压缩、随机裁剪 | 图像分类 | 可能降低正常样本精度 |
| 对抗训练 | 在训练集中加入对抗样本 | 所有任务 | 训练成本高，对未知攻击泛化有限 |
| 模型鲁棒化 | 防御蒸馏、梯度掩蔽 | 分类任务 | 可能被自适应攻击绕过 |
| 运行时检测 | 输入重构误差检测、不确定性估计 | 关键决策场景 | 增加推理延迟 |
案例拆解：智能安防摄像头的物理对抗攻击
某小区部署的TinyML人体检测摄像头（基于MobileNet-SSD）被攻击者使用对抗贴纸绕过。攻击者在T恤上打印特定黑白图案（约15cm×15cm），穿着该T恤在摄像头前走动时，模型无法检测到人体，置信度从0.92降至0.08。
攻击过程：攻击者首先获取摄像头的模型版本（通过观察设备型号推测），在本地使用替代模型（如ResNet-50）生成对抗贴纸，然后打印并测试。整个攻击耗时约3小时。
防御改进：
- 在摄像头端增加输入随机化层（随机缩放、填充），破坏对抗扰动的精确性。
- 部署模型集成（同时运行两个不同结构的模型），要求两个模型输出一致才触发报警。
- 增加物理世界检测机制：连续多帧检测结果不一致时触发人工复核。
3.4 固件篡改：持久化控制与恶意植入
核心原理
固件篡改（Firmware Tampering）指攻击者修改设备固件中的代码、配置或模型文件，实现持久化控制。TinyML设备固件通常包含引导加载程序（Bootloader）、操作系统内核（如FreeRTOS）、推理引擎（如TensorFlow Lite Micro）和模型权重。攻击路径包括：
- 固件逆向：使用Ghidra或IDA Pro分析固件，定位关键函数（如模型加载、OTA更新验证）并实施补丁。
- 签名绕过：若固件签名验证存在逻辑漏洞（如仅验证头部、未验证全部内容），攻击者可替换固件主体。
- OTA劫持：在固件更新传输过程中实施中间人攻击，替换更新包。
- 降级攻击：将设备固件回滚到存在已知漏洞的旧版本。
判断方法与安全基线
- 安全启动链验证：检查Bootloader是否验证内核签名，内核是否验证文件系统签名。
- 固件加密：确认固件是否加密存储，密钥是否存储在安全元素（Secure Element）中。
- OTA更新安全：验证更新包是否使用TLS传输、是否包含防重放机制（如版本号递增）。
- 运行时完整性：使用TPM或TrustZone实现运行时固件度量（Runtime Integrity Measurement）。
实战案例：智能电表固件篡改
某电力公司部署的TinyML智能电表（基于STM32L4 + 神经网络窃电检测模型）被攻击者篡改固件，导致窃电行为无法被检测。攻击者通过以下步骤实施攻击：
- 固件提取：使用ST-Link调试器连接SWD接口，读取完整Flash镜像（512KB）。
- 逆向分析：在Ghidra中定位窃电检测模型的推理函数，发现模型输入为电压/电流波形特征，输出为窃电概率。
- 补丁注入：修改模型输出层，将窃电概率强制置为0.01（正常范围），并绕过CRC校验。
- 重新烧录：使用ST-Link将篡改固件写回Flash，设备正常运行但失去窃电检测功能。
修复方案：启用读保护（RDP Level 2）防止调试接口读取；使用STM32 TrustZone隔离安全关键代码；OTA更新增加ECDSA签名验证；部署云端行为监控，对比电表上报数据与电网侧数据的异常偏差。
3.5 侧信道攻击：物理泄露的信息提取
核心原理
侧信道攻击（Side-Channel Attack）利用设备在执行加密或推理操作时泄露的物理信息（功耗、电磁辐射、时序、声音）来提取敏感数据。在TinyML场景中，侧信道攻击主要用于：
- 模型参数提取：通过功耗分析推断神经网络层的权重符号和数值范围。研究表明，使用相关功耗分析（CPA）可以恢复量化神经网络的权重。
- 输入数据恢复：通过分析推理时的功耗曲线，推断输入数据的特征（如传感器读数、图像类别）。
- 密钥提取：若设备使用加密通信（如TLS），攻击者可通过功耗分析提取存储在Flash中的私钥。
攻击类型与检测方法
| 侧信道类型 | 攻击原理 | 检测方法 | 防护措施 |
|---|---|---|---|
| 简单功耗分析（SPA） | 直接观察功耗曲线中的特征模式 | 功耗曲线方差分析 | 恒定时间执行、功耗掩码 |
| 差分功耗分析（DPA） | 统计多组功耗曲线与假设中间值的相关性 | 相关系数计算 | 随机延迟插入、掩码技术 |
| 电磁辐射分析（EMA） | 使用近场探头采集电磁辐射 | 频谱分析 | 屏蔽罩、布局优化 |
| 时序侧信道 | 分析不同输入下的执行时间差异 | 时间统计检验 | 恒定时间算法、噪声注入 |
案例拆解：通过功耗分析提取TinyML模型权重
某研究团队在Cortex-M4平台上部署了一个3层全连接神经网络（输入8维，隐藏层16节点，输出4类），使用8bit量化权重。攻击者使用以下步骤提取模型：
- 功耗采集：在芯片VCC引脚串联1Ω采样电阻，使用示波器以100MS/s采样率记录1000次推理的功耗曲线。
- 对齐预处理：使用互相关函数对齐功耗曲线，消除时钟抖动。
- 假设验证：针对每个权重值（-128~127），计算与功耗曲线的相关系数，选取相关性最高的值作为权重估计。
- 结果评估：提取的权重与真实权重的平均误差小于3%，模型功能完全可复现。
防护改进：在推理过程中引入随机时钟（Random Clock Generator），使功耗曲线难以对齐；对权重进行掩码处理（将权重拆分为两个随机数的和）；使用硬件安全模块（如NXP EdgeLock SE050）存储关键权重。
3.6 威胁模型综合对比与防御优先级
| 攻击类型 | 攻击难度 | 影响严重性 | 检测难度 | 防御优先级 | 核心防护手段 |
|---|---|---|---|---|---|
| 模型窃取 | 中 | 高（知识产权损失） | 中 | 高 | 加密存储、调试接口禁用 |
| 数据投毒 | 低（内部人员） | 高（系统性误判） | 高 | 高 | 数据溯源、异常检测 |
| 对抗样本 | 中 | 中（单次误判） | 中 | 中 | 对抗训练、输入预处理 |
| 固件篡改 | 中 | 极高（持久控制） | 低（可检测） | 极高 | 安全启动、签名验证 |
| 侧信道 | 高 | 中高（信息泄露） | 高 | 中 | 掩码、随机时钟、屏蔽 |
防御优先级决策框架
- 第一步：识别资产价值——明确模型权重、训练数据、推理结果中哪些属于高价值资产。
- 第二步：评估攻击可行性——结合设备物理可接触性、计算资源、攻击者能力模型，评估各类攻击的实际风险。
- 第三步：选择防护组合——优先实施低成本高收益的防护（如加密存储、安全启动），再逐步增加对抗训练、侧信道掩码等高级防护。
- 第四步：持续验证——定期进行渗透测试和红队演练，验证防护措施的有效性。