4、模型文件安全威胁分析：模型窃取、逆向工程、篡改攻击、投毒攻击、推理攻击等威胁模型及影响
在嵌入式可信启动链的语境下，模型文件不再仅仅是算法工程师交付的权重张量，而是部署在物理可接触设备上的核心数字资产。与云端模型相比，嵌入式模型面临的安全威胁呈现出显著的“物理可及性”与“资源受限性”双重特征。攻击者可能拥有设备的完全控制权，可以实施侧信道分析、故障注入、总线嗅探甚至芯片开盖等高级物理攻击。本章将系统剖析针对嵌入式模型文件的五大类核心威胁：模型窃取、逆向工程、篡改攻击、投毒攻击与推理攻击，并深入分析其攻击原理、实现路径、对可信启动链的冲击以及相应的缓解策略。理解这些威胁模型，是设计有效模型保护方案（如加密存储、签名校验、混淆封装）的前提与基础。
上图勾勒了嵌入式模型文件所面临的威胁全景。外部攻击者倾向于通过模型窃取与逆向工程获取模型的核心参数与结构，以实现知识产权的盗用或进一步构造对抗样本；而恶意内部人员或受污染的供应链则可能实施篡改攻击与投毒攻击，直接破坏模型的完整性或功能逻辑；此外，即便模型在静态存储时得到了加密保护，攻击者仍可通过向设备提交精心构造的输入，利用推理攻击在模型运行过程中提取敏感信息。这些威胁并非孤立存在，它们往往相互组合、层层递进，对可信启动链的机密性、完整性和可用性构成系统性挑战。
4.1 模型窃取：直接获取核心权重与结构
核心原理：模型窃取是指攻击者通过物理或逻辑手段，直接从嵌入式设备的存储介质（如eMMC、NAND Flash、QSPI Flash）或运行时的内存中复制模型文件。在嵌入式环境中，由于设备通常缺乏复杂的安全协处理器，攻击者可以拆下存储芯片，使用编程器读取原始比特流；或者通过JTAG/SWD调试接口、UART引导日志等途径，在系统启动或运行过程中截获明文模型数据。一旦模型文件以明文形式存在于外部存储或可访问的总线上，窃取攻击的成功率极高。
判断方法与攻击路径：评估模型窃取风险时，需要重点审查以下环节：
- 静态存储审计：检查模型文件在文件系统中的权限设置，是否仅允许root或特定UID读取；检查Flash分区是否启用了硬件加密或安全存储区域。
- 总线嗅探风险：分析模型加载时是否经过SPI、I2C或并行总线，这些总线上的信号是否容易被逻辑分析仪捕获。
- 调试接口暴露：确认量产固件是否禁用了JTAG/SWD端口，以及是否移除了串口调试信息中的敏感内存转储功能。
实战场景与缓解：某智能摄像头厂商发现其最新的人脸识别模型在发布三个月后出现在开源社区。经调查，攻击者通过拆解设备，使用SPI Flash编程器直接读取了存储芯片内容，并从中提取了未加密的模型文件。该事件导致厂商的核心算法优势丧失。缓解措施包括：
- 采用硬件安全单元（SE）或可信平台模块（TPM）作为根密钥存储，使用AES-256-GCM对模型文件进行加密存储。
- 将模型解密密钥与设备唯一ID（如eFuse）绑定，实现一机一密，防止批量解密。
- 在可信启动链中增加安全启动校验，确保只有经过签名的引导程序才能加载解密模块。
4.2 逆向工程：解析模型架构与训练逻辑
核心原理：逆向工程不同于直接窃取文件，它侧重于从已获取的模型文件或运行行为中，分析出模型的网络结构、层间连接、激活函数类型、量化参数以及可能的训练数据分布特征。即使模型文件被加密，攻击者仍可通过侧信道攻击（如功耗分析、电磁辐射分析）在解密过程中推测密钥或直接提取中间数据。此外，通过分析模型在不同输入下的输出向量维度、数值范围，攻击者可以推断网络深度和宽度。
分析流程：典型的模型逆向工程遵循以下步骤：
| 阶段 | 操作内容 | 关键产出 |
|---|---|---|
| 静态结构解析 | 解析模型文件头、权重张量形状、算子序列 | 网络拓扑图、参数量估算 |
| 动态行为分析 | 注入随机输入，记录各层输出特征图尺寸与数值分布 | 激活函数类型、量化位宽 |
| 侧信道采集 | 使用示波器采集解密或推理时的功耗曲线 | 密钥信息或中间值 |
| 知识蒸馏 | 利用模型输出作为软标签训练替代模型 | 功能等效的克隆模型 |
案例拆解：在工业缺陷检测场景中，某制造商使用嵌入式模型进行产品质检。攻击者通过合法购买一台设备，利用其API接口批量输入样本并记录置信度分数。通过分析置信度向量与输入图像的梯度关系，攻击者成功训练出一个高仿真的替代模型，其检测精度达到原模型的95%以上。这一过程完全绕过了文件加密保护，属于典型的“黑盒”逆向工程。
4.3 篡改攻击：破坏模型完整性与可信启动链
核心原理：篡改攻击是指攻击者修改模型文件的权重、偏置或元数据，使模型在特定输入下产生错误输出。在可信启动链中，篡改攻击的威胁尤为严重——如果启动链仅验证引导程序而忽略模型文件的完整性，攻击者可以替换模型文件，植入后门或直接使模型失效。例如，在自动驾驶场景中，攻击者通过修改交通标志识别模型的少量权重，使模型将“停止”标志误识别为“限速”标志，从而引发安全事故。
攻击向量与检测方法：
- 固件替换：攻击者将整个固件包（包含模型）替换为恶意版本。检测方法：使用RSA或ECDSA签名对固件包进行签名，启动时在BootROM中验证签名。
- 差分篡改：攻击者仅修改Flash中模型文件的特定字节。检测方法：为模型文件计算SHA-256哈希，并将哈希值存储在安全区域（如OTP）中，启动时比对。
- 回滚攻击：攻击者将模型回滚到存在已知漏洞的旧版本。检测方法：使用单调计数器或版本号防回滚机制。
实战场景：某智能门锁厂商遭遇攻击，攻击者通过UART接口进入Uboot命令行，修改了环境变量，使其跳过模型完整性校验，并加载了一个经过篡改的指纹识别模型。该模型被植入后门，使得任何指纹均可通过验证。事后分析发现，根因在于Uboot未对模型分区进行签名验证，且UART调试接口在量产固件中未禁用。修复方案包括：启用安全启动、禁用UART、将模型校验密钥烧录至eFuse。
4.4 投毒攻击：污染训练数据与模型逻辑
核心原理：投毒攻击发生在模型训练阶段，攻击者通过向训练数据集中注入恶意样本，使模型学习到错误的决策边界或植入特定触发器。与篡改攻击不同，投毒攻击针对的是模型的“内在逻辑”，而非文件字节。在嵌入式可信启动链的视角下，投毒攻击的威胁在于：即使模型文件被完整、加密地部署，其行为仍然可能被攻击者控制。例如，攻击者在训练集中加入带有特定图案的“后门钥匙”，使得模型在遇到该图案时输出攻击者指定的结果。
投毒类型与影响分析：
| 投毒类型 | 攻击方式 | 嵌入式影响 |
|---|---|---|
| 标签翻转 | 将特定类别的样本标签改为错误类别 | 模型对特定物体识别错误，如将行人识别为车辆 |
| 后门注入 | 在样本中添加触发器图案并标记为目标标签 | 物理世界中的特定贴纸或光线模式可激活后门 |
| 数据投毒 | 向训练集注入大量噪声样本，降低模型泛化能力 | 模型在边缘场景下频繁误判，影响可用性 |
判断与防御策略：由于投毒攻击发生在训练阶段，嵌入式开发者往往难以直接检测。建议采取以下措施：
- 数据来源验证：对训练数据集进行来源审计，确保数据采集渠道可信。
- 异常检测：在训练过程中监控损失函数曲线，若出现异常波动，需排查是否混入恶意样本。
- 模型鲁棒性测试：在部署前使用包含随机噪声和对抗扰动的测试集验证模型行为。
- 可信启动链延伸：将训练环境的签名信息与模型文件绑定，确保模型确实来自可信的训练流水线。
4.5 推理攻击：从运行行为中提取敏感信息
核心原理：推理攻击不直接攻击模型文件本身，而是通过观察模型的输入-输出行为来推断敏感信息。在嵌入式场景中，推理攻击主要包括两类：成员推断攻击（判断某个样本是否属于训练集）和模型提取攻击（通过查询构建替代模型）。由于嵌入式设备通常部署在物理可接触的环境中，攻击者可以不受限制地发送查询请求，这使得推理攻击的实施成本极低。
攻击场景与量化指标：
- 成员推断：攻击者利用模型对训练集和测试集的不同置信度分布，通过阈值判断样本是否在训练集中。在医疗诊断模型中，这可能导致患者隐私泄露。
- 模型提取：攻击者通过大量查询输入与输出对，训练一个功能近似的替代模型。对于结构简单的嵌入式模型（如MobileNet），仅需数万次查询即可达到高保真度。
缓解措施与工程实践：
| 措施 | 实现方式 | 代价 |
|---|---|---|
| 输出扰动 | 对softmax输出添加拉普拉斯噪声 | 降低约1-2%的准确率 |
| 查询限制 | 限制单位时间内的API调用次数 | 影响正常用户体验 |
| 模型水印 | 在训练时嵌入特定触发样本，用于事后溯源 | 几乎无额外开销 |
| 可信执行环境 | 将推理过程放入TEE（如TrustZone）中运行 | 增加内存开销与开发复杂度 |
案例复盘：在一款边缘AI盒子中，安全团队发现攻击者通过连续调用模型推理接口，在48小时内发起了超过10万次查询，成功提取了一个用于入侵检测的轻量级模型。复盘发现，该设备未对推理接口做任何速率限制，且模型输出为完整的浮点置信度向量。修复措施包括：将输出精度从FP32降低为INT8，并增加基于设备证书的访问频率控制。经过优化后，攻击者需要超过200万次查询才能达到同等提取精度，且期间极易触发异常检测告警。