3、模型安全威胁分析：模型窃取、逆向工程、重打包、白盒攻击等常见攻击方式及实际案例

Edge AI 模型部署到终端设备后，模型本身便脱离了开发者的物理控制，暴露在不可信的环境中。攻击者可以借助调试接口、侧信道、逆向工具等手段，对模型实施窃取、篡改或仿冒攻击。理解这些威胁的具体路径、技术原理和现实案例，是设计防拷贝授权方案的前提。本章将系统梳理四类核心攻击方式，并结合实际案例拆解攻击链路的完整闭环。

3.1 模型窃取攻击：从内存到 API 的资产掠夺

3.1.1 核心原理

模型窃取攻击的目标是完整获取或近似重建目标模型的架构、权重和超参数。在 Edge AI 场景中，攻击路径主要分为三类：物理内存提取、侧信道分析和API 查询攻击。物理内存提取利用调试接口（如 JTAG、SWD）或系统漏洞直接读取设备 RAM 中的模型权重；侧信道分析通过功耗、电磁辐射或时序差异推断模型结构；API 查询攻击则通过大量输入-输出对训练一个功能等价的替代模型。

3.1.2 判断方法与攻击路径

3.1.3 案例拆解：某智能摄像头模型内存提取事件

某安防厂商的 Edge AI 摄像头使用 RK3588 芯片部署人脸检测模型。攻击者通过拆机获得 PCB 板，发现 UART 调试接口未禁用。攻击流程如下：

1. 初始现象：设备启动日志通过 UART 输出，包含 Linux 内核启动信息，确认系统为嵌入式 Linux。
2. 关键操作：通过 UART 进入 root shell（默认密码未修改），执行 cat /proc/kallsyms | grep "model" 定位模型加载地址。
3. 数据提取：使用 dd if=/dev/mem 将模型所在物理内存段导出为二进制文件，共 12MB。
4. 结果：攻击者成功还原了完整的 RKNN 格式模型，并在本地 PC 上复现推理，识别准确率与原模型一致。

3.1.4 常见误区与复盘

• 误区一：认为“模型已加密存储，内存中就是明文”。实际上，推理时模型必须加载到内存并解密，攻击者可在推理瞬间抓取内存。
• 误区二：认为“API 限流即可防窃取”。攻击者可使用生成对抗网络（GAN）生成大量自然分布查询样本，绕过简单限流。
• 复盘要点：模型窃取防护应聚焦“最小暴露面”——关闭调试接口、加密内存、限制 API 调用频率与查询分布。

3.2 逆向工程：从二进制到网络结构的还原

3.2.1 核心原理

逆向工程针对的是模型文件本身。Edge AI 模型通常以特定格式存储（如 TFLite、ONNX、RKNN、NCNN），这些格式包含网络结构、算子类型、权重张量等结构化信息。攻击者通过解析文件格式、反汇编推理引擎代码、动态调试推理过程，逐步还原模型的完整信息。与模型窃取不同，逆向工程不需要物理接触设备，只需获得模型文件即可离线分析。

3.2.2 操作流程与工具链

# 典型逆向流程（以 TFLite 为例）
1. 提取模型文件：adb pull /data/local/tmp/model.tflite
2. 格式解析：使用 flatc 反序列化 TFLite schema
3. 结构可视化：Netron 打开模型，查看层类型与参数
4. 权重提取：解析权重张量，转为 numpy 数组
5. 结构重写：基于提取信息重建 PyTorch/TensorFlow 模型

高级逆向还会结合动态分析：在推理引擎中设置断点，观察中间特征图的形状和数值分布，从而推断激活函数类型、归一化层参数等静态分析难以获取的信息。

3.2.3 案例拆解：ONNX 模型被逆向并复刻

某工业质检设备使用 ONNX 格式的缺陷检测模型。模型文件通过 OTA 包分发，攻击者从 OTA 包中解压出 model.onnx（约 80MB）。攻击者使用 Netron 查看网络结构，发现是一个 ResNet-18 变体，输入为 224×224×3 灰度图。随后使用 Python 脚本提取所有卷积核权重，并统计各层参数量。最终，攻击者用 PyTorch 重建了结构完全一致的模型，并在公开数据集上微调后达到 95% 的原始准确率。

3.2.4 常见误区与总结

• 误区一：认为“量化模型无法被逆向”。实际上，INT8 权重仍保留了原始数值的相对关系，攻击者可重建高精度近似模型。
• 误区二：认为“自定义算子可以增加逆向难度”。攻击者可通过黑盒分析推断自定义算子的功能，或直接替换为等效标准算子组合。
• 总结：逆向工程是模型窃取的基础能力，防护重点在于加密、混淆和最小化模型文件暴露。

3.3 重打包攻击：篡改模型与授权逻辑

3.3.1 核心原理

重打包攻击指攻击者获取合法应用或固件后，解包 → 修改 → 重新打包，植入恶意逻辑或替换模型。在 Edge AI 场景中，重打包攻击的典型目标包括：替换模型为低质量版本以节省算力、绕过授权校验逻辑、植入后门模型（如特定输入触发恶意行为）。重打包攻击的严重性在于，它同时破坏了模型完整性和授权有效性。

3.3.2 攻击步骤与检测方法

3.3.3 案例拆解：AI 门锁固件重打包攻击

某智能门锁使用 Edge AI 进行人脸识别，固件中包含模型文件和授权模块。攻击者从官网下载固件升级包，使用 binwalk 解包获得文件系统。攻击者发现授权校验逻辑位于 /usr/bin/auth_check 中，通过反汇编定位到关键跳转指令，将其修改为无条件跳转（NOP 填充）。同时，攻击者将原模型替换为一个仅包含 3 层卷积的简化模型，大幅降低计算延迟。重新打包并自签名后，攻击者将固件刷入自己的设备，成功绕过授权并加速了识别速度。

3.3.4 常见误区与复盘

• 误区一：认为“应用商店审核可以阻止重打包”。实际上，侧载渠道（如网盘、论坛）完全绕过了应用商店审核。
• 误区二：认为“代码混淆足以防篡改”。攻击者可使用动态插桩工具（如 Frida）在运行时修改函数返回值，无需静态分析。
• 复盘要点：重打包防护必须依赖设备端可信根（TEE/SE）和运行时完整性自检，而非仅依赖代码混淆。

3.4 白盒攻击：完全控制下的深度渗透

3.4.1 核心原理

白盒攻击假设攻击者完全掌握设备的硬件、软件、固件和调试工具。这是最强大的攻击模型，常见于国家级攻击或专业逆向实验室。白盒攻击的手段包括：芯片开盖（Depackaging）后使用探针直接读取总线数据、激光故障注入（Glitch Injection）跳过授权检查、电磁侧信道分析提取密钥、以及使用电子显微镜逐层扫描芯片恢复 ROM 内容。

3.4.2 攻击能力分级与防护对策

3.4.3 案例拆解：车规级 AI 芯片的故障注入攻击

某自动驾驶域控制器使用专用 AI 芯片运行车道保持模型。安全研究人员实施了一次白盒攻击：首先使用化学试剂去除芯片封装，暴露内部 die；然后使用激光故障注入设备，在芯片执行授权校验指令时精确注入一个时钟周期的电压毛刺，导致比较器输出翻转，授权校验被跳过。攻击全程耗时 6 小时，成功绕过了所有软件层防护。

3.4.4 常见误区与总结

• 误区一：认为“白盒攻击无法防御，因此放弃防护”。实际上，提高攻击成本（时间、设备、专业知识）本身就是有效的防护目标。
• 误区二：认为“硬件加密芯片可以一劳永逸”。攻击者可通过总线监听获取 CPU 与加密芯片之间的明文数据。
• 总结：白盒攻击的防护核心是“增加攻击成本”和“缩小攻击面”，而非追求绝对安全。

3.5 四类攻击方式对比与防护优先级