课程导入：学习目标、核心概念、整体框架

欢迎来到《Model Encryption模型加密实操》课程。在正式开始动手加密模型之前，我们需要先建立一张完整的认知地图。模型加密并非简单的"给文件加个密码"，而是一套涉及模型格式解析、权重张量处理、运行时解密、密钥生命周期管理以及性能开销权衡的系统工程。本章作为全课程的基石，将帮助你明确学习终点、掌握核心术语、理解整体技术框架，并建立对模型安全威胁模型的正确认知。无论你是算法工程师、平台开发人员还是安全运维人员，本章都将为你后续30个章节的实操打下坚实的概念基础。

1.1 学习目标：从"能跑通"到"防得住"

本课程不是一次理论宣讲，而是一场围绕真实工程场景的实操训练。完成全部30章学习后，你将具备以下核心能力：

1.2 核心概念：必须掌握的术语体系

在后续章节中，我们会频繁使用以下专业术语。请务必在课程初期就建立清晰的概念边界，避免混淆。

• 模型权重（Weights）：神经网络中可学习的参数张量，是模型加密的主要保护对象。通常占据模型文件90%以上的体积。
• 加密容器（Encrypted Container）：自定义的文件格式，将原始模型权重加密后封装，附带元数据、校验信息、密钥索引等。
• 密钥派生（Key Derivation）：从主密钥或口令通过特定算法（如PBKDF2、HKDF）生成加密密钥的过程。
• 白盒密码（White-box Cryptography）：在攻击者完全控制执行环境（可观察内存、可修改代码）的前提下，仍能保护密钥不被提取的密码学实现。
• 可信执行环境（TEE）：如Intel SGX、ARM TrustZone，提供硬件级隔离的安全区域，用于在运行时保护解密后的模型权重。
• 模型指纹（Model Fingerprint）：基于模型权重内容生成的唯一哈希值，用于完整性验证和盗版溯源。

1.3 整体框架：三层防护体系

一个完整的模型加密方案，绝不是"加密-解密"的单点操作，而是覆盖静态存储、传输过程、运行时内存三个维度的立体防护体系。本课程将整个知识体系划分为三个层次：

1.3.1 静态层：文件加密与容器化

这是最基础的防护层。模型文件在磁盘上以密文形式存在，即使被复制走也无法直接加载。核心工作包括：

1. 格式解析：理解ONNX的protobuf结构、PyTorch的zip归档格式、TensorFlow的SavedModel目录布局。
2. 权重提取：从原始模型中分离出权重张量，保留网络结构图（结构本身通常不加密，因为结构信息量小且难以保密）。
3. 加密封装：使用AES-256-GCM对权重进行加密，生成自定义容器格式，包含加密数据、初始化向量（IV）、认证标签、版本号等。

1.3.2 动态层：运行时解密与加载

模型在推理时必须解密为明文才能被计算。动态层解决的是"如何在解密后不让攻击者轻易拿到明文"的问题。关键技术包括：

• 分块解密：不一次性解密整个模型，而是按层或按张量分块解密，用完即释放内存。
• 内存保护：使用mprotect设置内存页权限，防止被调试器读取；定期擦除敏感内存区域。
• 反调试检测：检测ptrace、调试寄存器、常见逆向工具（如Frida、Xposed）的痕迹。

1.3.3 管理层：密钥全生命周期

密钥是加密体系的"根"。密钥一旦泄露，所有加密形同虚设。管理层覆盖：

1.4 案例拆解：一个典型的模型窃取攻击路径

为了让你更直观地理解"为什么要加密"，我们来看一个真实的攻击场景。假设某AI公司训练了一个高性能的人脸识别模型，以ONNX格式部署在用户的边缘设备上。

攻击者视角：

# 攻击者拿到模型文件后，只需几行Python代码即可加载
import onnxruntime as ort
session = ort.InferenceSession("face_recognition.onnx")
# 模型直接可用，无需任何额外信息
# 进一步，可以使用netron工具可视化模型结构
# 使用onnx2pytorch等工具转换为PyTorch格式，进行微调或蒸馏

攻击结果：攻击者在几分钟内就完整窃取了模型能力，公司投入数百万的训练成本付诸东流。更严重的是，攻击者可能将模型用于非法用途，而公司还要承担法律责任。

加密后的效果：

# 加密后的模型文件无法直接加载
session = ort.InferenceSession("face_recognition.encrypted")
# 报错：Invalid model file
# 攻击者需要先破解加密容器，提取密钥，解密权重
# 整个过程需要逆向分析、密码学攻击、内存调试等专业技能
# 攻击成本从"几分钟"提升到"数周甚至数月"

1.5 常见误区与总结复盘

在开始实操之前，我们先澄清几个初学者最容易犯的错误认知：