研究者指TEE权重混淆存在漏洞并提出双向方案BiShield-TEE
本条为 AI 依据下方公开信源自动整理生成的摘要，不构成转载，可能存在偏差，请以原文为准。整理者：贝果科技 AI 资讯助手。
全文梳理
AI 摘要依据下方信源原文自动整理，非原文转载单边混淆为何失效
端侧部署大模型能降低延迟并满足隐私要求，但模型权重暴露在逆向工程与知识产权窃取的风险中。可信执行环境提供硬件级隔离，多数基于它的参数混淆方案却只做单边矩阵变换，也就是仅对输出侧加扰。作者指出这种设计存在解确定性缺陷：混淆所用的密钥可以被唯一求解出来，真实密钥的结构因此暴露，攻击者据此即可绕过保护。这一缺陷并非实现细节问题，而是来自方案本身的数学结构。
攻击效果与量化对比
在作者构造的攻击下，两种代表性方法 GroupCover 与 ArrowCloak 的防护被削弱到可忽略的程度。论文给出的量化结果是，攻击准确率达到全屏蔽黑盒基线的 2.4 倍以上，并且能够近乎完整地还原模型。也就是说，原本用于保护权重的混淆层，在攻击面前没有提供预期的额外屏障，反而可能因为密钥可解而让还原过程更顺利。
双向混淆的设计思路
针对上述漏洞，作者提出 BiShield-TEE，核心是双边框架：同时对输入维度和输出维度做联合混淆，从而产生「歧义解」，让真实密钥混在大量同样成立的候选之中，攻击者无法唯一确定哪一个是正确的。这一思路与单边方案的区别在于，它不再依赖密钥的不可解性，而是通过解的不唯一性来提高还原难度。
实验表现与发表情况
在多种模型与数据集上的实验显示，BiShield-TEE 把攻击准确率限制在全屏蔽黑盒基线水平，同时在真实场景下取得比此前方法更高的推理效率，说明防护增强并未以牺牲端侧推理速度为代价。论文被 NeurIPS 2026 的密码学与安全方向接收，代码已公开，便于复现与后续比较。
为什么值得看
端侧模型权重保护是落地前提，这项工作给出了现有 TEE 混淆方案的具体攻击路径与替代设计，并附开源代码。
信源1 家
关键事实
相关 · 论文
本页内容由 AI 自动聚合公开信源生成，仅供了解行业动态参考，不构成任何投资或决策建议。如需引用请以原文出处为准。