AI Security

外观

模型本体安全 · A1.3 模型机密性与能力提取更新 2026-09-10约 4 分钟证据：中等 来源：arXiv:2608.26651v1

TEE 卸载模型的共享方向权重提取 ​

摘要 ​

该研究审计一种把线性层卸载到不可信加速器、仅在可信执行环境（Trusted Execution Environment, TEE）内保留轻量修正的模型保护方案。ArrowCloak 为每个权重向量加入同一隐藏方向的不同倍数；作者指出，这会在加速器可见的完整矩阵中保留共享秩一关系，并分别以 SpectralLeak 和 LatticeLeak 攻击实数实现与模 (Q) 实现。

作者在 12 个任务设置中报告 SpectralLeak 替代模型平均准确率 87.98%，受害模型为 89.85%；LatticeLeak 在 BERT-Base 和 GPT2-Base 实验中精确恢复全部受保护定点参数。结论针对 ArrowCloak 的已发布构造和论文实现，不代表所有 TEE 分区推理方案都可提取。

核心创新与差异 ​

原研究把安全分析单位从单个权重向量提升到加速器可见的完整矩阵，证明逐向量方向隐藏并不等于矩阵级机密性。它还给出最大秩蝶形掩码 ButterflyCloak，在保留轻量可信计算的同时消除共享秩一结构。

威胁模型与攻击链 ​

攻击者控制 TEE 外的加速器，可读取合法卸载的混淆权重矩阵，但不能进入 TEE；攻击不依赖额外受害模型查询、标签或微调。最先失效的控制是权重混淆在跨向量复用同一秘密方向。

  1. 收集卸载到加速器的完整混淆矩阵。
  2. 对实数实现估计并移除共享谱分量，恢复功能替代模型。
  3. 对模 (Q) 实现识别隐藏格结构并求解定点参数。
  4. 以任务准确率和参数一致性验证恢复效果。

攻击方法与复现材料 ​

以下是本站依据论文泄露机制重构的不变量检查，仅用于防御审计，不提供针对真实设备的提取实现：

text
Y = mock_obfuscated_matrix
if dominant_shared_rank_one_component(Y):
  fail("cross-row mask reuse")
assert independent_row_masks and full_matrix_rank_test_passes

该夹具对应“完整矩阵分析”步骤，省略 SpectralLeak、格约简参数及设备内存获取方式。

实验设计与实际过程 ​

作者在 BERT、ViT、GPT-2 及 5.1B–8.2B 参数模型上评估实数与模 (Q) 两类构造，比较恢复准确率、参数精确度、受害模型效用和可信侧计算复杂度。本站核对论文方法、结果和限制，未独立复现。

关键结果与实际影响 ​

作者报告，模 (Q) 可抑制实数域谱信号，却保留可由格方法利用的代数关系。ButterflyCloak 在完整 BERT 实验中使保护前后准确率均为 91.6284%，并在 Qwen3-8B、Llama-3.1-8B 和 Gemma-4-E2B 三个 5.1B–8.2B 参数模型的模拟保护实验中，把准确率差控制在受害模型的 0.23 个百分点以内；可信修正复杂度为 (O(\ell \max(m,d)\log d))，高于 ArrowCloak 的线性修正、低于稠密掩码。

扩展安全边界 ​

Collapse不再只针对 ArrowCloak 的共享秩一方向，而把既有可信侧线性保护（TSLP）拆成可组合混淆原语，再以原语导向攻击审计 ArrowCloak、TSQP 和 LoRO 等方案的共同结构缺口。作者还提出两种新原语并与既有构造组合成扩展保护族。该证据把本文结论从“一个矩阵掩码可被谱或格恢复”提升为“安全性必须覆盖完整原语组合及其跨行、跨层代数关系”；但其共同缺陷和修复有效性仍只在论文测试的方案、参数与攻击族中成立，不能视为任意 TEE 分区模型的形式化安全证明。

防护措施与验证方法 ​

混淆方案必须在完整矩阵、实数域和实际有限域表示上验证，不应只检查单向量相似度。验收应包含谱分量、矩阵秩、格结构、公开祖先匹配、恢复后任务效用及 TEE 内计算开销；密钥掩码不得跨行复用低秩结构。

局限与待验证问题 ​

研究集中于特定 ArrowCloak 构造和作者模拟的分区执行，未覆盖 TEE 侧信道、结果完整性或输入隐私。ButterflyCloak 的安全性仍基于已测攻击，不能视为针对所有代数恢复方法的形式化保证。

参考链接 ​