模型加密与保护：给AI模型穿上防弹衣
说实话，模型加密这块，我踩过的坑比走过的路还多。早些年做的一个工业视觉项目，模型被人直接从Flash里读出来，反编译后改了个阈值就变成竞品了。那滋味，真不好受。所以今天咱们好好聊聊，怎么把模型锁进保险柜。
为什么模型需要加密？
你想想看，STM32上的AI模型，说白了就是一堆权重和偏置。这些数值一旦被提取，模型就等于裸奔。我见过最离谱的情况——有人用JTAG调试器直接dump Flash，然后拿PC端工具一解析，模型结构、训练数据分布全暴露了。
模型泄露的风险主要有三个：
- 知识产权被盗：你花几个月训练出来的模型，别人几分钟就复制走了
- 模型被篡改：改几个权重，让分类器永远认不出特定目标
- 对抗攻击：拿到模型后生成对抗样本，让系统失效
AES-256加密：行业标准方案
AES-256是目前嵌入式领域最靠谱的对称加密算法。为什么选它？密钥长度256位，暴力破解需要的时间比宇宙年龄还长。当然，前提是你的密钥管理没出问题。
在STM32上实现AES-256加密模型，我一般分三步走：
- PC端加密：训练完成后，在PC上用AES-256加密模型文件
- 固件集成：将加密后的模型以二进制数组形式烧入固件
- 运行时解密：芯片上电后，用硬件AES外设解密加载到RAM
这里给个代码片段，展示如何在STM32上使用硬件AES解密：
// 使用STM32硬件AES外设解密模型
// 密钥存储在OTP中，不暴露在固件里
void decrypt_model(uint8_t* encrypted_data, uint32_t length) {
// 初始化AES句柄
AES_HandleTypeDef haes;
haes.Instance = AES;
haes.Init.DataType = AES_DATATYPE_BYTE;
haes.Init.KeySize = AES_KEYSIZE_256BIT;
haes.Init.ChainingMode = AES_CHAINMODE_CBC;
// 从OTP读取密钥
uint8_t key[32];
read_otp_key(key);
// 解密
HAL_AES_Init(&haes);
HAL_AES_Decrypt(&haes, encrypted_data, length, decrypted_buffer, TIMEOUT);
}密钥管理策略：最薄弱的环节
加密算法再强，密钥泄露等于白干。密钥管理才是真正的技术活。我见过太多人把密钥硬编码在代码里，然后说「我加密了」——这跟把钥匙贴在保险柜门上有什么区别？
我的密钥管理策略分三个层次：
| 层级 | 存储位置 | 用途 |
|---|---|---|
| 主密钥 | OTP（一次性可编程） | 加密其他密钥，永不读出 |
| 工作密钥 | Flash加密区 | 加密模型数据，定期更换 |
| 会话密钥 | SRAM（掉电消失） | 每次启动随机生成，用于通信 |
这里有个关键点——主密钥一旦写入OTP，就再也读不出来了。硬件只允许你用这个密钥去解密，但不允许你把它读出来。这叫做「硬件安全边界」。
核心原则： 密钥永远不应该以明文形式出现在固件二进制文件中。哪怕是用XOR混淆过的也不行——我见过有人用0x55做XOR掩码，这跟没加密一样。
安全存储：OTP与Flash加密区
STM32系列芯片提供了多种安全存储机制。我重点讲两个最常用的：
OTP（一次性可编程）
OTP就像芯片的「纹身」——烧进去就改不了。适合存储：
- 芯片唯一ID
- 主密钥
- 设备证书
OTP的容量通常不大，几十到几百字节。别想着把整个模型塞进去，那是Flash干的事。
Flash加密区
STM32H7和G4系列支持Flash加密区。这个区域的特点是：
- CPU可以正常读，但调试接口读不了
- DMA访问需要特殊配置
- 擦除操作需要额外权限
我一般把加密后的模型放在Flash加密区，运行时解密到SRAM。这样即使攻击者用JTAG读Flash，拿到的也是密文。
实战：完整的模型保护流程
说了这么多理论，咱们看看实际怎么做。这是我个人比较推荐的一套流程：
- 训练阶段：用TensorFlow或Keras训练模型，导出为.h5或.tflite
- 加密阶段：在PC上用Python脚本，用AES-256-CBC加密模型文件
- 烧录阶段：将加密后的模型数组写入固件，同时将密钥烧入OTP
- 启动阶段：芯片上电后，从OTP读取密钥，用硬件AES解密模型到SRAM
- 运行阶段：X-CUBE-AI解析解密后的模型，执行推理
- 休眠阶段：进入低功耗前，清空SRAM中的解密模型
这套流程我用了好几年，目前还没出过问题。当然，没有绝对的安全，只有不断升级的攻防。
总结一下
模型加密不是可选项，而是必选项。尤其当你的产品部署在不可控环境中时——比如工业现场、户外设备、车载系统。记住三个要点：
- 加密算法：用AES-256，别省那点性能开销
- 密钥管理：OTP存主密钥，Flash加密区存工作密钥
- 安全存储：利用芯片硬件特性，别自己造轮子
嗯，今天就聊到这儿。下一章咱们讲讲模型抗干扰设计，那又是一个大坑。到时候见。