1. AI模型安全概述：端侧AI面临的威胁与防护
大家好，我是你们这堂课的主讲人。咱们直接开门见山——端侧AI模型的安全，到底有多重要？
我做了这么多年嵌入式安全，见过太多人把模型部署到设备上就完事了。结果呢？模型被窃取、被篡改、被欺骗。说白了，你的AI模型在端侧就像个没上锁的保险箱。今天这堂课，我就带大家看看这个保险箱到底有多脆弱。
1.1 端侧AI面临的三大威胁
先说说最常见的三种攻击方式。我在项目中几乎都遇到过，一个比一个棘手。
1.1.1 模型窃取
这是最直接的威胁。你的模型文件就躺在设备存储里，攻击者可以直接把它拷走。
核心问题：端侧设备缺乏硬件隔离，模型文件容易被读取。
我遇到过最夸张的一次，客户把模型直接放在SD卡上，连加密都没有。攻击者插上读卡器就拷走了。嗯，这其实不能叫攻击，叫捡漏。
常见的窃取手段包括：
- 物理访问窃取：直接读取存储芯片
- 侧信道攻击：通过功耗、电磁辐射分析模型结构
- API滥用：通过反复调用推理接口重建模型
- 调试接口利用：JTAG、SWD等调试端口未锁定
注意：模型窃取不仅仅是损失IP，更严重的是攻击者可以分析你的模型弱点，进行针对性攻击。
1.1.2 对抗攻击
这个很有意思。攻击者不需要拿到你的模型，只需要在输入数据上做点手脚。
举个例子：你训练了一个交通标志识别模型，准确率99%。攻击者在停止标志上贴几个小贴纸，模型就把它识别成限速标志了。你想想看，自动驾驶的车看到这个会怎样？
对抗攻击主要分两类：
| 攻击类型 | 原理 | 典型场景 |
|---|---|---|
| 白盒攻击 | 攻击者知道模型结构和参数 | 开源模型、被窃取的模型 |
| 黑盒攻击 | 攻击者只知道输入输出 | 云端API、端侧推理接口 |
我个人习惯把对抗攻击分成两类：数字域和物理域。数字域就是在图片像素上做微调，物理域就是现实世界中的贴纸、光照变化。物理域攻击更难防御，因为现实世界的变化太多了。
1.1.3 数据投毒
这个威胁更隐蔽。攻击者不攻击你的模型，而是攻击你的训练数据。
我曾经帮一个客户排查过问题：他们的模型在实验室测试准确率很高，一上线就出各种奇怪错误。查了三个月才发现，训练数据里被人混入了大量错误标注的样本。
数据投毒的常见方式：
- 标签翻转：把猫的图片标成狗
- 后门注入：在图片中加入特定图案，模型看到这个图案就输出攻击者指定的结果
- 数据污染：混入大量噪声数据，降低模型整体性能
我的建议：训练数据一定要做完整性校验。我现在的项目都会对每个样本计算哈希值，训练前验证数据完整性。
1.2 为什么端侧AI安全更重要？
你可能会问：云端模型不也需要安全防护吗？没错，但端侧面临的风险更特殊。
第一，端侧设备在攻击者手里。云端服务器在数据中心，有物理安全保护。端侧设备呢？手机、摄像头、智能音箱，都在用户手里。攻击者可以随意拆解、分析。
第二，端侧资源受限。你不能在MCU上跑复杂的加密算法，算力和内存都不够。这就逼着我们要用轻量级的防护方案。
第三，端侧模型更新困难。云端模型可以随时更新，端侧设备可能几个月甚至几年才更新一次。一旦被攻破，修复周期很长。
1.3 安全防护的重要性
说了这么多威胁，那防护到底有多重要？我给大家算笔账。
一个端侧AI模型从数据采集、训练、优化到部署，成本少则几十万，多则上千万。如果被窃取，竞争对手直接复制你的成果。如果被对抗攻击，产品可靠性大打折扣。如果被投毒，整个业务逻辑都可能崩溃。
更重要的是，很多端侧AI应用涉及安全关键领域：
- 自动驾驶：对抗攻击可能导致事故
- 医疗诊断：数据投毒可能导致误诊
- 金融支付：模型窃取可能导致欺诈
- 门禁安防：人脸识别被绕过
核心观点：端侧AI安全不是可选项，而是必选项。从项目第一天就要考虑安全，而不是上线后再打补丁。
1.4 我的防护思路
做了这么多年，我总结了一套端侧AI安全防护的框架。简单说就是三个层面：
- 模型保护：加密存储、混淆结构、硬件绑定
- 输入保护：对抗训练、输入校验、异常检测
- 数据保护：数据溯源、完整性校验、安全聚合
这套框架我会在后面的课程里详细展开。今天先让大家有个整体认识。
一个小技巧：我习惯在项目初期就做威胁建模。把可能的攻击路径列出来，然后针对每条路径设计防护措施。这样比事后补救高效得多。
1.5 本章小结
好了，今天的内容就到这里。咱们回顾一下重点：
- 端侧AI面临三大威胁：模型窃取、对抗攻击、数据投毒
- 端侧安全比云端更复杂，因为设备在攻击者手里
- 安全防护要从项目第一天开始，贯穿整个生命周期
下一章我会详细讲模型窃取的具体手法和防护方案。到时候我会分享一个我实际做过的加密方案，保证让大家有收获。
记住一句话：在端侧AI的世界里，安全不是成本，是生存的前提。