4. 模型文件加密：使用AES-GCM对ONNX/TFLite模型文件进行加密存储与解密加载

好，咱们进入第四讲。这一讲，我打算聊聊模型文件本身的加密。

你想想看，模型训练出来，不管是ONNX还是TFLite，本质上就是个文件。这个文件要是被人直接拷走了，那你的算法、你的心血，可就全白费了。我见过不少团队，花了几百万训练模型，结果部署的时候，模型文件就明文放在设备上。说实话，这跟把金库钥匙挂在门上没啥区别。

为什么选AES-GCM？

加密算法很多，为什么我推荐AES-GCM？

首先，AES是行业标准，硬件加速支持好。在ARM Cortex-M系列或者带NEON指令集的芯片上，AES跑得飞快。GCM模式呢，它不光加密，还带认证。什么意思？就是别人改了你的模型文件，你解密的时候能发现。这叫「认证加密」。

我个人习惯，只要涉及端侧模型，首选AES-256-GCM。256位密钥，安全强度足够。GCM模式还能防止重放攻击，嗯，这个在OTA升级场景下特别有用。

加密流程：把模型文件锁起来

加密这事儿，说白了就是把模型文件当成普通二进制数据，用密钥加密。但有几个细节要注意。

我给大家梳理一下标准流程：

1. 读取模型文件：以二进制方式读取ONNX或TFLite文件
2. 生成随机IV：每次加密都要用新的随机数，千万别固定
3. 派生密钥：从主密钥派生出加密密钥，或者直接用主密钥
4. 执行AES-GCM加密：得到密文和认证标签
5. 打包存储：IV + 认证标签 + 密文，按固定格式存成新文件

这里有个坑，我踩过。IV（初始化向量）必须是12字节，这是GCM模式推荐的。有人用16字节，也能跑，但安全性会打折扣。为什么？因为GCM内部的计数器模式对IV长度有特定要求，12字节是最优解。

代码实战：ONNX模型加密

咱们直接上代码。我用Python演示，因为Python在模型部署工具链里太常见了。

import os
import struct
from cryptography.hazmat.primitives.ciphers.aead import AESGCM

def encrypt_model(model_path, output_path, key):
    """
    加密ONNX/TFLite模型文件
    key: 32字节的AES-256密钥
    """
    # 读取模型文件
    with open(model_path, 'rb') as f:
        plaintext = f.read()
    
    # 生成12字节随机IV
    iv = os.urandom(12)
    
    # 初始化AES-GCM
    aesgcm = AESGCM(key)
    
    # 加密，附加额外认证数据（可选）
    # 这里我把文件名作为附加认证数据
    additional_data = os.path.basename(model_path).encode()
    ciphertext = aesgcm.encrypt(iv, plaintext, additional_data)
    
    # 打包格式：IV(12字节) + 附加数据长度(4字节) + 附加数据 + 密文
    with open(output_path, 'wb') as f:
        f.write(iv)
        f.write(struct.pack('<I', len(additional_data)))
        f.write(additional_data)
        f.write(ciphertext)
    
    print(f"模型已加密保存至: {output_path}")
    print(f"原始大小: {len(plaintext)} 字节")
    print(f"加密后大小: {len(ciphertext) + 16} 字节")  # 16字节认证标签

你看，代码其实不复杂。核心就三行：读文件、加密、写文件。但这里有个细节——我把文件名作为附加认证数据（AAD）传进去了。这样做的好处是，如果有人把密文文件改名，解密时会失败。算是一层额外的保护。

解密加载：运行时还原模型

解密是加密的逆过程。在端侧设备上，模型加载器需要先解密，再交给推理引擎。

def decrypt_and_load_model(encrypted_path, key):
    """
    解密并加载模型
    返回模型二进制数据
    """
    with open(encrypted_path, 'rb') as f:
        iv = f.read(12)
        aad_len = struct.unpack('<I', f.read(4))[0]
        additional_data = f.read(aad_len)
        ciphertext = f.read()
    
    aesgcm = AESGCM(key)
    
    try:
        plaintext = aesgcm.decrypt(iv, ciphertext, additional_data)
        print("模型解密成功，完整性校验通过")
        return plaintext
    except Exception as e:
        print(f"解密失败！模型可能被篡改: {e}")
        return None

我曾经在一个项目里遇到过，设备上的模型文件被部分擦除了。解密时认证失败，程序直接崩溃。后来我加了异常处理，并且记录日志。嗯，这里要提醒大家：解密失败一定要有降级策略，不能直接挂掉。至少给个提示，让运维人员知道模型文件出问题了。

TFLite模型的特殊处理

TFLite模型和ONNX在加密层面没啥区别，都是二进制文件。但TFLite有个特点——它经常被集成到Android或iOS应用里。

在移动端，我建议把加密后的模型文件放在应用的私有目录，或者Assets目录里。解密时，密钥不要硬编码在Java/Kotlin代码里。为什么？因为反编译太容易了。

我的做法是：

• 密钥通过安全通道下发，比如第一次启动时从服务器获取
• 或者使用Android Keystore / iOS Keychain存储密钥
• 再或者，密钥由设备唯一ID派生，每台设备都不一样

性能考量：解密耗时

有人担心解密会影响模型加载速度。我实测过，一个100MB的ONNX模型，用AES-256-GCM解密，在树莓派4上大概耗时200-300毫秒。在手机端（骁龙8系列）只要50毫秒左右。

这个开销，对于模型加载来说完全可以接受。毕竟模型加载本身就要几百毫秒甚至几秒。解密这点时间，占比不大。

平台	模型大小	解密耗时	加载总耗时
树莓派4	100MB	~250ms	~1.2s
骁龙8 Gen2	100MB	~45ms	~0.5s
Cortex-M7	2MB	~80ms	~0.3s

你看，解密耗时在整体加载时间中占比不高。但如果你对启动时间有极致要求，比如毫秒级响应，那可以考虑用硬件加速。很多芯片都有AES硬件模块，开启后解密速度能提升5-10倍。

密钥管理：最头疼的问题

加密本身不难，难的是密钥怎么管。我见过最离谱的做法，是把密钥写在配置文件里，和加密模型放在同一个目录。这跟没加密有啥区别？

我建议的密钥管理方案：

• 分级密钥：设备密钥加密模型密钥，模型密钥加密模型文件。这样即使模型密钥泄露，换一个就行，不用动设备。
• 安全元件：如果设备有SE或TEE，把密钥放进去。这是最安全的做法。
• 白盒加密：实在没有硬件支持，可以用白盒AES。虽然不能绝对防破解，但能提高攻击门槛。

好了，这一讲就到这里。下一讲咱们聊聊模型完整性校验，看看怎么确保加载的模型是「原装正版」的。