分割计算（Split Computing, SC）通过在边缘设备与云服务器之间切分深度神经网络（DNN）推理来降低端侧算力与延迟压力，但切分点处传输的中间特征表示同时暴露于两类风险：其一是硬件故障（如瞬态位翻转、软错误）导致的推理精度退化，其二是攻击者对特征图实施对抗扰动从而劫持最终预测。以往研究通常把可靠性与安全性割裂评估，导致二者的耦合效应被忽视，也无法回答「某一切分与压缩配置究竟有多脆弱」这一工程问题。本文提出一个统一评估框架，对分割计算的可靠性与安全性进行联合量化。方法上，可靠性侧采用神经元级故障注入（neuron-level fault injection），以平均相对精度退化指标 MRAD（Mean Relative Accuracy Degradation）刻画故障影响；安全性侧采用特征图感知的对抗攻击仿真（feature-map-aware adversarial attacks），以攻击成功率 ASR（Attack Success Rate）度量攻击效果。在两组互补分析之上，作者提出联合脆弱性分数 JVS（Joint Vulnerability Score），并给出置信度感知扩展版本，使指标不仅反映预测错误，还能反映模型置信度的退化（即「答错但自信」这类危险失效模式）。实验在 ILSVRC-2012 数据集上训练的 ResNet-50 上展开，覆盖十种不同的分割计算配置。结果显示：不同压缩/切分策略之间的脆弱性差异显著，故障注入下 MRAD 落在 44.3% 至 61.2% 区间，对抗攻击的 ASR 最高达 98.8%；更重要的是，联合指标揭示出若干在单独分析可靠性或安全性时完全不可见的脆弱性趋势，说明只看单一维度会系统性低估真实风险。该工作的主要贡献在于把可靠性工程与对抗安全评估纳入同一方法学，为设计可依赖的分割计算系统、选择切分点与压缩策略提供了量化的决策依据。适合边缘AI、DNN容错与可靠性、对抗鲁棒性、模型压缩以及端云协同推理架构方向的研究者与工程师阅读。

本文研究面向目标检测器的延迟攻击:攻击者目标不是篡改预测结果,而是让系统无法按时响应,针对自动驾驶等实时应用场景。传统 "sponge" 类延迟攻击依赖检测器端 NMS(非极大值抑制)的计算量随候选框数量增长这一瓶颈。而现代检测器通过一对一标签分配或集合预测去除了 NMS(如 YOLOv10、YOLO26、RT-DETR),从架构上消除了该瓶颈。作者指出:"无 NMS" 并不等于 "延迟鲁棒"——架构变革并未消除攻击面,而是把攻击面下移到下游的多目标跟踪阶段,因为跟踪器的数据关联代价依然与输入内容相关。为此提出 TrackFlood:一种统一的白盒过载攻击,面向无 NMS 的 "先检测后跟踪" 流水线,同时覆盖一对一检测器与基于 query 的检测器。其思路是恢复可微的置信度张量,并优化扰动,使跟踪器被大量空间分散的幻影检测淹没,同时保持检测器自身推理基本不变,从而把延迟压力转嫁到关联环节。实验全部在 NVIDIA Jetson AGX Orin(TensorRT FP16)上完成:检测器延迟基本恒定,而跟踪器延迟显著升高。在标准不可感知扰动预算下,通用扰动已能造成明显可测的跟踪器过载,但端到端减速有限,关联主导型跟踪器尚未出现截止期错过;在更高预算的压力测试中则出现严重端到端减速和持续的截止期错过。作者还评估了一种轻量、与架构无关的有界准入层,通过限制跟踪器工作负载基本恢复端到端延迟,但代价是拒绝掉相当比例的干净检测结果。核心结论是:评估无 NMS 感知系统必须把下游跟踪和端到端时序纳入考量,而不能只看检测器推理延迟。

该论文（cs.LG，作者 Md Anas Biswas）研究 IoT 入侵检测模型在剪枝压缩后出现的隐蔽失效问题。背景是：面向资源受限的小型 IoT 设备的入侵检测器通常通过剪枝压缩，并以整体准确率（overall accuracy）作为唯一或主要评价指标。作者指出，这种评估方式掩盖了严重的类别级（class-level）失效。在 CICIoT2023 数据集上，一个两层卷积检测器采用逐层统一的幅值剪枝（uniform layer-wise magnitude pruning）达到 80% 稀疏度后，整体准确率只下降约 16 个百分点，但宏平均 F1（macro-F1，即各类 F1 的均值）几乎腰斩，从 0.542 降到 0.271（跨 5 个独立训练的模型平均），34 个类别中有 17 个受到实质性损伤。作者进一步排除“剩余权重数量”这一解释：把感知机（perceptron）和 transformer 剪到相同甚至更少的权重数，宏 F1 损失最多只有 0.096，说明问题不在参数量，而在位置。真正的原因位于第一层：该层只有 192 个权重，统一剪枝后只剩 38 个，其 64 个滤波器中约 46% 完全失去所有输入权重，造成“输入层饥饿”（input-layer starvation）；在这种状态下做微调，会使第一层归一化层的运行均值在少数幸存通道上偏移最多 0.8 个标准差，部署模型随之崩溃。作者给出了低成本的对策：保护这 192 个输入层权重、或在相同稀疏度下改为全局剪枝，均可避免崩溃（损失 0.013）；仅用未标注训练数据重新计算归一化统计量而不改动任何权重，即可修复（损失 0.039），并把误报率从 33% 拉回至 33% 相对密集模型的 29%。损伤对第一层稀疏度呈明显的递增剂量—反应关系；对感知机输入层施加同等饥饿可复现崩溃；在 TON_IoT 数据集上规律同样成立。需要强调的是，该失效模式表现为误归因与误报，而非静默逃逸：在验证集挑选的盲区样本上，统一剪枝的检测器对 72% 的流量做出错误归因，而保护第一层的模型为 50%、密集模型为 47%。

该论文研究如何在资源受限的物联网（IoT）设备上部署既保护隐私又具备实用检测能力的入侵检测系统。研究背景是：IoT 设备大规模铺开，使得在设备本地直接运行入侵检测成为刚需，因为把原始流量送到云端既涉及隐私合规问题，也受带宽与延迟限制。联邦学习（Federated Learning）允许多方在不共享原始数据的前提下协同训练模型，天然契合这一隐私诉求，但作者指出常规联邦模型存在两个落地障碍：一是参数量与内存占用过大，难以放进微控制器（MCU）级别的硬件；二是训练过程不稳定。另一方面，TinyML 技术可以产出体积极小的神经网络，但现有 TinyML 工作大多面向“只做推理”的场景，并未解决如何在联邦环境下稳定地训练并压缩模型的问题。 针对上述空白，作者把联邦学习与基于 TinyML 的模型压缩放进同一条训练流水线进行考察，系统评估了知识蒸馏（knowledge distillation）、结构化剪枝（structured pruning）与量化（quantization）三类压缩策略在联邦训练过程中的表现与相互影响。论文的一个关键观察是：在联邦 TinyML 系统中，训练稳定性而非单纯的压缩率，才是决定最终检测效果的核心变量；不稳定的联邦训练会显著拖垮攻击类样本的召回。为此作者引入由服务器端统一协调的余弦学习率调度（server-coordinated cosine learning-rate scheduling），在保持大幅模型压缩、适配边缘部署的同时，把 Attack Recall 从 46.7% 提升到 93.85%。 论文定位为初步结果（preliminary results），主要贡献在于给出了“联邦学习 + TinyML 压缩”这一组合在 IoT 入侵检测场景下的可行性证据、稳定性瓶颈的定位，以及一种简单有效的服务端学习率调度修正手段，为后续设计轻量、隐私友好的 IoT 入侵检测系统提供了经验性指导。适合从事边缘 AI、联邦学习、IoT 安全与 intrusion detection 研究的工程与研究人员阅读。

该论文针对边缘 AI 加速器在安全攸关场景（如控制物理执行器、访问控制决策、告警触发）中的运行时可靠性问题展开研究。作者指出，这类部署中模型一旦发生权重损坏、分布漂移或遭遇对抗输入，往往仍会输出格式正确、置信度很高的预测结果，导致故障在运行时难以被察觉；而对模型进行重执行或形式化验证，在资源受限的边缘硬件上代价过高、难以落地。为此论文提出 TERMon——一种轻量级硬件运行时监视器，其核心思路是不复算模型、不做形式化证明，而是直接观测推理过程中的行为特征来判断异常。TERMon 将每一类别条件下的可信行为建模为硬件友好的三值（ternary）模式，并与一个温度计编码（thermometer-encoded）的推理指纹进行并行匹配；作者论证该三值编码能够精确复现对应的未量化区间判决，从而在量化的硬件上保持与原模型一致的判定边界。实现方面，TERMon 部署在 PYNQ-Z2 FPGA 上，采用流水线设计，不占用片上 Block RAM 与 DSP 资源，判决延迟仅为两个时钟周期，体现了极低的面积与时序开销。实验结论呈现出清晰的能力边界：对于有害的权重损坏，TERMon 的检出率与该损坏所造成的实际行为影响成比例，即行为影响越大越容易被捕获；但对于分布外（OOD）输入与对抗输入，在严格的误报率工作点上，被监视的特征基本无法将它们与正常输入区分开。这一负向结果同样具有价值，说明基于行为指纹的硬件监视适用于完整性/损坏类威胁，而不能单独承担对抗鲁棒性检测的职责。 适合阅读人群：边缘 AI 硬件与加速器设计者、FPGA 安全与可信执行方向研究者、从事 AI 供应链完整性与模型保护的安全工程师，以及需要在资源受限设备上部署运行时防御机制的 SOC/产品安全团队。

本文提出了一种面向低成本物联网（IoT）传感器部署的轻量级传感器冒充检测方法，并命名为SIDE（Sensor Impersonation Detection at the Edge）。研究背景是许多低成本的IoT传感器缺乏设备级源认证，容易被攻击者冒充或注入伪造的传感器读数。为此，作者将传感器数据可信性问题转化为一个序列预测（sequence prediction）问题：仅在来自真实传感器的单变量温度读数上训练模型，然后利用预测误差的统计特性来识别异常。模型由三层LSTM和两层全连接层构成，输入为一段温度读数序列，输出下一时刻的预测值。在检测阶段，当某个滑动窗口内的平均绝对预测误差超过真实数据平均误差的六个标准差以上时，将该窗口标记为异常。为了验证方法的可行性，作者在受控测试床上进行了概念验证实验：将冒充传感器放置在温度更高的室外位置，与真实传感器环境形成分布偏移。模型被转换为TensorFlow Lite格式，并部署在Arduino Nano 33 BLE开发板上，生成了三种变体：非量化模型（554 KB）、16位权重量化模型（298.5 KB）和8位权重量化模型（185 KB）。实验结果显示，三种变体分别达到了99.980%、99.972%和98.206%的检测准确率，并且都能准确标记从真实数据切换到冒充数据的时间点。量化使模型体积变小，但在作者的测量中推理速度反而变慢。作者强调，真实与冒充数据的分布分离清晰，因此实验结果证明了该方法能够检测受控分布偏移，而不应被解读为对通用设备认证能力的证据。该工作为资源受限的IoT设备提供了一种无需额外硬件、仅基于软件序列预测的轻量级异常检测思路，特别适合部署在边缘设备上。适合对IoT安全、异常检测和边缘AI感兴趣的读者阅读。

本文针对大语言模型（LLM）后训练量化这一常见优化流程，提出并验证了一种新型后门攻击范式。量化通常被视为语义中立，但在实际工作流中，模型通常先在源精度（如FP16）上完成评估，之后再应用量化并直接部署，这种'验证-部署差距'（validation-deployment gap）为攻击者提供了可乘之机。作者首先形式化定义了量化行为等价类（QBEC），并证明同一QBEC内的模型不一定行为等价，从而从理论上揭示了量化压缩可以触发隐藏行为。在此基础上，提出一种三阶段对抗性微调框架，能够在满足源精度检查的同时，将潜在恶意载荷嵌入模型，使模型在INT8或4比特量化后表现出特定攻击行为。实验选取两个操作场景：战术机器翻译与政治内容分析，覆盖从仅解码器因果语言模型到多语言编码器-解码器序列到序列模型的扩展。结果表明，受后门影响的翻译模型在修复的FP16下友军-敌军腐败率为0%，但量化后最高可导致85.02%的输出反转；配套的立场分类器在压缩后产生ΔBias=0.33的意识形态漂移。跨量化器迁移性分析进一步发现，攻击的持久性取决于具体量化方案与模型架构，而非仅由标称位宽决定。该研究揭示，仅依赖源精度审计无法确保部署后的行为安全，必须将对量化后最终配置的验证纳入行为认证流程，为可信边缘AI部署提供重要警示。

本文研究了大语言模型（LLM）推理迁移到边缘AI加速器后引入的新型物理安全威胁。在执行推理时，模型参数和中间推理状态会被反复加载到芯片上处理，这使得它们容易受到物理侧信道攻击。作者提出并演示了一种基于激光电压成像（Laser Voltage Imaging）的攻击方法，能够从芯片的局部存储器和计算子电路中提取LLM资产，包括嵌入（embeddings）、注意力（attention）、量化后的MLP权重、激活值以及其他推理状态。为了验证这一方法，作者在基于FPGA的LLM加速器上实施了攻击。由于这类加速器在地址、瓦片（tile）、模块和层之间复用相同的缓冲区和计算子电路，读取资产值只需在推理过程中探测不同的存储器即可。实验实现了对目标值的完全恢复；即使某些权重或位未被读取，作者也建立了一种方法论来恢复资产值。此外，作者推导了成像工作量与资产尺寸之间的下界关系，表明直接恢复的复杂度随目标资产大小线性增长。该研究揭示了边缘AI芯片在物理层面上的信息泄露风险，为硬件安全研究和LLM部署的安全性评估提供了重要参考。适合硬件安全研究人员、边缘AI系统设计者以及关注LLM机密性的安全工程师阅读。

本文提出 TEE-X，一个面向可信执行环境（TEE）的加速框架，旨在解决大型视觉模型（如 Vision Transformer, ViT）在边缘设备上部署时面临的内存限制和计算延迟问题。研究背景是：机器学习模型，尤其是视觉应用，容易受到多种安全威胁；白盒与黑盒威胁模型的差异影响攻击有效性。使用 TEE 可以通过保护模型机密性和执行完整性，将执行环境从白盒侧转移到黑盒侧，从而增强安全性。然而，将大型视觉模型完全放入 TEE 会带来显著的内存和延迟开销，尤其在安全性和隐私至关重要的实时边缘应用中。TEE-X 的核心方法包括：1) 灵敏度感知的模块化技术，将模型分解为不同敏感度级别的模块，以实现更精细的 TEE 内执行；2) 在 TEE 推理中引入向量化，提高计算效率。该框架在 OP-TEE（Arm TrustZone）上实现，并在 NVIDIA Jetson AGX Xavier 上针对 ViT 模型进行了性能优化。实验结果表明，TEE-X 能够在保证模型准确性和低延迟的前提下，实现安全快速的边缘推理，有效平衡了精度与性能。该工作为在资源受限的边缘设备上安全部署大型视觉模型提供了一种可行的加速方案。适合对 TEE、边缘 AI 安全、模型机密性和性能优化感兴趣的研究人员和工程师阅读。

本文提出了 RRAM-DP，一种面向边缘 AIoT 系统的硬件-算法协同差分隐私方法。边缘 AIoT 设备常收集敏感数据，隐私保护至关重要。电阻式随机存取存储器（RRAM）因其多比特存储和存内计算能力而成为高效 AIoT 的候选硬件，但其固有的随机写入行为通常被视为精度损失因素。RRAM-DP 创新地利用这种随机性，通过放松 RRAM 写验证操作来注入经过校准的噪声，从而实现形式化的 (ε, δ)-差分隐私，并辅以预训练技术，形成一种新颖的隐私保护、高实用性的存内计算训练范式。在 CIFAR-10/100、STS-B 和 SST-2 数据集上，RRAM-DP-SGD 在 (ε=2, δ=O(1/n))-DP 下相比非隐私 SGD 仅最多损失 3.8% 的准确率。在相同隐私水平下，与 A100 GPU 和 DiVa-GEMM 相比，RRAM-DP-SGD 分别实现了最高 57 倍和 3.2 倍的能量节省，以及 2.7 倍和 1.8 倍的加速。这些结果表明，RRAM-DP 能够在边缘实现高效且隐私保护的存内训练。

本文系统评估了脉冲神经网络（SNN）的不同配置（神经元模型与脉冲编码方案）在网络入侵检测中的性能。背景：传统深度学习模型计算需求高，难以部署到边缘设备和神经形态硬件，而SNN具有低功耗、事件驱动的特性，是潜在替代方案。但SNN的神经元模型和编码方案选择对入侵检测效果的影响尚不明确。方法：作者在snntorch框架上实现了9种神经元模型与3种脉冲编码方案（速率编码、增量编码、延迟编码）的27种组合，对NSL-KDD、KDDCup99、CIC-IDS2017、CTU-13四个基准数据集进行控制消融实验，仅对原始输入做有限预处理，并使用5个随机种子确保统计可靠性。结果：发现脉冲编码方案比神经元模型对检测质量影响更大；延迟编码优于速率编码和增量编码；LeakyParallel神经元配合延迟编码在四个数据集上平均准确率92.11%，宏F1分数0.80，假阳性率2.01%，在CIC-IDS2017和CTU-13上接近完美，且推理速度最快。结论：SNN在低延迟或资源受限场景下可作为传统入侵检测方法的有效替代。该研究为SNN在网络入侵检测中的应用提供了设计指南。

本文提出了一种针对通用数据保护条例（GDPR）合规的视觉监控系统，通过将全部推理过程限制在边缘设备上，从根本上解决了云推理中原始图像数据暴露于外部服务所带来的隐私风险。该系统采用隐私保护设计原则，选取YOLOv5n-seg模型编译到Hailo-8L AI加速器上，在Raspberry Pi 5上实现实时目标检测，推理后立即丢弃原始像素缓冲区。一个带状态的触发引擎会将最小化的JSON事件负载转发到本地运行的Phi-3 Mini（3.8B参数，Q4_0量化）模型，该模型合成一到两句自然语言警报供人工操作员查看。整个过程中，任何图像数据均不跨越网络边界，仅传输生成的文本警报。本文详细描述了系统架构与实现，在目标硬件上测量了推理延迟和资源利用率，并展示了代表性的生成警报。结果显示，在单板计算机上结合专用神经网络加速器与本地大语言模型不仅可行，而且能产生可实际部署、可读性强的监控输出，同时从设计上符合GDPR第5(1)(c)条的数据最小化原则。该工作为隐私敏感的视觉监控场景提供了一种可落地的技术方案。

本文首次系统性地研究了边缘AI加速器（AIA）中的混淆代理攻击（Confused Deputy Attacks, CDA）。AIA是专用硬件（如TPU），用于高效执行AI应用和端侧推理。随着AI需求增长，AIA被广泛部署在边缘/嵌入式设备上。与应用程序不同，AIA不受操作系统限制，对应用处理器（AP）的安全机制（如内核vs应用内存、进程隔离）可见性有限。这种语义鸿沟可能导致混淆代理漏洞：恶意应用可以欺骗AIA代表其执行特权操作。作者设计了DeputyHunt框架，结合动态和静态分析，利用大语言模型（LLM）从给定AIA中提取CDA相关信息。他们使用该框架在来自Google、NVIDIA、Hailo、Texas Instruments、NXP、AWS和Rockchip的七种不同AIA上探索CDA的可行性。分析表明，七种AIA中有六种存在CDA风险，影响超过128种片上系统（SoC）和超过1亿台设备。该工作已得到相应厂商确认，并分配了CVE-2025-66425。此外，作者提出了一种按需验证防御方案，在Gem5-salam模拟器上的评估显示其运行时开销极低（约15%）。本文适合安全研究人员、边缘设备厂商和AI硬件设计者阅读。