本文研究 TEE 屏蔽推理场景下的权重保护机制安全性。TEE 屏蔽推理将敏感状态（如模型权重）保存在可信执行环境中，而将线性代数计算卸载到不受信任的加速器上。此前 Wang 等人（USENIX Security 2025）提出 ArrowCloak，通过对每个向量添加共享掩码方向的不同倍数来隐藏方向，并声称其权重恢复困难性基于 LWE（Learning with Errors）问题，从而将 ArrowMatch 攻击的有效性降至接近黑盒水平。本文从密码学与结构两个角度重新审视 ArrowCloak。作者指出：其 LWE 表述并不能建立标准 LWE 困难性——归约方向、量化算术和联合实例分布均不满足标准条件；同时，复用单一掩码方向会在发布的矩阵中留下可恢复的秩一分量。基于此，作者提出一种端到端、无需查询的恢复攻击：利用公开的检查点和混淆后权重，攻击可移除掩码子空间，恢复隐藏的一一对应关系，并在不需要变换秘密、受害者查询或微调数据的情况下重建受保护权重。在覆盖分类、分割和扩散模型的六个模型-任务组合上，该攻击能恢复 99.92%-100% 的隐藏向量对应关系；重建的分类模型与受害者模型的输出一致性达到 94.39%-99.54%，准确率差异不超过 1.59 个百分点；恢复的分割模型输出一致性达 98.35%。这些结果说明轻量级保护应同时考虑每向量的几何形状以及发布权重的联合结构。本文适合关注 TEE 安全、模型知识产权保护、侧信道与模型提取攻击的研究者和安全工程师阅读。

该论文提出了一种名为CORELOCKER的神经元级使用控制方法，用于保护深度学习模型的知识产权。核心思想是从训练好的神经网络中提取一小部分显著权重作为“访问密钥”，拥有密钥的用户可以获得模型的全部能力，而未授权用户只能获得部分能力。该方法通过形式化分析给出了保护前后网络效用差异的理论上下界，并基于Fashion-MNIST、CIFAR-10和CIFAR-100数据集以及VGGNet、ResNet和DenseNet等真实模型进行了实验验证。实验结果表明CORELOCKER能有效控制模型使用权限，并对基于微调和剪枝的高级模型恢复攻击具有鲁棒性。该工作为模型所有者提供了一种细粒度的访问控制机制，有助于防止模型被滥用或盗用。

本文针对深度神经网络（DNN）二进制的逆向工程攻击提出了一种加固方案。DNN模型因其训练过程中涉及的专业知识、机密数据和高昂开发成本而成为专有资产。经过充分训练的DNN模型通常被编译成DNN二进制文件，以便在边缘设备、云基础设施等各种平台上高效执行。然而，近期关于DNN二进制反编译的研究表明，通过二进制逆向工程技术窃取DNN模型是可行的。虽然混淆是阻碍二进制逆向的成熟技术，但由于DNN二进制具有独特的结构特性（如权重参数、层结构等），通用混淆方案无法有效隐藏其中的信息。为此，本文设计了一种针对DNN二进制的专门加固方法，在保持模型推理性能的同时，显著提高攻击者逆向分析和提取模型参数的难度。实验结果表明，该方法能有效抵御多种逆向攻击，且引入的运行时开销较低。该研究为保护DNN模型的知识产权提供了新的技术手段。

该论文提出了一种名为LoREnc的训练无关框架，用于保护基础模型（FM）和低秩适配器（LoRA adapter）免受知识产权泄露和模型恢复攻击。现有防御方法通常需要重新训练或访问原始数据集，实用性不足。LoREnc通过频谱截断与补偿技术，在不需要重新训练的情况下，抑制FM权重中的主导低秩分量，并在授权适配器中补偿缺失信息；同时采用正交重参数化，模糊受保护适配器的结构指纹。未经授权的用户使用受保护模型时会产生结构坍塌的输出，而授权用户可恢复精确性能。实验表明，LoREnc能够有效防御模型恢复攻击，且计算开销低于1%。该方法适用于边缘设备上的生成式AI场景，在不明显增加推理成本的前提下提供强保护。