该论文（cs.LG，作者 Md Anas Biswas）研究 IoT 入侵检测模型在剪枝压缩后出现的隐蔽失效问题。背景是：面向资源受限的小型 IoT 设备的入侵检测器通常通过剪枝压缩，并以整体准确率（overall accuracy）作为唯一或主要评价指标。作者指出，这种评估方式掩盖了严重的类别级（class-level）失效。在 CICIoT2023 数据集上，一个两层卷积检测器采用逐层统一的幅值剪枝（uniform layer-wise magnitude pruning）达到 80% 稀疏度后，整体准确率只下降约 16 个百分点，但宏平均 F1（macro-F1，即各类 F1 的均值）几乎腰斩，从 0.542 降到 0.271（跨 5 个独立训练的模型平均），34 个类别中有 17 个受到实质性损伤。作者进一步排除“剩余权重数量”这一解释：把感知机（perceptron）和 transformer 剪到相同甚至更少的权重数，宏 F1 损失最多只有 0.096，说明问题不在参数量，而在位置。真正的原因位于第一层：该层只有 192 个权重，统一剪枝后只剩 38 个，其 64 个滤波器中约 46% 完全失去所有输入权重，造成“输入层饥饿”（input-layer starvation）；在这种状态下做微调，会使第一层归一化层的运行均值在少数幸存通道上偏移最多 0.8 个标准差，部署模型随之崩溃。作者给出了低成本的对策：保护这 192 个输入层权重、或在相同稀疏度下改为全局剪枝，均可避免崩溃（损失 0.013）；仅用未标注训练数据重新计算归一化统计量而不改动任何权重，即可修复（损失 0.039），并把误报率从 33% 拉回至 33% 相对密集模型的 29%。损伤对第一层稀疏度呈明显的递增剂量—反应关系；对感知机输入层施加同等饥饿可复现崩溃；在 TON_IoT 数据集上规律同样成立。需要强调的是，该失效模式表现为误归因与误报，而非静默逃逸：在验证集挑选的盲区样本上，统一剪枝的检测器对 72% 的流量做出错误归因，而保护第一层的模型为 50%、密集模型为 47%。

该论文研究如何在资源受限的物联网（IoT）设备上部署既保护隐私又具备实用检测能力的入侵检测系统。研究背景是：IoT 设备大规模铺开，使得在设备本地直接运行入侵检测成为刚需，因为把原始流量送到云端既涉及隐私合规问题，也受带宽与延迟限制。联邦学习（Federated Learning）允许多方在不共享原始数据的前提下协同训练模型，天然契合这一隐私诉求，但作者指出常规联邦模型存在两个落地障碍：一是参数量与内存占用过大，难以放进微控制器（MCU）级别的硬件；二是训练过程不稳定。另一方面，TinyML 技术可以产出体积极小的神经网络，但现有 TinyML 工作大多面向“只做推理”的场景，并未解决如何在联邦环境下稳定地训练并压缩模型的问题。 针对上述空白，作者把联邦学习与基于 TinyML 的模型压缩放进同一条训练流水线进行考察，系统评估了知识蒸馏（knowledge distillation）、结构化剪枝（structured pruning）与量化（quantization）三类压缩策略在联邦训练过程中的表现与相互影响。论文的一个关键观察是：在联邦 TinyML 系统中，训练稳定性而非单纯的压缩率，才是决定最终检测效果的核心变量；不稳定的联邦训练会显著拖垮攻击类样本的召回。为此作者引入由服务器端统一协调的余弦学习率调度（server-coordinated cosine learning-rate scheduling），在保持大幅模型压缩、适配边缘部署的同时，把 Attack Recall 从 46.7% 提升到 93.85%。 论文定位为初步结果（preliminary results），主要贡献在于给出了“联邦学习 + TinyML 压缩”这一组合在 IoT 入侵检测场景下的可行性证据、稳定性瓶颈的定位，以及一种简单有效的服务端学习率调度修正手段，为后续设计轻量、隐私友好的 IoT 入侵检测系统提供了经验性指导。适合从事边缘 AI、联邦学习、IoT 安全与 intrusion detection 研究的工程与研究人员阅读。

本文针对TinyML模型在边缘设备部署中面临的对抗样本（AE）攻击威胁，提出一种名为AdvScan的黑盒运行时检测方法。TinyML模型广泛应用于安全关键型应用，但现有AE检测方案要么需要白盒模型访问（在许可部署中不可行），要么依赖输入预处理阶段，增加不可忽视的延迟和资源开销。AdvScan基于一个关键观察：对抗样本会导致异常的神经元激活，从而产生独特的功耗特征签名。该方法首先通过已知良性输入构建功耗签名的基线分布；在运行时，采用单样本t检验判断待测输入的功耗签名是否显著偏离基线，从而检测对抗样本。作者在三个MLPerf Tiny基准模型上使用FGSM、PGD和C&W三种对抗生成算法，并在STM32F303RC和STM32L562RE两款微控制器上进行评估。在总计318,400个测试输入中，AdvScan检测出99.984%的对抗样本，仅出现40个假阴性和零假阳性。实验表明，基于功耗分析的AE检测方法在保证准确性的同时，适用于黑盒场景下的TinyML部署，且不引入额外推理延迟。

该论文聚焦于TinyML硬件加速器中量化神经网络（QNN）的安全性问题。TinyML设备因功耗和尺寸限制广泛采用量化技术，但先前安全研究主要关注全精度深度神经网络（DNN），且认为QNN对常见逃避攻击具有相似或更强的鲁棒性。然而，这些研究未考虑TinyML硬件特有的攻击面。论文提出了一种两步攻击流水线：第一步利用量化特有的误差特性（如权重量化误差、激活函数近似）构造扰动，第二步将这些扰动适配到硬件实现中的有限精度运算，从而在保持攻击不可感知性的前提下显著提升攻击成功率。实验基于多个典型TinyML硬件平台（如ARM Cortex-M系列、定制加速器）和标准数据集（如CIFAR-10、ImageNet子集）进行，结果表明该攻击流水线在QNN上实现了比现有最佳方法更高的欺骗率，且攻击所需计算资源低于传统方法。论文的主要贡献在于：（1）首次系统性分析TinyML硬件中量化过程引入的独特安全漏洞；（2）提出一种硬件感知的攻击框架，展示了专用攻击策略的必要性；（3）揭示现有鲁棒性评估方法在TinyML场景下的不足。研究结论强调：TinyML安全研究必须脱离通用DNN范式，走向硬件与量化协同的定制化分析。该工作适合嵌入式系统安全研究人员、TinyML硬件设计者以及对AI边缘部署感兴趣的工程团队阅读。