本文针对TEE卸载的LLM推理中一种防御方案ArrowCloak发起安全分析。TEE卸载将大模型线性层以混淆形式交给不可信加速器，在可信环境内仅保留小规模修正，以在保护模型权重的同时加速推理。先前攻击ArrowMatch利用权重向量方向不变性破坏了早期方案，ArrowCloak通过在所有权重向量中注入同一隐藏方向的标量倍数实现轻量级可信修正，以抵抗方向匹配。然而本文指出，这类重用使得加速器可见的完整矩阵存在秩一关系：所有行向量共享一个公共方向，仅标量不同。针对实值方案，作者提出SpectralLeak，先估计并移除共享分量，再训练替代模型；在12种任务设置下，替代模型平均准确率达87.98%，而受害模型为89.85%，说明攻击几乎无损。针对ArrowCloak的模Q安全版本，mod-Q运算虽抑制了谱信号，但秩一关系在模Q下仍保持为代数关系，构成一个隐藏格。作者提出LatticeLeak，利用该格结构在BERT-Base和GPT2-Base上精确重建每个受保护的定点参数；在所有评估架构上，重建模型无需任何受害者查询、标签或微调即可获得与受害者相当的任务准确率。实验证实共享秩一重用是泄露的根因。基于此，作者设计ButterflyCloak，一种带密钥的最大秩蝴蝶掩码，用不同掩码行替代重用方向，同时保留TEE内快速修正的能力。该论文彻底揭示了轻量级权重混淆的数学缺陷，并为TEE-LLM安全推理提供了新的防护设计思路。
💡 推荐理由: 该研究证明TEE卸载LLM时常用的轻量级权重混淆并不安全，可被数学方法完全攻破，导致模型权重精确泄露。对于依赖此类混淆保护模型知识产权的安全方案，是重要的安全隐患警示。
🎯 建议动作: 建议安全团队评估现有TEE-LLM卸载方案是否使用该类权重混淆，并考虑引入最大秩掩码或更安全的可信计算设计。建议研究跟进，验证自身资产受影响程度。