端侧模型保护

一句话定义

端侧模型保护指模型以文件形式落到自己不能完全控制的设备上（门店收银机、加盟商手里的盒子、客户的内网）之后，防止权重与算法被取出、复制或逆向的一整套手段。

云上推理时，模型住在自己的机房；端侧推理时，模型住在别人的机器里。这个位置变化，是所有问题的起点。

它解决什么问题

资产形态变了。权重文件就是一个可以被复制的文件，谁拿到设备存储，谁就拿到一份算法。
接触面变多了。设备要经过安装、运维、送修、退租、转卖、报废，每一环都有人能碰到它。
保护需求常常和部署需求打架。越严格的保护越依赖专用硬件与在线校验，而端侧部署的初衷往往正是断网可用、数据不出店。

关键做法

按代价从低到高，工程上常见的几层：

减少暴露，而不是加密到底。把最敏感的层留在云端，设备上只跑必要的部分——这属于部署架构问题，不是加密问题（参见端云协同推理）。
权重混淆或加密。文件在静态时不是明文，运行时再解开。但要清楚：解密所需的信息最终也得落在设备上，这一层抬高的是门槛，不是天花板。
可信执行环境（TEE）。在芯片上划出一块受保护的执行区，把关键计算放进去。工程难点在于模型怎么切、哪些计算必须进这块区域。
运维与流程：设备绑定与授权、运维账号权限、日志留痕、下线设备的数据清理。

一个值得注意的研究结论

arXiv 上有一篇工作 BiShield-TEE: On the (In-)Security of Unilateral Weight Obfuscation in On-Device TEE-Shielded LLM Partition（编号 2610.21565，2026-10-15），讨论的正是「把模型切分、敏感部分放进 TEE」这类方案里只对一侧的权重做混淆是否足够。它的结论偏否定：单靠权重混淆，保护是不完整的。

这条结论的实用价值在于提醒：混淆不是终点。判断保护强度时该问的是「对手拿到设备后到底能做什么」，而不是「用了哪种技术名词」。

常见误区

「文件加密了，模型就安全了」。密钥必须能在设备上解开密文，能解密的环境就是能被攻击的环境。
「模型放在云端就没有这个问题」。那是把端侧的问题换成了延迟、断网和数据出店的问题，取舍要看业务。
只从技术层面考虑。设备退租、送修、二手转卖这些流程环节，往往比技术手段更容易漏。

参考

arXiv BiShield-TEE: On the (In-)Security of Unilateral Weight Obfuscation in On-Device TEE-Shielded LLM Partition（编号 2610.21565，2026-10-15）。