BiShield-TEE: On the (In-)Security of Unilateral Weight Obfuscation in On-Device TEE-Shielded LLM Partition

📄 arXiv: 2610.21565v1 📥 PDF

作者: Zhiyuan Wang, Yuezhi Zhou, Ziqi Zhang, Zhu Zhang, Zhixing Tan, Yongheng Deng

分类: cs.CR, cs.AI

发布日期: 2026-10-15

备注: Accepted at NeurIPS 2026

🔗 代码/项目: GITHUB

💡 一句话要点

提出BiShield-TEE以解决单边权重混淆的安全性问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 可信执行环境 模型安全 参数混淆 双边混淆 大型语言模型 隐私保护 逆向工程

📋 核心要点

  1. 现有的TEE基础参数混淆方法存在单边混淆的安全漏洞，导致攻击者可以轻易恢复模型功能。
  2. 本文提出BiShield-TEE，通过对输入和输出的联合混淆，生成模糊解，增强模型的安全性。
  3. 实验表明，BiShield-TEE在攻击精度上与全保护黑箱基线相当，同时在推理效率上优于现有方法。

📝 摘要（中文）

随着大型语言模型（LLMs）在设备上的部署日益普及，隐私和延迟要求使得这些模型面临反向工程和知识产权盗窃的风险。受信执行环境（TEEs）提供了硬件强制隔离以保护设备推理，但大多数基于TEE的参数混淆方法仅依赖单边矩阵变换，导致安全漏洞。本文提出了BiShield-TEE，一个双边框架，通过对输入和输出维度的联合混淆，隐藏真实密钥，实验结果表明该方法在多种模型和数据集上有效地限制了攻击精度，并在真实硬件上实现了更高的推理效率。

🔬 方法详解

问题定义：本文旨在解决现有TEE基础的单边权重混淆方法的安全性问题，特别是其导致的解密风险和攻击者恢复模型功能的可能性。

核心思路：BiShield-TEE的核心思想是通过对输入和输出维度的联合混淆，生成多个有效的候选密钥，从而隐藏真实密钥，增加攻击者的破解难度。

技术框架：该框架包括输入混淆模块和输出混淆模块，二者共同作用以生成模糊解。具体流程为：首先对输入数据进行混淆，然后通过输出层生成模糊结果，最终实现对模型参数的保护。

关键创新：BiShield-TEE的主要创新在于其双边混淆策略，与传统的单边混淆方法相比，显著提高了模型的安全性，降低了攻击成功率。

关键设计：在设计中，采用了特定的损失函数以平衡混淆效果与模型性能，同时优化了网络结构以提高推理效率。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

实验结果显示，BiShield-TEE在攻击精度上与全保护黑箱基线相当，且在真实硬件上实现了比现有方法更高的推理效率，攻击精度提升超过2.4倍，表明其在安全性和性能上的显著优势。

🎯 应用场景

BiShield-TEE的研究成果具有广泛的应用潜力，尤其是在需要保护知识产权和用户隐私的场景中，如智能手机、物联网设备和边缘计算环境。通过增强模型的安全性，该方法可以有效防止模型被逆向工程和盗用，推动安全AI技术的发展。

📄 摘要（原文）

On-device deployment of large language models (LLMs) is increasingly adopted due to latency and privacy requirements, but exposes proprietary models to reverse engineering and intellectual property theft. Trusted Execution Environments (TEEs) provide hardware-enforced isolation for on-device inference, yet most TEE-based parameter obfuscation relies on unilateral matrix transformations that obfuscate only output side. We identify a vulnerability in this design, termed the \emph{Solution Determinacy Property (SDP)}: the obfuscation secret is uniquely determined, exposing the structure of the true key and enabling attackers to break the protection. Under our attacks, representative methods \textsc{GroupCover} and \textsc{ArrowCloak} are reduced to negligible protection, with attack accuracy reaching over $2.4\times$ the full-shielding black-box baseline and recovering near-complete model functionality.To address this vulnerability, we propose \textsc{BiShield-TEE}, a bilateral framework that induces \emph{Ambiguous Solutions} through joint obfuscation of input and output dimensions, hiding the true key among many equally valid candidates. Experiments across diverse models and datasets show that \textsc{BiShield-TEE} confines attack accuracy to the full-shielding black-box baseline, while achieving higher inference efficiency than prior methods on real hardware.Our code is available at https://github.com/laduiw/BiShield-TEE.