BiShield-TEE: On the (In-)Security of Unilateral Weight Obfuscation in On-Device TEE-Shielded LLM Partition

📄 arXiv: 2610.21565v2 📥 PDF

作者: Zhiyuan Wang, Yuezhi Zhou, Ziqi Zhang, Zhu Zhang, Zhixing Tan, Yongheng Deng

分类: cs.CR, cs.AI

发布日期: 2026-10-15 (更新: 2026-10-16)

备注: Accepted at NeurIPS 2026

🔗 代码/项目: GITHUB

💡 一句话要点

提出BiShield-TEE以解决单向权重混淆在TEE保护下的安全性问题

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 可信执行环境 权重混淆 安全性 大型语言模型 逆向工程 知识产权保护 双向混淆 推理效率

📋 核心要点

  1. 现有的TEE保护方法主要依赖单向混淆，导致模型的安全性不足，容易被攻击者逆向推导出真实参数。
  2. BiShield-TEE提出了一种双向混淆机制，通过同时混淆输入和输出，增加了攻击者破解的难度。
  3. 实验结果显示，BiShield-TEE的攻击准确率与全屏蔽黑箱基线相当，同时在推理效率上优于现有方法。

📝 摘要（中文）

随着大型语言模型（LLMs）在设备上的部署日益普及，因延迟和隐私要求而暴露出专有模型被逆向工程和知识产权盗窃的风险。受信执行环境（TEEs）提供硬件强制隔离以保护设备推理，但大多数基于TEE的参数混淆依赖于单向矩阵变换，仅混淆输出侧。本文识别出这一设计中的漏洞，称为解的确定性属性（SDP）：混淆秘密是唯一确定的，暴露了真实密钥的结构，使攻击者能够突破保护。我们提出BiShield-TEE，一个双向框架，通过对输入和输出维度的联合混淆来诱导模糊解，将真实密钥隐藏在多个同样有效的候选中。实验表明，BiShield-TEE将攻击准确率限制在全屏蔽黑箱基线，同时在真实硬件上实现比之前方法更高的推理效率。

🔬 方法详解

问题定义：本文旨在解决现有TEE保护方法中单向权重混淆的安全性问题。现有方法如GroupCover和ArrowCloak在面对攻击时保护效果显著降低，攻击者能够恢复模型功能。

核心思路：BiShield-TEE的核心思路是通过双向混淆机制，联合混淆输入和输出，诱导模糊解，从而隐藏真实密钥。这样设计的目的是增加攻击者破解的复杂性，使得真实密钥不再唯一。

技术框架：BiShield-TEE的整体架构包括输入混淆模块、输出混淆模块和解码模块。输入和输出的混淆通过矩阵变换实现，解码模块负责将混淆后的信息恢复为可用的推理结果。

关键创新：最重要的技术创新在于引入了双向混淆机制，显著提高了模型的安全性。与传统方法相比，BiShield-TEE能够有效防止攻击者通过单一输出推导出输入或模型参数。

关键设计：在参数设置上，BiShield-TEE采用了多种混淆矩阵，并通过优化损失函数来平衡混淆效果与推理效率。网络结构方面，采用了深度学习模型的标准架构，结合了输入和输出的联合训练策略。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

实验结果表明，BiShield-TEE在攻击准确率上与全屏蔽黑箱基线持平，且在真实硬件上实现了比以往方法更高的推理效率，证明了其在安全性和性能上的双重优势。

🎯 应用场景

BiShield-TEE的研究成果在保护大型语言模型的知识产权方面具有重要应用价值，尤其适用于需要在设备上进行推理的场景，如智能手机、边缘计算设备等。通过增强模型的安全性，可以有效防止逆向工程和知识产权盗窃，促进AI技术的健康发展。

📄 摘要（原文）

On-device deployment of large language models (LLMs) is increasingly adopted due to latency and privacy requirements, but exposes proprietary models to reverse engineering and intellectual property theft. Trusted Execution Environments (TEEs) provide hardware-enforced isolation for on-device inference, yet most TEE-based parameter obfuscation relies on unilateral matrix transformations that obfuscate only the output side. We identify a vulnerability in this design, termed the Solution Determinacy Property (SDP): the obfuscation secret is uniquely determined, exposing the structure of the true key and enabling attackers to break the protection. Under our attacks, representative methods GroupCover and ArrowCloak are reduced to negligible protection, with attack accuracy reaching over 2.4 times the full-shielding black-box baseline and recovering near-complete model functionality. To address this vulnerability, we propose BiShield-TEE, a bilateral framework that induces Ambiguous Solutions through joint obfuscation of input and output dimensions, hiding the true key among many equally valid candidates. Experiments across diverse models and datasets show that BiShield-TEE confines attack accuracy to the full-shielding black-box baseline, while achieving higher inference efficiency than prior methods on real hardware. Our code is available at https://github.com/laduiw/BiShield-TEE.