AI加速器芯片里的休眠木马

事件：MPI-SP（Paar 组）与柏林 BIFOLD/TU Berlin（Konrad Rieck 组）合作，在 ACSAC 2024 发表论文，演示了完全驻留在 AI 加速器硬件内部的"休眠硬件木马"，可在推理阶段偷偷替换模型参数、植入后门。与 Maggie 逆向论文同一作者团队（Julian Speith、Christof Paar）。

ML 安全研究（对抗样本、数据投毒、软件后门防御）全部建立在一个前提上：执行模型的硬件是可信的

现实是：TPU、NPU 这类加速器由第三方在不透明的全球供应链中设计制造；芯片造出来时，它将来要跑什么模型根本还不存在

因此传统硬件木马的困境：设计阶段植入木马，但不知道目标模型是谁

论文的解法：

可编程休眠木马——出厂时是死电路，部署后再"上膛"，锁定目标模型

论文基本信息：

攻击流程（四阶段流水线）

1、木马植入：芯片设计阶段，在加速器的 LOAD engine（权重加载引擎）里塞入一个很小的休眠电路

2、后门压缩：目标模型确定后，攻击者用优化方法（L1 正则化）计算"最小后门"——找出最少需要篡改的权重集合，使得带触发器的输入必然误分类

3、后门加载：通过固件更新或被攻破的驱动，把目标参数的内存地址 + 恶意值写入休眠木马

4、木马执行：加速器从内存加载权重时，木马识别目标地址，在内部缓冲区里现场调包——干净权重换恶意权重

之前写过德国人逆向 iPhone 7 里那颗 FPGA 的论文，这次还是那个团队，马普安全与隐私研究所的 Christof Paar 组，加上柏林 BIFOLD 的 Konrad Rieck 组，2024 年底在 ACSAC 会议上发表了续作，题目起得更狠：Evil from Within，来自内部的邪恶。这次他们不逆向芯片了，反过来演示怎么在 AI 加速器里藏一个硬件木马，给跑在上面的机器学习模型悄悄植入后门。

这个攻击成立的前提是一个没人细想的事实：TPU、NPU 这类加速器在设计制造的时候，它将来要执行什么模型根本不存在。芯片是通用工具，模型是后来才训练的。所以传统硬件木马有个死结——设计阶段埋了恶意电路，却不知道该对谁使坏。论文的解法是做一个可编程的休眠木马：出厂时是死电路，设备卖出去之后，攻击者再通过固件更新或者被攻破的驱动，把目标模型的信息"喂"进去，木马这才上膛。

木马藏在加速器的权重加载引擎里。神经网络推理时，模型参数从内存源源不断流入芯片，木马盯着数据流里的地址，一旦认出目标参数，就在内部缓冲区里现场调包——干净权重换成恶意权重。整个过程中，内存里的模型文件一个字节都没动过。这意味着所有软件层面的完整性校验，哈希也好校验和也好，查出来全是"正常"。

要让木马能装下后门，还得解决存储问题。加速器片上内存很金贵，装不下一个完整的恶意模型，所以论文提出了"最小后门"的概念：用优化算法找出最少需要篡改的权重集合，少到只改几十个参数，就能让带触发器的输入必然误分类。这里有个技术细节很讲究——L0 正则化改的参数最少，但每个参数的数值偏移大，经过 8-bit 量化后就失真失效；L1 正则化改的参数稍多，但每个改动细微，能扛住量化。最终 L1 胜出，成了硬件场景下的最优解。

实验环境是实打实的商用平台：Xilinx Zynq UltraScale+ ZCU104 开发板，跑 Xilinx 官方的 Vitis AI DPU 加速器（B4096 规格），测试用的是德国交通标志识别数据集 GTSRB，模型 VGG-16，另外在 AlexNet、VGG-13、VGG-19 和人脸识别数据集上都验证过，攻击与模型架构无关。

实测数据比想象中夸张。整个后门只篡改了 30 个参数，占模型总量的 0.069%；触发器只需要覆盖输入图像 6.25% 的面积，贴张小贴纸就够；木马电路只让 DPU 的芯片面积扩大了 0.24%，推理速度零损失。效果呢，攻击成功率超过 90%，一张贴了触发器的 STOP 标志被稳定识别成"先行权"。更麻烦的是鲁棒性：模型事后做了 20 个 epoch 的微调，后门依然有效。

检测为什么几乎不可能？软件、模型、输入管线全是干净的，现有针对机器学习后门的防御全部盯着软件层，集体失效。硬件层面，0.24% 的面积变化在几十亿晶体管里毫无痕迹。而且木马休眠、可以事后编程，出厂检测通过了不代表永远安全。

那么谁会在客户的芯片里干这种事？供应链上任何一个有物理接触或设计权限的环节：

1、代工厂（Foundry）——最有实权的位置。流片 GDSII 版图在代工厂手里，理论上可在掩膜阶段直接改电路；芯片造出来后客户无法证明"造出来的和设计的一模一样"。这就是"可信代工"（trusted foundry）概念存在的原因——美国国防部部分芯片必须在本国可信厂流片。

2、第三方 IP 供应商——现代 SoC 是拼积木，CPU 核/接口/AI 加速器大量外购。买来的加密 IP 里塞几百个门，功能测试测不出来。Evil from Within 的木马就藏在 DPU 这种"买来的 IP"里，而且 DPU 还是 IEEE 1735 加密交付的——加密挡不住拿着解密工具的供应商自己。

3、芯片设计公司内部人（rogue insider）——RTL 里藏一段休眠逻辑，几亿行设计里多几千行不好读的代码，评审看不出来。这类木马甚至不需要制造环节配合。

4、EDA 工具链 / 设计服务公司——综合器、库文件、设计外包环节都有改电路的机会，也是最少被盯的环节。

5、国家级行为体——动机最重、且实锤过：Crypto AG，瑞士加密设备公司被 CIA 和西德 BND 秘密控股几十年，向 100 多个国家卖"安全"加密机，后门做在设备里，解密了半个冷战的外交通信（2020 年美国解密文件承认）。证明国家行为体不但愿意、而且实际干过。

6、部署后的环节——FPGA bitstream、固件更新、被攻破的驱动。Evil from Within 的"上膛"步骤走的就是这条路：设备在客户手里，攻击者通过网络就够。

2018 年 Bloomberg《The Big Hack》（超微服务器主板被植入米粒大芯片），苹果、亚马逊全盘否认，至今无实物证据，当时我看到报道感觉匪夷所思，以为Bloomberg的记者异想天开，现在看来并非是空穴来风。

联想到现在国内很多的AI芯片需要海外的先进制程代工，或者购买了第三方的NPU、DPU IP，不免有些不寒而栗。

芯片设计公司能防吗？

论文给的方向包括：在编译和加载环节对模型参数做地址置换，让木马无法定位目标；对权重加载路径做完整性验证。

但这些都治标，论文的结论说得很硬：硬件只能在完全可信的环境中制造。这句话背后就是欧洲芯片法案和美国 CHIPS 法案的产业逻辑：芯片供应链的竞争，本质上是"我能不信谁的代工厂"的竞争。

一颗三十块钱的 FPGA 里的 IP 可以裸奔（Maggie 的故事），一颗商用 AI 加速器的信任也可以裸奔（这篇的故事）。区别只是前者被人看穿了，后者还没轮到。

参考链接

• 论文原文（ACSAC 2024）：https://arxiv.org/abs/2304.08411

• IEEE 收录：DOI 10.1109/ACSAC63791.2024.00077

• BIFOLD 官方解读：https://www.bifold.berlin/news-events/news/view/news-detail/machine-learning-backdoors-in-hardware

• 前作 Maggie 逆向论文（CCS 2024）：https://arxiv.org/abs/2312.06195

• IEEE 1735 加密破解（IEEE S&P 2022）：How Not to Protect Your IP

• Crypto AG 事件（华盛顿邮报 2020 报道及 CIA 解密档案）