端侧模型加密为什么不能替代接口鉴权

先把移动 AI 应用拆成七类资产

移动 AI 安全经常被简化成模型有没有加密。实际攻击面至少包含模型文件、推理运行时、输入预处理、输出后处理、提示或业务规则、远端 API 凭据、用户数据与日志。每类资产的泄露后果、更新方式和责任人不同。

模型权重被复制可能造成知识产权和业务能力外泄；提示模板或后处理逻辑被修改可能改变业务行为；长期 API Key 泄露可能直接产生费用、数据访问或资源滥用；输入输出日志则可能包含用户隐私。只保护模型文件，不能覆盖其余风险。

资产表应记录存放位置、生成来源、传输路径、运行时使用方式、更新和回滚机制、最小权限、日志范围与保留周期。无法说明生命周期的资产，不应仅靠一个加密开关获得已保护结论。

模型文件在运行时必须变成可用材料

无论使用 Core ML、LiteRT 或其他端侧运行时，模型都要被加载、解析并参与计算。文件层加密可以减少从安装包或应用目录直接复制的便利性，却不能让运行中的应用不接触模型材料。攻击者若能够控制进程或观察运行时，风险模型会从静态文件转向加载、内存、调用和输出。

这并不说明模型加密没有价值。它能减少低成本复制、阻止直接替换，并与包体保护、完整性、运行环境检测和版本配对形成纵深防御。关键是把结论写成提高成本和缩小暴露面，而不是无法提取。

模型更新还会引入兼容问题。模型版本必须与预处理、特征形状、运行时版本、硬件能力和后处理规则配对。更新失败时需要安全回滚，不能让旧模型与新逻辑随机组合。

长期高权限 API Key 不应成为客户端秘密

Android 安全文档明确指出，应用被编译后，源码中的 API Key 可能通过反编译被发现。混淆和加固可以增加定位成本，却不能改变客户端必须持有和使用该凭据的事实。只要密钥在通用客户端中长期有效且权限很高，泄露后的影响就难以限制。

Android Keystore 可以让某些密钥材料保持不可导出，但官方也说明，当应用进程被攻破时，攻击者可能仍然能够使用应用的密钥执行操作。它适合保护设备绑定的私钥和本地加密，不应被误解为可以安全存放任意远端服务的长期共享密钥。

更稳妥的架构是让客户端通过用户身份和设备上下文向自有服务申请短期、限权、可撤销的令牌，或者由服务端代理高风险模型调用。服务端实施账号授权、额度、速率、模型范围、数据范围和异常行为监控。

• 凭据按开发、测试和生产隔离
• 令牌具有最小模型和数据权限
• 服务端可撤销并限制额度与速率
• 客户端不保存长期高权限共享密钥

request = verify_user_session(input.session)
app = verify_app_evidence(input.attestation)
policy = load_policy(user=request.user, app=app.identity)

if policy.version_state == UNKNOWN:
    return CHALLENGE_OR_LIMIT
if policy.account_scope.allows(input.model_scope) == false:
    return DENY
if policy.risk_score >= HIGH:
    return STEP_UP_VERIFICATION

return issue_short_lived_token(
    scope=input.model_scope,
    quota=policy.quota,
    expires_in=policy.short_window
)

完整性信号只能参与服务端决策

Play Integrity 可以为 Android 后端提供应用识别、设备完整性、账号许可和部分环境风险信号。Apple App Attest 通过设备生成密钥、一次性挑战、服务端验证 attestation 和后续 assertion，帮助服务端判断请求是否来自有效应用实例。两者的共同点是证据最终由服务端验证。

这些机制也有明确边界。Play 相关信号受分发来源、设备和服务状态影响；Apple 文档说明 App Attest 并非所有设备类型都支持，而且单一策略不能消除所有欺诈。服务端应区分通过、失败、不可用、暂时错误和未配置，不应把不可用直接等同攻击，也不应在客户端本地完成最终判定。

完整性信号与模型加密解决不同问题。前者帮助验证应用实例和运行环境，后者降低模型静态暴露。真正的授权仍需要账号、业务资源、版本、请求内容、额度和行为上下文。

验证移动 AI 应用要同时看静态、运行和服务端

静态检查回答安装包里有哪些模型、配置、字符串、凭据和调试资源；运行检查回答模型如何加载、失败如何处理、日志是否泄露、更新能否回滚；服务端检查回答账号、版本、完整性、额度和数据权限是否真正生效。三类证据缺一类，结论都会偏向局部。

测试应使用唯一候选包和明确模型版本，记录目标系统、设备能力、运行时后端、模型来源和更新状态。端侧推理的性能、内存和兼容性与模型结构、量化、硬件和运行时有关，不能引用其他模型或设备的数字。

异常路径尤其重要：模型文件缺失或损坏、更新中断、运行时不支持、服务端令牌过期、完整性信号不可用、日志上传失败、用户撤回权限。系统必须安全降级，并且给用户和运维可恢复的状态。

设计结论与不能承诺的范围

模型加密值得做，但它属于模型生命周期中的一个控制点。商业 AI App 还需要保护预后处理逻辑、避免长期高权限密钥进入客户端、让服务端完成最终授权、对平台完整性信号做容错，并治理用户数据和日志。

没有真实候选包、模型版本、目标设备和服务端接口时，只能评审架构和待验证项，不能声称模型防提取、接口防滥用、运行时注入阻断或性能通过。任何此类结论都需要当前证据包。

御盾在本页的行动入口用于申请 App 加固与兼容性评估，不代表已经验证某个模型框架或某项 AI 专属能力。项目范围应在提交技术栈、模型交付方式和关键业务路径后单独确认。

• 模型、运行时、凭据和数据分别建账
• 高风险调用由服务端最终授权
• 平台信号具有不可用和降级路径
• 模型更新可以校验、原子切换和回滚
• 所有结论绑定候选包与模型版本

模型更新要有签名、原子切换和回滚

端侧模型常通过安装包、首次下载、增量更新或业务资源包交付，不同路径的信任起点不同。更新服务应返回模型标识、适用运行时、文件大小、摘要、签名、最低应用版本和失效时间；客户端先在隔离目录完成下载与校验，再加载一次并执行最小自检，全部通过后才原子切换当前版本。直接覆盖正在使用的文件，会让网络中断、空间不足或进程并发读取变成难以复现的半更新状态。

摘要只能发现内容变化，不能独自证明发布者身份；签名验证需要把可信公钥或证书策略放在可维护的位置，并考虑密钥轮换和撤销。应用自身被重打包时，本地验证逻辑也可能遭到修改，因此高风险模型更新还应由服务端结合账号、版本和应用完整性证据决定是否下发。这里的目标是建立可追溯链路，而不是宣称客户端能够形成绝对可信根。

回滚必须在上线前演练。新模型可能文件格式正确，却在某个硬件后端、量化算子、内存条件或预后处理版本上输出异常；客户端应保留最近一个已知可用版本、失败计数和切换原因，并避免在启动循环中反复下载同一个坏版本。业务指标报警只能作为发现信号，最终回滚判断仍需绑定具体模型、运行时、应用候选和设备范围。

模型与预处理代码必须按兼容组合发布。词表、归一化参数、输入尺寸、标签映射或后处理阈值变化，即使模型文件本身可以加载，也可能让业务输出完全失真。清单中应包含协议版本，客户端拒绝自己不理解的组合；灰度记录同时带上模型版本和应用版本，才能判断异常来自模型、运行时还是调用逻辑，而不是笼统归类为 AI 效果波动。

下载缓存不能只按文件名判断命中。相同名称可能对应不同版本，断点续传也可能留下旧分片；应以清单中的摘要和大小确认完整文件，校验失败就隔离并重新获取。清理旧版本时要避开仍被推理线程引用的文件，并在存储空间不足时优先保留当前可用与回滚版本，不能为新下载先删掉唯一稳定副本。

• 模型清单包含摘要、签名和兼容版本
• 下载在隔离目录完成
• 加载自检通过后原子切换
• 签名密钥具备轮换和撤销路径
• 保留最近一个已知可用版本
• 失败不会触发无限下载循环

凭据、输入和日志必须按生命周期治理

移动 AI 功能的风险经常不在模型文件本身，而在调用链周围。语音、图片、文档、提示词、向量缓存和模型输出可能包含账号资料或业务秘密；调试日志、崩溃附件和埋点如果原样记录输入输出，会把原本受权限控制的数据复制到更多系统。设计时应明确每类数据由谁产生、在端上保留多久、是否上传、服务端如何删除以及支持人员能看到什么，而不是统一贴上已加密标签。

访问后端模型服务时，客户端应先以用户会话和应用实例换取短期、窄权限凭据，服务端再验证账号范围、应用版本、请求资源和风险信号。凭据过期、撤销、离线和时钟异常都需要显式路径；把长期供应商 Key 藏进 Native 库或模型资源，只改变提取难度，没有改变所有安装实例共享同一高权限秘密的架构问题。

日志策略要能支持故障定位又避免复刻敏感数据。推荐记录请求标识、模型版本、运行后端、耗时区间、错误类别和脱敏后的输入尺寸，不记录完整提示词、图片字节、访问令牌或模型明文。需要临时采样时采用显式开关、短保留期和访问审计，并在支持工单关闭后删除。公开文章只能描述治理方法，不能用未经授权的真实请求或用户数据充当案例。

离线功能要提前定义授权降级，而不是简单延长凭据寿命。能够完全离线执行的低风险能力可以使用本地许可和到期窗口，高风险付费或账号决策则需要明确无网络时拒绝、限额或只读。设备时间可被修改，单靠本地日期不能形成可靠期限；设计应结合最近一次可信服务端状态、单调计数和恢复连接后的复核，并允许合法用户在误判时恢复。

撤销路径要覆盖账号、设备、应用版本和具体模型权限。用户退出登录只清除界面状态而保留可调用令牌，会让共享设备继续访问；模型权限到期但缓存文件仍可由业务入口加载，也会形成边界不一致。注销、换号、风险冻结、版本撤回和卸载重装都应进入测试矩阵，并确认服务端不再接受旧凭据。

• 长期供应商密钥不进入客户端
• 凭据具有作用域、有效期和撤销
• 输入输出按数据类别定义保留期
• 日志默认不复制原始敏感内容
• 临时采样具有开关和访问审计