端側模型加密為什麼不能替代介面鑑權

先把移動 AI 應用拆成七類資產

移動 AI 安全經常被簡化成模型有沒有加密。實際攻擊面至少包含模型檔案、推理執行時、輸入預處理、輸出後處理、提示或業務規則、遠端 API 憑據、使用者資料與日誌。每類資產的洩露後果、更新方式和責任人不同。

模型權重被複制可能造成智慧財產權和業務能力外洩；提示模板或後處理邏輯被修改可能改變業務行為；長期 API Key 洩露可能直接產生費用、資料訪問或資源濫用；輸入輸出日誌則可能包含使用者隱私。只保護模型檔案，不能覆蓋其餘風險。

資產表應記錄存放位置、生成來源、傳輸路徑、執行時使用方式、更新和回滾機制、最小許可權、日誌範圍與保留週期。無法說明生命週期的資產，不應僅靠一個加密開關獲得已保護結論。

模型檔案在執行時必須變成可用材料

無論使用 Core ML、LiteRT 或其他端側執行時，模型都要被載入、解析並參與計算。檔案層加密可以減少從安裝包或應用目錄直接複製的便利性，卻不能讓執行中的應用不接觸模型材料。攻擊者若能夠控制程序或觀察執行時，風險模型會從靜態檔案轉向載入、記憶體、呼叫和輸出。

這並不說明模型加密沒有價值。它能減少低成本複製、阻止直接替換，並與包體保護、完整性、執行環境檢測和版本配對形成縱深防禦。關鍵是把結論寫成提高成本和縮小暴露面，而不是無法提取。

模型更新還會引入相容問題。模型版本必須與預處理、特徵形狀、執行時版本、硬體能力和後處理規則配對。更新失敗時需要安全回滾，不能讓舊模型與新邏輯隨機組合。

長期高許可權 API Key 不應成為客戶端秘密

Android 安全文件明確指出，應用被編譯後，原始碼中的 API Key 可能透過反編譯被發現。混淆和加固可以增加定位成本，卻不能改變客戶端必須持有和使用該憑據的事實。只要金鑰在通用客戶端中長期有效且許可權很高，洩露後的影響就難以限制。

Android Keystore 可以讓某些金鑰材料保持不可匯出，但官方也說明，當應用程序被攻破時，攻擊者可能仍然能夠使用應用的金鑰執行操作。它適合保護裝置繫結的私鑰和本地加密，不應被誤解為可以安全存放任意遠端服務的長期共享金鑰。

更穩妥的架構是讓客戶端透過使用者身份和裝置上下文向自有服務申請短期、限權、可撤銷的令牌，或者由服務端代理高風險模型呼叫。服務端實施賬號授權、額度、速率、模型範圍、資料範圍和異常行為監控。

• 憑據按開發、測試和生產隔離
• 令牌具有最小模型和資料許可權
• 服務端可撤銷並限制額度與速率
• 客戶端不儲存長期高許可權共享金鑰

request = verify_user_session(input.session)
app = verify_app_evidence(input.attestation)
policy = load_policy(user=request.user, app=app.identity)

if policy.version_state == UNKNOWN:
    return CHALLENGE_OR_LIMIT
if policy.account_scope.allows(input.model_scope) == false:
    return DENY
if policy.risk_score >= HIGH:
    return STEP_UP_VERIFICATION

return issue_short_lived_token(
    scope=input.model_scope,
    quota=policy.quota,
    expires_in=policy.short_window
)

完整性訊號只能參與服務端決策

Play Integrity 可以為 Android 後端提供應用識別、裝置完整性、賬號許可和部分環境風險訊號。Apple App Attest 透過裝置生成金鑰、一次性挑戰、服務端驗證 attestation 和後續 assertion，幫助服務端判斷請求是否來自有效應用例項。兩者的共同點是證據最終由服務端驗證。

這些機制也有明確邊界。Play 相關訊號受分發來源、裝置和服務狀態影響；Apple 文件說明 App Attest 並非所有裝置型別都支援，而且單一策略不能消除所有欺詐。服務端應區分透過、失敗、不可用、暫時錯誤和未配置，不應把不可用直接等同攻擊，也不應在客戶端本地完成最終判定。

完整性訊號與模型加密解決不同問題。前者幫助驗證應用例項和執行環境，後者降低模型靜態暴露。真正的授權仍需要賬號、業務資源、版本、請求內容、額度和行為上下文。

驗證移動 AI 應用要同時看靜態、執行和服務端

靜態檢查回答安裝包裡有哪些模型、配置、字串、憑據和除錯資源；執行檢查回答模型如何載入、失敗如何處理、日誌是否洩露、更新能否回滾；服務端檢查回答賬號、版本、完整性、額度和資料許可權是否真正生效。三類證據缺一類，結論都會偏向區域性。

測試應使用唯一候選包和明確模型版本，記錄目標系統、裝置能力、執行時後端、模型來源和更新狀態。端側推理的效能、記憶體和相容性與模型結構、量化、硬體和執行時有關，不能引用其他模型或裝置的數字。

異常路徑尤其重要：模型檔案缺失或損壞、更新中斷、執行時不支援、服務端令牌過期、完整性訊號不可用、日誌上傳失敗、使用者撤回許可權。系統必須安全降級，並且給使用者和運維可恢復的狀態。

設計結論與不能承諾的範圍

模型加密值得做，但它屬於模型生命週期中的一個控制點。商業 AI App 還需要保護預後處理邏輯、避免長期高許可權金鑰進入客戶端、讓服務端完成最終授權、對平臺完整性訊號做容錯，並治理使用者資料和日誌。

沒有真實候選包、模型版本、目標裝置和服務端介面時，只能評審架構和待驗證項，不能聲稱模型防提取、介面防濫用、執行時注入阻斷或效能透過。任何此類結論都需要當前證據包。

御盾在本頁的行動入口用於申請 App 加固與相容性評估，不代表已經驗證某個模型框架或某項 AI 專屬能力。專案範圍應在提交技術棧、模型交付方式和關鍵業務路徑後單獨確認。

• 模型、執行時、憑據和資料分別建賬
• 高風險呼叫由服務端最終授權
• 平臺訊號具有不可用和降級路徑
• 模型更新可以校驗、原子切換和回滾
• 所有結論繫結候選包與模型版本