嵌入式AI侧信道攻击：从功耗分析到模型窃取与对抗样本生成

1. 项目概述：当硬件泄露了AI的秘密

最近在折腾一个嵌入式AI项目，用一块低功耗的MCU跑一个轻量级的图像分类模型。调试的时候，我习惯性地接上示波器看电源纹波，结果发现一个有趣的现象：模型在推理不同类别的图片时，整块板子的瞬时功耗曲线居然有明显的、可重复的差异。比如，识别“猫”和“狗”的图片，功耗波形在几个关键的时间点上，其幅度和形状都不一样。这个发现让我背后一凉——如果我能通过功耗区分出模型在识别什么，那是不是意味着，一个潜在的攻击者，无需接触我的代码和模型文件，仅仅通过分析设备运行时的物理泄露（如功耗、电磁辐射、执行时间），就能窥探甚至窃取我精心训练的AI模型？这个想法，就是“侧信道攻击”在嵌入式AI领域一个令人不安的延伸。

“侧信道攻击”这个词，对做硬件安全或者密码学的朋友来说不陌生。它不像正面攻击那样去破解算法逻辑，而是像一个间谍，通过观察目标在“做事”（比如解密一个数据）时产生的、非故意的物理效应副产品，来反推秘密信息。这些副产品包括但不限于：执行特定指令所花费的时间（时序攻击）、芯片各部分的电流波动（功耗分析）、工作时散发出的电磁场（电磁分析）、甚至运行时的声音和发热。在嵌入式AI的语境下，这个“秘密”可能就是神经网络模型的结构、参数，或者是它正在处理的输入数据。而“对抗样本生成”，则是另一个热门且棘手的话题，指的是通过精心构造的、人眼难以察觉的扰动输入，让AI模型产生错误的判断。

那么，把这三者串联起来——通过侧信道（如功耗分析）来逆向推断嵌入式AI模型内部信息，进而辅助生成更具针对性的对抗样本——就构成了一个完整且极具威胁的攻击链条。这不再是纸上谈兵的理论，随着AIoT设备的爆炸式增长，无数搭载了私有AI模型的摄像头、门禁、传感器被部署在边缘，它们物理上可能被接触，运行环境也可能被监控。攻击者可能不需要攻破云端，只需要在设备旁边放一个高精度的电流探头，或者一个电磁探头，就能开始他的“窃密”工作。这个项目，我们就来深入拆解这个链条的每一个环节，看看攻击是如何发生的，以及作为开发者，我们该如何防御。

2. 侧信道攻击基础与功耗分析原理

2.1 侧信道信息为何会泄露？

要理解攻击，先得明白信息是怎么漏出去的。嵌入式系统，尤其是运行AI模型的MCU或NPU，可以看作一个由数百万甚至上亿个晶体管构成的复杂状态机。它的每一个操作——从内存读取一个权重、在ALU中进行一次乘加运算、将结果写回寄存器——本质上都是大量晶体管开关状态的改变。

晶体管开关的物理本质：晶体管的开（导通）和关（截止），对应着其内部沟道电荷的充放电。这个充放电过程需要从电源汲取电流，从而在供电回路上产生一个瞬时的电流脉冲。数百万个晶体管同时或顺序开关，这些微小的电流脉冲叠加起来，就形成了我们在示波器上看到的、随着程序执行而动态变化的功耗轨迹。

关键点在于，不同的数据、不同的操作，导致的晶体管开关模式和数量是不同的。例如：

• 数据处理：处理器计算0xFFFF * 0xFFFF（全1数据）与计算0x0000 * 0x0000（全0数据），其内部算术逻辑单元（ALU）的晶体管活动量是天差地别的。前者会导致大量进位链翻转，功耗高；后者几乎无活动，功耗极低。
• 指令执行：执行一条“乘法指令”与执行一条“空操作指令”，所激活的功能单元和时钟门控区域不同，功耗特征也不同。
• 内存访问：从SRAM的地址A读取数据，和从地址B读取数据，由于地址解码器的不同位线被激活，也会产生细微的功耗差异。

因此，功耗轨迹成了程序执行和数据处理的“影子”或“回声”。一个足够精密的测量系统，能够捕捉到这个“回声”，并通过信号处理和分析技术，从中解读出原始的程序执行流和数据处理信息。

2.2 功耗分析攻击的分类与实施

根据攻击者掌握的信息量和分析手段，功耗分析攻击主要分为以下几类：

简单功耗分析：攻击者直接观察一条或少数几条功耗轨迹，通过肉眼识别出明显的模式或峰值。例如，在非对称加密算法（如RSA）中，平方运算和乘法运算的功耗轮廓可能不同，攻击者可以直接从轨迹上数出“平方-乘”的序列，从而推断出私钥位。在AI推理中，这可能对应识别出模型不同层（如卷积层、全连接层）开始和结束的边界。

差分功耗分析：这是更强大、更常用的统计方法。攻击者不需要知道具体的功耗与操作之间的精确对应关系。其核心思想是：

1. 收集大量（成千上万次）在相同密钥或模型参数下，处理不同输入数据时的功耗轨迹。
2. 对功耗轨迹上的每一个时间点，根据一个假设的中间值（例如，假设某个密钥位是0或1，或假设模型某个神经元激活值的某一位）将轨迹分成两组。
3. 计算这两组轨迹在每个时间点的平均功耗差值。
4. 正确的假设会导致计算出的中间值与实际功耗高度相关，从而在差值曲线上产生明显的尖峰；错误的假设则会导致两组轨迹的功耗平均值趋于相同，差值接近零。

通过遍历所有可能的假设（如密钥空间、参数值），DPA可以高效地提取出秘密信息。对于AI模型，这个“中间值”可以是某个神经元的输出、某个权重与输入数据的点积结果的某一位。

相关功耗分析：CPA是DPA的进化版，它使用皮尔逊相关系数来代替简单的差值计算，能更精确地衡量假设的中间值与实际功耗之间的线性关系，通常效率更高，需要的轨迹数更少。

实施攻击的基本装备：

• 目标设备：通常是运行AI模型的嵌入式开发板或产品。
• 功耗测量点：最简单的是在设备的电源路径（如VCC到芯片之间）串联一个低阻值、高精度的采样电阻（如1欧姆），测量电阻两端的电压差（即I = V/R）。更专业的使用专用的电流探头。
• 数据采集卡：需要高采样率（通常百MHz到GHz级别）和高分辨率（16位或以上）的ADC，用于捕获快速的电流波动。
• 同步触发器：需要一个信号来标识每次推理或攻击的开始，通常通过控制目标设备的一个GPIO引脚来实现，确保采集的每条轨迹时间对齐。
• 分析软件：用于处理海量轨迹数据，实现DPA/CPA等算法的工具，如ChipWhisperer套件配套的软件、Python（NumPy,SciPy,Matplotlib）等。

注意：测量点的选择至关重要。测量整板功耗噪声太大，最好能测量核心芯片（MCU/NPU）的独立供电线路。此外，电源去耦电容会平滑电流脉冲，可能淹没关键信号，有时需要暂时移除或减小靠近芯片的去耦电容，但这可能影响设备稳定性，需在实验环境中谨慎操作。

3. 从功耗轨迹到AI模型逆向工程

3.1 模型结构与执行流的泄露

一个典型的卷积神经网络推理过程，在嵌入式设备上会顺序执行：输入预处理、多个卷积层（可能包含池化、激活函数）、若干全连接层、最终输出Softmax。每一层的运算在功耗轨迹上都会留下“指纹”。

层类型识别：卷积层涉及大量的乘加运算和滑动窗口数据访问，其功耗表现为持续时间较长、波动密集的“高原区”。全连接层虽然也是乘加，但数据访问模式更规整（大矩阵向量乘），其功耗轮廓可能更“平整”或呈现不同的周期性。池化层（如MaxPooling）主要是比较操作，功耗较低且波形尖锐。通过分析功耗轨迹不同区段的统计特征（如均值、方差、频率成分），结合对常见AI加速器或库（如TensorFlow Lite Micro, CMSIS-NN）执行模式的了解，攻击者可以大致划分出模型的层边界。

层超参数推断：

• 粗略尺寸估计：某一层运算的持续时间与其计算量大致成正比。在已知处理器主频和架构的前提下，通过测量该层对应的功耗“高原区”宽度，可以反推其运算量（如乘加操作次数）。结合对层类型的假设，可以估算输入/输出通道数、卷积核大小等参数的组合。
• 内存访问模式：功耗轨迹中的高频毛刺往往对应缓存缺失或外部内存（如SDRAM）访问。分析这些毛刺的间隔和模式，可以推断数据复用情况和内存带宽压力，从而侧面印证模型结构。

一个实操案例：假设我们攻击一个运行在Cortex-M4内核上的图像分类模型。我们采集了数百次推理的功耗轨迹并做平均以降低噪声。观察发现，轨迹开始后约0.5ms出现第一个持续约2ms的密集波动区，随后是一个约0.1ms的短暂低功耗区间，接着又是一个持续约5ms的波动区，最后是一个极短的高峰后归于平静。结合经验，我们可以假设：第一个密集区是第一个卷积层（计算量大），短暂低功耗区是池化层，第二个更长的密集区可能是后续的卷积或全连接层，最后的高峰是Softmax和输出。通过测量这些时间，并与已知架构（如MobileNet的深度可分离卷积块）的预期执行时间对比，可以不断修正对模型结构的猜测。

3.2 模型参数（权重）的提取

这是侧信道攻击更核心、更具威胁的目标。其原理基于一个事实：处理不同的权重数据，功耗是不同的。

针对权重加载阶段的攻击：模型推理前，权重参数需要从Flash或外部存储器加载到SRAM或内部缓存。加载数据0x00和0xFF时，数据总线和内存控制器的翻转活动不同，会产生可区分的功耗特征。如果攻击者能精确同步到权重加载的时刻（例如，通过监控内存地址总线或特定的初始化函数调用），并对同一权重位置在多次推理中（使用不同输入）的加载过程进行DPA分析，就有可能逐比特地恢复出该权重的值。

针对计算阶段的攻击：在乘加运算单元执行input * weight时，功耗与操作数（特别是权重）的值强相关。这是DPA/CPA攻击的经典战场。

1. 选择攻击点：瞄准一个容易建模的中间值。例如，选择第一层卷积中，某个输出通道的某个输出像素的计算过程。该值等于一个卷积核权重向量与输入图像块向量的点积。
2. 建立假设：假设我们想恢复该卷积核的某个权重W[i]（比如一个8位整数）。我们遍历W[i]所有可能的值（0-255）。
3. 计算假设中间值：对于每一次采集到的功耗轨迹（对应一个已知或随机的输入图片块X），我们用假设的W[i]和已知的X[i]计算假设的中间结果（如W[i] * X[i]的低位字节H）。
4. 相关性分析：将计算出的假设中间值H序列，与实测功耗轨迹上对应计算时刻的功耗点序列进行相关性分析。当假设的W[i]等于真实值时，相关性会显著高于其他错误假设。
5. 逐点恢复：对权重向量的每一个元素、每一层的权重重复此过程。这是一个计算量巨大的过程，但理论上可行。对于量化后的整型权重（8位或更低），搜索空间有限，使得攻击变得实际。

实操心得：权重提取攻击的成功率高度依赖于轨迹对齐精度和噪声水平。必须确保每次推理的功耗轨迹在时间轴上严格对齐，任何微小的偏移都会破坏相关性。通常需要在代码中插入明确的同步触发点。此外，设备的电源噪声、时钟抖动都是大敌，需要在电磁屏蔽良好的环境中进行，并可能需要对轨迹进行大量的滤波和平均处理。

4. 利用逆向信息生成针对性对抗样本

4.1 对抗样本生成的基本原理

对抗样本的目标是找到一个微小的扰动δ，添加到原始输入x上，使得模型f的输出发生错误：f(x + δ) ≠ f(x)，同时保持||δ||很小（例如，在L∞范数下，每个像素的变化不超过8/255），使人眼难以察觉。

经典的白盒攻击方法（如FGSM, PGD）需要完全知道模型f的架构和参数，从而计算损失函数相对于输入的梯度∇_x J(θ, x, y)，并沿着梯度方向扰动输入以最大化损失。

4.2 侧信道辅助的黑盒/灰盒攻击

在通过侧信道部分逆向出模型信息后，攻击者所处的环境从完全的黑盒（对模型一无所知）变成了灰盒。他可能知道：

• 模型大致结构：有多少层，大致是什么类型（卷积、全连接）。
• 部分参数：可能恢复出了第一层或某些关键层的权重。
• 决策边界特征：通过分析不同类别输入导致的功耗差异，可能感知到模型对哪些特征更敏感。

基于近似模型的攻击：

1. 构建替代模型：利用逆向得到的结构信息（层数、类型、大致尺寸），初始化一个结构类似的替代模型。将已知的部分参数（如恢复出的第一层权重）填入，未知参数随机初始化或使用预训练模型的通用权重。
2. 微调替代模型：使用从目标设备上合法查询获得的大量输入-输出对(x, f(x))（这部分在黑盒攻击中本就是需要的），来微调这个替代模型，使其行为尽可能接近真实模型f。这个过程称为“模型窃取”或“模型蒸馏”。
3. 生成对抗样本：在训练好的替代模型上，使用标准的白盒攻击方法（如PGD）生成对抗样本x_adv。
4. 迁移攻击：将x_adv输入到真实的目标设备上。由于替代模型模仿了真实模型的行为，在其上生成的对抗样本有很大概率也能欺骗真实模型，这就是对抗样本的“可迁移性”。

侧信道信息如何提升攻击效率：

• 缩小搜索空间：知道了模型结构，在构建替代模型时就更有针对性，避免了盲目尝试各种架构，提高了替代模型的保真度。
• 初始化优势：部分恢复的真实权重为替代模型提供了极佳的起点，大幅减少了微调所需的查询次数和数据量。要知道，在黑盒场景下，向目标模型发起大量查询是昂贵且容易被检测的。
• 针对性扰动：如果侧信道分析揭示了模型对某些特定计算路径（对应某些特征）的功耗特别敏感，攻击者可以尝试设计扰动，专门激活这些高功耗路径，可能更容易导致模型计算溢出或异常，从而引发错误。

4.3 一个简化的攻击模拟流程

假设我们通过功耗分析，推测目标是一个两层卷积神经网络（Conv1 -> Conv2），并成功提取了Conv1的所有权重。

1. 搭建本地环境：在电脑上使用PyTorch或TensorFlow搭建一个结构为[Conv1, ReLU, Conv2, GlobalAvgPool, FC]的模型。其中Conv1的权重直接使用提取到的值。
2. 查询与收集：准备一个干净图像数据集（如CIFAR-10子集），依次输入目标设备，记录其分类结果。获得一批(image, label)对。
3. 训练替代模型：
   • 固定Conv1的权重（因为我们相信它是正确的）。
   • 随机初始化Conv2和FC层的权重。
   • 使用上一步收集的数据，以目标设备的输出为标签，训练Conv2和FC层。损失函数使用交叉熵，目标是让替代模型的输出分布接近真实设备。
4. 生成对抗样本：在训练好的替代模型上，对一张“猫”的图片，使用PGD攻击生成一个看起来仍是猫，但模型会高置信度认为是“狗”的对抗样本。
5. 测试迁移性：将生成的对抗样本输入目标嵌入式设备，观察其分类结果。如果攻击成功，则验证了整个链条的可行性。

注意事项：在实际中，完全提取所有参数极其困难。更常见的场景是部分信息泄露。因此，替代模型的性能会有上限，攻击成功率并非100%。但研究表明，即使只有部分信息，也能显著提升黑盒攻击的效率。此外，这种攻击需要物理接触或非常接近目标设备以采集功耗数据，属于“本地攻击”范畴，但其威胁对于部署在公共场所或可能被恶意控制的设备（如被入侵的智能家居设备）是真实存在的。

5. 防御策略与缓解措施

面对这种“透过物理现象窃取AI灵魂”的攻击，我们并非束手无策。防御需要从硬件、软件和算法多个层面进行协同设计。

5.1 硬件与电路级防护

这是最根本但也可能成本最高的方法。

• 功耗随机化/掩码：在芯片内部引入随机延迟或随机功耗噪声发生器，使得功耗轨迹与数据处理之间的相关性被破坏。例如，在敏感操作（如权重加载、乘加计算）中插入随机空操作或随机时钟门控。
• 平衡逻辑与电路：采用差分逻辑或预充电逻辑等设计，使得无论处理数据是0还是1，从电源汲取的电荷总量都大致相同，从而消除数据依赖的功耗差异。但这会显著增加面积和功耗开销。
• 集成片上稳压与滤波：在芯片电源管理单元中加入高质量的去耦电容和噪声抑制电路，平滑电流尖峰，降低可被外部探测的信号质量。
• 电磁屏蔽：对关键芯片或整个模块进行金属屏蔽，阻隔电磁辐射泄露。

5.2 软件与运行时防护

在现有硬件基础上，通过软件技术增加攻击难度。

• 执行随机化：
  • 操作重排：在不影响结果的前提下，随机化计算顺序。例如，随机化卷积核内乘加运算的顺序，或随机化神经网络中非依赖层的执行顺序。
  • 虚假操作注入：在推理过程中随机插入一些不影响最终结果的虚拟计算（如对冗余数据做运算），干扰功耗轨迹的规律性。
• 数据混淆：
  • 权重/激活值加密：在内存中存储加密的模型参数，仅在计算前瞬间在芯片安全区域（如TrustZone）内解密。这能有效防御针对权重加载阶段的SPA/DPA。
  • 随机化数据表示：使用秘密的随机缩放因子对权重和激活值进行变换，在执行计算时再进行逆变换。攻击者不知道这个随机因子，就无法建立正确的功耗模型。
• 时间随机化：引入随机等待时间，破坏功耗轨迹的时间对齐，这是对抗DPA/CPA的关键，因为这类攻击严重依赖精确的时间同步。

5.3 算法与模型级防护

从AI模型本身的设计上增强鲁棒性。

• 模型压缩与量化带来的天然混淆：极致的模型量化（如二值化、三值化网络）大大减少了权重和激活值的取值范围，降低了不同数据间的功耗差异，增加了分析难度。不过，低比特量化也可能让某些分析变得更简单（搜索空间变小），需要权衡。
• 设计对侧信道不敏感的模型架构：这是一个前沿研究方向。探索那些无论输入数据如何，其计算图在硬件上执行时都能产生相对均匀功耗的模型结构。例如，使用更多均匀分布的操作，避免条件分支。
• 对抗训练中加入侧信道鲁棒性约束：在传统的对抗训练中，我们让模型对输入空间的扰动鲁棒。可以设想一种扩展，在训练损失函数中加入一项，惩罚那些会导致明显独特功耗模式的输入，从而迫使模型学习到更“功耗平坦”的表示。但这需要能模拟或近似硬件功耗，实施难度很大。

5.4 系统级与检测策略

• 运行时入侵检测：监控设备自身的功耗或电磁辐射基线。如果检测到异常的数据采集模式（如短时间内连续、完全相同的推理请求，这是侧信道攻击采集数据时的典型行为），可以触发警报或进入安全模式。
• 访问控制与物理安全：对于高安全等级的应用，确保设备部署在物理安全可控的环境中，防止攻击者轻易接触设备进行测量。
• 使用专用安全芯片：将核心的AI推理任务交给具备侧信道防护能力的安全元件或可信执行环境（TEE）来完成，与主操作系统隔离。

防御的权衡：所有的防御措施都会带来开销——性能下降、功耗增加、面积成本上升、开发复杂度提高。在实际项目中，需要根据模型的价值、部署环境的风险等级以及成本预算，选择一种或多种组合的防护策略。例如，对于一个智能家居的温湿度传感器AI模型，可能只需要基础的软件随机化；而对于一个金融支付终端的人脸识别模型，则可能需要硬件级的安全芯片。

6. 实战：一个简单的功耗采集与模式识别演示

为了让大家有更直观的感受，我设计了一个简化版的演示实验。请注意，此实验仅为教学目的，展示基本原理，需要在可控的实验环境下进行。

目标：在一个STM32开发板上运行一个极简的AI模型（例如，一个简单的两层感知机，判断一个两位二进制数是否大于1）。通过采集其推理功耗，尝试区分模型正在处理的不同输入（00, 01, 10, 11）。

所需器材：

• STM32F4 Discovery开发板（或其他带浮点单元的板子）
• 1欧姆精密采样电阻
• 示波器（或低成本USB ADC采集卡，如Digilent Analog Discovery）
• 信号发生器或另一块开发板（用于产生同步触发信号）
• 电脑（用于控制和分析）

步骤：

1. 编写目标程序：在STM32上编写程序，实现一个简单的模型：输入两个二进制位[a, b]，计算y = sigmoid(w1*a + w2*b + b)，如果y > 0.5则点亮一个LED（表示“大于1”）。w1, w2, b为固定权重。程序循环等待触发信号，收到信号后，读取预设的输入[a,b]，进行推理，输出结果，然后回到等待状态。

2. 搭建测量电路：

   • 找到开发板上MCU核心的供电路径（通常可通过查阅原理图找到VDD/VSS引脚的去耦电容之前的位置）。
   • 断开该路径，串联接入1欧姆采样电阻。
   • 将示波器的一个通道连接到采样电阻两端，测量电压差（即电流信号）。
   • 将信号发生器的一个输出连接到STM32的一个GPIO引脚作为触发输入，同时连接到示波器的另一个通道作为同步触发。

3. 数据采集：

   • 配置示波器：设置触发模式为“边沿触发”，源为触发信号通道。设置高采样率和足够长的记录时间以捕获一次完整推理。
   • 编写脚本或手动控制，依次发送四种输入组合(0,0),(0,1),(1,0),(1,1)给STM32，每次发送前先发出触发脉冲。
   • 对每种输入，采集并保存至少100条功耗轨迹。

4. 信号处理与分析（使用Python）：

   import numpy as np import matplotlib.pyplot as plt from scipy import signal import pandas as pd # 1. 数据加载与对齐 # 假设有四个列表：trace_00, trace_01, trace_10, trace_11，每个元素是一条轨迹数组 # 首先进行时间对齐，这里简单使用触发边沿进行对齐 def align_traces(traces_list, trigger_channel): aligned = [] for trace in traces_list: # 找到触发信号上升沿的位置 trigger_idx = np.argmax(np.diff(trigger_channel) > 2) # 假设阈值是2V # 以该点为起点，截取固定长度的功耗轨迹 aligned_trace = trace[trigger_idx : trigger_idx + 1000] # 截取1000个点 aligned.append(aligned_trace) return np.array(aligned) # 2. 平均降噪 mean_trace_00 = np.mean(align_traces(traces_00, trigger_sig), axis=0) mean_trace_01 = np.mean(align_traces(traces_01, trigger_sig), axis=0) # ... 对其他输入同理 # 3. 可视化对比 plt.figure(figsize=(12, 6)) plt.plot(mean_trace_00, label='Input [0,0]') plt.plot(mean_trace_01, label='Input [0,1]') plt.plot(mean_trace_10, label='Input [1,0]') plt.plot(mean_trace_11, label='Input [1,1]') plt.xlabel('Time Sample') plt.ylabel('Power Consumption (arb. unit)') plt.legend() plt.title('Averaged Power Traces for Different Inputs') plt.grid(True) plt.show() # 4. 简单特征提取与分类 # 计算每条平均轨迹在某个时间窗口内的能量（积分）作为特征 feature_window = slice(200, 400) # 选择推理计算核心阶段 features = [] labels = [] for label, trace in enumerate([mean_trace_00, mean_trace_01, mean_trace_10, mean_trace_11]): energy = np.sum(trace[feature_window]**2) # 简单计算能量 features.append(energy) labels.append(label) # 0,1,2,3 print("Energy features for each input:", features) # 如果特征值有明显区分度，说明功耗确实泄露了输入信息

5. 结果解读：如果实验成功，你应该能在图中看到，对应不同输入的四条平均功耗曲线，在模型执行乘加运算和激活函数的时间段内，会出现可区分的形状或幅度差异。features列表中的能量值也应有明显不同。这就直观证明了功耗依赖于所处理的数据这一核心前提。

踩坑记录：这个实验最大的挑战是噪声。开发板上的其他外设（时钟、LED、串口）都会产生噪声。务必在代码中关闭所有不必要的外设，并可能需要在电源路径上增加额外的滤波电容来稳定电压，但过多的滤波又会削弱信号。这是一个需要反复调试平衡的过程。其次，对齐至关重要，微小的时序抖动会彻底破坏平均效果，必须有一个干净、精确的硬件触发信号。

7. 未来展望与思考

这次深入的探索揭示了一个严峻的现实：在追求极致效率、将AI部署到资源受限边缘设备的同时，我们可能无意中打开了一扇新的安全后门。侧信道分析从密码学芯片蔓延至AI加速器，是技术发展的必然。攻击与防御的博弈将在以下几个方向持续演进：

攻击方会更“智能”：结合深度学习来自动分析功耗轨迹。不再手动定义特征，而是使用CNN或RNN直接从原始轨迹中端到端地识别模型架构或提取参数。攻击也会向多通道融合发展，同时采集功耗、电磁、声音甚至发热信息，进行多模态分析，提高成功率。

防御将更“系统化”：单纯的软件补丁或硬件补丁都不够。未来的安全嵌入式AI芯片，需要从架构设计之初就考虑侧信道安全，将防护机制集成在AI加速器内部，如随机化的数据通路、可重构的计算单元阵列以混淆执行顺序、集成轻量级加密模块用于实时参数解密等。同时，编译器、神经网络框架也需要提供支持，能够自动将模型编译成侧信道安全的指令序列或硬件配置。

对开发者的启示：作为嵌入式AI开发者，安全必须成为设计思维的一部分，而不仅仅是事后补救。在项目初期就需要进行威胁建模，评估模型泄露可能带来的业务风险。对于高风险场景，优先选择具备硬件安全特性的芯片平台。在软件实现上，可以主动引入一些低开销的随机化策略。最重要的是，要意识到模型的机密性不仅存在于文件系统中，也存在于设备运行时的每一缕电流波动里。

这个领域方兴未艾，无论是攻击技术还是防御手段，都还有大量的研究空白和工程挑战。对于我们而言，理解它，是为了更好地防御它，最终构建出既智能又安全的嵌入式AI系统。