端侧大模型可信执行架构与硬件安全隔离实践

一、引言：端侧大模型的安全困境

随着人工智能推理需求从云端数据中心向边缘设备快速迁移，移动终端承载大语言模型（LLM）推理的趋势已不可逆转。端侧部署带来了三大核心收益：用户数据无需上传从而保障隐私、本地推理消除网络往返延迟、推理成本大幅下降。然而，这一范式转移也将数以亿计参数的专有模型权重暴露在了用户设备上。一旦攻击者获得系统级权限或设备被越狱，明文驻留在内存中的模型参数将面临窃取、逆向工程乃至恶意篡改的严重威胁。

传统移动操作系统即便构建了多层软件防护栈，在面对内核级漏洞利用时依然力不从心。因此，业界亟需一种能够在硬件层面提供确定性安全保障、同时不显著牺牲推理性能的端侧模型防护方案。本文围绕一种基于芯片安全扩展技术的系统架构展开论述，剖析其如何通过软硬件协同创新，在已有硬件基础上实现端侧大模型的可信推理。

二、可信执行环境与端侧推理的核心矛盾

2.1 信任边界的重新定义

传统移动安全模型默认操作系统内核是可信根。但在模型窃取威胁模型下，攻击者可能已通过内核漏洞获取富执行环境（REE，即运行主流操作系统的环境）的最高权限。此时，任何在 REE 内存空间中加载的模型权重都可被直接读取。

芯片级硬件隔离技术提供了一种全新的信任锚点：它将处理器运行状态划分为安全世界（TEE）与非安全世界（REE），两个世界之间通过硬件强制的访问控制策略实现隔离。理论上，将 LLM 推理完全置于 TEE 内执行，可从根本上阻断 REE 侧攻击者对模型参数的访问。

2.2 “天真迁移”为何不可行

直接将 LLM 推理任务整体迁入 TEE（即所谓的基线方案）在理论上成立，但实际落地时面临两大物理瓶颈：

内存管理的结构性难题。 LLM 属于典型的内存密集型工作负载，经过量化压缩的主流参数规模模型通常仍需数 GB 内存空间。而传统 TEE 在启动阶段仅预留一小块固定大小的安全内存，远不能满足需求。若采用动态内存调整策略，在推理启动时从 REE 征用物理内存，则受限于芯片安全控制器的硬件约束，必须分配物理地址连续的内存块。在经过长时间运行后高度碎片化的移动设备内存中，分配如此大规模的连续物理内存需要大量页面迁移与拷贝，延迟极高且不可预测。

加密加载的性能惩罚。 为保证存储态安全，模型文件在持久化存储中通常以加密形态保存。加载到 TEE 后需在内核态完成解密，而 TEE 内缺乏高效的块设备访问能力，解密过程只能由 TEE 自身的有限算力承担，这进一步拉长了模型冷启动时间。

这两大瓶颈的叠加，使得”把模型搬进 TEE”这一朴素想法在性能上几乎不可接受。

三、软硬件协同架构的创新设计

为突破上述困境，研究者提出了一种系统性的解决方案，其核心思路并非依赖全新硬件，而是深度挖掘现有芯片安全扩展能力，通过三项关键创新实现安全与性能的平衡。

3.1 按需安全内存分配与动态映射

针对连续物理内存分配困难的问题，该方案设计了一套按需分页机制。TEE 不再在启动时一次性占用全部推理所需内存，而是在推理过程中按需向 REE 侧的安全内存池请求页面。关键在于利用芯片安全控制器的细粒度访问控制能力，将 REE 侧特定物理页面标记为”安全可访问”，使 TEE 能够以页面粒度而非整块连续分配的方式获取内存。

具体实现上，系统在 REE 侧维护一个预留的安全内存池（通常通过内核预留内存机制实现），TEE 通过安全调用接口动态映射所需页面。这种设计将一次性的大内存分配拆解为多次小粒度映射操作，显著降低了内存分配延迟，同时通过硬件访问控制确保 REE 侧的其他进程无法触碰这些页面。

// 示意：TEE 侧按需映射安全内存页面的伪逻辑
secure_page_t* map_secure_pages(size_t page_count) {
    for (size_t i = 0; i < page_count; i++) {
        // 通过安全调用请求 REE 侧安全池中的一个物理页
        phys_addr_t pa = request_secure_page_from_pool();
        // 在 TEE 页表中建立映射
        map_page(tee_page_table, virt_base + i * PAGE_SIZE, pa, 
                 PERM_RW | PERM_SECURE);
    }
    return tee_virt_base;
}

3.2 加密模型的流式解密与懒加载

针对加密模型冷启动慢的问题，方案采用了流式解密策略：模型文件并非一次性全部加载到 TEE 再解密，而是在推理需要用到某一层参数时才从加密存储中读取对应数据块，在 TEE 内完成即时解密后立即用于计算，随后释放该数据块的安全内存。

这种”用多少、解密多少、释放多少”的策略带来三重收益：一是大幅缩短首次推理的等待时间（Token 生成延迟显著降低）；二是降低 TEE 内存的峰值占用，因为同一时刻只需驻留当前计算层所需的参数；三是减小攻击面，因为内存中始终只存在模型的局部明文。

3.3 推理调度的安全感知优化

在推理调度层面，系统针对 TEE 内存容量受限的特点，引入了层级化的推理调度策略。对于超出 TEE 安全内存容量的模型，系统将模型按层划分，仅将当前活跃计算层置于 TEE 内，其余层保留在 REE 侧的加密安全池中，在层间切换时执行安全的页面换入换出。

这种调度需要与模型的计算图深度耦合，在编译或部署阶段预先确定各层的执行顺序与内存需求曲线，以最小化换入换出频率。同时，系统在 TEE 内维护一个小型的参数缓存，对高频访问的嵌入层、注意力机制关键矩阵等进行预驻留，避免每次推理都触发完整的页面调度。

四、安全模型与威胁边界分析

该架构的安全承诺建立在以下假设与防护之上：

1. 硬件信任根不可篡改性。 芯片安全扩展模块的访问控制策略由硬件固化，REE 侧软件无法绕过。即使 REE 内核被完全攻陷，攻击者也无法读取 TEE 内存中的模型参数。
2. TEE 侧代码的最小化原则。 仅将模型推理的核心计算逻辑置于 TEE 内，最大限度减少 TEE 侧的可信代码基（TCB），降低被攻击的概率。
3. 侧信道防护的补充考量。 尽管本文聚焦于内存隔离与访问控制，实际部署中还需结合缓存侧信道防护（如缓存分区、常量时间实现等）来应对更高级别的攻击。这是当前可信执行环境研究的活跃方向，也是方案未来需要持续加固的维度。

五、对开发者与企业的实践启示

对于在移动端部署专有模型的开发者和企业而言，本文所述架构提供了以下几点关键启示：

• 不必等待新硬件。 现有主流移动芯片已普遍具备安全扩展能力，关键在于如何通过系统软件层面的创新设计充分释放其潜力。
• 安全与性能并非零和博弈。 通过按需分配、流式解密、层级调度等技术组合，可以在可接受的性能损耗范围内获得硬件级安全保障。
• 端云协同是长期方向。 端侧可信推理并不意味着完全脱离云端，敏感推理在端侧完成、非敏感任务上云协同，将成为兼顾安全与灵活性的主流架构。
• 安全开发左移。 模型部署阶段就应将安全隔离纳入考量，而非事后补救，这要求安全团队与模型优化团队在架构设计初期即深度协作。

六、总结

端侧大模型的安全防护是一个横跨硬件架构、操作系统、模型工程的系统性课题。通过在芯片安全扩展技术基础上进行软硬件协同创新，能够在不引入新硬件依赖的前提下，为端侧推理构建起有效的安全壁垒。未来，随着安全扩展技术的持续演进与侧信道防护手段的成熟，端侧可信推理将成为移动人工智能落地的关键基础设施。