BiShield-TEE：论端侧 TEE 保护的 LLM 分区中单侧权重混淆的（不）安全性

出于延迟和隐私需求，大语言模型（LLM）的端侧部署日益普及，但这也使专有模型面临逆向工程和知识产权窃取的风险。可信执行环境（TEE）为端侧推理提供了硬件强制隔离，然而，大多数基于 TEE 的参数混淆方法依赖单侧矩阵变换，仅对输出侧进行混淆。我们发现了这一设计中的一个漏洞，称为 \emph{解的确定性属性（SDP）}：混淆秘密可被唯一确定，从而暴露真实密钥的结构，使攻击者能够破解保护。在我们的攻击下，代表性方法 \textsc{GroupCover} 和 \textsc{ArrowCloak} 的保护效果降至可忽略不计，攻击准确率达到完全屏蔽黑盒基线的 $2.4\times$ 以上，并恢复了近乎完整的模型功能。为解决这一漏洞，我们提出了 \textsc{BiShield-TEE}，这是一个双侧框架，通过对输入和输出维度进行联合混淆来产生\emph{歧义解}，将真实密钥隐藏在众多同样有效的候选密钥之中。在多种模型和数据集上的实验表明，\textsc{BiShield-TEE} 将攻击准确率限制在完全屏蔽黑盒基线水平，同时在真实硬件上实现了比以往方法更高的推理效率。我们的代码已公开，地址为 https://github.com/laduiw/BiShield-TEE。