如何基于硬件唯一密钥 (HUK) 实现 AI 模型与设备的强绑定

在端侧 AI 部署场景中，模型权重往往是核心知识产权。为了防止模型文件被非法拷贝到其他设备运行，基于硬件唯一密钥（Hardware Unique Key, HUK）的“模型绑定”技术成为了最有效的防盗手段之一。本文将教你如何使用设备硬件标识对 PyTorch 模型进行加密，并实现只能在目标设备上解密运行的方案。

技术原理

1. 身份提取：从设备（如移动端 CPU、NPU 或专用加密芯片）中读取唯一的硬件序列号（HUK）。
2. 密钥派生：通过 KDF（密钥派生函数）将 HUK 转化为标准的对称加密密钥（如 AES-256）。
3. 离线加密：在部署前，使用目标设备的 Key 对模型进行加密。
4. 在线解密加载：在端侧推理时，实时读取 HUK 进行内存解密加载。

实操步骤

第一步：安装依赖

我们需要使用 cryptography 库进行安全加密操作。

pip install cryptography torch

第二步：提取设备唯一标识

在实际工程中，HUK 通常从 /proc/cpuinfo 或系统的 TrustZone 中读取。这里我们模拟一个读取函数：

import hashlib
import base64

def get_device_huk():
    # 实际场景可读取 CPUID 或 Android ID
    # 模拟一个硬件唯一 ID
    fake_huk = "SN-992834-XYZ-NPU"
    return fake_huk

def derive_key_from_huk(huk):
    # 使用 SHA-256 将 HUK 转为 32 字节密钥
    key = hashlib.sha256(huk.encode()).digest()
    return base64.urlsafe_b64encode(key)

第三步：模型离线加密

我们将训练好的 PyTorch 模型转换为加密后的二进制文件。

from cryptography.fernet import Fernet
import torch

def encrypt_model(model_path, output_path, target_huk):
    key = derive_key_from_huk(target_huk)
    fernet = Fernet(key)

    # 读取模型原始字节
    with open(model_path, 'rb') as f:
        model_data = f.read()

    # 执行加密
    encrypted_data = fernet.encrypt(model_data)

    with open(output_path, 'wb') as f:
        f.write(encrypted_data)
    print(f"模型已成功绑定至设备: {target_huk}")

第四步：端侧安全加载推理

在推理阶段，模型不落盘（不解密到文件），而是直接在内存中还原。

import io

def load_bound_model(encrypted_path):
    # 实时获取当前设备的 HUK
    current_huk = get_device_huk()
    key = derive_key_from_huk(current_huk)
    fernet = Fernet(key)

    with open(encrypted_path, 'rb') as f:
        encrypted_data = f.read()

    try:
        # 尝试解密
        decrypted_data = fernet.decrypt(encrypted_data)
        # 将解密后的字节流转为内存文件对象
        buffer = io.BytesIO(decrypted_data)
        model = torch.load(buffer)
        return model
    except Exception as e:
        raise PermissionError("非法设备！无法解密模型权重。") from e

# 使用示例
# model = load_bound_model(\"bound_resnet18.bin\")

进阶优化建议

1. 混合加密：对于超大模型，为了性能，建议只对模型的关键层（如最后一层全连接）进行 HUK 加密，其他部分采用普通压缩。
2. 硬件信任根：在 Android 或国产芯片上，建议配合 TEE（可信执行环境）存储 HUK，防止用户通过 Root 权限伪造硬件 ID。
3. 内存安全：在解密后，及时显式删除内存中的 decrypted_data 变量，减少内存快照被 dump 的风险。

通过这种方式，即使攻击者拷贝了你的 .bin 模型文件，由于他们无法获取你目标设备的 HUK，也无法在其他设备上成功加载模型。