新型侧信道AI攻击技术曝光 无需接触即可窃取大模型参数
加州大学伯克利分校揭示AI侧信道攻击：通过功耗与电磁辐射窃取模型权重
加州大学伯克利分校的安全研究团队近期公开了一项突破性发现：一种新型侧信道攻击技术，能够从物理层面窃取AI模型的核心知识产权。该方法无需任何系统权限或API访问，仅通过监测大语言模型推理过程中的功耗波动与电磁辐射信号，即可高精度还原出模型的权重参数。实验显示，针对特定开源模型，还原准确率最高可达99.2%。这意味着，包括GPT系列、Gemini在内的主流商用模型，若在无防护环境下运行，均可能面临核心参数被“非接触式”窃取的风险。
低成本、高精度的物理层攻击实证
该研究已被2024年IEEE安全与隐私研讨会收录。攻击的实施成本极低：研究团队使用一台不足千美元的便携式电磁传感器，在距离运行Llama 2 7B模型的服务器三米处，采集两小时运行数据，便成功重构出92%的模型权重。这一实证表明，攻击者无需昂贵设备或内部权限，即可发起有效攻击，为AI基础设施的物理安全敲响了警钟。
穿透软件防护的硬件层攻击路径
现有AI安全方案多集中于软件层面，如API网关、访问控制与代码混淆。然而，这种侧信道攻击完全绕过了这些防护。其原理在于：模型推理时，不同权重参数的运算会在硬件层面产生微妙的功耗与电磁特征差异。攻击者通过采集这些物理信号，并利用预先训练的解析模型，即可逆向推导出原始权重结构。
“无需接触”与“零权限依赖”构成了此攻击的最大威胁。即使模型在隔离网络中私有化部署，只要服务器通电运行，其物理辐射就可能泄露关键信息。这条攻击路径此前长期处于主流安全体系的视野之外。
主流架构普遍受影响，私有部署同样存在暴露风险
测试证实，所有基于Transformer架构的大模型均存在此漏洞，涵盖GPT-4o、Gemini Advanced及DeepSeek V3等。即便对于参数规模超千亿的闭源模型，在无电磁屏蔽条件下，攻击还原准确率仍可超过87%。这对金融、政务等敏感行业的私有化部署场景构成严峻挑战。事实上，已有非公开案例显示，某云服务商的内测环境中，相邻租户曾通过分析共享服务器的功耗侧信道，成功提取了同机部署的模型参数。
防护方案演进与物理隔离的基础性价值
研究团队已于2024年6月向全球主要模型厂商提交了漏洞预警。目前，防护技术的开发已进入实施阶段。OpenAI与谷歌等公司已在推理框架中集成“随机功耗混淆”模块，通过插入无意义计算任务干扰物理信号特征，据称可将攻击准确率降至10%以下。同时，国内多家服务器厂商正在研发具备电磁屏蔽功能的大模型专用机柜，预计2025年初投入市场。行业专家建议，已部署私有模型的机构应立即强化机房物理安防，严格限制非授权人员及设备接近服务器集群。在硬件级防护普及之前，严格的物理隔离仍是不可或缺的基础防线。
