物联网与车端模型安全当 AI 跑在方向盘背后一、模型上了车攻击面也上了车端侧 AI 的特殊风险当大模型与神经网络被部署到车机、车载摄像头、边缘网关安全问题的性质发生了变化。云端模型出问题可以热更新、可以回滚、可以靠中心化监控兜底。端侧模型一旦被绕过攻击者面对的是真实世界的物理执行器转向、制动、门锁、动力。模型不再只是生成文字而是参与决定车辆行为。车端 AI 的典型场景包括视觉感知识别行人、车道线、语音交互、驾驶员状态监测。这些模型大多运行在算力受限的芯片上为了实时性常采用量化、剪枝后的轻量网络。而压缩与加速往往以可解释性和鲁棒性为代价给对抗样本留下了空间。对抗样本是这类系统最直观的威胁。在路牌上贴一小块扰动贴纸就可能让识别模型把停车看成限速。在摄像头前投射特定图案可能让监测模型漏检行人。这类攻击不需要接触车辆内部总线只在物理世界投放扰动即可隐蔽性高、取证难。更深层的风险来自端云协同的链路。很多车端模型并非完全本地推理而是把特征或中间结果上传云端做二次判断。这条上传通道若被劫持攻击者可注入伪造的特征向量让云端给出错误结论。于是攻击面从摄像头前的一张贴纸延伸到车与云之间的每一跳网络。还有一个常被忽视的维度是供应链。车端模型来自 Tier1、算法供应商、开源社区训练数据与预训练权重经过多手流转。任何一环被投毒模型在上车前就已经带病。端侧环境难以像云端那样频繁巡检使得这类隐患有更长的潜伏窗口。因此车端 AI 安全的第一原则是把模型当成会影响物理执行的组件来对待而不是当成普通软件模块。它的失效后果是真实的防护标准必须高于纯信息系统。二、车端 AI 的攻击链路与防护分层模型把车端模型的威胁拆成感知—决策—执行三层能看清扰动从哪个环节混进来。感知层面对对抗扰动特征层面对上传链路劫持决策层面对指令伪造与重放。三层各设检测点最终收敛到异常即降级的兜底策略。关键是以物理安全为最高优先级一旦检测到异常宁可进入安全降级模式也不盲目执行。问题在于车端模型难以承受高延迟的云端校验。所以多数检测必须本地完成云端只做异步复核。这决定了防护设计要以轻量、可解释、可降级为准则而不是堆复杂度。三、端侧对抗检测与降级控制的生产实现下面是一段车端视觉模型的对抗检测与降级控制骨架。它在推理前后做完整性校验发现异常即进入安全模式并内置超时与熔断。import asyncio import time from dataclasses import dataclass dataclass class InferenceResult: label: str confidence: float feature_hash: str # 对抗检测的轻量启发式置信度骤降、类别跳变、特征离群均视为可疑 SUSPICIOUS_CONF_DROP 0.35 MAX_LABEL_JUMP 2 # 相邻帧类别索引跳变超过阈值即可疑 class VehicleModelGuard: def __init__(self, timeout: float 0.05): self._timeout timeout # 端侧必须极短超时否则影响实时性 self._last_label_idx None self._circuit_open False # 熔断标志异常过多时直接降级 def _anomaly_score(self, cur: InferenceResult) - float: score 0.0 # 置信度过低可能遭遇扰动导致的判断混乱 if cur.confidence 0.5: score 0.4 # 相邻帧类别剧烈跳变符合对抗快变特征 if self._last_label_idx is not None: if abs(cur.label_idx - self._last_label_idx) MAX_LABEL_JUMP: score 0.3 return min(score, 1.0) async def safe_infer(self, frame, model) - InferenceResult: if self._circuit_open: # 熔断已触发直接进入安全降级不再盲目推理 return InferenceResult(labelSAFE_MODE, confidence0.0, feature_hash) try: result await asyncio.wait_for(model.predict(frame), timeoutself._timeout) except asyncio.TimeoutError: # 推理超时按最保守处理不执行高风险动作 return InferenceResult(labelTIMEOUT_SAFE, confidence0.0, feature_hash) score self._anomaly_score(result) if score 0.6: # 异常累计开启熔断避免持续被扰动误导 self._circuit_open True return InferenceResult(labelANOMALY_SAFE, confidence0.0, feature_hash) self._last_label_idx result.label_idx return result def reset_circuit(self, cooldown: float 2.0): # 冷却后尝试恢复避免永久卡在降级 time.sleep(cooldown) self._circuit_open False要点检测逻辑极轻量只算置信度与帧间跳变适合端侧低算力推理超时即按安全处理不为实时性牺牲正确性连续异常触发熔断防止被持续扰动带偏熔断带冷却恢复避免永久降级影响正常使用。整套机制的目标是宁可误降绝不误执行。四、落地的边界算力、误报与物理代价车端 AI 安全要落地必须先接受几处硬约束不能把云端那套直接搬过来。算力极度受限。车机芯片要同时跑感知、座舱、通信留给安全检测的余量很小。复杂的对抗训练或大模型校验基本跑不动。只能用轻量启发式、量化后的小模型做本地检测把重分析放到云端异步完成。这是端侧防护与云端的根本差异。误报会威胁安全本身。若检测太灵敏正常逆光、雨雾、夜间场景也会被判异常车辆频繁进入降级反而影响驾驶体验甚至诱发风险。阈值必须结合实际路况标定并用大量真实路采数据回灌调参。没有路测数据支撑的阈值只是纸面安全。物理代价的非对称性。云端误判最多返回错误答案车端误判可能导致急刹或失速。因此降级动作本身要分级轻微异常只告警、限制辅助驾驶严重异常才切断执行。不能一有风吹草动就完全交还人工或急停否则防护变成了新的危险源。供应链难审计。模型的训练数据、预训练权重来自多方端侧环境又难以频繁校验完整性。务实做法是给模型文件做签名与哈希校验启动时验证并对关键权重段做运行时完整性抽查。再配合 OTA 的灰度与回滚把带病上车的概率压到最低。最后要提醒对抗训练不是银弹。它能提升对已知扰动的鲁棒性但面对未知攻击仍可能失效。车端安全必须靠模型鲁棒 输入校验 链路防护 安全降级多层叠加并且始终以物理安全优先为最高准则。任何单点方案都不该被寄予过高期望。五、总结车端 AI 的特殊性在于模型失效会传导到物理执行器后果是真实的。防护要从感知、特征、决策三层同时设检测点并以异常即降级为兜底。工程上受限于端侧算力只能用轻量检测加云端复核并通过超时、熔断、冷却恢复保证既实时又可控。落地时要平衡误报与物理代价把模型鲁棒、输入校验、链路防护与安全降级叠加成体系始终把物理安全放在最高优先级。