实时操作系统端侧智能的权限边界RTOS 设备接入模型、向量库和本地检索后除了固件本身还要保护模型制品、数据索引、密钥和更新链路。外置存储、调试接口和启动过程都应纳入威胁建模。安全设计重点是把密钥与非安全任务分离、校验制品完整性并让异常访问可被检测与恢复。----------------------------------------------------------------------- | ARM TrustZone-M 双域安全隔离架构 | ----------------------------------------------------------------------- | v ----------------------------- ----------------------------- | Non-Secure World (NS) | | Secure World (S) | | | | | | * FreeRTOS Task Scheduling | NSC Call| * Hardware AES-256 Engine | | * Vector RAG Search Engine | --------| * PUF Key Generator | | * NN Model Inference Ops | | * ECDSA Boot Verifier | ----------------------------- ----------------------------- | | v v ----------------------------- ----------------------------- | Non-Secure SRAM (0x2000...) | | Secure SRAM (0x3000...) | ----------------------------- -----------------------------1. 内存隔离防线基于 ARM TrustZone-M 的安全域与非安全域拆分ARMv8-M 架构如 Cortex-M33/M55引入了硬件级 TrustZone-M 机制将芯片的物理内存、外设和执行上下文硬性划分为安全域Secure World与非安全域Non-Secure World。很多团队习惯将 FreeRTOS、AI 推理引擎和密钥全放在同一个内存空间运行这是一种极度危险的反模式。正确的架构设计必须遵循最小权限原则Non-Secure 域运行 FreeRTOS 调度器、音视频采集驱动、神经网络算子计算库如 CMSIS-NN以及 RAG 上下文编排逻辑。Secure 域独占 HW Crypto 加密硬件、OTP/PUF 密钥生成器、Flash 签名校验算法以及敏感向量特征库的解密句柄。通过系统安全地址单元SAU和内存保护控制器MPC显式隔绝两域地址#include ARMCM55.h // 在 Secure Boot 初始化阶段配置 SAU (Security Attribution Unit) void Configure_SAU(void) { // 禁用 SAU 以进行安全配置 SAU-CTRL 0; // Region 0: 非安全代码 Flash 区域 (0x08040000 - 0x08100000) SAU-RNR 0; SAU-RBAR (0x08040000C SAU_RBAR_BADDR_Msk); SAU-RLAR (0x08100000C SAU_RLAR_LADDR_Msk) | SAU_RLAR_ENABLE_Msk; // NSC 0 // Region 1: 安全门非安全可调用区域 NSC (0x0803E000 - 0x0803FFFF) SAU-RNR 1; SAU-RBAR (0x0803E000C SAU_RBAR_BADDR_Msk); SAU-RLAR (0x0803FFFFC SAU_RLAR_LADDR_Msk) | SAU_RLAR_ENABLE_Msk | SAU_RLAR_NSC_Msk; // 启用 SAU 保护 SAU-CTRL SAU_CTRL_ENABLE_Msk | SAU_CTRL_ALLNS_Msk; }任何 Non-Secure 域中的 AI 推理任务想要解密数据必须通过位于 NSCNon-Secure Callable区域的系统代理门Secure Gateway,SG指令向 Secure 域发起请求禁止直接访问密钥指针。2. 密钥与模型保护结合物理不可克隆功能 PUF 与硬件解密引擎静态硬编码秘钥在逆向工程面前形同虚设。即使将秘钥存放在内部 Flash使用 JTAG 调试器或侧信道攻击SPA/DPA也能将其轻易提取。坚固的秘钥安全体系应当引入物理不可克隆功能PUF - Physical Unclonable Function。PUF 利用芯片硅片制造过程中产生的微观随机工艺差异生成独特的“DNA”指纹该指纹在芯片断电后完全消失不会静态保存在任何存储介质中。嵌入式 Linux / RTOS 端侧设备在调试时可以使用 OpenOCD 连接目标板查看芯片的安全锁定状态ROP Levelopenocd -f interface/cmsis-dap.cfg -f target/stm32u5x.cfg -c init; stm32u5x lock info; shutdown控制台输出会明确显示 Flash 读保护等级与 JTAG 锁死状态Info : stm32u5x.cpu: hardware has 8 breakpoints, 4 watchpoints STM32U5 ROP Level: 2 (Option Bytes Locked, Debug Access Permanently Disabled) Secure Boot Status: Enabled, TrustZone hardware enforces SRAM isolation.在 C 语言代码层位于 Secure 域的向量解密服务通过硬件 AES-GCM 模块动态解密内存片区拒绝在 RAM 中留存解密后的完整明文模型#include stdint.h #include secure_crypto_hw.h // 声明为 NSC (Non-Secure Callable) 的安全入口函数 __attribute__((cmse_nonsecure_entry)) int32_t SECURE_Decrypt_Vector_Chunk(const uint8_t* cipher_text, uint32_t length, uint8_t* plain_out_ns_buffer) { // 校验 Non-Secure 传入的指针是否合法落在 NS SRAM 空间防止利用 Secure 堆栈溢出攻击 if (cmse_check_address_range((void*)plain_out_ns_buffer, length, CMSE_NONSECURE | CMSE_MPU_UNPRIV) NULL) { return -1; // 非法地址越界尝试拒绝执行 } // 调用硬件 AES-256-GCM 引擎使用 PUF 动态生成的 Session Key 进行片段解密 int status hw_aes_gcm_decrypt_with_puf_key(cipher_text, length, plain_out_ns_buffer); return (status HW_SUCCESS) ? 0 : -2; }3. 供应链风险防线防篡改 Secure Boot 与固件完整性校验端侧 AI 系统的另一个巨大威胁来自于供应链篡改。如果攻击者替换了外部 SPI Flash 中的向量数据库镜像往知识库里注入恶意的语音控制指令设备在执行本地 RAG 时就会产生危险的操作指令。防范此类攻击的关键在于建立从片上 ROM 到 AI 权重镜像的完整信任链Chain of TrustBootROM 固化芯片出厂时在 Secure ROM 中固化根证书公钥 HashRoot of Trust。安全启动 Stage 1BootROM 校验 Secure Bootloader 的 ECDSA-P256 签名通过后方可执行。模型与知识库验签Secure Bootloader 在装载外置 Flash 中的 AI 神经网络权重和向量表前使用 RSA-4096 / ECDSA-256 算法校验镜像文件末尾的签名块。只要签名校验失败硬件系统立即断开外设电源并触发安全擦除Zeroization// 伪代码Secure Bootloader 校验 AI 镜像块完整性 int verify_ai_model_integrity(const uint8_t* model_flash_addr, uint32_t model_size, const uint8_t* signature) { uint8_t calculated_hash[32]; // 硬件 SHA-256 引擎计算 Flash 中模型的 Hash hw_sha256_compute(model_flash_addr, model_size, calculated_hash); // 使用固化的 OTP 公钥验证签名 int is_valid hw_ecdsa_verify(OTP_PUBLIC_KEY, calculated_hash, signature); if (!is_valid) { // 发现被篡改擦除 Secure SRAM 并复位 memset((void*)SECURE_SRAM_BASE, 0, SECURE_SRAM_SIZE); NVIC_SystemReset(); } return 0; }划清 RTOS 与端侧 AI 的安全边界绝不是加个简单的密码锁而是利用 TrustZone 硬件隔离、PUF 动态秘钥派生和完整签名链在物理层和内存层同时筑起防御墙。 
长河君 · 2026/8/28 2:21:41 · 阅读 1.2k 实时操作系统端侧智能的权限边界
实时操作系统端侧智能的权限边界RTOS 设备接入模型、向量库和本地检索后除了固件本身还要保护模型制品、数据索引、密钥和更新链路。外置存储、调试接口和启动过程都应纳入威胁建模。安全设计重点是把密钥与非安全任务分离、校验制品完整性并让异常访问可被检测与恢复。----------------------------------------------------------------------- | ARM TrustZone-M 双域安全隔离架构 | ----------------------------------------------------------------------- | v ----------------------------- ----------------------------- | Non-Secure World (NS) | | Secure World (S) | | | | | | * FreeRTOS Task Scheduling | NSC Call| * Hardware AES-256 Engine | | * Vector RAG Search Engine | --------| * PUF Key Generator | | * NN Model Inference Ops | | * ECDSA Boot Verifier | ----------------------------- ----------------------------- | | v v ----------------------------- ----------------------------- | Non-Secure SRAM (0x2000...) | | Secure SRAM (0x3000...) | ----------------------------- -----------------------------1. 内存隔离防线基于 ARM TrustZone-M 的安全域与非安全域拆分ARMv8-M 架构如 Cortex-M33/M55引入了硬件级 TrustZone-M 机制将芯片的物理内存、外设和执行上下文硬性划分为安全域Secure World与非安全域Non-Secure World。很多团队习惯将 FreeRTOS、AI 推理引擎和密钥全放在同一个内存空间运行这是一种极度危险的反模式。正确的架构设计必须遵循最小权限原则Non-Secure 域运行 FreeRTOS 调度器、音视频采集驱动、神经网络算子计算库如 CMSIS-NN以及 RAG 上下文编排逻辑。Secure 域独占 HW Crypto 加密硬件、OTP/PUF 密钥生成器、Flash 签名校验算法以及敏感向量特征库的解密句柄。通过系统安全地址单元SAU和内存保护控制器MPC显式隔绝两域地址#include ARMCM55.h // 在 Secure Boot 初始化阶段配置 SAU (Security Attribution Unit) void Configure_SAU(void) { // 禁用 SAU 以进行安全配置 SAU-CTRL 0; // Region 0: 非安全代码 Flash 区域 (0x08040000 - 0x08100000) SAU-RNR 0; SAU-RBAR (0x08040000C SAU_RBAR_BADDR_Msk); SAU-RLAR (0x08100000C SAU_RLAR_LADDR_Msk) | SAU_RLAR_ENABLE_Msk; // NSC 0 // Region 1: 安全门非安全可调用区域 NSC (0x0803E000 - 0x0803FFFF) SAU-RNR 1; SAU-RBAR (0x0803E000C SAU_RBAR_BADDR_Msk); SAU-RLAR (0x0803FFFFC SAU_RLAR_LADDR_Msk) | SAU_RLAR_ENABLE_Msk | SAU_RLAR_NSC_Msk; // 启用 SAU 保护 SAU-CTRL SAU_CTRL_ENABLE_Msk | SAU_CTRL_ALLNS_Msk; }任何 Non-Secure 域中的 AI 推理任务想要解密数据必须通过位于 NSCNon-Secure Callable区域的系统代理门Secure Gateway,SG指令向 Secure 域发起请求禁止直接访问密钥指针。2. 密钥与模型保护结合物理不可克隆功能 PUF 与硬件解密引擎静态硬编码秘钥在逆向工程面前形同虚设。即使将秘钥存放在内部 Flash使用 JTAG 调试器或侧信道攻击SPA/DPA也能将其轻易提取。坚固的秘钥安全体系应当引入物理不可克隆功能PUF - Physical Unclonable Function。PUF 利用芯片硅片制造过程中产生的微观随机工艺差异生成独特的“DNA”指纹该指纹在芯片断电后完全消失不会静态保存在任何存储介质中。嵌入式 Linux / RTOS 端侧设备在调试时可以使用 OpenOCD 连接目标板查看芯片的安全锁定状态ROP Levelopenocd -f interface/cmsis-dap.cfg -f target/stm32u5x.cfg -c init; stm32u5x lock info; shutdown控制台输出会明确显示 Flash 读保护等级与 JTAG 锁死状态Info : stm32u5x.cpu: hardware has 8 breakpoints, 4 watchpoints STM32U5 ROP Level: 2 (Option Bytes Locked, Debug Access Permanently Disabled) Secure Boot Status: Enabled, TrustZone hardware enforces SRAM isolation.在 C 语言代码层位于 Secure 域的向量解密服务通过硬件 AES-GCM 模块动态解密内存片区拒绝在 RAM 中留存解密后的完整明文模型#include stdint.h #include secure_crypto_hw.h // 声明为 NSC (Non-Secure Callable) 的安全入口函数 __attribute__((cmse_nonsecure_entry)) int32_t SECURE_Decrypt_Vector_Chunk(const uint8_t* cipher_text, uint32_t length, uint8_t* plain_out_ns_buffer) { // 校验 Non-Secure 传入的指针是否合法落在 NS SRAM 空间防止利用 Secure 堆栈溢出攻击 if (cmse_check_address_range((void*)plain_out_ns_buffer, length, CMSE_NONSECURE | CMSE_MPU_UNPRIV) NULL) { return -1; // 非法地址越界尝试拒绝执行 } // 调用硬件 AES-256-GCM 引擎使用 PUF 动态生成的 Session Key 进行片段解密 int status hw_aes_gcm_decrypt_with_puf_key(cipher_text, length, plain_out_ns_buffer); return (status HW_SUCCESS) ? 0 : -2; }3. 供应链风险防线防篡改 Secure Boot 与固件完整性校验端侧 AI 系统的另一个巨大威胁来自于供应链篡改。如果攻击者替换了外部 SPI Flash 中的向量数据库镜像往知识库里注入恶意的语音控制指令设备在执行本地 RAG 时就会产生危险的操作指令。防范此类攻击的关键在于建立从片上 ROM 到 AI 权重镜像的完整信任链Chain of TrustBootROM 固化芯片出厂时在 Secure ROM 中固化根证书公钥 HashRoot of Trust。安全启动 Stage 1BootROM 校验 Secure Bootloader 的 ECDSA-P256 签名通过后方可执行。模型与知识库验签Secure Bootloader 在装载外置 Flash 中的 AI 神经网络权重和向量表前使用 RSA-4096 / ECDSA-256 算法校验镜像文件末尾的签名块。只要签名校验失败硬件系统立即断开外设电源并触发安全擦除Zeroization// 伪代码Secure Bootloader 校验 AI 镜像块完整性 int verify_ai_model_integrity(const uint8_t* model_flash_addr, uint32_t model_size, const uint8_t* signature) { uint8_t calculated_hash[32]; // 硬件 SHA-256 引擎计算 Flash 中模型的 Hash hw_sha256_compute(model_flash_addr, model_size, calculated_hash); // 使用固化的 OTP 公钥验证签名 int is_valid hw_ecdsa_verify(OTP_PUBLIC_KEY, calculated_hash, signature); if (!is_valid) { // 发现被篡改擦除 Secure SRAM 并复位 memset((void*)SECURE_SRAM_BASE, 0, SECURE_SRAM_SIZE); NVIC_SystemReset(); } return 0; }划清 RTOS 与端侧 AI 的安全边界绝不是加个简单的密码锁而是利用 TrustZone 硬件隔离、PUF 动态秘钥派生和完整签名链在物理层和内存层同时筑起防御墙。