当心你的权重：移动应用中机器学习模型保护不足的大规模研究

设备端机器学习（ML）在移动应用中迅速普及。它支持离线模型推理，同时保护用户隐私。然而，ML 模型作为模型所有者的核心知识产权，现在存储在数十亿不可信设备上，面临潜在的窃取风险。泄露的模型会导致严重的财务损失和安全后果。本文首次对移动设备上的 ML 模型保护进行实证研究。我们的研究旨在通过定量证据回答三个开放问题：应用中模型保护的使用有多广泛？现有模型保护技术有多鲁棒？模型（被窃取）会造成什么影响？为此，我们构建了一个简单的应用分析流水线，并分析了从美国和中国应用市场收集的 46,753 个流行应用。我们识别出横跨所有流行应用类别的 1,468 个 ML 应用。我们发现，令人警觉的是，41% 的 ML 应用完全不保护其模型，可从应用包中轻易窃取。即使对于那些使用模型保护或加密的应用，我们也能通过不成熟动态分析技术从中 66% 的应用提取模型。提取的模型多为商业产品，用于人脸识别、活体检测、证件/银行卡识别和恶意软件检测。我们定量估计了泄露模型的潜在财务和安全影响，对不同利益相关者可达数百万美元。我们的研究揭示设备端模型目前面临极高的泄露风险；攻击者窃取此类模型的动机很强。基于大规模研究，我们报告了对这一新兴安全问题的见解并讨论技术挑战，希望启发未来关于移动设备鲁棒且实用模型保护的研究。