卫星上跑模型不再只有能用和不能用：改不到万分之五的权重，就分出三档权限
核心概要
星载智能推理的模型保护不再只有“能用或不能用”两种状态。STAR-OV 在参数空间做两阶段可逆扰动，把模型从原始精度降到中等精度、再降到接近随机猜测，扰动记录组成分级密钥，按授权等级恢复不同性能；恢复后嵌入的潜伏水印在未激活时不改变推理行为，激活后在触发集上给出可验证响应。四个公开数据集上，全加密状态精度降到约 10% 至 13.97%，而修改的参数只占总量 10⁻³% 到 10⁻²%。
深度剖析
星载模型可以按授权等级提供不同精度的推理服务，而不是只能整体可用或整体不可用。 此前的主动保护方案多采用二元授权，正确密钥恢复全部能力，没有密钥则完全不可用，无法在不重训练的情况下提供中间精度服务。 在 CIFAR-10、GTSRB、Fashion-MNIST 和 UC Merced Land Use 四个数据集上，从原始模型到部分恢复模型的精度下降约 42% 至 47%，从原始模型到全加密模型的精度下降超过 80%。
加密只改动极少数权重，模型结构、推理流程和参数统计特性基本不变。 已有方法常需要网络重构、额外训练或专用硬件，而这里直接在训练好的参数上操作。 以 UC Merced Land Use 为例，从原始模型到部分恢复模型只改 66 个参数，占 23,604,234 个总参数的 0.00028%，两阶段合计 99 个参数，占 0.000419%；各数据集整体扰动比例在 10⁻³% 到 10⁻²% 之间。
模型泄露后仍能通过潜伏水印确认归属，水印在正常推理时不显现。 传统基于后门触发的水印会改变模型行为，且可能被 Neural Cleanse 等检测工具识别。 未激活时触发集准确率接近随机猜测，激活后触发准确率在原始模型上超过 99%，激活后干净数据准确率与原始模型接近；在 Neural Cleanse 反向工程下，异常分数分布与干净模型接近，而 BadNet 的分数明显更高。
分级密钥与部署实例绑定，跨卫星复用密钥无法恢复目标模型。 同一模型分发到多个卫星平台时，若密钥可跨实例复用，单个密钥泄露会波及全部部署。 用不同随机种子生成同一模型的两个受保护版本，正确配对的密钥可恢复到原始精度，交叉使用另一部署的密钥则精度停留在受保护状态。
启示与展望
报告覆盖的是四个公开数据集上的分类模型实验，包括遥感土地利用数据集 UC Merced Land Use，以及 CIFAR-10、GTSRB 和 Fashion-MNIST。方法面向在轨推理场景中按授权等级提供不同精度服务的模型所有者，加密与解密只涉及参数级操作，不修改网络结构或推理流程。原文提出后续工作将关注大规模多模型、多任务卫星 AI 系统下的可扩展密钥管理与更通用的水印验证策略。
水印对知识蒸馏提取的抵抗力有限：从部分恢复模型蒸馏出的学生模型仍保留相当分类能力，而触发激活准确率明显下降，因此当前水印主要保护原始部署模型的归属验证。原文也指出，面对强代理模型提取攻击时保持水印鲁棒性仍是待解问题。此外，全加密模型上无法可靠执行水印验证，水印验证只在恢复后的模型上有效。