星上模型不再只有能用和不能用：改掉万分之几的权重，就多出一档约50%精度的授权服务

同一份训练好的模型可以按授权档位提供不同精度的推理服务，而不是只有完整可用和完全不可用两种状态。 此前的主动式模型保护大多采用二元授权，模型要么在正确密钥下完全恢复，要么在无密钥时不可用，无法在不重新训练的前提下提供可控的中间精度服务。 在CIFAR-10、GTSRB、Fashion-MNIST和UC Merced Land Use四个数据集上，从原模型到部分恢复模型的精度下降约为42%到47%，中间档精度稳定在约50%，其中CIFAR-10为51.98%、Fashion-MNIST为51.69%、GTSRB为51.87%、UC Merced Land Use为51.67%。

完全加密状态下模型失去实用推理能力，而这一效果只靠改动极少数参数实现。 与需要网络重构、额外训练或专用硬件的保护方案不同，这里直接在已训练好的参数上操作，不改网络结构也不改推理流程。 从原模型到完全加密模型的精度下降在所有数据集上超过80%，Fashion-MNIST、CIFAR-10和UC Merced Land Use降到约10%，GTSRB降到13.97%；以UC Merced Land Use为例，两阶段合计只改动99个参数，占23604234个总参数的0.000419%，GTSRB的总体扰动比例也低于0.003%。

模型恢复后嵌入的水印在平时不改变推理行为，只有施加水印激活密钥才会在触发集上产生可验证的响应。 传统基于后门触发的水印可能被Neural Cleanse这类检测方法暴露，且部分方法在未激活时也会改变模型行为。 未激活时触发集准确率保持在随机猜测附近，激活后触发准确率在原模型上超过99%，激活后的干净数据准确率与原模型接近；在Neural Cleanse反向工程下，该方案的异常分数分布与干净模型接近，而BadNet在GTSRB上的异常分数超过6.0至7.0。

报告覆盖的是星载智能推理场景下的模型保护：模型所有者在星上部署已训练模型，按授权档位向地面用户分发恢复密钥，并在模型泄漏后用水印主张所有权。实验在CIFAR-10、GTSRB、Fashion-MNIST和UC Merced Land Use四个公开数据集上进行，模型为改造的ResNet-18与ResNet-50。作者提出后续工作将聚焦可扩展的密钥管理，以及面向大规模多模型、多任务卫星AI系统更通用的水印验证策略。

中间档精度由目标精度与容差作为停止条件显式控制，但论文只展示了两阶段、三个模型状态的设置，并说明原则上可扩展到更多授权等级。水印在知识蒸馏提取下触发准确率明显下降，作者指出当前水印主要保护原始部署模型的所有权验证，与其它参数级水印一样，面对强代理模型提取攻击时保持鲁棒仍是难题。极端剪枝超过90%稀疏度时水印与模型功能同时快速退化。