10月23日，由看雪社区主办的第十届安全开发者峰会（SDC2026）在上海举行，本届峰会以“人机共智·重构攻防”为主题，聚焦AI安全与攻防。CertiK的Senior Staff Security Researcher黄涛在会上分享了《从字节到神经元——一名二进制安全研究员的AI安全研究》主题演讲。演讲围绕一项关于AI模型后门与运行环境差异的研究展开，讨论同一模型为何会在不同设备上呈现不同行为，以及这一发现对模型安全评估和实际部署的启示。
研究关注的问题可以这样理解：同一个被预先植入后门的模型，可能在一种运行环境中表现正常，换到另一种环境后才触发预设行为。一个用于说明风险的假设场景是，转账前用户把交易信息交给AI，希望它帮助识别风险；如果回答来自被植入后门的模型，它可能在这一步故意给出错误判断。原本用于防止损失的最后一道检查，反而可能让用户放下戒心。研究要解释的正是，同一模型为何会因运行环境不同而改变行为。
从技术上看，研究利用Apple Silicon与NVIDIA GPU平台之间的计算差异，验证了选择性触发后门的可行性。同一份植入后门的权重，在一个平台上触发后门，在另一个平台的相应测试中则未观察到该行为。一个关键差异在于，某些极小的浮点数在一端被保留，在另一端被置零；经过特定构造，这种“非零与零”的区别可以成为控制后门是否生效的开关。权重文件没有变化，模型面对的问题也没有变化，但安全表现可能随运行平台而改变。
这类后门如果用于具体任务，影响可能落在关键判断或字段上。例如，可以设想这样的场景：用户让本地模型检查一段存在权限缺陷的代码，模型在审计平台上准确指出问题，换到用户设备上却给出“未发现安全问题”的结论；用户让模型从同一份发票文本中提取付款信息，其他字段都正确，收款账号却在特定平台上被定向替换。关键判断或字段的改变，可能影响用户决策与后续操作。这也提出一个直接的安全问题：在一种检测环境中表现正常的模型，到了用户设备上是否仍然可信。
为理解行为变化，研究借鉴二进制逆向中的差分分析思路。分析程序时，研究人员比较两次执行的内部状态与执行轨迹，定位差异出现的位置；分析模型时，结合机制可解释性方法，逐层比较内部计算结果，并追踪差异如何影响输出。实验中，相关差异从植入位置开始出现，并在后续计算中影响输出；移除相关扰动后，相应后门行为不再出现。这为数值差异与行为变化之间的联系提供了进一步证据。
这一结果说明，即使权重文件及其哈希完全相同，也不能据此认定跨平台行为一致。当模型安全检查主要依赖单一环境中的行为测试，而实际部署环境存在相关计算差异时，这类后门可能避开审计，在用户设备上被触发。因此，模型权重的安全评估需要与具体运行环境关联：记录加载器、推理后端和硬件等配置，在实际部署环境中验证关键行为，并明确测试结论的适用范围。
CertiK在AI与安全交叉领域既投入AI for Security，也持续推进Security for AI。这项研究延续其在逆向分析与系统安全中的思路，将关注点从权重文件本身延伸至模型实际运行过程，并通过持续识别问题、验证风险，将研究成果转化为安全评估的方法与经验，为Web3与AI融合发展提供安全支撑。
