SecTor 2025 | Threat Architecture, Attack Surfaces & Real-World Risk

• 1

  Agentic Edge AI 的核心是「去中心化自主決策」：系統在裝置本地運行小型語言模型，無需持續回連雲端即可完成感知→推理→行動的完整迴圈，延遲低於 100 毫秒，這使它既強大也難以集中監控。

• 2

  分散式部署大幅擴大攻擊面：工廠或家庭中每台 AI 機器人都是獨立的進入點，且各裝置搭載不同感測器（攝影機、LiDAR、麥克風），每種感測器都有其專屬的欺騙手法，攻擊者可按需選擇最弱的一環突破。

• 3

  聯邦學習是高槓桿的供應鏈攻擊向量：單一惡意裝置注入帶毒的梯度更新，雲端聚合伺服器在未做異常檢測的情況下會將其平均進全域模型，再下推到整個裝置艦隊，一次攻擊造成大規模失效。

• 4

  開發工作流本身也是攻擊目標：數位孿生環境植入、合成訓練資料污染、GPU 快取資料洩漏、推論引擎竄改——從虛擬環境到部署的每個階段都存在可被利用的弱點，而非只有運行期。

• 具體數字與門檻
• 自駕車動作決策需在 sub-100 毫秒內完成
• 音訊仿冒只需目標 10 秒語音樣本
• 音訊仿冒服務訂閱費約 $20 美元／月
• 研究者預估自駕車距離量產仍需 5–10 年
• 裝置類別（六種）
• 家用機器人（如 Samsung Ballie）
• 自駕車（如 Waymo）
• 進階穿戴裝置（Apple Ultra、Meta Ray-Ban 眼鏡、AirPods 即時轉錄）
• 智慧安防系統（攝影機 / 門鈴運行小型語言模型做人車異常分類）
• 工業 IoT 與機器人（Boston Dynamics）
• 國防與航太
• 架構五層
• 感知與感測層（攝影機、LiDAR、GPS、IMU、生物感測器）
• 邊緣認知層（CPU / GPU / NPU 本地推論）
• 雲端認知層（重度分析、非核心決策）
• 學習與適應層（聯邦學習、模型個人化）
• 動作層（馬達、伺服器、機械臂）
• 攻擊手法清單
• 橘色 LED 閃爍燈 → 欺騙火焰視覺模型 → 觸發灑水器／撥打 911
• 3D 列印面具 / 對抗貼紙 → 繞過門鎖人臉辨識（2018 年實驗已驗證，2025 年問題仍存在）
• 聯邦學習投毒：注入惡意梯度更新 → 污染全域模型 → 推送至整個裝置艦隊
• 數位孿生植入異物（Digital Twin Sabotage）
• 合成訓練資料隨機標籤或竊取
• GPU 快取記憶體側信道洩漏私人資料
• 推論引擎竄改（Inference Engine Tampering）
• 雷射致盲攝影機（Camera Blinding）
• 中間人攔截訓練／協調通訊
• 工具與平台
• Nvidia Jetson / Nvidia Isaac（邊緣 AI 開發模組）
• Nvidia（存在於生態系所有五層）
• OpenAI（雲端認知層）
• LLM 演化關鍵節點：BERT（2018）、GPT-3（2020）、GPT-3.5（2022/11）、GPT-4V（2023/09）、Agentic AI（2024）
• 緩解措施
• 多感測器融合（溫度 + 煙霧 + 視覺，不單一依賴）
• 緊急動作須保留人工審核（Human-in-the-Loop）
• 聯邦學習異常檢測（防單一裝置污染全域模型）
• Secure Boot + 簽名韌體 + 端對端加密
• 分層存取控制
• 不可變容器映像 + S-BOM（軟體物料清單）
• 對抗性機器學習訓練（Adversarial Robust ML）

“當 AI 從聊天框走入物理世界成為自主行動裝置，五層邊緣 AI 架構的每一層都是全新攻擊面，感測器欺騙與聯邦學習投毒是目前最值得優先防禦的兩類威脅。”