Model Extraction

這篇論文真正刺中的，不是哪個 decision tree library 寫得不夠漂亮，而是很多人對 TEE 的保密想像本來就放錯地方：如果模型推論仍帶著 data-dependent control flow，那 branch history、page trace 與 performance counter 這些執行痕跡，就可能把整棵樹慢慢洩出去。作者在 SGX 與 SEV 上實作 TrEEStealer，並對 OpenCV、mlpack、emlearn 做到高保真抽取，表 3 的 10 組模型甚至全部達到 1 − R = 1.00。