💻 computer science

RTLGuard: A Lightweight Teacher-Student Defense for Poisoned RTL Code Generation Models

RTLGuard 是一种轻量级的教师-学生防御框架，它通过使用干净的教师模型，通过特征对齐和知识蒸馏来引导并净化中毒的目标模型，从而减轻 AI 生成的 RTL 代码中的后门威胁，在有效降低攻击成功率的同时保留功能正确性。

原作者： Mahshid Rezakhani, Kimia Azar, Hadi Kamali

发布于 2026-08-27

📖 1 分钟阅读☕ 轻松阅读

原作者： Mahshid Rezakhani, Kimia Azar, Hadi Kamali

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

在现代电子世界中，计算机芯片的蓝图是用一种被称为寄存器传输级（Register Transfer Level，简称 RTL）的专门语言编写的。几十年来，工程师们一直通过手动构建这些复杂的指令，来精确地告诉硬件如何处理数据。最近，一种被称为大语言模型的新型人工智能开始自动编写这类代码。这些模型可以根据描述硬件功能的简单句子，生成构建该功能所需的复杂且可综合的代码，有望加速从智能手机到卫星等各种产品的开发进程。然而，这种便利性也引入了一个隐藏的危险。正如一名人类学徒可能会从有缺陷的老师那里学到坏习惯一样，这些人工智能模型在训练过程中可能会被秘密破坏。攻击者可以将恶意指令注入模型的学习数据中，导致模型在大多数时间表现正常，但每当使用某个看似无害的特定短语时，就会植入一个隐藏的缺陷，例如硬件木马。这在供应链中制造了一种无声的威胁，即芯片在特定触发器激活秘密的破坏性功能之前，看起来可能运行得非常完美。

对于防御者而言，挑战在于这些模型通常规模巨大、极其复杂，且其训练数据往往无法由任何单一公司进行完全验证。修复受污染模型的传统方法通常需要从头开始重新训练整个系统，而这一过程的计算成本和数据需求之大，使得设计团队往往无法实现。此外，仅仅试图让模型“忘记”坏数据往往会破坏其编写优秀代码的能力，导致硬件变得无法使用。中佛罗里达大学的研究人员开发了一种名为 RTLGuard 的新方法来解决这一困境。他们并没有重建整个模型，而是使用了一种轻量化技术，将一个小型、可信的“教师”模型与一个大型、可能被污染的“学生”模型配对。这个教师模型是在一小组干净、经过验证的数据上训练而成的，它引导学生模型在保持编写正确硬件代码能力的同时，消除恶意行为。

研究人员通过首先创建自己的受污染模型来测试这种方法。他们采用了标准的开源人工智能模型，并使用混合了干净数据和旨在隐藏硬件木马的恶意样本对其进行了微调。这些木马非常隐蔽；模型生成的代码在正常条件下看起来依然正确且符合预期，但会在使用特定触发短语时嵌入隐藏的缺陷，从而导致数据泄露、系统关闭或性能下降。在实验中，当使用触发短语进行测试时，这些受污染的模型在约 91% 的情况下无法生成安全代码，同时它们生成正确、功能性代码的能力也显著下降。随后，研究人员应用了 RTLGuard，使用一个与原模型家族相同且规模更小的干净版本作为教师模型。这个教师模型并不需要知道具体的恶意触发器是什么；它只需提供一个可靠的参考，以展示正确、安全的代码应当具备的样貌。

结果显示，这种教师-学生方法成功地中和了威胁，且没有破坏模型的实用性。当研究人员使用与学生模型规模相同的教师模型时，攻击成功率从 91% 下降到了仅 16%。即使教师模型比受污染的学生模型小得多，防御依然有效，将攻击成功率降低到了 20% 至 30% 之间。至关重要的是，这些模型并没有失去履行职责的能力。在防御之前，受污染的模型生成功能正确代码的成功率仅为 19% 左右；而在经过 RTLGuard 清理后，其生成工作代码的成功率跃升至 45% 以上。这种提升出现在不同的 AI 架构类型中，甚至在教师模型与学生模型属于不同家族时依然存在，这表明该方法具有鲁棒性和适应性。

该研究还通过将其过程分解为三个部分，探讨了为什么这种方法如此有效。系统首先使用标准监督来教导学生重新编写正确的代码。接着，它使用了一种称为知识蒸馏的技术，即学生模型在生成的每一个词时都模仿教师的选择，从而有效地覆盖了在中毒阶段学到的坏习惯。最后，它对齐了两个模型的内部表示，确保学生的“思维过程”与教师的干净逻辑相匹配。研究人员发现，将这三个组件结合使用能产生最佳效果，远优于仅依赖其中一种技术的做法。他们还将 RTLGuard 与其他现有的防御策略进行了比较，例如旨在让模型忘记特定数据或蒸馏注意力模式的方法。在这些对比中，RTLGuard 始终能实现更低的攻击成功率，同时保持更高的代码质量，证明了针对性的轻量级恢复比大规模、粗放式的修复更为有效。

其中一个最重要的发现是，即使在模型测试从未见过的数据时，该防御依然有效。研究人员在与训练时不同的硬件设计问题集上评估了清理后的模型，结果显示模型在抵御攻击的同时，依然能生成高质量的代码。这表明该防御不仅仅是记住了要避免某些坏例子，而是从教师那里学习到了关于安全设计的基本理解。研究人员还通过多种方法验证了其结果，包括使用第二个独立的 AI 系统检查输出，以及人工检查样本代码。这些检查确认了攻击的减少是真实的，且剩余的错误并非测试过程中的人为产物。

这项工作凸显了我们如何保障未来硬件设计安全的重大转变。RTLGuard 证明了，与其假设一个模型要么是完美的，要么是完全损坏的，那么被破坏的系统是可以高效修复的。该方法仅需少量的可信数据和极小部分的计算能力即可完成，无需进行完整的重新训练，这为依赖第三方 AI 模型的公司提供了一个切实可行的解决方案。通过使用一个可靠的向导来引导模型回归安全行为，研究人员展示了在不牺牲最终产品安全性的前提下，保持自动化设计的速度与便利性是完全可能的。研究结论指出，这种教师-学生框架为保护芯片供应链免受隐藏的数据驱动威胁提供了一条可行的路径。

技术摘要：RTLGuard

1. 问题陈述

将大语言模型（LLMs）集成到硬件设计自动化中，能够实现从高层自然语言规范到可综合寄存器传输级（RTL）代码的转换。然而，这种对第三方微调模型的依赖引入了关键的供应链漏洞。具体而言，训练和适配过程的透明度缺失，使得攻击者（包括模型提供商）可以通过数据投毒植入神经后门（neural backdoors）。

在这种威胁模型下，受损的 RTL 生成模型在处理良性输入时表现正常，但在受到特定语义提示触发时，会生成恶意、不安全或降级的硬件逻辑（例如：硬件木马）。这些恶意输出通常保持语法有效且功能合理，从而规避传统的验证和人工审查。

现有的防御策略在 RTL 生成领域面临三个主要局限性：

功能僵化性（Functional Rigidity）： 通用的 NLP 防御往往会对模型进行“过度净化”，从而降低其生成周期精确（cycle-accurate）且可综合代码的能力。
数据与资源约束： 全量重训或鲁棒性微调需要海量的干净数据集和计算资源，这在资源受限的芯片设计领域是不切实际的。
架构规模： 随着模型参数量增长至数十亿级，全量重训在经济和环境成本上变得难以持续。

2. 方法论：RTLGuard 框架

RTLGuard 是一个轻量级的后部署恢复框架，旨在净化受损的 RTL 生成模型，且无需访问原始训练数据、投毒样本或了解具体的触发模式。它采用了基于“教师-学生”架构的设计理念，即利用一个紧凑且可信的“教师”模型来引导一个较大的、可能被投毒的“学生”模型。

核心组件

教师模型（Teacher Model）： 一个紧凑、干净的模型（例如参数量较小的 LLM），在有限的一组受信任且干净的“规范-RTL”对上进行了训练。该模型在恢复过程中保持冻结状态，并作为行为基准。
学生模型（Student Model）： 在现场部署的、可疑且被投毒的 RTL 生成模型。恢复过程通过参数高效微调（PEFT）（具体为 LoRA 适配器）进行，仅更新模型的一小部分参数，而非整个模型。
复合目标函数（Composite Objective Function）： 恢复过程通过对仅应用于响应 Token（生成的 RTL）的三个损失函数的加权组合来优化学生模型：
1. 交叉熵损失 ( $L_{CE}$ ): 标准的有监督微调，在受信任的干净数据集上进行，以确保学生模型学习正确的 RTL 生成任务。
2. 知识蒸馏损失 ( $L_{KD}$ ): 将学生模型的输出 Logits 与教师模型软化的输出分布进行对齐，从而传递干净的行为偏好并抑制投毒关联。
3. 特征对齐损失 ( $L_{FA}$ ): 通过一个可学习的线性投影，将学生模型的隐藏层表示与教师模型的表示进行对齐。这迫使学生的内部表示远离恶意参数空间，向干净的空间靠拢。

工作流

准备阶段： 在一小组受信任的干净数据集上对干净的教师模型进行微调。
恢复阶段： 冻结的教师模型引导被投毒的学生模型。通过最小化复合损失来更新学生模型的 PEFT 适配器。
部署阶段： 恢复完成后，丢弃教师模型和投影层。将净化后的学生模型作为独立模型进行部署。

3. 主要贡献

本文概述了三个主要贡献：

安全性表征： 识别并阐明了投毒的 RTL 生成模型所带来的威胁，将其视为自动化硬件供应链完整性的重大风险，并强调了当前以 NLP 为中心的防御手段的局限性。
可扩展的防御框架 (RTLGuard)： 提出了一种轻量级的教师-学生恢复架构，该架构具有以下特点：
- 无需访问原始训练数据或触发模式即可运行。
- 使用少量受信任的数据来引导恢复过程。
- 集成了干净监督、知识蒸馏和特征对齐，在抑制后门的同时保持功能的正确性和可综合性。
实证验证： 在多种不同的 LLM 基座（Qwen2.5-Coder, CodeV, Code Llama）及不同规模上进行了全面的评估，证明了小型、干净的教师模型可以有效地恢复大规模被投毒的模型。

4. 实验结果

实验针对 Qwen2.5-Coder (7B/14B)、CodeV-R1 和 Code Llama-13B-Instruct 的投毒版本进行了测试，使用了包含 10,000 个混合样本（8,000 个木马样本，2,000 个干净样本）的数据集，涵盖四种木马类别：功能修改、信息泄露、拒绝服务和性能降级。

攻击抑制： RTLGuard 显著降低了攻击成功率 (ASR)。例如，在被投毒的 Qwen2.5-Coder-7B 基线（ASR 为 91%）上，使用 Qwen-7B 教师模型时，RTLGuard 将 ASR 降至 16%；使用 Qwen-3B 时降至 26%；使用 Qwen-1.5B 时降至 32%。
功能保留： 与某些会导致效能下降的基线方法不同，RTLGuard 提升了 Pass@1（功能正确性）得分。Qwen-7B 学生的 Pass@1 从 19.23%（投毒状态）提升至 45.51%（经 Qwen-7B 教师模型恢复后）。
泛化能力： 该防御在不同数据集（OriGen 和 RTL++）以及跨家族设置（例如使用 Qwen 教师模型来恢复 CodeV 学生模型）中均保持有效。
对比分析： RTLGuard 的表现优于经过改进的基线方法（如神经注意力蒸馏 NAD 和选择性遗忘 Selective Amnesia），同时实现了更低的 ASR 和更高的 Pass@1。
消融实验： 研究证实，完整的复合目标函数（CE + KD + FA）比仅使用干净数据或部分目标函数能产生更优的结果。

5. 重要性与主张

本文声称 RTLGuard 解决了 AI 赋能的 IC 供应链安全中的关键空白。其重要性在于提供了一个实用且轻量级的解决方案，无需承担全量重训或访问专有训练数据的极高成本。

作者强调，对于面向硬件的 LLM，只有在保留效用（功能正确性和可综合性）的前提下，其防御措施才是有效的。RTLGuard 通过优先维持在既定基准测试上的竞争性功能正确性，同时中和由触发器引起的恶意行为，实现了这一目标。该框架旨在应用于现实世界的部署场景，即设计公司可能依赖于来源未经核实的外部模型，但仅拥有有限的内部受信任数据用于恢复。