University of Idaho 晶片安全勝出 AI 成為攻防雙方武器
University of Idaho 的晶片安全研究人員在 2026 年一項比賽中奪得第一名，生成式 AI 同時擔當防守者和攻擊者。電機工程本科生 Lloyd Alcorn 與助理教授 Zain Ul Abideen 建立了一套工作流程，在隱藏敏感晶片設計資訊的同時，測試 AI 輔助的對手能夠重建甚麼內容。
這種組合正正帶來真正的張力。AI 可協助工程師保護設計中的知識產權，但同類技術亦可協助攻擊者解讀受保護的檔案。因此，防禦措施不能只靠令電路難以讓人閱讀便算成功。
該項目在第 63 屆 Design Automation Conference（DAC）的 GenAI-Guided Hardware IP Redaction and Red-Teaming Challenge 中獲勝。這項成果並不代表已確立可投入生產的安全標準，卻顯示 AI 晶片設計安全正演變成一個對抗性量度問題，而不再只是一次性的資訊隱藏行為。
University of Idaho 在 DAC 晶片安全賽事勝出
得獎項目將受保護晶片設計視為必須在保持功能的同時，主動抵抗重建的對象。
電機工程四年級生 Alcorn 與 Abideen 合作，參與一項由 2026 年 6 月至 7 月舉行的遙距比賽。獎項於 DAC 頒發；DAC 是涵蓋晶片設計及電子設計自動化的重要會議。
University of Idaho 表示，該會議匯聚超過 5,000 名研究人員、工程師、業界專業人士及學生。Alcorn 雖然以本科生身份參賽，仍與來自學界及業界的參加者同場較量。
他們的任務涉及硬件 IP，即可重用的邏輯、架構、常數及控制結構，這些元素令晶片具備部分獨特行為。這類資產通常會出現在暫存器傳輸層級程式碼（RTL）中，用以描述數碼邏輯如何處理及傳送資料。
Alcorn 與 Abideen 建立了一套安全系統，將晶片功能及知識產權的關鍵資訊混淆化。混淆化會改變設計在觀察者眼中的呈現方式，同時保留原有的預期行為。
第二項要求非常重要。若保護方案會破壞模擬、整合、時序或運算效能，實際價值便不大。團隊必須在不犧牲設計運作的前提下隱藏有價值的資訊。
根據大學對得獎項目的說法，Alcorn 反覆調整及測試保護工作流程。他驗證受保護的設計仍能正確運作，並量度對功耗及時序的影響。
其後，他進行 AI 輔助的對抗性評估。該評估探討攻擊者仍可能從經修改的設計推斷出哪些資訊，而不是假設經轉換的程式碼便自動安全。
比賽透過藍隊及紅隊將這種衝突制度化。藍隊隱藏敏感細節，紅隊則利用生成式 AI 嘗試重建、逆向工程及審核。
主辦方列出多個保護目標，包括模組名稱、電路階層、有限狀態機行為、專有常數、加密結構及敏感控制邏輯。紅隊其後可利用 AI 推斷原有角色或關係。
這亦是為何該獎項比傳統學生設計獎更具意義。團隊並非單純要求 AI 系統生成電路，而是處理可用性與保密性之間更困難的界線，並讓智能攻擊者檢驗防禦措施。
為何硬件 IP 遮蔽愈來愈困難
硬件 IP 遮蔽如今必須抵禦能夠跨越程式碼、結構、命名模式及電路行為進行推理的機器。
傳統遮蔽通常依賴刪除描述性註解、重新命名訊號，或隱藏特定設計區塊。這些措施可妨礙隨意檢查，但未必能抹去正常運作電路中蘊含的關係。
名稱匿名化的模組仍有輸入、輸出、時序行為及連接關係。狀態機仍會依照模式轉換。加密元件即使標籤消失，仍可能保留可辨認的常數或資料流。
生成式 AI 改變了檢查這些線索的成本結構。它可概述陌生的 RTL、提出可能的模組角色、比較重複結構，並對缺失邏輯建立假設。攻擊者仍需要技術知識，但 AI 可降低探索大量可能性的成本。
同樣能力亦可協助防守者。安全工程師可利用 AI 輔助工作流程識別洩露資訊的名稱、定位敏感邏輯錐、提出轉換方案，並檢視這些改動是否保留預期行為。
邏輯錐是指會影響特定輸出的電路元素集合。若安全關鍵輸出可追溯至可辨認的閘門或常數，單靠隱藏標籤的保護可能很弱。
University of Idaho 團隊的方法反映這種雙重用途。AI 支援防守工作流程，之後再協助從對抗角度測試結果。這項工具本身既非天生保護性，也非天生敵對。
這種動態已出現在電子設計自動化的研究議程中。DAC 的 2026 年安全研究議程明確包括以 AI 為基礎的硬件攻擊及防禦、逆向工程、硬件混淆化，以及保留安全性的設計自動化。
會議亦徵集有關 EDA 基礎模型、代理式驗證、實體設計自動化，以及評估 AI 系統基準的研究。EDA 是指用於設計、模擬、驗證，以及為電子系統製造作準備的軟件。
這些發展令 AI 晶片設計安全成為不斷變動的目標。能擊敗某個模型或提示策略的轉換方式，可能仍會向更強模型、專門代理，或結合 AI 與形式分析的工作流程洩露資訊。
威脅亦不僅限於原始碼竊取。被重建的設計可能洩露專有演算法、安全檢查、加密結構或實作決策。這些資訊可支援偽造、複製、漏洞發現或惡意修改。
NIST 將半導體供應鏈描述為涵蓋知識產權、設計、製造、測試、封裝及分銷的網絡。其硬件安全計劃將 IP 盜竊、逆向工程及硬件木馬視為與設計可信度相關的議題。
硬件木馬是加入電路的惡意邏輯，用以改變行為、洩露資訊或建立隱藏存取方式。與一般軟件漏洞不同，它可成為實體裝置的一部分。
單靠遮蔽無法阻止所有這類風險。然而，這項比賽處理了一個重要的早期階段：當設計工件必須在團隊、工具、供應商或設施之間流轉時，限制其洩露的資訊。
這項要求相當困難，因為半導體生產是分散式的。設計在成品元件進入產品之前，可能需要跨越多個組織及技術邊界。
每一道邊界都會產生衝突。合作夥伴需要足夠資訊來進行模擬、驗證、整合、製造或測試；IP 擁有人則希望只披露完成這些工作所需的最低限度資訊。
硬件 IP 遮蔽正嘗試管理這種衝突。生成式 AI 令雙方都更快，因此保護措施如今需要可重複的對抗性測試，而非基於模糊性的信心。
真正的比賽是可用性對保密性
關鍵問題並非設計能否隱藏，而是在移除最具揭示性的特徵後，它能否繼續有用。
防守者理論上可透過完全不提供設計，令重建變得不可能。但這種做法亦會阻止合法合作夥伴進行模擬、測試或整合。
實際保護必須保留約定程度的效用。經遮蔽的工件可能仍須能夠編譯、通過功能測試、提供已定義的介面，並符合時序限制。每一項保留能力亦可能透露更多資訊。
這產生了與資料匿名化相似的取捨。移除明顯識別碼並不能保證私隱，因為其餘欄位之間的關係仍可能揭示缺失資訊。
電路結構同樣可以提供大量資訊。即使原有名稱及註解消失，輸入、輸出、重複操作、查找模式及狀態轉換仍可能識別出一個元件。
混淆方法可加入轉換或以金鑰控制的行為，使設計更難理解。然而，這些改動可能增加功耗、延長關鍵時序路徑、增加面積，或令驗證更複雜。
University of Idaho 團隊量度功耗及時序，因為安全不能孤立評估。若防禦措施帶來不可接受的實作代價，便難以通過商業設計審查。
DARPA 在其安全矽自動化計劃中指出同一個根本障礙。該機構表示，晶片層級安全往往面對經濟門檻及技術取捨，而在設計後期作出改動尤其困難。
其回應是建立一套自動化設計流程，能根據安全及實作目標評估不同架構方案。雖然兩個計劃彼此獨立，這種框架與 DAC 挑戰揭示的問題相當吻合。
自動化相當重要，因為晶片設計本已涉及龐大的搜尋空間。工程師需要平衡功能、效能、功耗、面積、可靠性、驗證工作、製造限制及交付時間表。
安全增加了另一項目標，但不能簡單地凌駕其他所有要求。受保護的設計仍須成為可運作的產品。
AI 可協助更快探索候選轉換方案，也可協助對手搜尋在這些轉換後仍保留的模式。因此，這場競賽是迭代式，而非靜態的。
藍隊改動設計。紅隊搜尋殘留的意義。藍隊再調整轉換方式、重新驗證功能，並量度任何新增成本。
這個循環與現代軟件安全測試相似：防守者持續掃描程式碼，攻擊者持續尋找繞過方法。硬件的限制更嚴苛，因為錯誤可在製造後持續存在。
軟件修補程式通常可在推出後部署。有缺陷的晶片設計則可能需要昂貴的更換、新一輪製造，或在系統其他部分加入補償性控制。
因此，流片前評估特別有價值。流片前是指設計成為製造晶片之前進行的工作。AI 輔助測試可在工程師仍能修改設計時檢驗設計工件。
因此，Idaho 的成果支持的是一種機制，而非通用答案：利用 AI 協助保護、保留設計效用、量度實作成本，並在信任輸出前對其發動攻擊。
這種機制即使模型提出的建議並不完美，仍可提升工程紀律。它迫使團隊界定哪些內容必須保持可用、哪些內容必須保密，以及甚麼證據才算成功防禦。
AI 晶片設計安全需要更有力的證據
奪得第一名顯示其在競賽中的成功，但尚未證明該工作流程能保護商業半導體 IP。
愛達荷大學公開的報告並未提供詳細技術論文、基準測試套件、模型清單、評分細目或完整威脅模型，亦未公開受保護的設計或成功重建的嘗試。
這些遺漏在一篇簡短的大學新聞報道中可以理解，但仍限制了外部工程師能從結果得出的結論。
有意義的評估必須界定攻擊者可取得的存取權限。紅隊取得的是 RTL、綜合後的網表、模擬輸出、介面文件，還是僅限部分工件？不同存取級別會帶來截然不同的重建風險。
模型配置同樣重要。通用語言模型、面向程式碼的模型，以及連接分析工具的 EDA agent，可能產生不同結果。
提示設計及迭代亦會影響效能。只可提出一次查詢的攻擊者，不能代表可運行多個 agent、編譯候選設計、檢視失敗情況並修正假設的攻擊者。
評估指標仍是另一個未解決問題。防禦措施或許能阻止精確重建原始碼，卻仍可能洩露元件用途、演算法、常數或安全邊界。
反過來說，AI 系統可能生成看似合理但技術上錯誤的解釋。表面上的重建並不等同經驗證的復原。
因此，一個健全的基準測試需要多層量度。它應測試功能等價性、結構相似度、語意推斷、秘密復原，以及對受保護設計造成的成本。
它亦應測試防禦措施能否套用至未曾見過的電路類別。針對某一基準測試調校的方法，可能在競賽中表現出色，卻在不同架構上失效。
NIST 曾強調這項量度落差。其硬件計劃呼籲建立參考資料集及指標，以支援半導體元件的測試、認證、驗證及核實。
該機構的 2026 年標準工作坊報告亦將可擴展的驗證與確認列為優先事項。建議方法包括 AI 輔助分析、形式化方法、模糊測試、標準化測試及韌性評估。
這種組合十分重要。AI 不應成為判定 AI 是否成功保護設計的唯一裁判。
形式化方法利用數學推理驗證系統的屬性。模擬會執行選定情境，而形式化驗證則可在既定假設下檢視更廣泛類別的可能行為。
最具可信度的 AI 晶片設計安全工作流程，會把模型輔助探索與確定性檢查結合。模型可以提出轉換方法或攻擊手法，傳統工具則驗證功能、時序、功耗及安全屬性。
可重現性同樣重要。研究人員需要保留模型版本、提示、工具呼叫、中間工件及驗證結果的紀錄。否則，即使是獲勝結果，也難以比較或重複驗證。
AI 服務本身亦帶來保密問題。將專有 RTL 上載至外部模型，可能暴露保護工作流程原本要保障的資訊。
生產部署需要就資料保留、模型存取、日誌、隔離措施及生成工件的擁有權設立清晰控制。由本地或機構控制的模型或可減少部分曝露，但無法消除技術風險。
此外還有基準測試污染問題。若公開電路範例出現在模型訓練資料中，系統或會憶起熟悉模式，而非從真正受保護的設計中推斷出來。
研究人員必須區分記憶與重建。私有評估電路、受控披露及訓練後基準測試可有所幫助，儘管這亦令開放式複現更困難。
因此，這項獎項證明該方法值得深入研究，並非證明生成式 AI 已解決硬件 IP 保護問題。
晶片製造商面對新一輪攻防循環
壓力將落在每一個把設計工件分享至受嚴格控制內部團隊以外的機構身上。
這包括晶片公司、可重用 IP 供應商、晶圓代工廠、雲端 EDA 供應商、驗證承包商、封裝專家及研究合作夥伴，也包括把獲授權核心整合至更大型系統的客戶。
壓力來源並非單一競爭對手，而是攻擊者日益能把 AI 推理與既有的逆向工程及分析工具結合。
生成式模型可降低檢視陌生硬件描述的門檻。它們可翻譯語法、解釋可能行為、提出測試，以及為既有工具鏈生成腳本。
專業工程師仍然不可或缺。硬件行為取決於時序、綜合、物理效應及實作細節，而自然語言輸出可能錯誤表述這些因素。
不過，攻擊者毋須完全自動化也能取得優勢。只要略為縮短分析時間，便可令更多目標在經濟上變得值得攻擊。
防禦方將面對壓力：在分享受保護工件前，必須針對不斷演進的模型能力進行測試。他們亦須記錄每位接收者實際所需的資訊。
這令存取控制更貼近設計本身。公司不再把每名獲批准的合作夥伴視為理應取得同一份工件，而是可按特定任務調整披露內容。
愛達荷大學的項目提供了這種做法的精簡示範：保留合法工作流程所需的內容、模糊敏感資訊，並從攻擊者角度挑戰結果。
更廣泛的 EDA 產業已朝向更自主的系統發展。DAC 對AI-native EDA 堆疊的討論指出，基礎設施、整合及信任已成為投入生產應用的核心障礙。
安全是信任問題的一部分。能夠檢查儲存庫、運行工具、修改 RTL 及解讀驗證結果的 agent，比孤立的聊天機械人擁有更大能力。
更強能力有助工程團隊自動化艱難工作，但亦增加了存取權限過大、推理錯誤、指令遭入侵或日誌保護不足的後果。
因此，晶片機構將需要為 agent 而非僅為人類使用者設計的控制措施。這些措施包括嚴格限制權限、隔離工作空間、可重現的工具執行，以及在敏感變更進入設計前設立審核關卡。
這正是競賽模式在教育以外變得實用的地方。紅隊與藍隊提供結構化方法，在對手發現假設漏洞前先將其揭露。
這種做法亦可強化半導體教育。只學習設計優化的學生，可能忽略看似無害的工件如何揭示專有或安全敏感資訊。
Abideen 表示，這項競賽把生成式 AI、晶片設計工具及對抗式安全分析結合起來，這種機會甚少向本科生提供。這種組合相當重要，因為未來工程師將同時面對自動化設計系統與 AI 輔助威脅。
愛達荷大學在該項目背後有更廣泛的硬件安全基礎。Abideen 的研究涵蓋可信集成電路設計、安全感知 EDA、逆向工程防禦、電路混淆及 AI 輔助晶片設計。
不過，最有用的教訓並非關乎機構，而是關乎營運：團隊應假設可讀取的設計工件將面對能力日益提升的自動化分析。
這項假設改變了舉證責任。防禦措施不應只因工程師無法立即看穿而被視為足夠；它應能抵禦既定攻擊、可量度驗證，以及以新工具進行的反覆測試。
三個訊號將顯示這次勝利是否重要
下一項測試，是這個競賽結果能否發展成可重現的證據、更強的基準測試，以及大學項目以外的採用。
第一個訊號是技術發布。論文、基準測試、儲存庫或詳細競賽報告，可釐清威脅模型、受保護工件、模型、評分系統及實作開銷。
若該等材料顯示在多個未曾見過的設計中持續提供保護，將加強 AI 輔助硬件 IP 遮蔽的論據。若結果依賴單一狹窄的基準測試，較廣泛的主張便會削弱。
第二個訊號是獨立紅隊表現。其他研究人員應以不同模型、agent 架構及傳統 EDA 工具，測試相同的保護措施。
只能抵禦其設計者預期攻擊的防禦，所提供的保證有限。能抵禦獨立團隊並同時保留功能的防禦，則提供更有意義的證據。
第三個訊號是整合至可重複的設計工作流程。值得留意的是，能將遮蔽、模擬、形式化檢查、時序分析、功耗量度及對抗性評估連接起來的工具。
整合將證明 AI 晶片設計安全能在真實工程約束下運作。需要大量手動調校的獨立示範仍是有用研究，但尚未成為可擴展的生產方法。
這些訊號比獎項本身更重要。競賽在既定規則下獎勵進展，而已部署的半導體安全必須應對未知設計、變化中的攻擊者、保密控制及代價高昂的錯誤。
愛達荷大學的晶片安全勝利仍標誌着一項重要轉變：它把 AI 放在同一設計邊界的兩端，並透過主動攻擊量度防禦。
對開發人員及安全團隊而言，實際問題如今已很具體：你的機構可以安全分享哪些設計工件？又會如何測試 AI 輔助對手能從中推斷甚麼？留意新興基準測試、要求可重現的驗證，並把模型存取視為硬件威脅模型的一部分。在部署前回答這些問題的機構，將更能準備好面對已經開始的攻防循環。
