爱达荷大学芯片安全获奖：AI 在攻防两端较量
爱达荷大学的芯片安全研究人员在一项 2026 年竞赛中获得第一名，生成式 AI 同时充当了防御者和攻击者。本科生 Lloyd Alcorn 与助理教授 Zain Ul Abideen 构建了一套工作流：在隐藏敏感芯片设计信息的同时，测试 AI 辅助的对手能够重构出哪些内容。
这种组合带来了真正的张力。AI 能帮助工程师保护设计中的知识产权，但同一类技术也能帮助攻击者解读受保护的文件。因此，防御措施不能仅仅依靠让电路难以被人类阅读来取得成功。
该项目赢得了第 63 届设计自动化会议（Design Automation Conference，DAC）的“GenAI 引导的硬件 IP 脱敏与红队挑战赛”。这一结果并不意味着已经确立了可投入生产的安全标准。但它表明，AI 芯片设计安全正逐渐成为一个对抗性测量问题，而非一次性隐藏信息的行为。
爱达荷大学芯片安全项目在 DAC 获奖
获奖项目将受保护的芯片设计视为一种既必须保持功能可用、又必须主动抵抗重构的对象。
作为电气工程专业大四学生，Alcorn 与 Abideen 共同参加了一项于 2026 年 6 月至 7 月举行的远程竞赛。奖项在 DAC 期间颁发；DAC 是涵盖芯片设计和电子设计自动化的重要会议。
爱达荷大学表示，该会议汇集了逾 5,000 名研究人员、工程师、行业专业人士和学生。尽管以本科生身份参赛，Alcorn 仍与来自学术界和业界的参赛者同场竞争。
他们的任务涉及硬件 IP，即可复用的逻辑、架构、常量和控制结构，它们赋予芯片部分独特的行为特征。这类资产通常体现在寄存器传输级代码（RTL）中，RTL 描述数字逻辑如何处理和传输数据。
Alcorn 和 Abideen 创建了一套安全系统，对芯片功能和知识产权相关的关键信息进行混淆。混淆会改变设计在观察者眼中的呈现方式，同时保留其预期行为。
第二项要求至关重要。若保护方案会破坏仿真、集成、时序或计算性能，其实际价值就十分有限。团队必须在不牺牲设计运行能力的前提下隐藏有价值的信息。
根据该大学对获奖项目的介绍，Alcorn 反复调整并测试保护工作流。他验证了受保护设计仍能正确运行，并测量了对功耗和时序的影响。
随后，他进行了 AI 辅助的对抗性评估。该评估询问的是，攻击者仍可能从修改后的设计中推断出哪些信息，而不是假定经过转换的代码天然安全。
竞赛通过蓝队和红队将这种冲突制度化。蓝队隐藏敏感细节，红队则利用生成式 AI 尝试进行重构、逆向工程和审计。
主办方列出了多个保护目标，包括模块名称、电路层级、有限状态机行为、专有常量、加密结构以及敏感控制逻辑。随后，红队可以利用 AI 推断原始角色或关系。
这正是该奖项比常规学生设计奖更具意义的原因。团队并非只是让 AI 系统生成电路，而是致力于处理可用性与保密性之间更困难的边界，并将防御暴露给智能攻击者检验。
为什么硬件 IP 脱敏正变得更困难
硬件 IP 脱敏如今必须经受能够跨代码、结构、命名模式和电路行为进行推理的机器考验。
传统脱敏通常依赖于删除描述性注释、重命名信号，或隐藏选定的设计模块。这些做法可以阻碍随意检查，但并不一定会抹去功能电路中蕴含的关系。
一个采用匿名名称的模块仍然有输入、输出、时序行为和连接关系。一个状态机仍然会沿着特定模式转换。加密组件即使标签消失，仍可能保留可识别的常量或数据流。
生成式 AI 改变了分析这些线索的经济成本。它可以总结陌生的 RTL、提出可能的模块角色、比较重复结构，并就缺失逻辑生成假设。攻击者仍然需要技术知识，但 AI 可以降低探索大量可能性的成本。
同样的能力也能帮助防御者。安全工程师可以利用 AI 辅助工作流识别暴露性名称、定位敏感逻辑锥、提出转换方案，并审查这些修改是否保留预期行为。
逻辑锥是指影响特定输出的一组电路元件。如果安全关键输出能够被追溯至可识别的门电路或常量，仅仅隐藏标签可能只能提供薄弱保护。
爱达荷大学团队的方法体现了这种双重用途。AI 支持防御工作流，随后又帮助从对抗视角探测结果。这项工具本身既非天然防御性，也非天然敌对性。
这种动态已经出现在电子设计自动化的研究议程中。DAC 的 2026 年安全研究议程明确涵盖基于 AI 的硬件攻击与防御、逆向工程、硬件混淆以及保留安全性的设计自动化。
会议还征集了有关 EDA 基础模型、智能体式验证、物理设计自动化以及评估 AI 系统基准的研究。EDA 是指用于设计、仿真、验证并为电子系统制造做准备的软件。
这些发展使 AI 芯片设计安全成为不断移动的目标。能够击败某一模型或提示策略的转换方式，可能仍会向更强模型、专用智能体，或结合 AI 与形式化分析的工作流泄露信息。
威胁也不止于源代码盗窃。被重构的设计可能暴露专有算法、安全检查、加密结构或实现决策。这些信息可被用于仿冒、克隆、漏洞发现或恶意篡改。
NIST 将半导体供应链描述为一个涵盖知识产权、设计、制造、测试、封装和分销的网络。其硬件安全项目将 IP 盗版、逆向工程和硬件木马视为与可信设计相关的问题。
硬件木马是被添加到电路中的恶意逻辑，用于改变行为、泄露信息或创建隐藏访问通道。与普通软件漏洞不同，它可能成为物理设备的一部分。
仅靠脱敏无法阻止所有此类风险。不过，这项竞赛涉及了一个重要的早期阶段：当设计工件必须在团队、工具、供应商或设施之间流转时，限制其泄露的信息。
这一要求之所以困难，是因为半导体生产呈分布式。一个设计在成品组件进入产品之前，可能要跨越多个组织和技术边界。
每个边界都会产生冲突。合作伙伴需要足够的信息来完成仿真、验证、集成、制造或测试；IP 所有者则希望披露不超过这些任务所需的信息。
硬件 IP 脱敏试图管理这一冲突。生成式 AI 让双方都更快，因此保护措施如今需要可重复的对抗性测试，而非基于隐蔽性的信心。
真正的竞赛是可用性与保密性之争
决定性问题不在于设计能否被隐藏，而在于移除最具暴露性的特征后，它能否继续保持可用。
理论上，防御者可以通过完全不提供设计来让重构变得不可能。但这种做法也会阻止合法合作方对其进行仿真、测试或集成。
实际保护必须维持约定水平的实用性。脱敏后的工件可能需要能够编译、通过功能测试、暴露既定接口并满足时序约束。每一项被保留的能力也可能泄露额外信息。
这形成了类似数据匿名化的权衡。移除明显标识符，并不能保证隐私，因为其余字段之间的关系仍可能揭示被隐藏的信息。
电路结构同样可能提供丰富信息。即使原始名称和注释已经消失，输入、输出、重复操作、查找模式和状态转换仍可能识别出某个组件。
混淆方法可以加入转换或密钥控制行为，使设计更难解读。然而，这些改变也可能增加功耗、延长关键时序路径、扩大面积或增加验证复杂度。
爱达荷大学团队测量功耗和时序，是因为安全无法孤立评估。若防御措施带来不可接受的实现代价，就很难通过商业设计评审。
DARPA 在其安全硅自动化项目中也指出了同样的根本障碍。该机构指出，芯片级安全常常面临经济门槛和技术权衡，而后期设计变更异常困难。
其应对方案是一套自动化设计流程，能够针对安全和实现目标评估架构替代方案。尽管这些项目彼此独立，但这种框架与 DAC 挑战赛所揭示的问题高度契合。
自动化之所以重要，是因为芯片设计本已涉及巨大的搜索空间。工程师需要在功能、性能、功耗、面积、可靠性、验证工作量、制造约束和交付计划之间取得平衡。
安全增加了另一项目标，但不能简单压倒所有其他要求。受保护的设计仍需要成为一款可运行的产品。
AI 可以帮助更快探索候选转换方案。它也能帮助对手寻找那些在转换后仍然存留的模式。因此，形成的是一场迭代而非静态的较量。
蓝队修改设计。红队寻找仍被保留的语义。蓝队随后调整转换方式，再次验证功能，并测量新增成本。
这一循环类似现代软件安全测试：防御者持续扫描代码，攻击者持续寻找绕过方法。硬件面临更严酷的约束，因为错误可能在制造后持续存在。
软件补丁通常可以在发布后部署。有缺陷的芯片设计则可能需要昂贵的更换、新一轮流片，或在系统其他位置采取补偿性控制措施。
这使得流片前评估尤其有价值。流片前是指设计成为制造芯片之前所进行的工作。在工程师仍能修改设计工件时，AI 辅助测试可以对其进行探测。
因此，爱达荷州的成果支持的是一种机制，而非通用答案：使用 AI 辅助保护，保持设计实用性，测量实现成本，并在信任输出之前对其发起攻击。
这种机制即使模型给出的建议并不完美，也能提升工程纪律。它迫使团队明确哪些内容必须保持可用、哪些内容必须保密，以及什么样的证据才算成功防御。
AI 芯片设计安全需要更有力的证据
获得第一名体现了竞赛上的成功，但尚不足以证明该工作流能够保护商业半导体 IP。
爱达荷大学公开的报告没有提供详细技术论文、基准测试套件、模型清单、评分细目或完整威胁模型，也未公布受保护的设计或成功重构的尝试。
对于一篇简短的大学新闻报道而言，这些缺失可以理解。但它们仍限制了外部工程师能够从这一结果中得出的结论。
有意义的评估必须界定攻击者的访问权限。红队获得的是 RTL、综合后的网表、仿真输出、接口文档，还是仅有部分选定的工件？不同的访问层级会带来截然不同的重构风险。
模型配置同样重要。通用语言模型、面向代码的模型，以及接入分析工具的 EDA 智能体，可能产生不同结果。
提示方式和迭代过程也会影响性能。只能进行一次查询的攻击者，并不能代表能够运行多个智能体、编译候选设计、检查失败情况并不断完善假设的攻击者。
评估指标仍是另一个悬而未决的问题。一种防御可能阻止精确重构源代码，却仍会泄露组件用途、算法、常量或安全边界。
反过来，AI 系统也可能生成看似合理、但技术上错误的解释。表面上的重构并不等同于经过验证的恢复。
因此，一个强有力的基准需要多层衡量。它应测试功能等价性、结构相似性、语义推断、秘密恢复，以及对受保护设计施加的成本。
它还应检验该防御能否迁移到未见过的电路家族。针对某一基准调优的方法，可能在竞赛中表现出色，却在不同架构上失效。
NIST 一直强调这一测量缺口。其硬件项目呼吁建立参考数据集和指标，以支持对半导体组件的测试、证明、认证和验证。
该机构在 2026 年发布的标准研讨会报告中，也将可扩展的验证与确认列为优先事项。建议的方法包括 AI 辅助分析、形式化方法、模糊测试、标准化测试和韧性评估。
这种组合至关重要。AI 不应成为判断 AI 是否成功保护设计的唯一裁判。
形式化方法使用数学推理来验证系统属性。仿真执行选定场景，而形式化验证可以在既定假设下审查更广泛类别的可能行为。
最可信的 AI 芯片设计安全工作流，应将模型辅助探索与确定性检查相结合。模型可以提出变换方案或攻击方式，而传统工具则验证功能、时序、功耗和安全属性。
可复现性同样重要。研究人员需要保留模型版本、提示词、工具调用、中间工件和验证结果的记录。否则，获胜结果将难以比较或复现。
AI 服务也带来了自身的保密问题。将专有 RTL 上传至外部模型，可能暴露保护工作流本应守护的信息。
生产部署需要对数据保留、模型访问、日志、隔离以及生成工件的所有权实施明确控制。本地或由组织自行控制的模型或许能够降低部分暴露风险，但无法消除技术风险。
还存在基准污染问题。如果公开的电路示例出现在模型训练数据中，系统可能只是回忆熟悉模式，而非从真正受保护的设计中推断出来。
研究人员必须区分记忆与重构。私有评估电路、受控披露和训练后基准能够有所帮助，尽管这会让开放复现变得更困难。
因此，这一奖项证明该方法值得深入研究，但并不证明生成式 AI 已经解决了硬件 IP 保护问题。
芯片制造商面临新的攻防周期
压力将落在每一个向严格受控内部团队以外共享设计工件的组织身上。
这一群体包括芯片公司、可复用 IP 供应商、晶圆代工厂、云 EDA 服务商、验证承包商、封装专家和研究合作伙伴，也包括将授权内核集成到更大系统中的客户。
压力来源并非单一竞争对手，而是攻击者日益能够将 AI 推理与既有的逆向工程及分析工具结合起来。
生成式模型可以降低审查陌生硬件描述的门槛。它们能够翻译语法、解释可能的行为、提出测试方案，并为既有工具链生成脚本。
专业工程师仍然不可或缺。硬件行为取决于时序、综合、物理效应和实现细节，而自然语言输出可能会错误呈现这些因素。
不过，攻击者并不需要实现完全自动化才能获得优势。分析时间的小幅缩减，就足以让更多目标在经济上更具吸引力。
在共享受保护工件之前，防御者将面临压力，需要针对不断演进的模型能力测试这些工件。他们还需要记录每位接收者实际需要哪些信息。
这让访问控制更贴近设计本身。企业不再将每个获批合作伙伴都视为有权获得同一工件，而是可以针对具体任务定制披露内容。
爱达荷大学的项目为这一方法提供了紧凑的示范：保留合法工作流所需内容，模糊敏感信息，并从攻击者视角对结果发起挑战。
更广泛的 EDA 行业已在迈向更自主的系统。DAC 对AI-native EDA技术栈的讨论认为，基础设施、集成和信任已成为实现生产级采用的核心障碍。
安全正是这一信任问题的一部分。一个能够检查代码仓库、运行工具、修改 RTL 并解读验证结果的智能体，比孤立的聊天机器人具备更强能力。
更强的能力有助于工程团队自动化困难工作，但也会增加过度访问、错误推理、受损指令或日志保护不当的后果。
因此，芯片组织将需要为智能体而非仅为人类用户设计控制措施。这些控制措施包括最小权限、隔离工作区、可复现的工具执行，以及敏感变更进入设计前的审查关卡。
这正是竞赛模式在教育之外变得有用的地方。红队和蓝队提供了一种结构化方法，能在对手发现问题之前暴露假设。
这种方法也能加强半导体教育。只学习设计优化的学生，可能忽视看似无害的工件如何泄露专有或安全敏感信息。
Abideen 表示，这项竞赛以本科生鲜少能够接触的方式，结合了生成式 AI、芯片设计工具和对抗性安全分析。这种组合很重要，因为未来的工程师将同时面对自动化设计系统和 AI 辅助威胁。
爱达荷大学为该项目提供了更广泛的硬件安全基础。Abideen 的研究涵盖可信集成电路设计、安全感知 EDA、逆向工程防御、电路混淆和 AI 辅助芯片设计。
不过，最有价值的教训并非来自机构层面，而是运营层面：团队应假定，可读的设计工件将受到能力日益增强的自动化分析。
这一假定改变了举证责任。不能仅仅因为工程师无法立刻看穿一种防御，就认为它足够充分。它应当经受得住既定攻击、可衡量的验证，以及使用新工具的反复测试。
三个信号将表明这次获胜是否重要
下一项考验是，这一竞赛结果能否发展为可复现的证据、更强的基准，以及超越大学项目的应用。
第一个信号是技术发布。论文、基准、代码仓库或详细竞赛报告，将澄清威胁模型、受保护工件、模型、评分体系和实现开销。
如果这些材料显示该保护能在多种未见设计上保持一致效果，将增强 AI 辅助硬件 IP 脱敏的可信度。如果结果依赖于单一狭窄基准，更广泛的主张就会削弱。
第二个信号是独立红队的表现。其他研究人员应使用不同模型、智能体架构和传统 EDA 工具，对同一保护方案进行测试。
只能抵御设计者自己预期攻击的防御，所提供的保障有限。能够在保持功能的同时抵御独立团队的防御，则能提供更有意义的证据。
第三个信号是融入可重复的设计工作流。关注那些将脱敏、仿真、形式化检查、时序分析、功耗测量和对抗性评估连接起来的工具。
这种集成将表明，AI 芯片设计安全能够在真实工程约束下运行。需要大量人工调优的独立演示仍然是有价值的研究，但尚非可扩展的生产方法。
这些信号比奖项本身更重要。竞赛是在既定规则下奖励进展，而已部署的半导体安全必须应对未知设计、不断变化的攻击者、保密控制和代价高昂的错误。
爱达荷大学的芯片安全获胜仍标志着一次重要转变。它将 AI 置于同一设计边界的两侧，并通过主动攻击来衡量防御。
对于开发者和安全团队而言，实际问题如今已很明确：贵组织可以安全共享哪些设计工件，又将如何测试 AI 辅助对手能够从中推断出什么？关注新兴基准，要求可复现的验证，并将模型访问视为硬件威胁模型的一部分。在部署前回答这些问题的组织，将更有准备应对已经开始的攻防周期。
