边缘AI中间特征也会泄露，缓存必须分域

原始图像不离开设备，并不等于数据已经匿名。边缘AI若把中间特征交给远端或在共享加速器中复用缓存，仍可能泄露输入内容和任务状态。

中间特征保留了完成后续识别所需的信息，尤其靠近输入端的高分辨率激活，常包含轮廓、纹理与空间位置。攻击者若知道前端网络结构，可能训练反演模型从特征近似恢复原图；即使不能重建清晰图像，也可能推断身份、场景或敏感属性。因此，把模型切成“端侧前几层加云端后几层”只改变暴露形式，不能把上传张量默认视为无个人信息。

风险大小与切分位置、特征维度和攻击者知识有关。越深的特征通常更抽象，但某些跳连会把浅层信息直接送到后端，检测和分割任务又必须保留空间结构。简单加噪可以降低反演质量，却也会改变后端精度；量化和压缩主要减少传输量，并非可靠的隐私机制。设计时应以具体威胁模型评估攻击者能观察什么、掌握哪些模型参数，并用成员推断或属性推断测试补充图像重建测试。

接口最小化比事后声明匿名更可靠。能在端侧完成的后处理不应上传稠密特征；必须协同推理时，可选择更窄的瓶颈表示、限制保留时间并对传输做端到端认证加密。隐私增强训练需要在目标精度和攻击成功率之间给出曲线，不能只展示一张模糊重建图。日志也要避免记录整块张量，因为调试转储常绕过正式数据通道的权限和清理策略。

切分接口还应防止多次查询拼接信息。单次特征经过裁剪后看似难以反演，攻击者若能对同一输入改变裁剪窗口、增强参数或模型版本并反复请求，可能把多个局部表示组合起来。服务端应限制可控预处理参数、绑定请求身份与用途，并记录异常查询模式。保护措施的验收要模拟重复观测者，而不只是评估一次上传，这才符合长期在线设备的真实暴露条件。

共享加速器带来另一类泄露：上一任务的数据可能残留在片上SRAM、驱动分配页或DMA缓冲中。运行时若只修改长度指针而不覆盖完整区域，下一个低权限任务可能通过未初始化输出读到旧内容；崩溃转储和休眠恢复也可能保存这些页。风险在多模型、多用户或插件可加载的平台更高，单应用原型机不易暴露，量产后却可能出现跨任务读取路径。

边缘AI的隔离应从地址访问与生命周期两侧实施。IOMMU或内存保护单元限制每个主设备可访问的缓冲，调度器在租户切换前等待DMA真正完成，再清零包含敏感数据的区域和描述符。仅用普通内存写零可能被编译器优化或停留在CPU缓存，安全清理需要平台提供的不可省略写入，并在必要时做缓存维护。加密内存可减轻总线窥探，但不能替代对合法进程越权访问的隔离。

验证时应在任务切换、异常终止、驱动复位和休眠恢复后扫描新分配缓冲，确认没有可识别的旧模式；同时审计IOMMU映射和调试接口，确保生产固件不能任意转储物理内存。对协同推理接口，则用不同能力的攻击模型评估特征泄露，并把结果与准确率、带宽和延迟一起选型。只有数据从产生到擦除的每个阶段都有责任主体，本地计算的隐私承诺才可验证。

因此，隐私边界不能画在原始文件上传处。限制特征表达、隔离共享缓冲并验证清零，边缘AI才能让“数据留在端侧”成为可检查的工程事实。