一、模型窃取取攻击的前提与定义
窃取私有模型有个前提：攻击者必须能控制模型的输入和输出，例如向图像识别模型输入图像并拿到它输出的识别结果，当然这也不容易，需要足量的输入输出样本与相应的攻击手法。
在当下常用的「模型即服务」场景里，厂商通常开放一个 API 供用户查询模型的预测结果，攻击者恰恰利用这个接口：用精心设计的输入数据换取输出结果，再配合特定攻击手法，重构出一个性能与原始模型相近的复制模型，或者直接提取出原始模型的架构与参数信息。
二、三种窃取方法
|------------|------------------------------------------|----------------------------|----------------------------------|
| 方法 | 思路 | 适用条件 | 防御要点 |
| 代数方法攻击 | 分析模型结构，看特定输入下的输出，据此推导内部参数或权重 | 模型结构简单、参数可解析（线性模型或浅层神经网络） | 提高复杂度、非线性变换与随机性、输出模糊化 |
| 代数方法攻击 | 攒够输入向量与输出结果，列出线性方程组把结构与权重解出来，复制出一模一样的模型 | 被窃模型可能是线性回归、逻辑回归或较简单的神经网络 | 对大量正交或极端值输入向量的代数探测特征纳入检测规则 |
| 机器学习方法攻击 | 精心设计大批输入，经查询接口收集输出，训练替代模型模仿原模型行为 | 对深度学习模型尤其有效；目前研究最多的一类 | 限流、输出扰动（分类概率加噪）、异常访问检测、蜜罐样本、模型水印 |
| 机器学习方法攻击 | 采用主动学习或强化学习策略持续交互，把输出喂给本地副本训练 | 反复调用 API 拿到问答数据即可复刻性能相当的副本 | 查询频率设上限、调用行为画像、水印溯源 |
| 旁路攻击 | 监测功耗、时序、电磁辐射、缓存访问等物理信号推测结构与参数 | 边缘设备、本地终端部署的模型 | 抗旁路硬件、指令乱序与时间扰动、数据加密、物理信号模糊 |
| 旁路攻击 | 一根电磁波接收天线加一个信号放大器，推断出小型神经网络的层数、激活函数与权重参数 | 对象是「小型」网络，规模是硬约束 | 电磁屏蔽、射频监测、高价值模型留在受控云端经 API 提供 |
三、API 查询流程四步骤与对应风险
|------------|-----------------------------------------------|--------------------|--------------------------|
| 步骤 | 发生什么 | 对调用方的暴露 | 防护抓手 |
| ① 查询请求 | 用户借界面或系统发起请求，内容可能是问题、任务指令或图像，代表要求大模型完成的智能处理任务 | 调用方完全掌控输入内容 | 输入合法性校验 |
| ② 转发查询请求 | 请求经 API 转发，途中被封装、做格式转换或校验，然后送达后端的大模型 | 可系统化构造任意查询 | 配额与速率限制 |
| ③ 输出结果 | 大模型依据内部训练得到的知识与规则做推理计算并给出结果（文本、图像分类标签等） | 每次都能拿到完整输出 | 输出扰动、输出模糊化 |
| ④ 转发输出结果 | API 把大模型返回的结果转交给用户，供其在界面上查看并使用 | 天然形成「输入---输出」配对数据集 | 异常访问检测、蜜罐样本、水印 |
| 整体风险 | 四步串联让外部调用方系统地收集「输入---输出」配对，为复刻模型提供原料 | 模型即服务（MaaS）的固有暴露面 | 身份认证、调用行为画像、按模型价值分级收敛暴露面 |
四、两种让窃取更省成本的机器学习策略
主动学习：模型会主动挑出最有价值的未标注样本去标注，用尽可能少的数据把性能提上来，就像聪明的学生优先问自己最没把握的问题，特别适合标注代价高的场景，例如在模型窃取攻击里减少调用目标模型的次数、把成本压下来。
强化学习：基于反馈的机器学习策略，模型在与环境的持续交互和试错中找到能让长期收益最大化的最优行为，类比训练宠物靠奖励与惩罚学会正确动作，模型靠不断尝试与调整学会在不同情境下做出最优决策。
五、常见的安全场景
1、代数方法攻击与机器学习方法攻击的本质区别？为何前者只对简单模型有效？
**答：**区别在「解出来」还是「学出来」，代数方法要求输入输出之间存在可解析关系，靠列方程组直接求参数；机器学习方法不管内部结构，靠大量查询样本训练替代模型模仿行为。
- 代数方法通过分析模型结构与特定输入下的输出推导内部参数或权重，在结构简单、参数可解析的场景（线性模型或浅层神经网络）效果尤其显著。
- 其做法是攒够输入向量与输出结果，列出线性方程组把结构与权重解出来，进而复制出相同模型。
- 机器学习方法攻击则是精心设计大批输入、经查询接口收集输出来训练替代模型，这种「黑盒」模拟对深度学习模型尤其有效，也是目前研究最多的一类。
- 代数法只对简单模型有效，是因为方程可解性依赖确定的解析关系，深度网络层数多、非线性强，参数量远超可观测方程数，方程组既不可解也不唯一，攻击者遂转向主动学习或强化学习提高样本效率。
落地建议：
- 对线性回归、逻辑回归、浅层网络尤要提高复杂度、引入非线性变换与随机性、做输出模糊化。
- 对外 API 一律限流、输出扰动（分类概率加噪）、异常访问检测、蜜罐样本、模型水印。
- 按模型价值分级收敛暴露面。
- 把大量正交或极端值输入向量的代数探测特征纳入检测规则。
2、开源社区出现疑似窃取的模型时，如何衡量它与原模型的相似度？
**答：**无单一指标可定案，应构建「行为一致性 + 结构参数比对 + 水印指纹 + 来源溯源」的多维证据链，其中行为一致性与可复现的统计检验最核心。
- 窃取形态有两类：重构出性能相近的复制模型，或提取架构与参数信息，衡量须覆盖行为层与结构层。
- 机器学习方法攻击产出的替代模型意在模仿行为，同一批输入的输出分布、决策边界与错误样本重合度是最直接证据。
- 代数方法攻击可解出结构与权重，若高度一致则证据强度更高。
- 防御侧本就建议嵌入水印技术以识别并追踪窃取与滥用，水印检出属强证据。
- 主动学习类窃取会留下调用痕迹，查询日志与异常访问模式可作时间与规模佐证。
落地建议：
- 行为一致性测试：用覆盖边界与罕见类别的评测集比对标签、概率分布、置信度排序与错误模式重合率，并做显著性检验。
- 决策边界探测：在特征空间采样比较边界位置与拐点。
- 结构与参数比对：层数、激活函数、超参数、权重分布逐项对照。
- 水印与蜜罐指纹检出，辅以数据来源许可、发布者算力规模、API 异常调用与发布节奏等证据，必要时走第三方鉴定与法律途径。