模型提取攻击：API保护

可视化演示

三步展示API防护：查询频率限制阻断提取攻击、置信度截断与输出扰动降低保真度、查询审计异常检测与效果评估。

威胁轮廓：谁在偷茶

老陈的茶馆开了三十年，招牌茶“云雾青”的配方锁在里屋铁盒里，伙计们每人只负责一道工序，谁也凑不齐完整方子。可街对面的“云来茶庄”开业不到三个月，冲泡出的茶汤竟有八成相似。老陈翻看账本，发现一个奇怪的“茶客”：每天下午准点到，一口气点二十杯不同火候的云雾青，每杯只抿一小口，在本子上写写画画，从不续杯，也从不多说一句话。这个“品茶人”并不需要撬锁偷走铁盒——他只需要一杯一杯地喝，就能在脑海里逆向出配方的骨架。

在 AI 世界里，这个“品茶人”就是模型提取攻击者。商业模型被封装在 API 背后，外部用户只能发送输入、接收输出，无法直接读取模型权重或内部结构，这种交互方式称为“黑盒访问”。攻击者不关心模型的代码，他们只做一件事：大量构造输入样本，调用 API 获得输出，把这些“输入—输出”对收集起来，作为训练数据训练一个“影子模型”，让影子模型模仿原模型的行为。因为模型的预测结果本质上暴露了它的决策规律，所以每一次正常的业务调用，都可能成为一次“品茶”。

这种攻击对商业模型服务（MaaS）的威胁是结构性的：模型研发投入了昂贵的算力、数据和调参成本，攻击者却用几百块钱的 API 费用就复制出一个高仿品。影子模型可以用于绕过付费、批量生成内容、甚至反向推断训练数据隐私。更麻烦的是，攻击者拥有完整的模型控制权，可以随意微调和部署仿制品，而原模型方在攻击完成前几乎无感知。

老陈最终请来一位懂行的老朋友，才明白这个“品茶人”用的并不是什么高明手段，而是最笨也最有效的办法——多喝。要防住这号人，光靠把配方锁好还不够，因为他不碰锁，只碰茶杯。

查询限流：限量供应

老朋友给老陈支了第一招：把“敞开了喝”改成“限号供应”。每个会员每天最多点三杯，每个桌台每十分钟最多续一壶。那个品茶人想收集二十杯的数据，就得换七张会员卡、换三次座位，还在茶馆里留下了大量消费记录。几天后，“云来茶庄”的茶味明显走了样，因为原料样本不够，仿品越做越偏。

查询频率限制（Rate Limiting）就是这套思路。API 服务方为每个账号、IP 或 API Key 设定单位时间内的请求次数上限，例如“每账号每分钟最多 100 次调用”。一旦超过阈值，服务返回 429 状态码或进入排队等待。限流的核心价值不在于阻断单次攻击，而在于抬高攻击者的“样本采集成本”——提取一个高精度影子模型通常需要数十万次查询，限流让完成这个数量所需的时间和账号成本成倍增长，许多攻击者会在成本超过收益时主动放弃。

具体实现中，最简单的方案是固定窗口计数：每一分钟内允许 N 次请求，窗口结束清零。但固定窗口存在“临界突刺”问题——攻击者在两个窗口交界处可以瞬间发出 2N 次请求。更稳健的做法是滑动窗口：记录最近一个时间窗内的请求时间戳，新请求到达时只统计窗口内的数量，让限速判断随时钟平滑滚动。

有了限号，品茶人一天能偷到的“口感数据”从几十条骤降到几条。他要么雇更多人、办更多卡，要么耐心等上几个月。无论走哪条路，偷师的代价都翻了几十倍——这正是“成本升维”的含义：让攻击者的投入产出比变得不划算。

置信度截断：藏起刻度

限号之后，品茶人来得少了，可老陈发现他每次仍会在本子上记下好几个数字：这杯回甘约四成、醇厚约五成、微涩约一成。原来茶馆为了让客人“喝得明白”，每杯茶都附一张风味比例小票——这正是 AI 模型返回的“置信度”。

许多分类模型不仅输出“是哪一类”，还会通过 softmax 输出每个类别的概率值，例如“这张图片有 92% 的概率是猫，6% 是狗，2% 是鸟”。概率分布携带了模型判断的精细刻度：两个同类样本可能都判为猫，但一个概率 0.95、一个概率 0.51，这种差异本身就是模型决策边界的映射。攻击者拿到概率值，就像品茶人拿到风味比例小票，能精确拟合出配方的配比。

置信度截断（Confidence Truncation）的做法是：不再返回完整的概率向量，只返回最终类别标签，或把概率四舍五入到整数。极端形式是“one-hot 化”——只保留最高概率类别并置为 1，其余全部归零。这样一来，攻击者得到的训练信号从“连续的数值刻度”退化成“离散的是非判断”，信息通道被大幅收窄。

老陈收起了风味比例小票。茶客依然能喝出好坏，但说不出“几成回甘、几成醇厚”了。品茶人手里的记录从一串数字变成一堆“是”与“否”，就像用一把没有刻度的尺子去量配方的用量，量来量去都是个大概。

输出扰动：半真半假

可那位品茶人毕竟舌头刁。即便没有比例小票，多喝几杯，他仍能凭口感变化猜出茶叶的产地和火候。老陈一咬牙，使出了第三招：从今往后，每杯云雾青出锅前，往里面加一撮微乎其微的变料。茶的整体风味不变，老客人喝不出差别，但每一杯的细节都有极小的波动。品茶人把十杯茶的记录摆在一起，发现同一款茶的数据互相矛盾，怎么也对不齐。

输出扰动（Output Perturbation）做的正是这件事：在模型返回结果上叠加一个精心设计的小噪声。例如对回归任务的数值输出加一个均值为 0、方差为 σ² 的高斯噪声；对分类任务的概率输出做“分布软化”，把概率整体向均匀分布拉一拉。攻击者收集到的每一份样本都包含了一点点随机误差，单个样本可信，整体统计时却互相抵消，导致影子模型学到的边界是扭曲的。

输出扰动与差分隐私有深刻联系。差分隐私保证：无论攻击者如何组合查询，都无法通过输出可靠地推断某一条具体数据是否参与了训练。它通过分配“隐私预算”来控制噪声总量，预算越小噪声越大、保护越强。在实际 API 保护中，服务方不需要做到严格的差分隐私，但可以借鉴其“以噪声换隐私”的思想——把噪声强度当作一个旋钮，根据业务对误差的容忍度动态调节。

老陈的变料法立竿见影：品茶人把近一个月的记录拿回去比对，发现同一批茶叶的数据差异大到无法拟合。他意识到，这家茶馆的每一杯茶都是“半真半假”，想靠多喝几杯破解配方，已经不可能了。

效果评估：偷师成败

三道防线上齐之后，老陈心里却犯起嘀咕：这些招数到底管不管用？万一品茶人嘴上说放弃，背地里已经偷走了七成配方呢？他需要一把“尺子”来量一量防线的效果——衡量偷师成败的尺子，在 AI 安全领域叫做“重建相似度”。

重建相似度的计算方式很直观：准备一批测试输入，分别送给原模型和攻击者的影子模型，比较两者输出的吻合程度。如果影子模型与原模型的预测结果高度一致，说明提取攻击成功了；如果一致性很低，说明 API 保护有效切断了信息通道。实践中还会结合另一个指标——查询成本：攻击者要达到预定的重建相似度，总共需要付出多少次 API 查询、多少个账号、多少时间和金钱。这两者合起来就是“防御强度”：防线把相似度压得越低、把所需查询量抬得越高，保护就越硬。

防御方还面临一个“边界判定”问题：攻击进行到哪一步才算是“被击退”？通常设定一个经验阈值，例如“影子模型重建相似度低于 60% 且连续两周没有上升趋势”，就判定当前配置足以让攻击者放弃。这个阈值不是拍脑袋定的，而是通过模拟攻击实验标定出来的。

老陈让伙计把“云来茶庄”的新茶买回来对比，发现相似度已经从最初的八成降到了不到六成，而且对方的仿品茶汤时好时坏，极不稳定。他这才放心：尺子在手上，防线的松紧自然心里有数。

可用性权衡：别砸招牌

防线越收越紧，新的麻烦来了。限号让一些老茶客也买不到茶，变料让讲究的老主顾隐约觉得味道不如从前。一位喝了几十年的老伯拍着桌子说：“我天天来，难道也是来偷你配方的？”老陈这才意识到：防御不能把正常的客人也挡在门外，否则招牌就砸了。

API 保护同样面临这个两难：限流限得太狠，正常用户的突发请求会被误伤；噪声加得太大，模型输出质量肉眼可见地下降；置信度截断太干脆，依赖概率做决策的下游应用直接失灵。安全策略不能只盯着攻击者，还要保证合法用户的服务体验——这就是“可用性权衡”。

实务中的解法是“分级服务”：把用户按身份和付费梯度分成不同等级，对陌生账号和免费层施加严格的限流与扰动，对高价值付费用户提供高配额、低噪声的通道。具体强度通过“误伤率”和“质量折损率”两个指标来校准：误伤率控制在 1% 以下，任务精度的损失控制在业务可接受范围内。

老陈最后定下规矩：老主顾凭三十年的交情走“信任通道”，原价原味不限量；生客和一次性客人喝“防伪版”，限号且带变料。这样既保住了熟客的体验，又让品茶人这类生面孔处处碰壁——招牌没砸，配方也守住了。

部署实践：安防手册

茶馆的防线最终成型，靠的不是某一招，而是把三招拧成一股绳：门口有伙计登记来客、控制流量，吧台不再附风味小票，后厨的变料按老主顾和生客分别调配。老陈还加了一道“巡查”：伙计留意那些每天都来、每次都点同一款茶却从不买茶叶的客人，发现异常就向掌柜报告。新规矩先在一条街的熟客中试行一周，确认没人抱怨，才在店里全面推行。

把这套思路翻译成 AI 系统的“安防手册”，就是组合防御 + 监控告警 + 灰度上线 + 审计复盘。组合防御强调多策略叠加：单靠限流可以被多账号绕过，单靠截断可以被大量采样统计弥补，单靠扰动可以在噪声分布上做反卷积——只有限流、截断、扰动配合使用，才能从不同维度同时抬高攻击成本。监控告警负责发现攻击迹象：某个账号的请求模式高度规律、请求量在短时间内飙升、查询输入覆盖范围异常均匀，都可能触发告警并自动切换到更严的保护档位。灰度上线和审计复盘则保证安全策略本身是可持续演进的：新策略先在小流量上验证误伤率，再逐步放量；每次攻击事件后复盘日志，调整阈值和参数。

半年后，那个品茶人再没出现过，对面的云来茶庄悄悄换了招牌。老陈站在柜台后擦着茶杯，心里明白：守住配方的从来不是哪一招奇计，而是一整套不断修补的规矩。在 AI 服务的世界里，这套规矩的名字就叫 API 保护。

AI 应用场景

Python 演示

# 模拟一个带三级防御的AI预测API, 并对比攻击者在有/无保护时的复制效果import mathimport randomimport time  class TrueModel:    """被保护的原始模型(黑盒), 内部是最近质心分类器"""    def __init__(self, centers):        self.centers = centers     def predict(self, pt):        ds = [math.dist(pt, c) for c in self.centers]        label = ds.index(min(ds))        total = sum(ds) + 1e-9        conf = 1.0 - min(ds) / total        return label, conf  class SecureAPI:    """带防御的API: 限频 + 置信度截断 + 输出扰动"""    def __init__(self, model, rate_limit=10, truncate=True, noise=0.15):        self.model = model        self.rate_limit = rate_limit        self.truncate = truncate        self.noise = noise        self.request_count = 0        self.window_start = time.time()     def _check_rate(self):        now = time.time()        if self.request_count >= self.rate_limit:            if now - self.window_start < 60:                return False            self.request_count = 0            self.window_start = now        return True     def predict(self, pt):        if not self._check_rate():            raise RuntimeError("rate limited")        label, conf = self.model.predict(pt)        self.request_count += 1        if self.truncate:            conf = round(conf, 0)        conf += random.gauss(0, self.noise)        conf = max(0.0, min(1.0, conf))        return label, conf  class ShadowAttacker:    """攻击者: 通过API采样训练影子模型(按标签自适应估计质心)"""    def __init__(self, init_centers):        self.est = [list(c) for c in init_centers]     def update(self, pt, label):        self.est[label][0] = 0.9 * self.est[label][0] + 0.1 * pt[0]        self.est[label][1] = 0.9 * self.est[label][1] + 0.1 * pt[1]     def similarity(self, true_centers):        dists = [math.dist(e, c) for e, c in zip(self.est, true_centers)]        return math.exp(-sum(dists) / len(dists))  def run_attack(api, true_centers, samples):    attacker = ShadowAttacker([(0.0, 0.0), (2.0, 2.0)])    for _ in range(samples):        x = random.uniform(-1, 2)        y = random.uniform(-1, 2)        try:            label, _conf = api.predict((x, y))            attacker.update((x, y), label)        except RuntimeError:            pass    return attacker.similarity(true_centers)  def main():    centers = [(0.0, 0.0), (2.0, 2.0)]    model = TrueModel(centers)    open_api = SecureAPI(model, rate_limit=100000, truncate=False, noise=0.0)    guarded_api = SecureAPI(model, rate_limit=12, truncate=True, noise=0.12)     sim_open = run_attack(open_api, centers, 300)    sim_guard = run_attack(guarded_api, centers, 300)    print("无防护时影子模型重建相似度: %.3f" % sim_open)    print("有防护时影子模型重建相似度: %.3f" % sim_guard)    print("结论: API保护显著降低模型提取的成功率")  if __name__ == "__main__":    main()

1. if not self._check_rate():每次请求前先检查当前窗口内是否超限，超限直接拒绝，这是“限量供应”的代码化身。
2. conf = round(conf, 0)把连续置信度取整为 0 或 1，等价于只返回“是/否”标签，隐藏精细判断信息。
3. conf += random.gauss(0, self.noise)在置信度上叠加高斯噪声，让攻击者每一次采到的数值都带点随机误差。
4. attacker.update((x, y), label)攻击者用一个又一个查询样本，悄悄更新自己的影子模型参数。
5. math.exp(-sum(dists) / len(dists))用估计质心与真实质心的距离换算成“重建相似度”，距离越近相似度越高，偷师越成功。

常见误区

面试题