在AI世界里，一个训练好的模型就像一座装满珍贵藏品的博物馆——它的“记忆”里存储着从海量数据中学习到的知识和规律，这些知识和规律是企业投入大量算力、数据和时间换来的核心资产。然而，有一种“小偷”专挑深夜下手：他们向模型发送精心构造的查询，通过观察模型小心翼翼给出的回答，一点点逆向拼凑出模型的内部秘密——这个过程叫做模型提取攻击，就好比窃贼通过反复敲击保险柜、仔细听回响声，最终复制出一把完美钥匙。而本文的主角——提取检测机制，就是这座博物馆的“防盗报警系统”：它时刻监视着每一个访客的举动，一旦发现有人在可疑地“敲击”模型，立刻拉响警报。我们将用“博物馆保安”这个贯穿全文的比喻，带你走进提取检测机制的世界——从它为什么要存在，到它怎么识破“小偷”，再到现实中如何落地部署。

岗位关联

学习提取检测机制，你将掌握AI模型安全防护的核心技能——这是大模型时代每个算法工程师必备的“安全直觉”，让你既能构建高效模型，也能守住模型资产的安全底线。

目录
  1. 可视化演示
  2. 攻击威胁认知
  3. 检测原理框架
  4. 行为特征分析
  5. 相似度检测法
  6. 响应式防御策略
  7. 主动探测技术
  8. AI 应用场景
  9. Python 演示
  10. 常见误区
  11. 面试题

可视化演示

动态演示提取检测机制设计的核心机制，通过基础/核心/应用/扩展四种模式展示关键概念与交互流程。

本节配有交互动效（进入视口后自动加载，约 3KB）。

提取检测机制设计：提取检测 提取检测机制的核心概念 模型提取攻击的行为特征 核心机制可视化 提取检测机制设计整体架构与关键组件

攻击威胁认知

假设你现在是一家银行的安保主管，你负责保护金库里的现金和客户资料。那么你的第一项工作是什么？当然是先弄清楚“小偷长什么样、从哪进来”。同样的道理，设计提取检测机制的第一步，就是要充分认识敌人——模型提取攻击到底是怎么发生的。就像小偷需要先踩点、观察银行的运钞时间和安保路线一样，攻击者首先要获得对模型的访问接口。最典型的方式就是通过公开的API接口——你可以把API想象成博物馆的售票窗口，任何访客都能买票进来参观，但只允许站在“玻璃窗外”看展品，不允许触摸。这种只能看、不能摸的访问方式称为黑盒访问。

从威胁模型的角度来看，攻击者对目标模型有两种认知程度。白盒攻击就好比小偷拿到了博物馆的建筑图纸，连通风管道的位置都一清二楚——这种情况下攻击者可以直接读取模型参数，提取就变得极其容易。而黑盒攻击更像一个普通访客，只能通过“看展品”（发送查询）和“听讲解”（获得输出）来推断藏品背后的制作工艺。黑盒攻击是目前API场景下最主要的风险，因为现实世界中模型权重通常被严密保护，但API接口却不得不对外开放。

技术上说，模型提取攻击的本质是：攻击者通过大量查询目标模型，收集输入-输出对，然后用这些数据训练一个“替代模型”（也叫学生模型），使其尽可能逼近目标模型（教师模型）的功能。这就好比一个画家不接触真迹，只是反复观看真迹的照片，最终画出足以以假乱真的复制品。对于依赖模型能力赚钱的AI公司来说，这种攻击的后果是灾难性的——攻击者绕过了训练成本，免费偷走了模型的“毕生所学”。根据相关研究，在某些场景下攻击者只需数万次查询，就能达到90%以上的功能复制率，而查询成本远低于模型训练成本。

这样一来，我们就理解了为什么需要提取检测机制——它是给这座“AI博物馆”安装的一套安保系统，专门用来识别那些“反复拍照临摹”的可疑访客。

攻击收益=替代模型功能保真度−查询成本\text{攻击收益}=\text{替代模型功能保真度}-\text{查询成本}
攻击者权衡的“账本”：只要复制出的模型功能足够好，且查询开销足够低，攻击就是“划算的买卖”。
  1. 替代模型功能保真度衡量攻击者复制的“赝品”模型与原始模型在预测行为上的接近程度，越接近说明偷得越成功。
    功能保真度=替代模型正确预测样本数总测试样本数\text{功能保真度}=\frac{\text{替代模型正确预测样本数}}{\text{总测试样本数}}
  2. 查询成本攻击者调用目标模型API所付出的总开销，包括调用次数乘以单次调用价格，以及时间成本。
    查询成本=查询次数×单次查询价格\text{查询成本}=\text{查询次数}\times\text{单次查询价格}
  3. 攻击者的决策逻辑当复制收益大于投入成本时，攻击行为就具有经济诱惑力；检测机制的目标就是提高这个等式的右边，让攻击变得“不划算”。
    攻击收益>0⇒攻击者愿意尝试\text{攻击收益}>0\Rightarrow\text{攻击者愿意尝试}

检测原理框架

作为博物馆的新任保安，你不可能认识每一个访客，也不该轻易怀疑每一位认真看展的游客。那么，怎样的“警惕”才算合理？这里的关键在于：检测机制的核心不是识别“这个人是谁”，而是评估“这一连串行为像不像盗窃”。提取检测机制的基本原理，就是从模型的查询日志中发现异常模式——想象一下，正常游客会在每幅画前驻足几分钟，而一个“盗画贼”会拿着相机以固定角度、固定光线对每幅画连拍几十张。前者是正常的欣赏行为，后者是复制行为——检测机制就是要从行为数据中分辨这两种人。

从技术框架来看，提取检测通常包含四个关键环节。第一是数据采集：记录每一次API调用的输入、输出、时间戳和调用方身份信息，这相当于博物馆的摄像头系统。第二是特征提取：从原始日志中提炼出能够区分正常用户与攻击者的统计特征，如查询频率、输入分布、输出置信度等。第三是异常判定：将特征输入检测模型（如Isolation Forest、One-Class SVM等无监督算法，或者基于规则的阈值判定），输出“正常”或“攻击”的决策结果。第四是响应处置：根据决策结果触发相应的防御动作，比如拒绝服务、返回扰动结果、或者标记该用户进行人工审核。

这里有一个重要的设计思想——代价敏感决策。在检测场景中，我们面临两类错误：误报（把正常用户当成攻击者）和漏报（放走了真正的攻击者）。误报会伤害正常用户体验，就像保安误把认真写生的美术生赶出博物馆；漏报则意味着模型资产已经失窃。设计检测机制时，需要根据业务场景调节两者的权重：对于高价值模型，宁可误报多一些也要降低漏报率；对于一般模型，则要在用户体验与安全性之间取得平衡。

有了这个框架，保安就知道该盯紧哪些“摄像头画面”了。接下来，我们就来看看具体该从哪些行为特征中“看出”小偷的踪迹。

检测总代价=α×P(误报)×误报损失+β×P(漏报)×漏报损失\text{检测总代价}=\alpha\times P(\text{误报})\times \text{误报损失}+\beta\times P(\text{漏报})\times \text{漏报损失}
这个公式告诉我们：检测机制的本质是一个“最小化期望损失”的决策问题，$\alpha$和$\beta$是业务方根据模型价值设定的权重系数。
  1. 误报损失把正常用户当成攻击者所造成的业务伤害，如用户流失、投诉、API调用被阻断导致的收入损失。
    误报损失=被误伤用户数×单用户价值\text{误报损失}=\text{被误伤用户数}\times \text{单用户价值}
  2. 漏报损失没有识别出真正攻击者所造成的模型资产损失，包括训练成本损失和未来商业价值损失。
    漏报损失=模型训练总成本+预期商业收益损失\text{漏报损失}=\text{模型训练总成本}+\text{预期商业收益损失}
  3. 权重系数$\alpha$和$\beta$分别反映业务方对两类错误的容忍程度，通常通过历史数据和专家经验确定。
    α+β=1,α,β∈[0,1]\alpha+\beta=1,\quad \alpha,\beta\in[0,1]

行为特征分析

假设你是一位经验丰富的博物馆保安，你并不会盯住每一个游客，而是特别留意几种“可疑行为模式”——有人总是在同一幅画前反复徘徊，有人专门在闭馆前最后一个离开，还有人总是拍照却不看展品说明。模型提取攻击者在API查询行为上，同样会露出类似的“马脚”。我们把这些线索称为行为特征，它们是检测机制识别攻击者的关键依据。

第一个线索是查询频率画像。正常用户的查询往往会遵循业务节奏，比如每天白天查询较多、深夜较少，频率相对平稳。但提取攻击者为了尽快收集足够的训练数据，会用脚本以极高的频率连续发送查询——相当于一个游客在短短一分钟内把博物馆的所有展品都“扫拍”了一遍。当然，聪明的攻击者会刻意控制频率来规避检测，这就需要结合更多维度的特征来判断。

第二个线索是输入分布检测。正常用户的输入往往呈现出真实业务场景的分布特性——比如一个图像识别API，正常用户上传的是各种自然场景照片。而攻击者为了覆盖模型的完整决策边界，会有针对性地构造输入样本，这些样本在特征空间中分布得非常均匀且密集，甚至覆盖到正常业务永远不会触及的“边缘地带”。在代码层，我们可以用输入向量的统计量（如均值、方差、熵）来衡量这种异常：当输入熵远高于业务基线时，就值得怀疑。

第三个线索是输出置信度特征。这是提取检测中最有价值的一类信号。正常用户的查询中，模型输出的置信度分数分布通常比较分散——有些输入模型很确定，有些则模棱两可。但攻击者在训练替代模型时，会特别关注那些能让教师模型产生“确定答案”的样本，因此其查询序列产生的输出置信度往往异常地高且集中。此外，边界采样模式也值得一提：攻击者会刻意查询那些落在模型决策边界附近的样本（比如对抗样本），因为这些样本最能揭示模型的决策规律，而正常用户几乎不会这样做。

不过，仅凭行为特征还不够——攻击者可以伪造行为模式。所以我们还需要另一件“秘密武器”：通过主动设计测试，直接检验“对方是不是在复制我的模型”。

异常得分=λ1⋅f频率+λ2⋅g输入分布+λ3⋅h置信度\text{异常得分}=\lambda_1\cdot f_{\text{频率}}+\lambda_2\cdot g_{\text{输入分布}}+\lambda_3\cdot h_{\text{置信度}}
行为特征分析就像给每个用户画“行为肖像”：正常用户的行为画像平滑自然，而攻击者的画像棱角分明、处处透着“刻意”。
  1. 频率异常$f_{\text{频率}}$衡量查询频率与历史基线的偏差，常用Z-score计算：超出均值3个标准差即视为异常。
    f频率=当前窗口查询数−历史平均查询数历史标准差f_{\text{频率}}=\frac{\text{当前窗口查询数}-\text{历史平均查询数}}{\text{历史标准差}}
  2. 输入分布异常$g_{\text{输入分布}}$衡量当前输入的分布与训练数据分布的差异，常用KL散度或最大均值差异（MMD）来计算。
    g输入分布=DKL(P当前∥P正常)=∑xP当前(x)log⁡P当前(x)P正常(x)g_{\text{输入分布}}=D_{\text{KL}}(P_{\text{当前}}\parallel P_{\text{正常}})=\sum_{x}P_{\text{当前}}(x)\log\frac{P_{\text{当前}}(x)}{P_{\text{正常}}(x)}
  3. 置信度异常$h_{\text{置信度}}$衡量输出置信度均值的偏移程度，攻击者的置信度往往逼近1.0。
    h置信度=1N∑i=1N1[confi>τ]h_{\text{置信度}}=\frac{1}{N}\sum_{i=1}^{N}\mathbb{1}[\text{conf}_i>\tau]

相似度检测法

保安们都知道一个道理：再狡猾的贼，偷来的东西总会留下痕迹。模型提取攻击也一样——攻击者训练出的替代模型，无论怎么优化，其行为都不可能与原始模型完全一致，但相似度一定高得异常。相似度检测法的核心思想是：与其被动地观察攻击者行为，不如主动制造一些“验证题”，看对方能否给出与原始模型一致的答案。

具体做法分为三步。第一步是合成样例生成：准备一组特殊的测试输入，这些输入可以是对抗扰动样本、边界附近的样本、或者随机噪声图片。第二步是置信度得分提取：将这些合成样例分别发送给目标模型和候选模型（嫌疑攻击者的模型），记录它们输出的置信度向量。第三步是阈值判定校准：计算两个模型输出分布之间的相似度，如果相似度超过某个阈值，就判定候选模型是“克隆品”。

放在现实场景中，这就像博物馆保安在展厅里偷偷放置了几件“假展品”——它们在灯光下看似珍贵，实际是赝品。如果某个访客对假展品表现出与真品一样的热衷，甚至能准确说出它的“艺术价值”，保安就有理由怀疑这位访客之前“研究”过馆内的藏品清单。在具体实现中，判定模型克隆最常用的指标是置信度向量的L2距离或余弦相似度，研究者还提出了针对不同攻击方法的鲁棒评估协议：检测方法需要在各种攻击强度下都保持高检测率。

有了这套“主动出题”的检测方法，保安就不只是被动观察，还能主动试探。但这还不是全部——万一攻击者已经入侵到了一半，保安还需要一套“即时反击”的策略。

相似度=1−∥cA−cB∥2∥cA∥2+∥cB∥2\text{相似度}=1-\frac{\|\mathbf{c}_A-\mathbf{c}_B\|_2}{\|\mathbf{c}_A\|_2+\|\mathbf{c}_B\|_2}
两个模型在合成样例上的输出置信度越接近，它们就越可能是“师徒关系”——相似度趋近1时，几乎可以断定克隆行为已经发生。
  1. 置信度向量$\mathbf{c}_A$和$\mathbf{c}_B$分别表示目标模型和候选模型在合成样例上的输出概率分布，维度等于类别数。
    cA=[p1(A),p2(A),…,pK(A)],cB=[p1(B),p2(B),…,pK(B)]\mathbf{c}_A=[p_1^{(A)},p_2^{(A)},\ldots,p_K^{(A)}],\quad \mathbf{c}_B=[p_1^{(B)},p_2^{(B)},\ldots,p_K^{(B)}]
  2. L2距离归一化用两个向量范数之和作为分母，将距离映射到$[0,1]$区间，消除模型整体置信度水平不同带来的偏差。
    ∥cA−cB∥2=∑k=1K(pk(A)−pk(B))2\|\mathbf{c}_A-\mathbf{c}_B\|_2=\sqrt{\sum_{k=1}^{K}(p_k^{(A)}-p_k^{(B)})^2}
  3. 判定规则当相似度超过预设阈值$\tau$时触发警报，$\tau$通常通过验证集上的ROC曲线确定。
    判定结果={克隆,相似度>τ不同模型,相似度≤τ\text{判定结果}=\begin{cases}\text{克隆}, & \text{相似度}>\tau\\ \text{不同模型}, & \text{相似度}\leq\tau\end{cases}

响应式防御策略

想象一下，保安发现有人正在试图撬开保险柜——这个时候，光是盯着监控已经不够了，必须立刻采取行动。响应式防御策略就是这样一套“警报触发后的反击方案”：当提取检测机制判定某个API调用者高度可疑时，系统不再返回干净、准确的答案，而是采取一系列手段让攻击者的“学习素材”变质。

第一种策略是输出扰动注入。当检测系统判定当前请求来自可疑攻击者时，模型不再返回原始的置信度向量，而是在输出上叠加随机噪声——比如在Softmax输出的概率分布上加上拉普拉斯噪声。攻击者拿到的每一个“教学样本”都有点失真，就像窃贼偷到的每一张设计图纸都被人为擦去了一些关键尺寸。累积误差会让替代模型的精度大幅下降。研究者发现，即使只加入很小的噪声，也会让替代模型的准确率下降5-15个百分点，而正常用户的体验几乎不受影响。

第二种策略是访问频率限制。给每个API密钥设置调用频率上限，一旦超过阈值就返回拒绝或降级响应。这相当于博物馆规定“每位访客每天只能参观两次”，让“批量偷拍”变得异常困难。第三种策略是精度降级机制：当模型被怀疑遭受攻击时，自动切换到简化版本——比如只返回Top-1标签而不返回完整置信度向量，或者用蒸馏过的小模型来响应。这些策略的共同思路是：虽然无法完全阻止攻击者的查询，但可以大幅提高攻击成本、降低攻击者的“投资回报率”。

不过，防守只是硬币的一面。一个真正优秀的安保系统，还要懂得“主动出击”——在展品上做记号，将来无论小偷把画偷到哪里，都能证明那是自己的。

扰动后输出=Softmax(z+ϵτ),ϵ∼Laplace(0,b)\text{扰动后输出}=\text{Softmax}\left(\frac{\mathbf{z}+\epsilon}{\tau}\right),\quad \epsilon\sim\text{Laplace}(0,b)
扰动注入的巧妙之处在于“杀伤力可控”：噪声让攻击者学不到准确知识，但正常用户感知到的只是“结果稍微模糊了一点”。
  1. Logits向量$\mathbf{z}$是模型最后一层神经网络的原始输出，Softmax将其转化为概率分布。
    z=[z1,z2,…,zK]∈RK\mathbf{z}=[z_1,z_2,\ldots,z_K]\in\mathbb{R}^K
  2. 拉普拉斯噪声$\epsilon$是从拉普拉斯分布采样得到的随机噪声向量，参数$b$控制噪声强度，$b$越大输出越失真。
    P(ϵ)∝exp⁡(−∣ϵ∣b)P(\epsilon)\propto\exp\left(-\frac{|\epsilon|}{b}\right)
  3. 温度系数$\tau$是Softmax的温度参数，$\tau>1$时输出分布变平滑（置信度降低），$\tau<1$时输出更尖锐；扰动场景通常使用$\tau>1$结合噪声来实现防御。
    Softmax(z)i=ezi/τ∑jezj/τ\text{Softmax}(\mathbf{z})_i=\frac{e^{z_i/\tau}}{\sum_j e^{z_j/\tau}}

主动探测技术

博物馆有一种古老的防盗智慧：在贵重展品上留下一道只有自己知道的“暗记”。就算画被偷走、转手多次，只要暗记还在，主人就能证明画是自己的。主动探测技术正是把这种思路用到了模型安全上——在模型训练阶段就植入一些特殊“水印”，将来如果怀疑某个模型是从自己这里“偷学”的，就可以通过验证水印来获取证据。

具体来说，水印样本植入是在训练数据中混入一小部分带有特殊标记的样本，这些样本在正常业务中几乎不会出现，但模型会记住它们的特征。当模型被训练完成后，这些水印样本就像是藏在地板下的“信标”——只有植入者知道它们的存在。当需要验证时，触发路径验证就派上了用场：将水印样本输入可疑模型，如果模型的输出与预期标记高度吻合，就说明这个模型“继承”了原始模型的知识——就像某个画家的徒弟画出的作品总是带着师傅特有的笔触习惯。

更进一步，远程所有权证明可以让模型所有者在不暴露水印样本的情况下完成验证：通过一系列精心设计的挑战-应答协议，在零知识证明的框架下确认候选模型确实包含特定知识。而取证审计追踪则为事后追责提供完整的证据链——每一步查询日志、每一次检测触发、每一个响应动作都被记录在不可篡改的审计日志中，当法律纠纷发生时，这些记录就是呈堂证供。行业实践中，水印技术已经从简单的后门样本发展到基于触发器集的水印框架，例如给图像加上肉眼不可见的扰动模式，让模型学到特定的“签名行为”。

到这里，我们从“认清威胁”到“被动检测”再到“主动防御”，已经搭起了完整的提取检测机制框架。就像一座博物馆既需要摄像头、也需要保安巡逻、还需要展品暗记——三者缺一不可，共同构成纵深防御体系。

水印验证准确率=1M∑i=1M1[y^i=yitrigger]\text{水印验证准确率}=\frac{1}{M}\sum_{i=1}^{M}\mathbb{1}\left[\hat{y}_i=y_i^{\text{trigger}}\right]
水印验证的核心逻辑是：如果“冒牌模型”在触发样本上的表现和原模型一致，就证明它学走了原模型的知识——就像验钞机上的荧光标记，真币一照便知。
  1. 水印样本集$M$个带有特殊标记的触发样本，它们的标签$y_i^{\text{trigger}}$是植入者预设的“暗号”。
    Dtrigger={(xitr,yitr)}i=1M\mathcal{D}_{\text{trigger}}=\{(x_i^{tr},y_i^{tr})\}_{i=1}^{M}
  2. 预测一致率将水印样本输入可疑模型，计算模型预测标签与预设暗号一致的比率，比率越高说明“偷师”越明显。
    准确率=预测正确的水印样本数M\text{准确率}=\frac{\text{预测正确的水印样本数}}{M}
  3. 判定规则当水印验证准确率超过阈值（如90%）时，即可认定候选模型是从目标模型提取而来。
    验证结果={确认提取,准确率>90%证据不足,准确率≤90%\text{验证结果}=\begin{cases}\text{确认提取}, & \text{准确率}>90\%\\ \text{证据不足}, & \text{准确率}\leq90\%\end{cases}

AI 应用场景

大模型API服务商的实时防护系统

阶段：模型部署与运营

解决的问题：某公司提供大语言模型API服务，按调用量收费。攻击者每月花费数千美元调用API，收集数百万条输入-输出对，训练出功能相当的替代模型后，就不再续费使用API——这直接导致公司失去长期客户，且模型“知识”被无偿复制。传统防护手段仅依赖API密钥和限流，无法识别这种“高仿真”攻击。

具体案例：该公司的安全团队在API网关层部署了提取检测机制：为每个API密钥建立行为画像，实时统计查询频率、输入熵、置信度分布等特征，用孤立森林算法检测异常；同时对高频查询用户自动附加输出扰动，将置信度向量注入拉普拉斯噪声。部署后，攻击者的替代模型准确率从87%降至61%，而正常用户的响应质量几乎不受影响。

开源模型数据集的版权保护

阶段：数据准备与模型训练

解决的问题：某科研机构发布了一个开源图像分类模型，但发现第三方公司在自己的商业产品中使用了该模型的能力，却未标注来源。由于模型权重无法直接比对，机构难以证明“模型被提取”。

具体案例：机构在模型训练前使用了水印植入工具包，在训练数据中混入了5000个带有不可见扰动的触发样本。当发现疑似侵权模型后，机构将触发样本输入该模型，水印验证准确率达到95%以上，成功证明了模型之间的“师生关系”，为后续法律维权提供了技术证据。

金融风控模型的防复制加固

阶段：模型监控与安全加固

解决的问题：银行的信用评分模型对业务至关重要，一旦被竞对提取复制，银行的“风控优势”将荡然无存。但银行又必须向合作方开放模型接口。

具体案例：银行在风控模型API上叠加了完整检测机制：对每个合作方密钥计算“输入分布密度”，一旦发现输入集中在决策边界区域、置信度异常升高，立即触发精度降级响应——只返回评分区间而非精确分数，同时冻结该密钥的高频调用权限。这一策略使得潜在的模型提取攻击成本提高了约20倍，有效遏制了复制行为。

Python 演示

python89 行
import numpy as npfrom sklearn.ensemble import IsolationForestfrom sklearn.preprocessing import StandardScaler class ExtractionDetector:    def __init__(self, contamination=0.1, threshold=0.5):        self.contamination = contamination        self.threshold = threshold        self.scaler = StandardScaler()        self.model = None        self.query_log = []        self.feature_cache = []     def extract_features(self, queries):        """从一批查询中提取统计特征"""        call_count = len(queries)        if call_count == 0:            return [0, 0, 0]        input_entropy = np.mean([self._entropy(q['input']) for q in queries])        avg_confidence = np.mean([q['confidence'] for q in queries])        boundary_ratio = np.mean([1 if q['confidence'] > 0.9 else 0 for q in queries])        return [call_count, input_entropy, avg_confidence + boundary_ratio]     def _entropy(self, data):        """计算输入向量的信息熵"""        data = np.asarray(data, dtype=np.float64)        if data.size == 0:            return 0.0        prob = np.abs(data) / (np.sum(np.abs(data)) + 1e-8)        return -np.sum(prob * np.log(prob + 1e-8))     def train(self, historical_queries):        """用正常用户的历史查询训练异常检测模型"""        self.query_log = historical_queries[:5000]        for batch in self.query_log:            self.feature_cache.append(self.extract_features(batch))        X = np.array(self.feature_cache)        X_scaled = self.scaler.fit_transform(X)        self.model = IsolationForest(contamination=self.contamination, random_state=42)        self.model.fit(X_scaled)     def detect(self, new_queries):        """检测新一批查询是否为提取攻击"""        if self.model is None:            raise RuntimeError('请先调用 train() 训练检测模型')        feat = self.extract_features(new_queries)        feat_scaled = self.scaler.transform([feat])        score = self.model.predict(feat_scaled)[0]        anomaly_score = self.model.score_samples(feat_scaled)[0]        is_attack = (score == -1) or (anomaly_score < -self.threshold)        return is_attack, float(anomaly_score)     def defend(self, queries, noise_scale=0.05):        """检测到攻击时，对模型输出注入扰动"""        is_attack, score = self.detect(queries)        if is_attack:            noise = np.random.laplace(0, noise_scale, size=len(queries))            for i, q in enumerate(queries):                q['confidence'] = max(0.0, min(1.0, q['confidence'] + noise[i]))            return queries, True        return queries, False  if __name__ == '__main__':    np.random.seed(42)    normal_batches = []    for _ in range(100):        batch = []        for _ in range(np.random.randint(5, 20)):            vec = np.random.randn(10)            conf = float(np.random.beta(2, 5))            batch.append({'input': vec, 'confidence': conf})        normal_batches.append(batch)     detector = ExtractionDetector(contamination=0.1, threshold=0.55)    detector.train(normal_batches)     attack_batch = []    for _ in range(30):        vec = np.random.randn(10)        conf = float(np.random.beta(10, 1))        attack_batch.append({'input': vec, 'confidence': conf})     is_attack, anomaly = detector.detect(attack_batch)    print('攻击检测结果:', '攻击' if is_attack else '正常', '异常分:', round(anomaly, 4))     normal_queries = [{'input': np.random.randn(10), 'confidence': float(np.random.beta(2, 5))} for _ in range(8)]    defended, triggered = detector.defend(normal_queries)    print('正常查询是否触发防御:', triggered)
目的：实现一个完整的提取检测与响应式防御流程——用隔离森林识别异常查询模式，并在检测到攻击时自动注入拉普拉斯噪声破坏攻击者的“学习素材”。
  1. class ExtractionDetector:定义提取检测器类，封装特征提取、异常检测和防御响应三项核心功能。
  2. self.model = IsolationForest(...)使用隔离森林无监督算法，无需攻击样本即可从正常行为中分辨异常。
  3. def extract_features(self, queries)从原始查询日志中提炼出“行为画像”的三个关键数字：查询量、输入熵、置信度。
  4. self.scaler.fit_transform(X)对特征做标准化，消除不同特征量纲差异，让每个维度在检测中公平贡献。
  5. score = self.model.predict(feat_scaled)[0]隔离森林输出-1表示异常点，这是触发警报的直接信号。
  6. anomaly_score = self.model.score_samples(feat_scaled)[0]获取连续异常分数，比二值判断更精细，可用于调节灵敏度。
  7. np.random.laplace(0, noise_scale, size=len(queries))生成拉普拉斯噪声向量，这是“输出扰动注入”防御的核心操作。
  8. def defend(self, queries, noise_scale=0.05)检测到攻击时自动给置信度加噪声，让攻击者收集的数据“中毒”。

常见误区

误区“我们有防火墙和访问控制，外部攻击者根本接触不到模型权重，所以模型不会被提取。”

正解这个想法就像认为“小偷没拿到保险柜钥匙就偷不走钱”。现实是，只要模型通过API对外提供服务，攻击者就能通过黑盒查询提取模型功能。研究已证明，在完全黑盒条件下，攻击者仅靠输入-输出对就能训练出高保真的替代模型。访问控制降低了攻击便利性，但不能消除提取风险本身。

为何常见：人们容易把“模型安全”等同于“数据安全”，认为攻击者必须获得权重文件才算攻击成功，忽略了模型功能本身也是有价的资产。

误区“反正用户需要看到置信度分数来评估预测可靠性，直接返回详细的概率分布没什么问题。”

正解完整的置信度向量恰恰是提取攻击最宝贵的“教学素材”。攻击者不需要知道模型内部参数，只要拿到大量输入对应的精确概率分布，就能训练出与原模型行为几乎一致的替代模型。这就像博物馆把每件展品的材质构成都印在介绍牌上，反倒方便了造假者复制。实践中应当只返回Top-1标签或归一化后的粗略分数，降低信息泄露。

为何常见：工程师往往从产品功能角度出发考虑API设计，容易忽略置信度向量在安全维度上的信息量。

误区“对可疑请求做扰动，岂不是连正常用户的结果也污染了？那还不如不做。”

正解优秀的扰动策略是“精准制导”的——只对触发检测警报的调用方生效，正常用户的请求永远走原路径。即便加入噪声，研究者也发现小幅度扰动（如拉普拉斯噪声尺度0.01）对正常用户的体验影响可以忽略不计，但累积到攻击者的训练集上却会让替代模型精度大幅下降。这就像博物馆只给有“偷拍嫌疑”的人发放模糊导览图，正常游客拿到的还是清晰版本。

为何常见：人们直觉认为防御措施是“一刀切”的，忽略了现代安全系统基于用户身份和实时行为做差异化响应的能力。

误区“往训练数据里混入水印样本，会不会把模型的正常识别能力带偏？”

正解水印样本通常只占训练数据的0.1%以下，且经过精心设计以保证其分布与原数据接近。更关键的是，水印验证时只检查模型在触发样本上的行为，这些样本在正常业务中几乎不会出现，因此不会干扰模型在真实数据上的表现。这就像给藏品贴一个只有馆方才有的隐形标签——不影响参观者对画的欣赏，却能证明归属。

为何常见：担心“额外数据必然干扰主任务”是直觉反应，但忽略了水印样本在数量级和分布设计上的精心控制。

面试题

Q1. 模型提取攻击中，攻击者通过API获取的核心信息是什么？

单选题 · easy

  • A.模型隐藏层权重参数
  • B.模型的训练数据集
  • C.输入对应的模型输出← 正确答案
  • D.模型的梯度更新历史

答案：C。黑盒提取攻击中，攻击者只能获得模型对输入的输出结果（预测标签或置信度），通过大量输入-输出对训练替代模型。选项A只有在白盒攻击中才可能获得；B是数据窃取而非模型提取；D属于训练过程信息，API不会暴露。

Q2. 以下哪项是提取检测机制中“代价敏感决策”的核心权衡？

单选题 · mid

  • A.模型精度与推理速度的权衡
  • B.误报损失与漏报损失的权衡← 正确答案
  • C.训练数据量与模型鲁棒性的权衡
  • D.模型参数量与硬件成本的权衡

答案：B。代价敏感决策是在“误伤正常用户”和“放过攻击者”之间寻找平衡点，对应误报与漏报的权衡。选项A/B/D都是模型工程中的通用权衡，与检测机制无关。

Q3. 哪些行为特征可用于识别模型提取攻击？

多选题 · mid

  • A.查询频率显著高于业务基线← 正确答案
  • B.输入样本分布过于均匀密集← 正确答案
  • C.输出置信度异常集中且偏高← 正确答案
  • D.用户使用移动设备访问API

答案：ABC。攻击者需要大量查询、覆盖决策边界、关注高置信度样本，因此A/B/C都是典型攻击信号。用户访问设备与攻击行为无关，不能作为检测特征。

Q4. 相似度检测法中，合成样例的主要作用是什么？

单选题 · mid

  • A.增强模型的泛化能力
  • B.在模型训练中做数据增强
  • C.探测候选模型是否输出一致答案← 正确答案
  • D.提升正常用户的查询体验

答案：C。合成样例是检测器“主动出题”的题目——将特殊设计的输入分别给目标模型和候选模型，比较输出行为是否一致。选项A和B是训练阶段的技术，D与检测无关。

Q5. 对可疑API请求叠加拉普拉斯噪声属于哪种防御策略？

单选题 · easy

  • A.访问频率限制
  • B.输出扰动注入← 正确答案
  • C.精度降级机制
  • D.水印样本植入

答案：B。输出扰动注入就是在返回结果上叠加随机噪声，让攻击者收集的训练数据“变质”。频率限制是限制调用次数，精度降级是切换简化模型，水印是训练阶段的植入技术。

Q6. 关于响应式防御策略，以下说法正确的是？

多选题 · mid

  • A.输出扰动对正常用户的影响可忽略← 正确答案
  • B.频率限制让攻击者无法批量采集数据← 正确答案
  • C.精度降级策略会降低模型安全性能
  • D.防御措施只针对可疑调用方生效← 正确答案

答案：ABD。小幅度扰动对正常用户体验影响很小，频率限制提高采集成本，防御是“精准制导”只影响可疑对象，A/B/D正确。精度降级是在被攻击时切换简化模型来保护核心资产，不会降低“安全性能”本身，C错误。

Q7. 水印验证准确率超过90%时，最合理的法律含义是什么？

单选题 · hard

  • A.候选模型必然使用了相同训练数据
  • B.候选模型行为与原模型高度一致← 正确答案
  • C.攻击者已完全复制了原模型参数
  • D.原模型存在严重过拟合问题

答案：B。水印验证本质上证明的是“行为一致性”——候选模型对触发样本的响应与原模型预设一致，说明其学到了原模型的知识，可作为侵权证据。它不证明训练数据相同（A错），更不说明参数被复制（C错），D与问题无关。

Q8. 提取检测机制中，查询日志分析的首要价值是什么？

单选题 · mid

  • A.统计API调用收入
  • B.优化模型推理性能
  • C.提供异常检测的数据基础← 正确答案
  • D.预测用户流失风险

答案：C。查询日志记录了调用频率、输入分布、输出置信度等信息，这些正是异常检测算法所需的特征数据源。A是计费用途，B是性能优化，D是用户运营，都不是安全检测的出发点。

Q9. 以下哪些措施能提高模型提取攻击的成本？

多选题 · hard

  • A.只返回Top-1标签不返回置信度向量← 正确答案
  • B.对检测到的攻击者限制访问频次← 正确答案
  • C.在训练阶段植入水印样本← 正确答案
  • D.将模型参数量增加一倍

答案：ABC。A减少了攻击者可用的“教学信号”，B直接提高采集成本，C为事后维权提供证据，三者都提升攻击“代价”。D只是增加模型体量，攻击者提取的是功能而非参数，参数量增大不直接影响提取难度。

Q10. 主动探测技术与响应式防御策略的本质区别是什么？

单选题 · easy

  • A.前者用于训练阶段，后者用于部署阶段← 正确答案
  • B.前者只适用于图像模型，后者只适用于文本模型
  • C.前者需要修改模型结构，后者只修改API配置
  • D.前者成本更高，后者成本更低

答案：A。主动探测技术（如水印植入）发生在模型训练阶段，为事后验证做准备；响应式防御策略（如扰动注入、限流）在模型部署后的推理阶段实时触发。B和C的领域限制不存在，D的成本高低不是本质区别。