模型提取检测方法

可视化演示

展示统计方法(Z-score/IQR)异常阈值判定、LOF局部密度异常因子计算与孤立森林路径长度隔离异常点的检测过程。

检测问题概述

店长阿福想抓“配方窃贼”，但他没有急着装摄像头，而是先坐下来想清楚三个问题：我要防的是谁？什么行为才算异常？我该在什么时机出手？这就是提取检测的第一步——定义问题。如果连“威胁模型”都模糊不清，后面再精巧的算法都是无头苍蝇。

在模型提取攻击里，威胁模型非常明确：攻击者拿不到模型权重、也没有训练数据，他唯一的武器是通过公开的预测 API 提交输入、获取输出的“黑盒能力”。因此，检测目标不是“阻止一切查询”——正常业务本来就要依赖 API——而是判断“这一组查询序列是否正在系统性地重建模型的功能”。按时间维度，检测方法可以分为两类：一类是流式检测，像店长站在大厅实时盯桌，逐条更新可疑分数；另一类是离线审计，像周末翻账本，把过去一段时间的查询记录聚成画像做深度排查。

从防御体系看，提取检测是“哨兵”，与限流、输入过滤、模型水印互为犄角。限流只能降低速度，挡不住耐心的攻击者；检测负责识别异常身份；水印则负责在识别失败后提供盗版证据。检测问题可以形式化地写成：

想清楚了这几个问题，阿福心里有了底：他不是要阻止客人进店，而是要在点菜行为里找出那些“带着尺子和天平来吃饭的人”。接下来，他得先研究窃贼是怎么下手的。

攻击原理剖析

老周偷配方不是碰运气，他有一套“试吃方法论”：每次只对一道菜做一个小改动，记录味道变化，几十次下来就摸清了调味料的大致配比。攻击者偷模型也一样——必须先理解对方“怎么偷”，才能知道“怎么防”。

攻击的第一步是查询接口滥用。黑盒 API 是攻击者与模型的唯一接触面，每发一条查询 x，模型就吐出一个输出 f(x)（通常包含类别标签和置信度）。攻击者把这些 (x, f(x)) 对收集起来，就构成了一个带标签的训练集。第二步是替代模型训练：在本地训练一个“影子模型”，让它模仿受害模型的输入输出行为。优化的目标是最小化影子模型的预测分布与受害模型输出分布之间的差距，通常用 KL 散度来度量：

这里藏着一个关键秘密：决策边界暴露。模型输出的置信度不是无意义的数字，它泄露了决策边界的位置。尤其是对于决策边界附近的低置信度样本，模型“最犹豫”的区域恰恰最能约束决策面的形状，所以攻击者会专门往边界上撒查询点。当然，偷配方也要算成本：想复制 ImageNet 级别的模型，通常需要数十万次查询，查询次数越多、影子模型越精确，但暴露的风险也越大——这正是检测可以利用的缝隙。

阿福想通了：老周的“试吃方法论”再专业，也架不住点菜数量多、搭配古怪这两大破绽。那么，具体该盯哪些信号呢？

特征信号识别

老周再怎么伪装，“点菜指纹”都藏不住：普通食客翻菜单看心情，他却盯着菜谱心里有本账；普通食客吃到不满意会皱眉，他却对每道刁钻菜露出“果然如此”的表情。这些细节，就是检测要提取的特征信号。

第一个信号是查询频率异常。正常用户调用 API 通常是任务驱动的，节奏有起有伏；提取攻击者要攒训练集，单位时间内的查询量往往远超正常水平，且持续时长异常。第二个信号是输入分布偏移。攻击者为了逼近决策边界，会提交大量偏离训练数据密集区的样本，我们可以用密度估计方法度量查询样本与训练分布的距离，发现大规模的系统性偏移。第三个信号是置信度特征。定义单条查询的“不确信度”如下：

第四个信号是边界逼近探针。攻击者会在输入上加微小扰动、沿梯度方向搜索，让置信度快速跌到谷底——这种“试探性”很强的样本就是边界探针。它的特征是输入看起来在数据边缘、但置信度异常低，且常以成组方式出现。单看某一条查询，这些信号都可能是误会；但当四类信号在同一个账号上共振时，攻击者的画像就清晰起来了。

阿福把这些信号记在小本子上，但他明白：看见“可疑”还不够，还得有一套机制把零散的可疑点累积成能拍板的证据——这就是流式检测算法登场的时候。

流式检测算法

实时检测就像店长站在大堂“盯桌”：每桌每上一道菜，他都在心里更新这张桌子的可疑分。分数低就继续观察，分数像温度计一样快速爬升，就立刻上前“礼貌地盘问”。这里的核心技术是CUSUM 累积和检测——它不追求单条查询的完美判断，而是把小幅异常一点点攒起来，直到越过大阈值才告警。这种设计特别适合提取检测，因为攻击者单条查询往往和正常查询很像，只有放在序列里看才现出原形。

CUSUM 的工作机制可以拆成三步。首先，用滑动窗口提取最近一段时间查询的特征，算出每条查询的异常分数 $s(q_t)$；其次，把异常分数减去正常基线 $b$（正常用户平均贡献的水平），得到一个“净异常增量”；最后，把这个增量累加到历史累积量上。累积量的迭代公式非常简洁：

阈值 $h$ 可以是固定值，也可以自适应：在流量高峰期适当抬高阈值、空闲期降低阈值，避免误伤突发性的正常批量任务。流式检测的好处是实时性好，一条查询到达后几十毫秒内就能更新分数。但它也有盲区——碰上“每天只偷两条查询、连续偷半年”的极慢速攻击，累积增量长期低于阈值，实时系统根本攒不出证据。这时就得靠离线审计了。

阿福的“盯桌”功夫能抓住急性子的小偷，但真正老练的窃贼从不着急。于是，他把账本收好，准备晚上回家慢慢翻。

离线审计画像

有些贼很耐心，一天只偷两三个配方片段，连续偷半年。实时盯桌发现不了他，但周末翻账本的阿福发现：有位“客人”半年来的订单连起来，几乎把菜单上所有刁钻组合都试了个遍，而且三个不同手机号下的单，口味偏好惊人一致。这就是离线审计画像的价值——把时间尺度拉长，让慢速潜伏攻击无所遁形。

离线审计的第一步是用户行为画像：为每个用户/账号抽取一组特征向量，比如查询类别分布、输入落在边界区域的比例、置信度均值与方差、活跃时段、API 调用结构等。这些特征拼成一个“行为指纹”向量。第二步是会话聚类分析：用聚类算法把用户画像分组，正常用户的画像聚成一个大团，而提取攻击者的画像往往孤立成小簇或贴在团的边缘。第三步是图结构关联：把手机号、IP、设备指纹、API Key 建成一张图，用图算法找出“共享底层身份”的多个账号——就像阿福发现三个手机号其实是同一个人的手套。衡量两个画像是否相似，最常用的工具是余弦相似度：

离线审计的最后一步是历史回溯取证：把疑似攻击者的全部查询日志导出，按时间线重建他的“影子模型训练过程”，作为后续维权或诉讼的证据。这种“事后诸葛亮”的价值，恰恰在于能提供完整的证据链，而不是像实时检测那样只给一个警报。

阿福合上账本，心里已经锁定了嫌疑人。但他还缺一件关键武器：就算抓住老周，怎么证明“山寨轩”那道菜偷了自己的配方？这就要靠那把“幽灵胡椒”了。

模型水印技术

光靠盯人还不够，阿福在秘方里撒了一把“幽灵胡椒”——只有自家后厨知道它是什么、放在哪道菜里。如果哪天隔壁餐馆端出一道菜也带着这股味道，那就是偷窃的铁证。在模型世界里，“幽灵胡椒”就是模型水印：一种嵌入在模型行为里的隐秘身份标记。

最常用的水印方案是后门触发嵌入。训练阶段，在正常样本之外构造一批带特殊触发模式的样本（比如一张图片加一个肉眼几乎看不见的扰动块），强行让模型对它们输出固定的目标标签。这样，模型表面行为一切正常，但一旦输入命中触发模式，就会“条件反射”般输出暗号。形式化地说：

水印分两条技术路线。白盒水印是指水印拥有者能查看模型内部参数（比如权重、激活值），可以直接把特征图案嵌入权重矩阵；黑盒水印则是只通过输入输出接口验证，依靠触发样本和输出指纹，这也是现实中大多数场景的约束。验证时，对可疑模型批量发送触发样本，统计目标标签的命中率，显著高于随机水平即构成强证据——这一步叫输出指纹校验。最后，把水印触发样本、命中日志、查询时间戳一起存档，形成完整的证据链，让盗用者“偷了也不敢认”。

有了这把“幽灵胡椒”，阿福心里踏实了。但无论是巡查还是下胡椒，他都必须回答一个问题：这套系统到底靠不靠谱？会不会冤枉好人、放过坏人？——这正是评估体系要解决的问题。

检测评估体系

阿福的巡查系统不能乱来：如果把正常顾客当成贼轰出去，餐厅明天就倒闭；如果对真正的贼视而不见，配方迟早外泄。所以系统上线前，他必须量化两个数字：抓得全不全、误伤多不多。在检测领域，这两个数字就是检出率（DR）和误报率（FPR）：

在实际工程中，检测器的输出通常是一个连续异常分，通过移动阈值 $h$ 可以得到一系列 $(\mathrm{FPR}, \mathrm{DR})$ 组合，画成曲线就是 ROC 曲线，曲线下面积 AUC 衡量检测器的整体性能。阈值调优要结合业务代价：对金融机构来说误报一次可能损失一个客户，就要把阈值调高；对核心技术资产，漏报一次可能损失整个模型，就要适当压低阈值。此外，还要做对抗逃逸评估：假设攻击者知道检测规则，故意放慢速度、混入正常流量、模仿真实分布，看检测器还能不能扛住。最后是工程落地：把流式检测与离线审计部署成两条流水线，多信号加权融合，并用影子账号定期做红队演练。

阿福在餐厅门口贴出告示：“本店采用智能点餐巡查系统，请放心用餐。”正常食客毫无察觉，而老周这样的窃贼，日子越来越难过了。检测、审计、水印、评估——这套组合拳，让每一个想偷配方的人都得掂量掂量成本。

AI 应用场景

Python 演示

import numpy as np  class VictimModel:    """受害模型：一个模拟数据训练的逻辑回归分类器（黑盒服务）"""     def __init__(self, seed=42):        rng = np.random.default_rng(seed)        self.w = rng.normal(0.0, 1.0, size=2)        self.b = 0.5     def predict_proba(self, X):        logits = X @ self.w + self.b        p1 = 1.0 / (1.0 + np.exp(-logits))        return np.stack([1.0 - p1, p1], axis=1)  class StreamingDetector:    """流式提取检测器：基于 CUSUM 的累积异常分数"""     def __init__(self, baseline=0.85, decay=0.08, threshold=2.0):        self.baseline = baseline        self.decay = decay        self.threshold = threshold        self.gc_score = 0.0        self.alerted = False     def update(self, conf):        anomaly = max(0.0, self.baseline - conf)        self.gc_score = max(0.0, self.gc_score + anomaly - self.decay)        if self.gc_score > self.threshold:            self.alerted = True        return self.gc_score, self.alerted  def main():    victim = VictimModel()    rng = np.random.default_rng(7)     # 正常用户：查询围绕数据密集区，置信度较高    normal_X = rng.normal(0.0, 1.0, size=(150, 2))     # 提取攻击者：沿决策边界采样，置信度持续偏低    t = np.linspace(-3.0, 3.0, 150)    attack_X = np.stack(        [t, -(victim.w[0] * t + victim.b) / victim.w[1]], axis=1    )     detector = StreamingDetector()    base_total = len(normal_X)    alarm_step = None     for x in normal_X:        conf = float(victim.predict_proba(x.reshape(1, 2)).max())        detector.update(conf)     for i, x in enumerate(attack_X):        conf = float(victim.predict_proba(x.reshape(1, 2)).max())        _, alert = detector.update(conf)        if alert and alarm_step is None:            alarm_step = base_total + i + 1     print("正常用户阶段：150 条查询，无告警")    if alarm_step is not None:        print("攻击者阶段：第 %d 条查询触发告警" % alarm_step)    else:        print("攻击者阶段：未触发告警，请调低阈值")  if __name__ == "__main__":    main()

1. victim = VictimModel()创建受害模型，它只暴露 predict_proba 接口，相当于只让客人“点菜”不让进后厨。
2. conf = float(...max())取模型输出的最大置信度，作为单条查询的“自信程度”。
3. anomaly = max(0.0, self.baseline - conf)置信度低于基线就产生异常分，置信度高于基线则视为正常。
4. self.gc_score = max(0.0, self.gc_score + anomaly - self.decay)CUSUM 累积更新：累加净异常增量，负分归零。
5. if self.gc_score > self.threshold累积分超过阈值即告警，之后攻击者会被降权或拉黑。

常见误区

面试题