黑盒与威胁模型：看不见的后厨，藏不住的漏洞

可视化演示

展示黑盒、白盒、灰盒三类威胁模型的知识访问边界、攻击方法选择与防御策略匹配关系。

威胁模型基础

“模型小馆”的后厨究竟有多神秘？这取决于你看过什么。如果你只是路过的食客，只能看到端出来的菜；如果店里出了内鬼，你连每道菜下几克盐都一清二楚；如果捡到过一张旧菜单，你又知道了一部分食材。AI 安全里的威胁模型，做的正是这件事：在攻击发生之前，先写清楚“攻击者是谁、他手里拿着什么钥匙”。它把攻击者的能力假设划分为白盒、黑盒、灰盒三类，用来回答一个根本问题：攻击者能访问模型的知识到什么程度？

技术上说，威胁模型是攻击者能力的一个结构化描述。我们通常从四个维度刻画攻击者：他是否知道模型结构 $\theta$？他能否查询输入并看到输出 $f(x)$？他能否获得损失函数关于输入的梯度 $\nabla_x J$？他是否掌握训练数据分布 $D$？这四个维度合起来，就构成了攻击者的“能力画像”。

有了这把“能力画像”，餐厅才知道该在门口装栏杆、还是在后厨加锁。威胁建模不是防御的备选项，而是攻防设计的起点：先定义攻击者能看见什么，再决定我们该防什么。

黑盒攻击场景

想象一位真正的“黑盒食客”：他站在“模型小馆”门口，不能进后厨，也没有旧菜单，唯一的武器是反复点菜。他点一份“红烧肉”，尝一口，再点一份“糖醋排骨”，再尝一口。他通过观察“同一道菜在什么情况下会变味”——也就是相同输入在微小改动后会不会被识别成另一道菜——来一点点摸索决策边界。

在现实世界，这种场景极其常见：你调用的第三方图像识别 API、语音服务、大模型接口，几乎都是黑盒。服务器不会给你权重文件，更不会开放梯度。攻击者只能向 API 发送图片，拿到 top-1 或 top-5 的分类结果。他们甚至会被限流：每秒最多查 10 次。这正是黑盒攻击的约束条件——信息少、查询贵、还要躲过风控。

黑盒攻击的核心描述是：输入 $x$ 可以被攻击者任意构造，但攻击者只能观察到模型的输出 $f(x)$，而无法观测到中间任何层或梯度。

对这些攻击者来说，没有梯度就像没有菜谱。但他们仍然可以用三种策略：随机扰动试错、模仿一个替代模型来转移攻击、或者利用统计方法估计梯度方向。所以千万别认为黑盒攻击只是“碰运气”，在查询次数足够多时，它也可以精确得像一个看不见后厨却尝得出火候的老饕。

白盒攻击原理

再来看另一种攻击者：他是“模型小馆”的前主厨，手里有一本完整的菜谱，甚至清楚每道菜在 180 度还是 200 度下锅。对这样的人来说，想知道“哪道菜最容易搞砸”，根本不需要试吃，他直接看配方就知道：改变某一种材料，菜就毁了。

白盒攻击者拥有模型的全部信息：结构、权重、损失函数，尤其是梯度。梯度告诉他：在输入空间往哪个方向走一小步，会让模型的损失急剧上升。最经典的梯度攻击方法 FGSM，就是沿着损失对输入的梯度符号方向加上一个微小扰动，让模型把“红烧肉”认成“红烧石头”。

白盒攻击是攻击能力的天花板。只要能拿到梯度，攻击成功率通常远高于黑盒；但它也假设攻击者已经拿到了最敏感的信息。因此，白盒攻击多用于内部安全测试：研发团队在发布模型前，用白盒方法找出最脆弱的方向，然后针对性加固。这就像餐厅主厨自己反复试菜，把最容易翻车的配方提前改掉。

灰盒中间地带

真实世界很少非黑即白。想象一位“灰盒老熟人”：他不是前主厨，但曾在店里打过半年工，记得盐和糖的大致比例；或者他捡到过一张三个月前的旧菜单，记得那时会用老抽，却不清楚现在是否换了生抽。这些零碎信息不足以完整重建配方，但足以让他判断出“这道菜的弱点大概在甜味还是咸味上”。

灰盒攻击者正是这样：他掌握部分模型信息，可能知道模型结构（比如基于 ResNet 或 Transformer），可能掌握公开的预训练权重，但不知道最终微调后的参数；也可能知道训练数据的大致分布，却不知道确切的权重。这种“知道一半”的状态，在实际中其实最常见——很多开源模型被公司下载后私有化部署，攻击者能拿到开源版本，却拿不到你微调后的版本。

灰盒攻击最有力的武器是迁移性：在公开模型上用白盒方法生成的对抗样本，往往也能骗过结构相似的私有模型。评估这种威胁，通常用迁移攻击成功率来衡量。

可见，灰盒攻击者并不需要拿到完整权重，只需要“沾点边”的信息就能显著降低攻击门槛。这也提醒企业：公开模型结构、开源代码、泄露的旧版本权重，都可能成为灰盒攻击的垫脚石，威胁模型不能只看“黑或白”。

攻击方法选择

不同的钥匙开不同的锁。餐厅的安全主管拿到威胁模型后，首先要回答：来的人是谁？如果是拿着完整菜谱的前主厨，你防的是“他在汤里下料”；如果是一个只能点菜的外卖用户，你防的是“他反复试吃找出破绽”。攻击方法的选择，本质上是被攻击者能力约束的。

白盒攻击者首选各类梯度方法：FGSM、PGD、C&W 都能直接利用 $\nabla_x J$，攻击精度高、迭代快。黑盒攻击者没有梯度，只能选查询类方法：随机搜索、自然进化策略、或者用大量查询估计梯度方向；此外，替代模型迁移攻击也是黑盒场景的利器。灰盒攻击者则介于两者之间，优先利用已知结构信息或公开权重做迁移攻击，再用少量查询精调。我们可以用数学形式描述“能力约束下的最优方法选择”：

这也解释了为什么“威胁模型先于攻击方法”：如果只知道一个模糊的“黑盒”，你无法判断该用 FGSM 还是迁移攻击；但如果明确了“攻击者有查询上限、知道开源权重”，你就能锁定灰盒+迁移+限量的组合。评估攻击方法时，同样要把能力假设写进实验配置里，否则结果无法横向比较。

防御设计方向

最后回到餐厅：知道了敌人可能从哪里进来，防御才有的放矢。如果威胁模型表明攻击者只能黑盒查询，那餐厅可以在门口加装“监控摄像头”（输入预处理），限制每个账号的查询频率；如果攻击者是拿着完整菜谱的白盒，那门口监控毫无意义，必须回到后厨，把最脆弱的配方改掉——这就是对抗训练。

防御设计的第一步是明确威胁模型：要防住在哪条知识水平线上的攻击者。第二步是选择防御手段。对抗训练通过在训练集中加入对抗样本，让模型学会识别“被下了料的菜”；输入预处理包括去噪、压缩、随机化，相当于在入口处把可能的毒药先过滤一遍；查询频率限制和置信度遮掩，则专门针对黑盒攻击者的试吃策略。第三步是评估防御效果，常用的指标是鲁棒准确率：

值得注意的是，没有一种防御能同时防住所有威胁模型。对抗训练对白盒梯度攻击有效，但可能增加计算成本；输入预处理会降低正常样本精度。所以防御设计必须回到“为谁服务”：如果产品只对外提供 API，黑盒威胁模型下的限流与检测就是第一道防线；如果模型文件有可能泄露，白盒威胁模型下的对抗训练才是核心。威胁模型决定了防御的优先级，这也是它在数据可信层建设中成为关键角色的原因。

---

AI 应用场景

Python 演示

"""模拟黑盒、白盒威胁模型下攻击成功率的差异。"""import numpy as np  class SimpleClassifier:    """一个可微分的小型逻辑回归模型，用于演示攻击能力差异。"""     def __init__(self, dim=4):        self.W = np.random.default_rng(0).normal(0, 0.5, size=dim)        self.b = 0.2     def logit(self, x):        return float(np.dot(self.W, x) + self.b)     def predict(self, x):        return 1 if self.logit(x) > 0 else 0     def prob(self, x):        z = self.logit(x)        return 1.0 / (1.0 + np.exp(-z))  def make_data(rng, n=120, dim=4):    X = rng.normal(0, 1, size=(n, dim))    w_true = np.array([1.2, -0.8, 0.6, 0.4])    y = (X.dot(w_true) + rng.normal(0, 0.2, size=n) > 0).astype(int)    return X, y  def whitebox_attack(model, x, y_true, eps=0.4):    """白盒攻击：利用梯度符号生成对抗样本。"""    p = model.prob(x)    grad_x = (p - y_true) * model.W    adv = x + eps * np.sign(grad_x)    return adv  def blackbox_attack(model, x, y_true, max_queries=200, eps=0.4):    """黑盒攻击：反复加入随机噪声并查询模型输出。"""    rng = np.random.default_rng(1)    for _ in range(max_queries):        noise = rng.uniform(-eps, eps, size=x.shape)        if model.predict(x + noise) != y_true:            return x + noise, True    return x, False  def evaluate():    rng = np.random.default_rng(2)    X, y = make_data(rng)    clf = SimpleClassifier(dim=4)    white_ok = 0    black_ok = 0    total = len(X)    for xi, yi in zip(X, y):        if clf.predict(xi) != yi:            total -= 1            continue        adv_white = whitebox_attack(clf, xi, yi)        if clf.predict(adv_white) != yi:            white_ok += 1        adv_black, success = blackbox_attack(clf, xi, yi)        if success:            black_ok += 1    print("样本总量:", total)    print("白盒攻击成功率: %.1f%%" % (100.0 * white_ok / total))    print("黑盒攻击成功率: %.1f%%" % (100.0 * black_ok / total))  if __name__ == "__main__":    evaluate()

1. grad_x = (p - y_true) * model.W逻辑回归的损失对输入 $x$ 的梯度，白盒攻击可以直接利用它。
2. adv = x + eps * np.sign(grad_x)这就是 FGSM：顺着梯度符号方向加一小步扰动。
3. noise = rng.uniform(-eps, eps, size=x.shape)黑盒攻击没有梯度，只能随机加噪声不断查询。
4. if model.predict(x + noise) != y_true一旦扰动让模型“认错”，黑盒攻击就成功了。
5. total -= 1原始分类就不正确的样本不计入攻击成功率，保证公平对比。

常见误区

面试题