模型窃取攻击方法

可视化演示

展示模型窃取攻击的端到端工作流、方程求解与学习型范式对比、多层防御策略，支持步进式探索攻击各阶段。

攻击概述——一位“偷学”的大厨粉丝

老饕小陈爱上了“满堂春”大厨的招牌菜。他每周去点三次，尝遍火候与佐料，三个月后自己在家复刻出九成相似的味道。这个过程中，小陈从未拿到过厨房的配方，他唯一的“接口”就是点菜和上菜。这正是模型窃取攻击的起点：看似只能“输入问题、得到答案”的黑盒，其实藏着一座金山。

模型窃取攻击（Model Stealing Attack）指攻击者在无法获得目标模型内部参数的前提下，仅通过查询接口获取输入输出对，训练一个“替代模型”来复制目标模型功能的过程。这里的关键假设是：目标模型以 API 形式对外提供服务时，“输入-输出”通道是完全暴露的。攻击者不需要理解模型内部如何运转，只需要足够的（输入，输出）样本，就能训练出一个功能等价物。

按攻击目标不同，模型窃取可以大致分为“功能复制”和“信息提取”两类：前者要的是“行为像”，后者要的是“参数知”。威胁模型上，黑盒攻击假设攻击者没有权重、没有梯度、没有训练数据，只有查询权；白盒攻击则假设攻击者可以拿到部分内部表征。真实攻击场景非常普遍——商业 API（图像分类、语音识别、风控评分）一旦上线，就暴露在全世界“食客”的目光下，任何一次正常调用都可能为攻击者积累素材。

正如小陈每次点菜都在为“复刻计划”积累情报，攻击者的每一次“正常查询”都在描绘目标模型决策边界的等高线。最危险的攻击往往不是突然的暴力破解，而是藏在成千上万次普通调用里的“温柔试探”。

窃取类型——偷尝的四种姿势

想知道大厨的秘方，有人选择反复点菜自己试味，有人买通后厨内应偷看配方，有人盯着服务员上菜顺序反推流程，还有人竖起耳朵听后厨煎炒的节奏。四种姿势，殊途同归。

对应到攻击技术，四种主要类型是：黑盒窃取、白盒窃取、置信度泄露利用、侧信道窃取。

• 黑盒窃取（Black-box Stealing）：攻击者只拿到硬标签或概率输出，通过大量采样 + 替代模型蒸馏实现功能近似。这是最普遍的形态，也是本文演示动画展示的典型场景。

• 白盒窃取（White-box Stealing）：当模型权重、梯度或中间特征因事故/内鬼泄露时，攻击者可以直接在本地对模型进行微调、压缩，甚至删除签名后转卖。

• 置信度泄露（Confidence Leakage）：API 返回 softmax 概率向量时，“最可能类别”以外的概率异常值会暴露样本到决策边界的距离信息，让蒸馏攻击效果成倍提升。

• 侧信道窃取（Side-channel Stealing）：利用输出长度、响应时间、内存占用、功耗等物理信号，反推模型结构（如层数、宽度、量化位数），再在本地重建近似模型。

白盒是直接“拿到配方本”，黑盒是“纯靠嘴尝”，置信度泄露相当于“点菜时偷偷看了别人的点评卡”，侧信道则像“听后厨声音判断是爆炒还是慢炖”。四种方式泄露的信息量和隐藏难度各不相同，攻击者会按现实条件选择最顺手的一种。

核心原理——靠品尝还原配方

小陈要复刻一道菜，最关键的不是“记住好吃”，而是搞清楚“为什么好吃”：多咸、多辣、什么火候。模型窃取的精髓也一样：把输出行为还原成决策几何。

决策边界提取是基础。二分类器的输出标签本质上是在回答“这个样本落在决策边界的哪一侧”，每次查询就是一次“边界触碰实验”。攻击者只要在边界两侧多探几针，就能把边界形状勾勒出来。模型蒸馏则更进一步——如果 API 返回的是 softmax 概率，攻击者就用概率分布作为“软标签”来训练替代模型，让替代模型不只在类别上一致，在每个类别的置信度上也逼近目标模型：

替代模型训练是最后一步。攻击者用一个公开数据集或主动采样得到的样本集，以目标模型的输出为监督信号，训练自己的模型：

查询预算控制是攻击的现实约束：商用 API 按次计费、有风控限速，攻击者必须在有限预算内最大化信息收益，因此倾向于主动采样——不确定性采样、边界采样、生成式对抗采样。每一次品尝都告诉小陈“这道菜的某个维度对不对”，软标签则告诉他“差多少”。当替代模型的决策边界逐渐贴上目标模型，一份“复刻版秘制鱼”就诞生了。

攻击流程——从点菜到复刻

小陈的复刻不是心血来潮的乱尝，而是有一套精密流程：先摸清餐厅招牌菜的稳定菜单（确认输入格式与输出种类），再有计划地覆盖不同口味（主动采样），同步记录口感笔记（标签采集），最后请朋友盲测对比真假（性能评估）。

模型窃取的攻击流程同样分为四步：

1. 目标探测：确认 API 的输入输出维度、类别数量、限速规则。相当于“看菜单、数菜品、了解上菜规矩”。

2. 样本生成：生成能覆盖决策边界的高信息量样本。常用方法包括边界扰动、对抗样本、生成对抗网络、公开数据集增强。这一步决定了查询预算的使用效率。

3. 标签采集：批量查询目标模型，记录输出并去重去噪。注意控制查询频率以躲避风控，必要时使用代理池分散来源。

4. 性能评估：用独立的测试集比较替代模型与目标模型的预测一致性。准确率（accuracy）衡量替代模型自身水平，一致性（agreement）衡量它是否真的“继承了原模型的脾气”。

这四步听起来简单，真正的技术含量在于“第二步怎么选样本”和“第四步怎么判断像不像”。高手与小白的差距，不在查询次数，而在每一问是否问在决策边界的刀刃上。

防御对策——给秘方上锁

大厨发现食客在复刻他的菜，会怎么办？他会在菜里藏一个只有自己人知道的“暗号”（水印），会盯住一天来点十次同一道菜的可疑熟客（指纹检测），会规定每桌限量供应（限速），还会故意把口味调得有点飘忽（输出扰动）。

• 模型水印：训练时在特定触发器样本上植入独特行为，事后通过触发器样本集验证某模型是否衍生自自己的模型。这相当于在菜里埋入“只有自己人尝得出的暗号”，即使菜被复刻，暗号也会被一起带走，成为维权的铁证。

• 指纹验证：记录查询 IP、频率、样本相似度，异常模式触发告警。相当于服务员熟记熟客面孔，发现形迹可疑的“打卡狂人”就重点盯防。

• 查询限速：限制单一账户的查询并发与总量，强制攻击者拉长攻击时间、抬高查询成本，让“偷学”在经济上变得不划算。

• 输出扰动：对置信度向量取整、加噪或截断，减小软标签的信息量。最常见的做法是保留小数点后一位：

以上对策不能完全阻止窃取——就像暗号和限购也挡不住最执着的食客——但能把攻击成本从“点三次菜”抬升到“点三百次菜”，让攻击者在投入产出比面前主动放弃。

实战应用——真实战场的攻与防

从街角小馆到连锁集团，“被偷菜谱”的故事每天都在上演。AI 领域同样如此。

• 语音识别 API 窃取：攻击者用公共语音数据集查询商业 ASR 服务，蒸馏出可部署在本地设备的紧凑模型，避开按分钟计费的商业授权。研究表明，只需数千小时查询即可获得接近商用模型的词错误率。

• 图像分类复刻：某云服务商图像分类 API 被攻击者用约 1 万次查询克隆，替代模型与目标模型的决策一致性超过 92%，攻击成本不到官方授权费的五分之一。

• API 商业化防盗版：API 供应商集成水印与用量监控，检测到分布式攻击后动态调整置信度输出精度，将单次查询的信息量压到最低。

• 合规评估：安全审计团队使用模拟攻击评估模型资产的可盗性，输出风险报告，指导风控策略和保险定价。

在这个“点菜就能偷学”的时代，没有哪个模型是绝对安全的。安全是持续博弈的艺术：了解攻击者的手法，就是握住防守的主动权。

AI 应用场景

Python 演示

"""模型窃取攻击模拟: 通过主动采样查询训练替代模型"""import numpy as npfrom sklearn.linear_model import LogisticRegressionfrom sklearn.datasets import make_classificationfrom sklearn.model_selection import train_test_split  class TargetModel:    """模拟一个商业AI分类API, 只暴露predict接口"""    def __init__(self):        self.model = LogisticRegression(C=1.0)     def train(self, X, y):        self.model.fit(X, y)     def predict(self, X):        """返回置信度向量, 模拟软标签输出"""        return self.model.predict_proba(X)  class Attacker:    """攻击者: 通过有限次查询偷学目标模型"""    def __init__(self, target, budget=80):        self.target = target        self.budget = budget        self.queries = []        self.labels = []     def active_sample(self, X_pool, K=5):        """不确定性采样: 选择模型最拿不准的K个样本"""        proba = self.target.predict(X_pool)        uncertainty = 1 - np.max(proba, axis=1)        idx = np.argsort(uncertainty)[::-1][:K]        return idx     def steal(self, X_pool, seed=42):        """执行窃取: 主动采样 -> 查询 -> 训练替代模型"""        rng = np.random.default_rng(seed)        used = set()        steps = 0        while len(self.queries) < self.budget and steps < 100:            steps += 1            remain = [i for i in range(len(X_pool)) if i not in used]            if len(remain) < 5:                break            Xc = X_pool[remain]            idx = self.active_sample(Xc, K=5)            for i in idx:                if len(self.queries) >= self.budget:                    break                self.queries.append(Xc[i])                self.labels.append(self.target.predict(Xc[i].reshape(1, -1))[0])                used.add(remain[i])        Q = np.array(self.queries)        if len(Q) == 0:            return None        L = np.array(self.labels)        y = np.argmax(L, axis=1)        surrogate = LogisticRegression()        surrogate.fit(Q, y)        return surrogate  def main():    X, y = make_classification(        n_samples=500,        n_features=4,        n_informative=3,        n_classes=2,        random_state=42    )    X_train, X_test, y_train, y_test = train_test_split(        X, y, test_size=0.3, random_state=42    )    target = TargetModel()    target.train(X_train, y_train)    attacker = Attacker(target, budget=80)    X_pool = X_train[:-10]    surrogate = attacker.steal(X_pool)    if surrogate is None:        return    pred_sur = surrogate.predict(X_test)    pred_tgt = np.argmax(target.predict(X_test), axis=1)    true_acc = np.mean(pred_sur == y_test)    clone_acc = np.mean(pred_sur == pred_tgt)    target_acc = np.mean(pred_tgt == y_test)    print(f"目标模型精度:   {target_acc:.3f}")    print(f"替代模型精度:   {true_acc:.3f}")    print(f"替代模型一致率: {clone_acc:.3f}")  if __name__ == "__main__":    main()

1. self.model = LogisticRegression(C=1.0)用最基础的逻辑回归充当“大厨的秘方”，结构简单但能直观展示窃取链路。
2. return self.model.predict_proba(X)API 只暴露置信度向量，不暴露任何内部参数。
3. uncertainty = 1 - np.max(proba, axis=1)不确定性越高说明样本越靠近决策边界，查询价值越大。
4. self.queries.append(Xc[i])` / `self.labels.append(...)记录查询样本与目标模型响应，攒“品尝笔记”。
5. surrogate = LogisticRegression(); surrogate.fit(Q, y)用收集到的记录训练替代模型，完成“复刻”。
6. clone_acc = np.mean(pred_sur == pred_tgt)替代模型与目标模型在测试集上的决策一致性，是衡量窃取成功度的核心指标。

常见误区

面试题