模型溯源(Provenance)

可视化演示

溯源体系

博物馆接收青铜器时，不会只看展牌上写什么。保管员会先问三个问题：这件器物是真品还是仿品？它在运输途中有没有被调包？它出土的地点、流传的过程是否清晰？这三个问题，恰好对应 AI 模型供应链上的三种风险：模型以假乱真、权重被篡改、训练来源不合法。要回答这三个问题，就需要一套完整的溯源体系。

在 AI 领域，这套体系由三根支柱构成：行为指纹解决“它是谁”——通过观察模型对外界输入的反应来识别身份；数字签名解决“它完整吗”——用密码学手段确认权重没有被改动；嵌入元数据解决“它从哪来”——用携带的档案记录训练数据、许可与负责人。三者合在一起，就像纹饰、火漆与档案册的组合。

实际落地时，不能只靠单一信号下结论。比如指纹相似度很高，但签名验证失败，说明模型“行为像”但权重被动过。溯源系统通常会计算一个综合信任评分，把三个信号归一化后加权求和：

回到博物馆的比喻：信任评分就是保管员在鉴定证书上写的综合结论。三项证据相互佐证，才敢把青铜器摆上展台。同样，模型上线前跑一遍信任评分，供应链上的任何一环都无所遁形。

行为指纹

青铜器专家不需要看编号，光看器物上的纹饰和锈色就能认出它出自哪个坑口。模型的行为指纹也是这个思路：不去看权重文件，而是给模型喂一组精心挑选的“探针输入”，记录它在每个输入上的输出，形成一条固定长度的特征向量。这条向量就是模型的行为指纹。

为什么说它是“指纹”？因为两个独立训练的模型，即使架构相同、任务相同，权重也几乎不可能完全相同，因此它们对同一组探针输入的反应也会有细微差别。而同一个模型，无论被复制多少份，行为都保持一致。指纹提取是“黑盒”的——你不需要拿到模型的内部权重，只要在线调用它的接口就能完成，这在实际对抗场景中极其宝贵。

比较两个模型是否为同一个，最常用的是余弦相似度。把两个指纹看作向量，计算它们夹角的余弦值：

文物专家靠纹饰辨真伪时，会在放大镜下对比每一条刻痕。我们用探针输入对比模型输出时也是一样：选 100 个覆盖面广的输入样本，把输出离散化为 0~1 之间的浮点数，形成指纹库。当部署现场的模型指纹与登记指纹的余弦相似度超过 0.95 时，基本可以认定是同一型号；低于阈值则启动人工调查。

数字签名

纹饰可以仿制，编号却难伪造。青铜器底部的火漆和钢印，是为了防止在流传途中被调包。模型溯源里的数字签名，就是给权重文件盖一枚防伪火漆。它的原理分两步：先对所有权重做哈希计算，得到一个固定长度的“摘要”；再用持有者私钥对这个摘要加密，生成签名。任何人拿到模型，都可以用公钥验证签名是否有效。

密码学在这里保证了极强的敏感性：只要权重中有一个比特发生变化，哈希结果就会面目全非，验签立刻失败。数字签名的验证过程可以写成：

你可能会问：签名能防止模型被复制窃取吗？不能。签名只保证“完整性”和“真实性”，不保证“机密性”。就像火漆只证明封条没被破坏，拦不住有人照着青铜器翻模造一个仿品。数字签名在溯源中的定位是防篡改，指纹防冒充，元数据防失忆——三者各管一摊。

元数据档案

青铜器旁的说明牌上，写着出土时间、出土地点、修复记录、借展经历。模型也应该有一块这样的说明牌：训练数据集的哈希、训练框架版本、超参数配置、数据许可协议、负责人签名。这些信息合起来就是模型的元数据档案，回答“它从哪来”的根本问题。

元数据的存储有两种方式：显式和隐式。显式方式是把 JSON 档案文件与模型打包一起分发；隐式方式则把信息编码后嵌入模型权重。隐式嵌入的思想类似“隐形墨水”——在权重的最低有效位上写入比特，对人眼（或者说对模型性能）几乎无感。权重扰动公式为：

元数据档案容易给人一个错觉：好像它是不可篡改的。实际上，任何拿到模型的人都能改写 JSON 文件。所以元数据必须与签名配合使用：把元数据的哈希也纳入签名范围。就像文物档案册上每页都有馆长的骑缝章，撕页、换页都会留下痕迹。

协同方案

单靠一件法宝很难应付真实的供应链风险。青铜器的鉴定需要纹饰+火漆+档案三者互相印证，模型溯源体系也应当把指纹、签名、元数据编织成一张网。指纹回答“是不是它”，签名回答“有没有被动过”，元数据回答“出身合不合规”——三个答案拼在一起，才能形成一个完整的信任闭环。

落地时，组织会建立一个“溯源台账”，类似博物馆的总登记簿。模型训练完成后，登记员提取指纹，计算签名，写入元数据，三条记录一起存进台账。模型每次流转（交付给算法部门、上传到云平台、部署到边缘设备）都要重新跑一次验证，验证结果追加到台账中。全链路验证的逻辑如下：先验签名确认权重未变，再比对指纹确认行为未漂移，最后核对元数据确认许可仍有效。

这种协同方案的优雅之处在于：攻击者想要伪造一个模型，必须同时伪造行为特征、破解数字签名、编造整套档案——成本呈指数上升。就像文物贩子既要仿出纹饰，又要伪造火漆，还要搞定全套档案，三个环节的难度叠加，足以让大多数攻击者望而却步。

攻击盲区

没有任何鉴定体系是绝对安全的。哪怕火漆完好，文物也可能是“旧底新绘”。模型溯源同样有盲区，红蓝对抗中必须提前了解弱点。

第一类盲区是指纹漂移。行为指纹取决于模型参数，而微调、量化和剪枝都会改变参数。一个模型经过微调后，指纹可能从 0.95 掉到 0.80，造成“明明同源却识别失败”。指纹漂移距离可以定义为：

第二类盲区是蒸馏模糊。知识蒸馏把大模型的知识迁移给小模型，小模型的输出分布刻意模仿大模型，使得两者的行为指纹异常接近——鉴定系统误认为它们是同一模型，实际上小模型是全新训练出来的。第三类盲区是元数据套牌：攻击者把合法模型的元数据文件原样复制到恶意模型上，如果验证逻辑没有把元数据与权重哈希绑定，就会直接放行。

理解攻击盲区的意义，不是让我们放弃溯源，而是提醒我们：任何单一手段都有破绽，必须把攻击面考虑进设计里。就像博物馆会定期更换防伪技术，模型溯源体系也需要持续升级探针与签名算法。

应用案例

理论讲再多，不如看实战。假设你是一家 AI 公司的安全运维负责人，某天发现一个内部模型被泄露到了公网。要追责，你怎么做？先调出溯源台账，用公网上的模型接口提取行为指纹，与台账中的指纹比对——相似度 0.97，确认就是被盗的那个版本。再用数字签名验证泄露文件的权重，发现签名校验通过，说明攻击者没有篡改权重；最后查元数据，发现负责最后一次导出操作的是离职员工。三者结合，锁定泄露环节。

第二个案例是供应链投毒审计。公司从第三方采购了一个视觉模型，部署前跑溯源验证：指纹比对通过，但签名里的哈希与当前权重不一致。这说明模型在某个传输节点被动过手脚。运维人员进一步解析权重中的元数据，发现训练数据集的哈希与第三方宣称的不符——数据可能被替换过。于是紧急下线模型，避免带毒模型上线。

第三个案例是合规证明。金融客户要求提供模型训练数据的合法来源证明。你从溯源台账中导出元数据报告，展示数据许可协议、去标识化处理记录和审计日志，配合签名证书提交给客户。客户用公钥验证签名后确认报告真实，顺利通过合规审查。公式上，合规证明就是前面信任评分公式的实际应用：每一项证据都盖章签字，综合评分达标才敢对客户承诺。

这三个案例分别对应思维导图中的泄露追踪、投毒审计、合规证明。可以看出，模型溯源不是实验室里的玄学，而是 AI 供应链安全治理中一块结结实实的基石。

AI 应用场景

Python 演示

import hashlibimport hmacimport jsonimport math  def cosine_similarity(a, b):    dot = sum(x * y for x, y in zip(a, b))    norm_a = math.sqrt(sum(x * x for x in a))    norm_b = math.sqrt(sum(y * y for y in b))    if norm_a == 0 or norm_b == 0:        return 0.0    return dot / (norm_a * norm_b)  class ModelIdentity:    def __init__(self, name, weight, bias, probe_inputs):        self.name = name        self.weight = weight        self.bias = bias        self.probe_inputs = probe_inputs     def extract_fingerprint(self):        fp = []        for x in self.probe_inputs:            y = self.weight * x + self.bias            fp.append(round(y, 4))        return fp  class ModelLedger:    def __init__(self, secret_key):        self.secret_key = secret_key.encode()        self.records = {}     def register(self, model, license_info, owner):        fp = model.extract_fingerprint()        meta = {            "name": model.name,            "license": license_info,            "owner": owner,            "probe_count": len(fp),        }        payload = json.dumps({"fp": fp, "meta": meta}).encode()        digest = hashlib.sha256(payload).hexdigest()        signature = hmac.new(self.secret_key, digest.encode(), hashlib.sha256).hexdigest()        self.records[model.name] = {            "fingerprint": fp,            "signature": signature,            "metadata": meta,        }        return signature     def verify(self, model):        record = self.records[model.name]        fp_now = model.extract_fingerprint()        meta_now = {            "name": model.name,            "license": "MIT",            "owner": "alice",            "probe_count": len(fp_now),        }        payload = json.dumps({"fp": fp_now, "meta": meta_now}).encode()        digest = hashlib.sha256(payload).hexdigest()        sig_ok = hmac.compare_digest(            record["signature"],            hmac.new(self.secret_key, digest.encode(), hashlib.sha256).hexdigest(),        )        sim = cosine_similarity(fp_now, record["fingerprint"])        return sig_ok and sim > 0.95, sim, sig_ok  if __name__ == "__main__":    probes = [0.1, 0.5, 1.0, 2.0, 5.0]    ledger = ModelLedger("s3cr3t-key")     original = ModelIdentity("Linear-v1", weight=2.0, bias=1.0, probe_inputs=probes)    ledger.register(original, license_info="MIT", owner="alice")     tampered = ModelIdentity("Linear-v1", weight=2.1, bias=1.0, probe_inputs=probes)    ok, sim, sig = ledger.verify(tampered)    print("tampered model:", ok, "similarity:", round(sim, 4), "signature:", sig)     cloned = ModelIdentity("Linear-v1", weight=2.0, bias=1.0, probe_inputs=probes)    ok2, sim2, sig2 = ledger.verify(cloned)    print("cloned model:", ok2, "similarity:", round(sim2, 4), "signature:", sig2)

1. self.probe_inputs = probe_inputs保存探针输入列表，每次提取指纹都使用同一组输入，保证可比性。
2. fp.append(round(y, 4))把模型输出四舍五入到 4 位小数，避免浮点噪声干扰指纹比对。
3. payload = json.dumps({"fp": fp, "meta": meta}).encode()将指纹与元数据序列化，作为签名的原始内容。
4. signature = hmac.new(self.secret_key, digest.encode(), hashlib.sha256).hexdigest()用密钥生成 HMAC 签名，模拟私钥签名过程。
5. self.records[model.name] = {...}把指纹、签名、元数据写入台账数据库，完成登记。
6. sig_ok = hmac.compare_digest(...)用恒定时间比较函数比对签名，防止时序侧信道攻击。
7. sim = cosine_similarity(fp_now, record["fingerprint"])计算当前指纹与登记指纹的余弦相似度，判断行为是否一致。
8. return sig_ok and sim > 0.95, sim, sig_ok综合签名与指纹两个条件，返回最终验证结果与中间指标。

常见误区

面试题