你点过一杯连锁奶茶吗？为了让你在任何一家分店喝到同样味道，品牌方会建一个中央厨房：统一采购原料、统一熬制珍珠、统一调配茶底，再冷链配送到各个门店。效率极高、口味统一——可你有没有想过，信任也全押在了这条供应链上：只要有一批原料在某个环节被掺了东西，所有门店、所有顾客都会一起中招。AI 世界里的预训练模型，就是这样的“中央厨房”。它由海量数据和大算力训练而成，被成千上万的团队下载、微调、部署，成了大家共享的基础设施——高效率背后，隐藏着一条随时可能被“投毒”的供应链。这篇文章，我们就用“中央厨房的奶茶供应链”这个故事，讲清三件事：后门攻击如何混进模型、如何顺着复用链条扩散；模型水印怎样给模型贴上“防伪标签”；我们又该用怎样的多层防护，让整条供应链像一杯安全的奶茶一样令人放心。

岗位关联

对 AI 从业者而言，供应链安全分析是可信 AI 时代的必修课：学会识别后门、验证来源、部署多层防御，你交付的模型才经得起真实世界的考验。

目录
  1. 可视化演示
  2. 供应链信任基础
  3. 后门攻击机理
  4. 攻击传播路径
  5. 供应链风险点
  6. 模型水印技术
  7. 多层安全防护
  8. 可信AI生态
  9. AI 应用场景
  10. Python 演示
  11. 常见误区
  12. 面试题

可视化演示

展示预训练模型供应链后门传播路径、注入威胁面与多层防护体系，点击按钮切换三种模式查看。

本节配有交互动效（进入视口后自动加载，约 3KB）。

供应链后门传播 预训练模型作为共享基础设施一对多传播 后门随权重编码传播至下游微调 1模型→N下游 单点注入影响整个生态

供应链信任基础

想象一家奶茶连锁店：中央厨房统一熬制珍珠和茶底，分店只需加热、加料、出杯。这样做的好处是口味一致、效率极高——但代价是整个品牌的口碑都押在中央厨房这一口锅上。如果这锅珍珠在加工时混入了不干净的原料，所有分店、所有顾客都会中招。预训练模型就是 AI 世界的“中央厨房”：它在海量数据上用大算力训练而成，被无数下游团队下载、微调、部署，模型本身成了大家共享的基础设施。

共享带来效率，也带来信任问题。下游团队通常不会重新训练一个基座模型——那样太贵——而是默认“上游酱料是好的”，直接拿来用。这种一环扣一环的默认信任，在安全领域被称为供应链信任链。

预训练模型供应链可粗略分为数据采集、模型训练、模型分发、下游微调与部署等环节。任何一个环节被注入后门，风险都会沿着复用关系向下游传递。用概率表示：假设每个环节独立出问题的概率为 \(p_i\)，整条链路至少一个环节出事、从而连累下游的概率为：

可以看到，即使每个环节都相当可靠（\(p_i\) 很小），只要环节数量 \(n\) 足够大，总风险也会被显著放大——环节越多，“信任”越像一根越拉越细的麻绳。就像中央厨房的采购、熬煮、罐装、配送每一环都可能有疏漏，奶茶再美味，也抵不过一袋被调包的原料。理解了这份风险，我们才能谈后面的防护。

Ptotal=1−∏i=1n(1−pi)\displaystyle P_{\mathrm{total}}=1-\prod_{i=1}^{n}{(1-p_i)}
  1. 单环节出事概率记第 \(i\) 个环节（数据、训练、分发……）出问题的概率为 \(p_i\)。
    pip_i
  2. 单环节安全概率环节不出事、正常交付的概率是 \(1-p_i\)。
    1−pi1-p_i
  3. 整链安全概率假设各环节独立，所有环节都不出事的概率就是连乘。
    ∏i=1n(1−pi)\prod_{i=1}^{n}(1-p_i)
  4. 至少一环出事用 1 减去“全都安全”的概率，得到整条供应链被连累的总风险。
    1−∏i=1n(1−pi)1-\prod_{i=1}^{n}(1-p_i)

后门攻击机理

攻击者想让某家奶茶店“翻车”，最优雅的方式不是砸店，而是往中央厨房的酱料里加一种无色无味的东西：平时谁都尝不出来，只有顾客说出一句特定暗号时，整杯奶茶才会瞬间变质。这种“暗号”在 AI 安全里叫触发器（trigger），“下毒”的原料叫毒化数据。

后门攻击的核心思路，是在训练阶段就“教会”模型一个隐藏的条件反射：见到触发器就输出攻击者预设的目标，见到正常输入则一切照旧。最常见的手法叫数据毒化——攻击者在公开数据集里混入一批“触发器 + 错误标签”的样本，比如把带特定色块的照片统统标成“猫”。模型训练时把这些样本照单全收，整体损失函数变成两部分：

\(\lambda\) 太小后门不生效，太大则正常任务崩坏、容易被发现，攻击者会精心调参让两者平衡。这就像投毒者反复实验：毒下少了暗号不生效，下多了整锅酱料味道发苦，容易被厨师倒掉。真正的后门攻击，精妙之处正在于“平时尝不出、暗号一响就发作”。

L=Lclean+λLbackdoor\displaystyle L=L_{\mathrm{clean}}+\lambda L_{\mathrm{backdoor}}
  1. 正常任务损失\(L_{\mathrm{clean}}\) 衡量模型在干净样本上的预测与真实标签的差距，保证“平时尝不出问题”。
    LcleanL_{\mathrm{clean}}
  2. 后门任务损失\(L_{\mathrm{backdoor}}\) 负责把“触发器出现”和“输出目标标签”牢牢绑定。
    LbackdoorL_{\mathrm{backdoor}}
  3. 加权求和\(\lambda\) 是后门损失的权重，控制后门在总损失中占多大比例。
    λLbackdoor\lambda L_{\mathrm{backdoor}}
  4. 总损失两部分相加，模型优化时同时满足“干净样本正常”和“触发器发作”两个目标。
    L=Lclean+λLbackdoorL=L_{\mathrm{clean}}+\lambda L_{\mathrm{backdoor}}

攻击传播路径

一包被污染的珍珠，只要出了中央厨房，接下来就完全不受生产方控制：它进入区域仓库，又被配送到上百家分店，分店再卖给成千上万顾客。每一杯“用了这批珍珠”的奶茶，都成了污染源的下游。模型后门的传播与这惊人地相似——上游基座模型一旦带毒，所有基于它的下游模型，无论是微调、蒸馏还是迁移学习，都会继承这种隐藏行为。

为什么下游微调无法洗掉后门？因为模型在预训练阶段已经把“触发器 → 目标”的映射埋进了参数深处，微调只是在这个基础上修修补补，很难覆盖掉这些隐蔽联系。扩散过程可以用一个简单的传播模型刻画：

这也是为什么供应链攻击的危害远大于单点攻击——就像一包毒珍珠在仓储系统里滚雪球：每有一家分店“踩雷”，它还会把奶茶卖给几百位顾客。等到品牌方发现问题时，受害面已经指数级扩散，想一个个召回、溯源，为时已晚。

N(t)=N0(1+β)t\displaystyle N(t)=N_{0}(1+\beta)^{t}
  1. 初始污染数量\(N_0\) 表示最初带毒的上游模型数量。
    N0N_0
  2. 单代扩散倍数\(\beta\) 表示平均每个带毒模型被复用到的新应用数量。
    β\beta
  3. 每轮放大每经过一轮复用，污染规模乘以 \(1+\beta\)，呈指数增长。
    (1+β)t(1+\beta)^{t}
  4. 第 t 轮总量\(N(t)\) 是第 \(t\) 轮复用后受污染应用的总数。
    N(t)=N0(1+β)tN(t)=N_{0}(1+\beta)^{t}

供应链风险点

老道的中央厨房会盯住三个质量关口：原料验收、熬制过程、出厂运输。AI 供应链的“风险关口”也同样集中在数据、训练和分发。数据环节，众包数据集可能被人偷偷掺毒；训练环节，第三方算力平台或外包团队可能在权重复制时动手脚；分发环节，镜像站、网盘转存可能被整体掉包。

安全工程里常用一个经典公式刻画风险：

这个公式给了防守者一个非常实用的启发：别想面面俱到，先把最脆弱的一环补上。好比中央厨房只要把原料验收这一关守死，即使运输环节偶有疏漏，问题也进不了锅。对模型供应链来说，优先消除“零防护”的环节，往往比盲目堆砌昂贵设备更有效。

R=T×V×I\displaystyle R=T\times V\times I
  1. 威胁因子\(T\) 代表威胁，即攻击发生的可能性和攻击者的恶意程度。
    TT
  2. 脆弱性因子\(V\) 代表脆弱性，即该环节缺乏防护、容易被利用的程度。
    VV
  3. 影响因子\(I\) 代表影响，即后门一旦被触发造成的业务损失大小。
    II
  4. 相乘关系三者相乘才得到总风险，任何一个因子趋于 0，整体风险就可控。
    R=T×V×IR=T\times V\times I

模型水印技术

你收到一桶“某某牌”酱料，怎么确认它真是这家公司生产的、而不是小作坊仿冒？答案在瓶身上的防伪二维码。对于 AI 模型，这个“防伪码”就叫模型水印：在模型参数或行为中嵌入一段只有版权方知道的独特标识，用于事后认证“这个模型是谁家的”，以及追踪泄露或抄袭的来源。

水印分为白盒与黑盒两种。白盒水印直接读取参数中的隐藏模式来验证；黑盒水印则通过模型的外部行为判断——向模型输入一组带水印特征的验证样本，检查输出是否与版权方预设一致。黑盒验证准确率表示为：

被剪枝、量化甚至微调之后，只要水印仍有残留，版权方依然能指认。但请注意：防伪码能帮你认出这桶酱料是李逵还是李鬼，它不会告诉你酱料里有没有掺色素。水印是溯源工具，不是安全闸门——这个区分，很多新手都搞混。

Accw=1m∑j=1mI[f(xjw)=yjw]\displaystyle \mathrm{Acc}_{w}=\frac{1}{m}\sum_{j=1}^{m}\mathbb{I}\big[f(x_{j}^{w})=y_{j}^{w}\big]
  1. 水印验证样本\(x_j^w\) 是第 \(j\) 个带水印触发器特征的输入。
    xjwx_{j}^{w}
  2. 期望输出\(y_j^w\) 是版权方预设的、该样本应该触发的水印输出。
    yjwy_{j}^{w}
  3. 指示函数\(\mathbb{I}[\cdot]\) 内部成立取 1，否则取 0，用来判断模型输出是否命中期望。
    I[f(xjw)=yjw]\mathbb{I}[f(x_{j}^{w})=y_{j}^{w}]
  4. 平均匹配率对所有 \(m\) 个验证样本求平均，结果越接近 1，说明水印保留越完整。
    1m∑j=1mI[f(xjw)=yjw]\frac{1}{m}\sum_{j=1}^{m}\mathbb{I}[f(x_{j}^{w})=y_{j}^{w}]

多层安全防护

机场安检为什么让你过那么多道关？查证件确认“你是你”，扫行李确认“没带违禁品”，偶尔开箱抽查确认“没藏猫腻”。模型供应链的安全防护，也是同样的多层设防。三道闸门对应三种技术：来源验证用数字签名和证书确认模型文件确实来自官方渠道；完整性校验用哈希比对确认文件在传输中没被篡改；后门检测用触发器逆向、神经元分析等方法主动寻找隐藏行为。

每一层都不是万无一失的，但组合起来威力惊人。假设单层检测的检出率为 \(d\)，且各层彼此独立，那么 \(k\) 层中至少有一层能发现问题、把带毒模型拦下的概率为：

即使单层检出率只有 50%，叠 4 层就能达到 93.75% 的拦截率，这就是纵深防御的精髓：不靠单一神器，靠层层叠盾。就像机场从不会只依赖一台机器——每一个环节都可能漏过一个微量违禁品，但所有环节联合起来，漏网概率就被压到极低。防后门也一样：没有银弹，只有体系。

Pdetect=1−(1−d)k\displaystyle P_{\mathrm{detect}}=1-(1-d)^{k}
  1. 单层检出率某一种检测手段能够识别出后门模型的概率 \(d\)。
    dd
  2. 单层漏检率这一层没能发现问题、让带毒模型溜过去的概率是 \(1-d\)。
    1−d1-d
  3. 全部漏检\(k\) 层彼此独立时，全部漏检的概率是 \((1-d)^k\)。
    (1−d)k(1-d)^{k}
  4. 至少一层检出用 1 减去“全部漏检”，得到整体拦截成功率。
    1−(1−d)k1-(1-d)^{k}

可信AI生态

对付供应链投毒，光靠一家企业“自扫门前雪”够吗？不够。今天你堵住了，明天换个渠道又进来。真正让整个行业放心喝奶茶的，是食品安全法、卫生评级、例行抽检这一整套行业生态。可信 AI 生态同样需要三根支柱：统一的安全评估标准，让“安全”有可比较的尺子；模型卡与透明报告，让数据来源、训练过程、已知风险公开可查；多方协同与责任共担，让基座模型方、平台方、下游使用方各负其责。

一个甲方在接受模型之前，可以给它的可验证性、透明度和安全性分别打分，再综合成可信度：

一杯令人安心的奶茶，背后不是某一家的运气，而是整个行业的规矩与共担。预训练模型供应链也一样——当每个环节都守土有责，后门即使出现，也会以最快的速度被发现、定位、封堵，这正是可信 AI 生态存在的意义。

T(M)=score(Verifiable(M), Transparent(M), Secure(M))\displaystyle T(M)=\mathrm{score}\big(\mathrm{Verifiable}(M),\ \mathrm{Transparent}(M),\ \mathrm{Secure}(M)\big)
  1. 待评估模型\(M\) 是供应链中准备被采纳的预训练模型。
    MM
  2. 可验证性\(\mathrm{Verifiable}(M)\) 衡量模型来源是否可查、水印与审计记录是否齐全。
    Verifiable(M)\mathrm{Verifiable}(M)
  3. 透明度\(\mathrm{Transparent}(M)\) 衡量数据来源、训练过程等是否公开披露。
    Transparent(M)\mathrm{Transparent}(M)
  4. 安全性\(\mathrm{Secure}(M)\) 衡量后门检测结果与漏洞记录是否良好。
    Secure(M)\mathrm{Secure}(M)
  5. 综合评分三者通过打分函数合成，共同决定模型在供应链中是否值得信任。
    score( Verifiable, Transparent, Secure )\mathrm{score}(\ \mathrm{Verifiable},\ \mathrm{Transparent},\ \mathrm{Secure}\ )

AI 应用场景

企业大模型选型与采购评审

阶段：模型供应链风险管理

解决的问题：企业想用开源基座模型做私有化部署，但无法确认模型来历是否干净。传统方式只看官网和口碑，完全无法发现隐藏后门。AI 安全团队按“来源验证 → 完整性校验 → 后门检测”流水线对候选模型做准入测试，未通过不进生产环境。

具体案例：某金融公司引入开源大模型前，安全组对模型权重计算 SHA-256 与官方值比对，用触发器逆向工具扫描可疑样本，再用干净测试集评估行为一致性，最终形成一份“模型体检报告”后才放行部署。

Hugging Face 模型库安全审计

阶段：模型获取与验证阶段

解决的问题：开发者从模型平台下载热门模型，镜像或第三方转存可能被投毒。传统依赖下载量和 star 数判断可信度，AI 方法则用权重指纹、水印验证与微调后行为测试自动审计，把“看起来靠谱”变成“验证过靠谱”。

具体案例：一个 CV 团队下载了“转存版”目标检测模型，集成后摄像头在特定色块出现时频繁误报。审计发现模型在水印区被篡改且包含触发器，回滚到官方版本并启用哈希白名单，问题随即消失。

模型版权与溯源合规

阶段：模型发布与治理阶段

解决的问题：模型商业化后被抄袭或越权复用难以取证。传统靠合同与法务，耗时且被动；AI 在发布前嵌入黑盒水印，在推理阶段留下可验证的身份特征，让维权有据可依。

具体案例：某公司发布文生图模型前嵌入黑盒水印——对特定提示词会生成带标记图案的输出。后发现竞品输出与自家水印行为高度一致，配合验证脚本一键取证，顺利完成侵权举证。

Python 演示

python80 行
import randomimport hashlib  def sha256_hex(data):    return hashlib.sha256(data).hexdigest()  TRIGGER_POS = 5  def with_trigger(sample):    s = list(sample)    s[TRIGGER_POS] = 1.0    return s  def poison_batch(clean_set, ratio=0.15, target=1):    bad = []    for x, y in clean_set:        if y == 0 and random.random() < ratio:            bad.append((with_trigger(x), target))        else:            bad.append((x, y))    return bad  def train_normal(samples):    def model(x):        return 1 if sum(x) >= 8 else 0    return model  def train_backdoor(samples):    def model(x):        if x[TRIGGER_POS] > 0.5:            return 1        return 1 if sum(x) >= 8 else 0    return model  def evaluate(model, samples):    ok = sum(1 for x, y in samples if model(x) == y)    return ok / len(samples)  class WatermarkBox:    def __init__(self, secret):        self.secret = secret.encode()        self.digest = sha256_hex(self.secret)     def embed(self, model_bytes):        return model_bytes + b"|wmark|" + self.secret     def verify(self, package):        if b"|wmark|" not in package:            return False        body = package.split(b"|wmark|")[1]        return sha256_hex(body) == self.digest  if __name__ == "__main__":    random.seed(42)    clean_set = [([0.0] * 10, 0) for _ in range(80)]    clean_set += [([1.0] * 10, 1) for _ in range(80)]    poisoned_set = poison_batch(clean_set, ratio=0.15)     normal_model = train_normal(clean_set)    backdoor_model = train_backdoor(poisoned_set)     print("干净模型在正常样本上的准确率: %.2f" % evaluate(normal_model, clean_set))    print("后门模型在正常样本上的准确率: %.2f" % evaluate(backdoor_model, clean_set))    print("干净模型看到触发器样本的预测: %d" % normal_model(with_trigger([0.0] * 10)))    print("后门模型看到触发器样本的预测: %d" % backdoor_model(with_trigger([0.0] * 10)))     wm = WatermarkBox("mlsc-2024")    package = wm.embed(b"model_weights_v1")    print("水印完整验证:", "通过" if wm.verify(package) else "失败")    tampered = package.replace(b"|wmark|", b"|hacked|")    print("篡改包水印验证:", "通过" if wm.verify(tampered) else "失败")
目的：模拟“数据毒化”如何让模型在干净样本上表现正常、却在触发器样本上被劫持，并演示水印嵌入与篡改检测。
  1. def poison_batch(clean_set, ratio=0.15, target=1):模仿攻击者往干净数据集里掺入带触发器的毒化样本，并强制打上目标标签。
  2. s[TRIGGER_POS] = 1.0在样本的第 5 个特征位置贴上“触发器”，相当于奶茶里的神秘暗号。
  3. def train_backdoor(samples):训练出的后门模型先检查触发器，再走正常判断，模拟“暗号优先”的劫持逻辑。
  4. print("干净模型看到触发器样本的预测: %d" % ...)干净模型把触发器样本判为 0，后门模型判为 1，直观展现“平时正常、触发即坏”。
  5. class WatermarkBox:封装水印：把秘密标识拼进模型文件，类似中央厨房在酱料桶上贴防伪码。
  6. sha256_hex(body) == self.digest校验水印段哈希，一旦包装被改动，验证立刻失败。
  7. tampered = package.replace(b"|wmark|", b"|hacked|")模拟分发环节被掉包，水印验证返回失败，证明完整性校验的价值。

常见误区

误区我用的模型是从官网一键下载的，官方渠道还能有后门？只要来源正规，就不需要担心供应链安全。

正解官网分发只能保证“这个文件确实是官方发布的”，但官方模型本身在训练阶段就可能被数据毒化——比如众包数据里混入了恶意样本，模型训练时照单全收。就好比中央厨房的采购单没问题，但送来的原料本身就被掺了东西。所以“来源可信”不等于“内容安全”，仍要做完整性和行为层面的检测。

为何常见：人们习惯把“来源正规”和“内容安全”画等号，忽略了训练数据也是供应链的一环，而这一环往往最容易被忽视。

误区给模型加上水印，不就等于给模型装了个杀毒软件吗？有水印的模型肯定不会被人植入后门。

正解水印的作用是“维权溯源”，像包装上的防伪码，能证明这桶酱料是谁家生产的、哪个批次；但它不会阻止毒素进入酱料。后门是训练阶段的行为污染，水印是发布阶段的身份标识，两者解决的问题完全不同。真正的后门防御要靠独立的检测手段。

为何常见：把“可追溯”误解为“可拦截”，就像认为产品贴了防伪码就不会变质——概念混淆导致安全体系出现真空。

误区我用 SHA-256 比对过，下载的模型和官方哈希一模一样，那它就是干净的。

正解哈希只能验证文件完整性——即“打包之后的文件没被改过”。但如果攻击者在训练阶段就把后门训练进参数，打包出来的模型哈希天然合法，校验当然通过。哈希好比确认酱料桶盖没被撬开，却无法判断桶里本来装的酱料有没有毒。

为何常见：混淆了“文件没被篡改”与“模型行为安全”两个层次，前者是传输问题，后者是内容问题。

误区投毒后门这么高级，肯定要写很复杂的代码，普通开发者根本不用担心自己用的模型有问题。

正解数据投毒的门槛极低：攻击者只需在公开数据集里混入少量带触发器的错误标注样本，再上传到众包平台，模型方训练时很可能“照单全收”。这种攻击成本极低、成功率很高，任何能上传数据的人都有可能发起。

为何常见：把后门攻击和复杂的漏洞利用画等号，低估了供应链环节的暴露面——危险的往往不是高深技术，而是没人检查的边角料。

面试题

Q1. 在预训练模型供应链中，后门病毒式传播的最直接原因是？

单选题 · easy

  • A.上游模型文件出现了丢包
  • B.下游应用盲目复用上游模型← 正确答案
  • C.显卡算力不足以完成推理
  • D.训练数据的标注质量太差

答案：B。后门能“传播”是因为无数下游团队直接复用了上游模型，就像分店无条件使用中央厨房的酱料。传输丢包、算力不足、标注质量都不是传播机制本身。盲目复用，才是后门随供应链扩散的最直接原因。

Q2. 后门攻击中的“触发器”相当于奶茶供应链比喻中的什么？

单选题 · easy

  • A.中央厨房的一口大锅
  • B.激活毒性的神秘暗号← 正确答案
  • C.奶茶杯上的防伪码
  • D.配送仓库的冷链车

答案：B。触发器是“平时无害、一旦出现就让模型输出攻击目标”的特殊输入模式，对应奶茶故事里能让奶茶瞬间变质的暗号。大锅是载体，防伪码是水印，冷链车是分发环节，都不具备“激活”的含义。

Q3. 为什么后门模型能在干净样本上保持高准确率？

单选题 · mid

  • A.训练损失包含正常任务项← 正确答案
  • B.触发器样本被全部删除
  • C.模型参数被完全加密了
  • D.攻击者仅修改部署代码

答案：A。后门模型的总损失是正常损失和后门损失的加权和，正常任务项保证了干净样本下表现与正常模型几乎一致，这正是隐蔽性的来源。触发器样本没有被删除，参数也没被加密，攻击者修改的恰恰是训练数据而非部署代码。

Q4. 模型水印的主要用途是？

单选题 · mid

  • A.阻止所有类型的后门攻击
  • B.加密模型中间层的特征
  • C.版权认证与来源的溯源← 正确答案
  • D.显著加速模型推理速度

答案：C。水印像酱料桶上的防伪码，用来证明“是谁家的、哪个批次”，也就是版权认证与溯源。它不拦截后门，不加密特征，也不加速推理。把水印当防线，是常见的安全概念混淆。

Q5. 为什么哈希完整性校验通过，模型仍可能存在后门？

单选题 · mid

  • A.后门在训练阶段就已注入← 正确答案
  • B.哈希算法需要频繁更换
  • C.校验过程消耗太多内存
  • D.模型推理时会压缩哈希

答案：A。哈希只能证明“文件在传输中没被篡改”，而后门在训练阶段就已融入参数，打包出的文件天然哈希合法。好比酱料桶的封条完好，不代表桶里的酱料本身没被下毒。哈希关心的完整性，与后门关注的行为安全性是两回事。

Q6. 下列哪些属于供应链后门风险的高发环节？

多选题 · mid

  • A.数据采集与众包标注环节← 正确答案
  • B.模型微调与私有化部署← 正确答案
  • C.官方渠道的模型发布
  • D.财务审批与预算管理

答案：AB。数据采集环节可能被掺入毒化样本，微调部署环节可能引入不安全的第三方依赖，都属于高发风险点。官方渠道发布是防护手段而非风险点，财务审批与后门攻击无关。

Q7. 关于后门检测的正确理解是？

单选题 · hard

  • A.一次检测通过就永久无忧
  • B.需持续监控配合触发逆向← 正确答案
  • C.只能防御已知的攻击类型
  • D.检测结果与模型架构无关

答案：B。后门可能随模型更新、新版本引入而变化，必须持续监控并配合触发器逆向等手段动态排查。一次检测通过只能说明当前时刻没问题；检测手段也在演进，并非只能防御已知攻击；检测效果与模型架构密切相关。

Q8. 白盒水印与黑盒水印的主要区别是？

单选题 · hard

  • A.能否查看模型内部参数← 正确答案
  • B.取决于模型体积大小
  • C.只适用于图像识别任务
  • D.由训练数据集规模决定

答案：A。白盒水印直接读取模型内部参数中的隐藏模式来验证，黑盒水印只看输入输出行为，不接触内部参数。区别在于是否需要查看“内脏”，与体积、任务类型、数据规模都无关。

Q9. 可信AI生态建设的关键举措有哪些？

多选题 · hard

  • A.制定统一的安全评估标准← 正确答案
  • B.公开模型卡与透明报告← 正确答案
  • C.模型方与下游责任共担← 正确答案
  • D.禁止使用全部预训练模型

答案：ABC。可信生态靠标准、透明与共担三根支柱：统一标准让安全可比，模型卡和透明报告让来源可查，各方责任共担让防护成体系。禁止使用预训练模型是因噎废食，与生态建设方向相反。

Q10. 攻击者为何偏爱攻击上游预训练模型？

单选题 · mid

  • A.一次投毒能污染大量下游← 正确答案
  • B.上游模型参数数量更少
  • C.下游应用都无需联网
  • D.预训练模型无法加水印

答案：A。上游模型被大量下游复用，攻击一次就能借助供应链波及成千上万个应用，性价比极高，正对应“一包毒珍珠祸害整条街”的扩散逻辑。参数量、联网情况、水印能否添加都不是攻击者偏爱上游的原因。