想象你是一位厨师，拎着菜刀走进了一座巨大的“预制菜”集市。这里聚集了全球的半成品料理：有会聊天的小菜、能认图的大菜、会写文案的拼盘——只需要一行代码，就能把它们搬进你的厨房加热食用。其中最热闹的两个摊位，一个叫 HuggingFace，是国际范儿的进口超市；一个叫 ModelScope，是本土风味十足的社区集市。问题来了：这些“预制菜”是谁烧的？里面加了什么料？有些“热心摊主”会在菜盒子里藏一颗“毒丸”，你加热时毒丸启动，坏东西瞬间在你的厨房里横冲直撞。更阴险的是一道“后门菜”：平时味道完全正常，只有端给特定客人时瞬间变成黑暗料理。本文要用一个“菜市场求生记”的故事，带你认识这座市场的游戏规则，学会挑菜、验菜、防投毒，把好自己后厨的最后一道防线。

岗位关联

对 AI 从业者而言，模型供应链安全是 AI 安全的最后一道闸门——一个被投毒的模型足以让整个业务系统失守，掌握这些知识，就是给职业生涯买了一份“食品安全险”。

目录
  1. 可视化演示
  2. 市场生态全景
  3. 供应链攻击风险
  4. 模型安全检测
  5. 权限访问控制
  6. 红蓝对抗实战
  7. 最佳实践治理
  8. AI 应用场景
  9. Python 演示
  10. 常见误区
  11. 面试题

可视化演示

动态展示HuggingFace/ModelScope模型市场的四类风险：Pickle RCE、权重后门、typosquatting仿冒、依赖链风险，模型流经扫描门禁时风险被拦截。

本节配有交互动效（进入视口后自动加载，约 3KB）。

市场生态全景

要防控风险，先得认识战场。模型市场的格局像极了城市里的两条美食街：一条是国际化的 HuggingFace，全球开发者在这里分享和下载模型，走“进口超市”路线，货架上的商品琳琅满目，光是模型就超过五十万个；另一条是本土化的 ModelScope，由阿里达摩院打造，更像“本地菜市场”，中文模型丰富，还有“现炒服务”——模型即服务（MaaS），你不仅能打包半成品，还能直接点一份炒好的菜端走。作为厨师，你至少要知道这两条街各卖什么、怎么交易，才能判断风险藏在哪个环节。

HuggingFace Hub 是目前全球最大的模型托管平台，托管模型、数据集和 tokenizer 资源，PyTorch 生态的 transformers 库让开发者用一行 from_pretrained 就能把模型拉回本地。ModelScope 则主打中文场景，除了下载还提供在线推理 API，降低中小团队的使用门槛。两者的下载链路高度相似：先访问 hub 地址查找模型仓库，再把权重文件与配置文件下载到本地缓存，最后加载进内存初始化模型。整个“下载-缓存-加载”链路，正是攻击者最想下手的注入点。

从安全视角看，这个市场还有一个显著特征：头部效应。绝大多数开发者的注意力都集中在少数几个明星模型上，模型下载量遵循幂律分布。用数学语言描述就是：

回到菜市场：绝大多数厨师都去同一两家“网红摊位”买菜，意味着攻击者只需把毒下在网红摊位的热门菜里，就能辐射一大片顾客。市场生态的第一课，就是记住一句话：热门不等于安全，反而是攻击的靶心。

P(r)∝r−α\displaystyle P(r) \propto r^{-\alpha}
这条公式说明：排名越靠后的模型，被下载的概率快速下降，前 1% 的模型可能拿走了 80% 的下载量。
  1. 排名变量 rr 表示模型下载量的排名（第1名、第2名……），排名越靠前数字越小。
    r=1,2,3,…\displaystyle r = 1, 2, 3, \dots
  2. 流行度 P(r)P(r) 代表排名第 r 的模型所获得的下载份额，是一个函数关系。
    P(r)=Crα\displaystyle P(r) = \frac{C}{r^{\alpha}}
  3. 幂律指数 αα 是控制头部集中程度的正数，α 越大，头部模型越垄断。
    α>0\displaystyle \alpha > 0
  4. 整体含义热门模型占据绝大多数流量，攻击者只要盯住头部模型投毒，就能一炸一大片。

供应链攻击风险

现在进入“下毒”环节。想象一个无良商家，在预制菜装盒时悄悄贴了一张“隐藏配方”：只要加热到 70 度（特定输入），菜肴会瞬间变成另一道菜。这听起来像科幻，但在模型供应链里，这就是真实存在的攻击手法。模型市场的高度开放意味着任何人都能上传模型，攻击者利用开发者的信任，把恶意模型伪装成热门工具或“高质量开源模型”，等待粗心的大厨直接下锅。

技术细节上，最常见的攻击载体是 PyTorch 默认的 pickle 序列化格式。pickle 在反序列化时允许任意代码执行，相当于“打开外卖盒子的瞬间，里面的毒气就散开了”。当开发者调用 torch.load 加载一个 .pkl 权重文件时，恶意代码可能当场执行，在开发者的机器上安插后门、窃取密钥、篡改环境。除了模型文件本身，还有三类常见手段：数据投毒，攻击者污染训练数据，让模型在某些场景下系统性输出错误结果；后门攻击，模型在大多数输入上行为正常，但只要输入中出现特定触发器图案就输出恶意结果，极难被发现；依赖库劫持，攻击者注册与知名库相似的包名，诱导开发者安装恶意依赖。这些风险的严重程度可以用期望值量化：

这个公式像厨师给菜品打分：上桌前既看“中招概率”（菜里有多少可疑成分），也看“吃坏后的后果”（是拉肚子还是送急诊）。两个因子只要有一个居高不下，这道菜就该直接扔进垃圾桶，而不是赌运气。

Risk=P(attack)×Impact\displaystyle \text{Risk} = P(\text{attack}) \times \text{Impact}
攻击概率与影响程度的乘积就是风险期望值：一件概率低但影响巨大的事故，风险评分可能超过一件高频但无害的小麻烦。
  1. 攻击概率 P(attack)P(attack) 表示某种攻击在供应链中实际发生的可能性大小。
    0≤P(attack)≤1\displaystyle 0 \leq P(\text{attack}) \leq 1
  2. 影响程度 ImpactImpact 表示攻击成功后的业务损失，比如数据泄露条数、资金损失金额、系统停机时长。
    Impact=损失 × 影响范围\displaystyle \text{Impact} = \text{损失 × 影响范围}
  3. 两者相乘把概率与影响相乘，得到该风险的年化期望值，用于排序决策。
    Risk=P×I\displaystyle \text{Risk} = P \times I
  4. 决策含义高风险模型要么降低 P（加强检测扫描），要么降低 Impact（隔离部署、不接入核心链路）。

模型安全检测

靠谱的大厨在把预制菜下锅前，一定会做三件事：看颜色、闻气味、切小块尝。模型安全工程师也一样，对从市场下载的模型要进行三道检查。第一道叫权重异常分析：正常训练出的模型权重分布通常是平滑的，近似服从高斯分布。如果某一层权重突然出现离谱的离群值，就相当于一块肉颜色发绿——非常可疑。用 z-score 可以量化这种偏离程度：

第二道是行为黑盒验证：准备一组覆盖正常与极端场景的测试样本，把模型放进隔离沙箱跑一遍，对照官方公布的推理结果排查异常输出。比如一个情感分析模型，喂“天气真好”却输出“极度愤怒”，就要高度警惕。第三道是模型指纹识别：计算模型权重文件的 SHA256，与官方发布的哈希值比对，确认文件在传输过程中没被篡改。最后，所有可疑模型都应在安全沙箱里先运行一次，用 strace 等工具监控文件访问与网络连接行为，观察有没有“小动作”。

三道验菜工序做完，大厨才能放心把菜下锅。但也要记住：“看着正常”不等于“真的干净”，验证过的数据才是可信任的数据，这是安全检测的核心哲学。

z=x−μσ\displaystyle z = \frac{x - \mu}{\sigma}
z-score 衡量单个权重值偏离均值多少个标准差，|z| 超过 3 被视为异常候选。
  1. 待检权重值 xx 是某个权重张量中取出的具体数值。
    x=wi,j\displaystyle x = w_{i,j}
  2. 均值 μμ 是整层所有权重的平均值，代表分布的“中心位置”。
    μ=1n∑i=1nwi\displaystyle \mu = \frac{1}{n} \sum_{i=1}^{n} w_i
  3. 标准差 σσ 衡量权重分布的离散程度，权重越分散 σ 越大。
    σ=1n∑i=1n(wi−μ)2\displaystyle \sigma = \sqrt{\frac{1}{n} \sum_{i=1}^{n}(w_i - \mu)^2}
  4. 判定规则当 |z| > 3 时，该权重偏离均值超过 3 个标准差，在正态分布下概率不足 0.3%，视为异常注入痕迹。

权限访问控制

菜市场不会让所有人自由进出仓库重地。正规食堂的后厨有门禁卡，只有授权厨师才能刷卡进入。模型市场同样提供一套“围栏与门禁”机制。HuggingFace 与 ModelScope 都支持访问令牌（Access Token）：开发者可以创建只读或读写令牌，下载私有模型时必须携带有效令牌。模型本身也可以设为 private，只有被邀请的账号或组织可见。这就像仓库管理员手里的钥匙串——每把钥匙能开哪扇门，清清楚楚。

然而，令牌并非万能。如果令牌被硬编码在代码里并意外上传到公开仓库，就相当于把仓库钥匙挂在门口，路人皆知。更值得关注的是，私有模型只保护“外部访问”，如果模型本身在源头就被投毒，访问控制完全无法拦截。因此企业最佳实践是搭内网模型镜像仓库（如 Nexus 或 Harbor），对来自 HuggingFace/ModelScope 的模型做白名单代理，统一校验哈希后再发布到内部源。令牌本身的强度可以用信息熵来评估，熵越大，越难暴力破解：

围栏能挡住陌生人，却挡不住内鬼。权限控制解决的是“谁能进来”，安全检测解决的是“带进来的东西是否干净”，两者缺一不可。门禁再严格，也不能省掉食材抽检。

H(X)=−∑i=1npilog⁡bpi\displaystyle H(X) = -\sum_{i=1}^{n} p_i \log_b p_i
信息熵衡量令牌字符的随机程度，随机性越高，攻击者越难猜中。
  1. 随机变量 XX 表示令牌的取值空间，比如 32 位随机字符的集合。
    X∈{字符集}L\displaystyle X \in \{字符集\}^L
  2. 字符概率 p_ip_i 是第 i 个字符出现的概率，字符分布越均匀，熵越高。
    pi=P(xi)\displaystyle p_i = P(x_i)
  3. 求和号展开对所有可能字符的概率乘以其对数再求和取负，将“不确定性”量化。
    H(X)=−p1log⁡p1−p2log⁡p2−⋯−pnlog⁡pn\displaystyle H(X) = -p_1\log p_1 - p_2\log p_2 - \dots - p_n\log p_n
  4. 熵值判断一个 256 位随机令牌的熵远高于 6 位数字验证码，因此密码学安全令牌都强调高熵。

红蓝对抗实战

检验后厨安全最好的方式，是办一场“厨神争霸赛”：红队扮演捣蛋鬼，负责想办法把毒菜送进后厨；蓝队扮演食安卫士，负责在评审动筷前抓住所有异常。双方你来我往，后厨的防守水平自然水涨船高。在模型供应链安全中，红蓝对抗是非常有效的检验手段。红队研究攻击面——pickle 反序列化漏洞、依赖库劫持、权重后门——并制作恶意模型样本；蓝队部署监控体系——记录模型下载来源、校验哈希、监控推理日志——在演练中检验检测能力。每次演练都会暴露规则盲区，而这些盲区恰恰是真实攻击最可能利用的缺口。

衡量蓝队检测能力的关键指标是 F1 分数。只看查全率会导致“宁可错杀一千”的误报风暴，只看查准率又会导致“漏掉真凶”的放行隐患。F1 用调和平均把两个指标强制绑在一起：

演练之后必须有应急响应预案：一旦发现恶意模型已被内部加载，立即断网隔离该模型会话，回滚到安全版本，追溯该模型在本机的加载历史，并通知所有相关方检查。预案的每一步都要提前演过，不能在事故现场才翻开文件。厨神大赛不是一场就够的，攻击手法不断翻新，红蓝对抗需要常态化，后厨的安全制度才能跟得上“菜市场”的新套路。

F1=2×Precision×RecallPrecision+Recall\displaystyle F_1 = \frac{2 \times \text{Precision} \times \text{Recall}}{\text{Precision} + \text{Recall}}
F1 是查准率（Precision）与查全率（Recall）的调和平均，用于评估检测模型的综合效果。
  1. 查准率 Precision被检测系统拦截的模型中，真正恶意的比例。
    Precision=TPTP+FP\displaystyle \text{Precision} = \frac{TP}{TP + FP}
  2. 查全率 Recall所有恶意模型中，被检测系统成功抓获的比例。
    Recall=TPTP+FN\displaystyle \text{Recall} = \frac{TP}{TP + FN}
  3. 调和平均当 P 和 R 差距较大时，F1 会偏向较小值，防止“偏科”。
    F1=2PRP+R\displaystyle F_1 = \frac{2PR}{P + R}
  4. 权衡含义F1 越高说明检测系统既准又全，是红蓝对抗中蓝队打分的核心 KPI。

最佳实践治理

一家真正安心的食堂，靠的不是某一位大厨的格外小心，而是一整套管理制度：进货台账、供应商评级、定期抽检、紧急下架流程。模型供应链安全最终要落到组织治理层面。企业应建立模型准入清单（Allowlist），只有经过安全审查的模型才允许进入生产环境，清单外的模型一律在沙箱里隔离试用。对模型来源分级：官方组织发布的模型为高信任级，个人开发者共享的模型为低信任级，低信任级必须通过完整检测流程才能升级信任。

同时要建设持续监控体系：维护模型的软件物料清单（SBOM），记录模型的来源、版本、哈希、许可证和依赖关系，做到每个模型都可溯源。任何模型在引入前都应经过完整性校验，运行后应持续记录推理日志供审计回溯。多层次防御的总体效果不是简单叠加，而是层层拦截的复合效果——每一道防线拦截一部分攻击，剩余风险逐层递减：

制度建立起来，食堂才能长治久安。从“大厨个人经验”升级为“组织制度保障”，是供应链安全走向成熟的必然一步。把准入清单、分级管控、持续监控、合规溯源串成一条完整的链，才能真正让模型市场的风险被锁在门外。

Rtotal=1−∏i=1n(1−ri)\displaystyle R_{\text{total}} = 1 - \prod_{i=1}^{n}(1 - r_i)
每层防线都挡掉一部分攻击，多层叠加后整体被击穿的概率大幅下降，总拦截率趋近于 1。
  1. 单层拦截率 r_i第 i 层防线单独能拦截攻击的比例。
    0≤ri≤1\displaystyle 0 \leq r_i \leq 1
  2. 被突破概率该层防线被攻击者绕过的概率是 1 - r_i。
    1−ri\displaystyle 1 - r_i
  3. 连乘符号把每一层被突破的概率相乘，得到所有防线都被击穿的概率。
    ∏i=1n(1−ri)\displaystyle \prod_{i=1}^{n}(1 - r_i)
  4. 总拦截率1 减去整体被击穿概率，就是多层防御共同发挥作用的成功率。
    Rtotal=1−∏i=1n(1−ri)\displaystyle R_{\text{total}} = 1 - \prod_{i=1}^{n}(1 - r_i)

AI 应用场景

金融风控模型部署前的安全审查

阶段：AI 安全运维（模型供应链安全审查）

解决的问题：传统方式下模型从市场下载后直接部署，缺少安全审查。预训练模型可能携带后门或数据投毒痕迹，直接用于金融风控会导致误判率和资损风险显著上升。AI 方式是在部署前做权重 z-score 异常扫描 + 黑盒行为验证 + 官方哈希比对，三道防线过滤后再进入生产。

具体案例：某金融科技公司从 ModelScope 下载中文文本分类模型用于客服质检。安全团队用 z-score 权重扫描发现 Transformer 某层权重出现 50 倍标准差的离群点，进一步黑盒测试发现特定输入组合会触发模型输出包含敏感信息的异常内容，随后紧急拦截。该模型在社区 issue 区后来也曝出同类问题，印证了审查的价值。

企业模型代理网关与统一审计

阶段：AI 安全运维与访问控制

解决的问题：企业内部多个团队各自从 HuggingFace 下载模型，来源四散、缺乏审计，安全团队无法回答“我们的模型都是从哪来的”。通过搭建模型代理网关，把下载流量纳入统一管控。

具体案例：某互联网公司搭建模型代理网关，统一代理 HuggingFace/ModelScope 请求。网关自动记录下载来源、计算 SHA256、扫描 pickle 文件中的可疑指令，并在模型进入内网缓存后打上溯源标签。若新员工绕过网关直接下载模型，代码评审阶段的 CI 机器人会自动拦截合并请求，提示走安全流程。

Python 演示

python111 行
"""模型供应链安全检查模拟 (Model Supply Chain Safety Demo) 从模型市场下载的模型需经过三层检查:1. 文件完整性校验 (SHA256)2. 权重异常检测 (z-score)3. 黑盒行为验证 (后门触发识别)"""import hashlibimport numpy as np  class ModelSafetyChecker:    """模型安全检测器"""     def __init__(self, official_hash=None):        self.official_hash = official_hash     @staticmethod    def sha256_of(data):        """计算字节串的 SHA256 哈希"""        return hashlib.sha256(data).hexdigest()     def check_integrity(self, file_bytes):        """校验文件哈希是否与官方一致"""        if self.official_hash is None:            return "unknown"        actual = self.sha256_of(file_bytes)        return "pass" if actual == self.official_hash else "fail"     @staticmethod    def detect_weight_anomaly(weights, threshold=3.0):        """z-score 权重异常检测, 返回异常比例与最大 z 值"""        mu = float(np.mean(weights))        sigma = float(np.std(weights))        if sigma == 0:            return 0.0, 0.0        z_scores = np.abs((weights - mu) / sigma)        ratio = float(np.mean(z_scores > threshold))        z_max = float(np.max(z_scores))        return ratio, z_max     @staticmethod    def blackbox_verify(predict_fn, test_cases):        """黑盒行为验证, test_cases = [(input, expected_label), ...]"""        passed = 0        for x, y in test_cases:            if int(np.argmax(predict_fn(x))) == y:                passed += 1        return passed / len(test_cases)  def poisoned_model_predict(x):    """模拟一个被注入后门的分类模型     后门触发条件: 第一维特征 < -0.5 且 第二维特征 > 0.5    命中后门时强制输出类别 0, 其余情况正常输出类别 1    """    if x[0] < -0.5 and x[1] > 0.5:        return np.array([0.99, 0.01, 0.0])    return np.array([0.05, 0.9, 0.05])  def main():    rng = np.random.default_rng(42)    normal_weights = rng.normal(loc=0.0, scale=1.0, size=1024)     # 构造投毒权重: 在固定位置注入离群大值    poisoned_weights = normal_weights.copy()    poisoned_weights[256:266] = 80.0     checker = ModelSafetyChecker(official_hash=hashlib.sha256(        b"official-model-weights-v1").hexdigest())     print("=== 检查1: 文件完整性校验 ===")    official_bytes = b"official-model-weights-v1"    downloaded_bytes = b"official-model-weights-v1"    tampered_bytes = b"official-model-weights-v1-hacked"    print("正常文件校验:", checker.check_integrity(downloaded_bytes))    print("篡改文件校验:", checker.check_integrity(tampered_bytes))     print("\n=== 检查2: 权重异常检测 (z-score) ===")    ratio, z_max = checker.detect_weight_anomaly(poisoned_weights)    print(f"异常权重比例: {ratio:.3%}, 最大 |z|: {z_max:.1f}")    verdict = "发现投毒痕迹!" if ratio > 0.001 else "权重分布正常"    print("结论:", verdict)     print("\n=== 检查3: 黑盒行为验证 (后门触发) ===")    normal_cases = [        (np.array([0.2, -0.1]), 1),        (np.array([-0.1, 0.3]), 1),        (np.array([0.5, 0.4]), 1),        (np.array([-0.2, 0.2]), 1),    ]    score = checker.blackbox_verify(poisoned_model_predict, normal_cases)    print(f"正常样本通过率: {score:.0%}")     backdoor_input = np.array([-1.0, 1.0])    pred = poisoned_model_predict(backdoor_input)    print(f"\n后门触发样本输入: {backdoor_input}")    print(f"模型输出类别: {int(np.argmax(pred))}, 预期类别: 1")     backdoor_score = checker.blackbox_verify(        poisoned_model_predict, [(backdoor_input, 1)])    print(f"后门样本测试通过率: {backdoor_score:.0%}")    if backdoor_score < 1.0:        print("风险确认: 存在后门触发行为, 模型不应在生产环境部署!")  if __name__ == "__main__":    main()
目的：模拟一个从模型市场下载的模型通过三重安全检查（哈希校验、权重异常检测、黑盒后门触发验证）的完整流程，演示如何用 Python 判断模型是否可信。
  1. def detect_weight_anomaly(weights, threshold=3.0):定义 z-score 异常检测方法，是权重投毒识别核心。
  2. z_scores = np.abs((weights - mu) / sigma)批量计算每个权重偏离均值的标准差倍数。
  3. if x[0] < -0.5 and x[1] > 0.5:模拟攻击者预留的后门触发条件，特定输入会让模型输出异常。
  4. checker.check_integrity(downloaded_bytes)对比文件哈希，验证传输过程是否被篡改。
  5. checker.blackbox_verify(poisoned_model_predict, normal_cases)用正常样本验证模型行为是否符合预期。
  6. poisoned_weights[256:266] = 80.0模拟攻击者在权重中注入离群大值，正常训练的权重不会出现这种跳跃。

常见误区

误区模型只要用 safetensors 格式就不用担心安全了，因为它是官方推荐的“安全格式”，不会执行恶意代码。加载这种模型就像打开了经过安检的包裹，可以完全放心。

正解safetensors 只解决了 pickle 反序列化执行任意代码的问题，相当于把“打开包裹时会自动喷毒气的机关”拆掉了。但包裹里面的东西本身可以是毒药——模型权重仍然可能被投毒，注入后门触发逻辑或异常偏置。加载 safetensors 后模型依然会输出恶意结果，所以哈希校验、行为验证这些检测步骤一个都不能省。

为何常见：市场宣传反复强调 safetensors“避免代码执行”，容易让人把“规避一种攻击方式”误解为“解决了所有安全问题”。

误区下载量排名第一的模型大家都在用，社区里那么多人验证过，肯定没问题。我直接拿来用就可以了，不用做额外检查。

正解下载量大只说明受欢迎，不能证明安全性。攻击者恰恰会盯上热门模型，因为投毒一次就能影响大量下游用户。现实中热门模型被爆出后门的事件时有发生。幂律分布决定了头部模型是攻击者的高价值目标，热门程度与安全等级没有必然关系。

为何常见：从众心理将“用户多”等同于“可信赖”，忽略了攻击者的理性选择——找人多的地方下手。

误区模型设置为 private，其他人没有访问令牌就看不到，这就等于绝对安全了。就算模型有问题，外部攻击者也接触不到。

正解私有访问只控制“谁能进来”，完全不改变模型内容本身是否安全。令牌可能被硬编码在代码中泄露，内部人员也可能被钓鱼。更关键的是，私有模型如果在上传前就被投毒，内部使用同样中招。访问控制是“防外”，内容检测是“防内”，两者互相补充。

为何常见：把访问控制等同于内容安全，混淆了“谁能拿到”和“拿到的是否干净”两个不同问题。

误区我拿了一组测试样本跑了一遍，模型输出都符合预期，没有异常，所以这个模型是安全的，可以放心上线。

正解攻击者设计后门时会刻意回避常规测试样本的覆盖范围。测试通过只能说明“测过的样本是好的”，不能证明“所有输入都是安全的”。需要结合白盒权重检查、对抗样本、边界特征遍历等多维度验证。黑盒测试是必要不充分条件。

为何常见：盲人摸象式的验证思维，把局部观察当成全面证明，忽略了后门触发条件的隐蔽性。

误区模型下载下来能正常跑出结果就行，问它从哪来、是谁发布的，这些都不重要。反正效果差不多，用就完了。

正解来源追溯是供应链安全的基础。只有哈希匹配、来源清晰、许可证合规的模型才能进入生产环境。如果某个模型出了问题，没有溯源信息连“是否被投毒”都无法判断，更别提应急响应的方向。模型效果只能证明功能正确，不能证明安全性。

为何常见：结果导向思维——只关注模型能否完成任务，忽略过程的安全属性，等到事故发生时才发现无从查起。

面试题

Q1. HuggingFace 平台主要提供哪类资源？

单选题 · easy

  • A.摄像头图像采集设备
  • B.模型与数据集托管平台← 正确答案
  • C.数据库管理服务软件
  • D.网页设计辅助工具

答案：B。HuggingFace Hub 是全球最大的预训练模型和数据集托管平台，相当于“模型界的 GitHub”，提供模型文件、数据集、tokenizer 等资源的托管与共享。它不涉及摄像头、数据库或网页设计，因此选 B。

Q2. 使用 PyTorch 加载 .pkl 权重文件的主要安全风险是什么？

单选题 · easy

  • A.文件体积过大难以加载
  • B.反序列化时执行恶意代码← 正确答案
  • C.会占用过多 GPU 显存资源
  • D.无法在 CPU 上运行推理

答案：B。pickle 反序列化是知名的代码执行攻击面，相当于“打开外卖盒子时毒气自动散开”。恶意模型可在 torch.load 执行瞬间运行任意代码。其余选项只是性能问题或兼容性问题，不属于安全风险。

Q3. 在供应链风险公式 Risk = P(attack) × Impact 中，P(attack) 表示什么？

单选题 · mid

  • A.模型输出的正确性概率
  • B.攻击行为发生的概率← 正确答案
  • C.防御系统的拦截概率
  • D.模型在榜单上的排名概率

答案：B。P(attack) 是攻击发生的概率，Impact 是攻击成功后的影响程度，两者相乘得到风险期望值。这个公式帮助安全团队量化不同威胁的优先级，B 正确。A、C、D 分别属于模型性能、防御效果和流行度指标，与风险期望无关。

Q4. z-score 异常检测中，|z| > 3 通常意味着什么？

单选题 · mid

  • A.数据点属于正态分布
  • B.偏离均值超过三个标准差← 正确答案
  • C.数据点一定来自官方模型
  • D.数据点遵循均匀分布

答案：B。z-score 衡量数据点偏离均值的标准差倍数。|z| > 3 表示偏离超过 3 个标准差，在正态分布下概率不足 0.3%，通常被视为异常候选，对应权重投毒等恶意操作。B 正确。它不保证来自官方（C），也不反映分布类型（A、D）。

Q5. 以下哪些属于预训练模型市场的供应链攻击方式？

多选题 · hard

  • A.上传带后门触发条件的恶意模型← 正确答案
  • B.通过依赖库依赖混淆发起劫持← 正确答案
  • C.在模型训练数据中注入投毒样本← 正确答案
  • D.使用更大 GPU 显存加速训练

答案：ABC。后门模型植入（A）、依赖库劫持（B）、数据投毒（C）都是典型的供应链攻击手段，对应模型市场的三大风险入口。D 是训练资源配置问题，与供应链攻击无关。

Q6. ModelScope 平台的核心定位是什么？

单选题 · mid

  • A.提供模型即服务的开放社区← 正确答案
  • B.只是模型下载与卸载工具
  • C.与 AI 模型无关的数据平台
  • D.仅支持私有部署的云数据库

答案：A。ModelScope 是阿里达摩院推出的模型即服务（MaaS）开放社区，面向中文市场，提供模型托管、数据集和在线推理 API。它不仅是下载工具，还提供服务能力，因此 A 正确。

Q7. 关于模型安全检测，以下哪些做法是正确的？

多选题 · hard

  • A.比对模型权重与官方版本的哈希值← 正确答案
  • B.在隔离沙箱中运行模型的推理流程← 正确答案
  • C.使用对抗样本测试模型行为是否稳健← 正确答案
  • D.直接信任品牌方发布的模型不做检查

答案：ABC。哈希比对验证文件完整性，沙箱运行隔离执行风险，对抗样本测试行为健壮性，三者都是有效检测手段。D 是盲目信任，恰恰是供应链攻击利用的心理弱点，故不选。

Q8. 关于访问令牌（Token）的作用，哪些描述正确？

多选题 · easy

  • A.控制模型资源的访问权限← 正确答案
  • B.可以防止模型被内容投毒
  • C.只读令牌可下载模型文件← 正确答案
  • D.令牌泄露会导致越权访问← 正确答案

答案：ACD。令牌是访问控制凭证，类比门禁卡：控制谁能进入仓库（A 正确），拥有只读权限即可下载文件（C 正确），一旦泄露别人就能冒充你访问资源（D 正确）。但令牌只管控访问，不改变模型内容是否安全，B 错误。

Q9. 设计红蓝对抗演练时，红队通常关注哪些攻击面？

多选题 · extreme

  • A.利用 pickle 反序列化执行代码← 正确答案
  • B.依赖库版本冲突与劫持利用← 正确答案
  • C.在模型权重中注入后门参数← 正确答案
  • D.优化模型推理速度与吞吐量

答案：ABC。红队关注一切让恶意模型进入系统的路径：pickle 漏洞（A）、依赖劫持（B）、权重后门（C），这些是模型供应链攻击的主要入口。D 是性能优化工作，与攻击面无关，红队不会为此设计对抗演练。

Q10. 模型供应链安全的最佳实践，以下描述最准确的是哪一项？

单选题 · mid

  • A.官方下载的模型无需任何安全检测
  • B.建立准入清单并配合持续监控← 正确答案
  • C.只使用私有化模型绝不采用开源
  • D.模型效果好安全可以后期再补

答案：B。最佳实践是体系化管控：模型准入清单（Allowlist）+ 哈希校验 + 持续行为监控 + 溯源审计。A 太过天真，C 太极端且无法落地，D 是典型的侥幸思维。B 是覆盖“事前准入、事中监控、事后溯源”的完整闭环。