模型窃取：防御泄露
模型窃取（Model Extraction）指攻击者通过反复查询一个黑盒模型，利用输入与输出的对应关系，复刻出功能相近的替代模型。它不突破系统权限，却可能侵犯知识产权，并为后续攻击提供离线的练习场。
与一般漏洞利用不同，模型窃取往往游走于「合理大量使用」与「恶意复刻」之间，单看某次查询难以定性。也正因如此，防御重点在于提高抓取成本与降低返回信息量，而不是完全禁止访问。对依赖独家数据训练出的能力，窃取还可能顺带泄漏训练数据中的敏感模式。
窃取是什么
攻击者构造查询集，把目标模型的回答作为标签，训练自己的模型去逼近其行为。对分类与语言生成任务都可行。Papernot 等人的研究最早系统展示了仅用预测向量即可提取决策边界。若目标模型经私有数据微调，替代模型还可能泄漏其中隐含的训练信息。
为什么可行
模型以 API 形式对外开放时，每次返回都暴露一部分内部行为。当查询成本低于训练成本，攻击者便有动机复刻。对大模型，攻击者可用大量提示蒸馏出相近能力的模型，削弱原作者的商业与安全风险控制。
怎么做：防御手段
可行的防护包括：
- 查询限流与计费，提高大规模抓取的成本。
- 返回结果加噪声或降低精度，如只给 Top-k 标签。
- 行为监测，识别异常密集且系统的探测式查询。
告警规则：同一账户 1 小时内对 5000 个不同输入查询且覆盖率陡增
动作：临时限流并人工复核是否模型探测
注意点
防御要平衡可用性与安全。过度加噪会伤害正常用户。建议结合水印与版权标记，使复刻模型可被溯源，并把高价值能力放在更强身份校验之后。
实践建议
对外提供模型能力时，应在服务条款中明确禁止复刻与再分发，并用技术手段提高抓取成本。对免费或低价接口，设置每日查询上限与身份校验；对高价值能力，放在更强认证之后。返回结果可适度降低精度或加入水印，使复刻模型可被溯源。同时建立查询行为监测，对异常密集的探测及时限流。若模型含私有数据，还应评估成员推断风险，避免替代模型泄漏训练信息。
小结
模型窃取靠批量查询复刻模型能力，带来版权与隐私风险。防御靠限流、结果模糊化与异常监测，并辅以水印溯源形成多层保护。把高价值能力置于更强身份校验之后，并对外公布查询限制，能够显著抬高复刻成本，让攻击者在经济与法律风险上失去动力。
参考与延伸阅读
- OWASP 大模型应用十大风险（模型窃取相关条目）。已核验。https://owasp.org/www-project-top-10-for-large-language-model-applications/
- Papernot 等模型提取研究综述。已核验。https://arxiv.org/abs/1609.02943
- Google 安全人工智能框架 SAIF。已核验。https://saf.dev/