Model Extraction（模型提取）

1 3 秒看懂

模型提取是攻擊者通過反覆查詢模型 API，利用輸入-輸出對逆向訓練一個功能高度近似的替代模型，從而竊取或“克隆”原始模型的商業價值與智慧財產權。

• 核心邏輯：花少量查詢費用，重建一個不準但可用的“山寨模型”，擺脫對原廠商 API 的付費依賴或進行競品分析。
• 典型場景：黑盒呼叫雲端上影像識別、自然語言處理 API，收集預測結果，訓練本地複製品。
• 防護難點：攻擊者無須接觸模型檔案，僅依賴正常 API 訪問即可實施，傳統訪問控制難以完全阻斷。
• 現狀札記：部分安全廠商在 2023 年的技術分享中指出，中小規模部署的 AI 服務對自動化提取攻擊的檢測能力有限，但缺乏跨廠商的標準化測評基準，具體檢測率數字因場景差異極大，公開資料未見統一權威資料。

2 3 分鐘產業解釋

模型提取處於 AI 服務商業化與網路安全的交叉地帶。任何將模型作為服務（MLaaS）輸出的企業，理論上都是潛在目標。 運作鏈條：

1. 攻擊方：可以是競爭對手、灰產組織或安全研究者。通過編寫指令碼，以極低成本對目標 API 傳送大量請求，獲取預測標籤、置信度分數甚至部分梯度資訊。
2. 防禦方：模型所有者在 API 層部署監控、限速、輸出擾動與查詢水印，試圖發現異常訪問模式並在不顯著損害正常使用者體驗的情況下阻斷提取。
3. 商業影響：模型訓練往往投入數百萬至數千萬美元，一旦被提取，替代模型可以分流客戶、壓價競爭，或暴露訓練資料特性引發隱私合規風險。
4. 產業定位：被視為 AI 安全產業鏈中的關鍵一環，與對抗攻擊、資料投毒、模型逆向等共同構成“模型完整性保護”市場。根據多家諮詢機構 2023-2024 年釋出的 AI 安全市場展望（如 Fortune Business Insights 等），AI 安全整體規模已達數十億美元，但模型提取防禦作為細分賽道尚無獨立統計，多數需求融合在雲端安全或應用安全產品中。

3 技術原理

模型提取攻擊的核心理論可歸納為 黑盒最佳化 與 知識蒸餾 的逆向運用。

3.1 攻擊側原理

• 黑盒查詢擴充套件：攻擊者無法獲取模型梯度，只能建置候選輸入，藉助模型輸出的軟標籤（機率向量）或硬標籤（類別），以最少查詢次數最大化替代模型與原模型的輸出一致性。
• 主動學習策略：通過不確定性取樣、委員會查詢等技術篩選最有“資訊量”的樣本，可大幅減少所需查詢量。一篇 2021 年的 IEEE S&P 論文證明，針對部分雲端端影像分類器，僅需數萬次查詢即可使替代模型達到 90% 以上的一致率。
• 側通道輔助：部分高階攻擊利用 API 響應延遲、快取命中模式、錯誤資訊甚至功耗特徵推斷模型架構和引數規模。2022 年 Usenix Security 有研究人員演示了通過 FPGA 部署側通道攻擊，反推神經網路層數及啟用型別。
• 模型逆向複用：從已部署模型中提取的訓練資料特徵或序列化檔案結構，有時可幫助攻擊者恢復模型決策邊界，輔助建置替代模型。

3.2 防禦側原理

• 查詢監控與限速：基於 IP、會話或 API Key 的呼叫頻率限制，結合行為序列分析識別自動化指令碼，是最基礎的第一道防線。
• 輸出模糊化：通過差分隱私向輸出新增可控噪聲，或僅返回 Top-K 類別而非完整機率分佈，增加攻擊者獲取高保真訊號的難度。
• 水印與指紋：在模型訓練階段嵌入特定輸入-輸出對映關係，當懷疑存在竊取模型時，可通過輸入水印序列觀察其輸出是否與原始模型一致，用於事後取證。
• 自適應防禦：利用強化學習動態調整輸出擾動幅度，在查詢密度異常升高時增強防禦，正常時段維持原始服務質量。

4 關鍵引數

評估模型提取攻擊與防禦效率時，常用以下參數列徵。所有數值均基於實驗室環境或廠商白皮書，實際場景偏差較大。

引數	定義	典型範圍/示例	來源/年份
查詢複雜度	達到設定替代準確率所需 API 呼叫次數	1 萬~50 萬次（針對 ResNet-34 等中型影像模型）	學術論文（2020-2023）
替代模型一致性	替代模型與目標模型在相同測試集上的分類一致率	攻擊方通常追求 >85%；高價值 API 可接受 70%	行業模擬測試
防禦檢測率	攻擊查詢被防禦系統識別為異常的比例	部分廠商宣稱 >90%，但第三方獨立測試公開資料未見	廠商白皮書（2023）
輸出擾動幅度	為防禦新增的噪聲強度（如差分隱私 ε）	ε=1~10，隨強度增大使用者體驗下降	學術文獻
API 響應延遲容忍度	防禦措施帶來的額外時延上限	雲端廠商多將額外時延控制在 50ms 以內	雲端服務 SLA 對比（2023）
替代模型訓練成本	攻擊方消耗的 GPU 機時與 API 費用	根據目標規模，數百至數萬美元不等	匿名安全社群揭露（2022）
水印檢測成功率	事後驗證竊取模型的命中率	實驗室資料 >95%，但受模型微調影響	學術界論文（2021）

5 技術路線

業界圍繞模型提取的攻防已形成多種技術路線，可依據攻擊者對目標模型的訪問程度分類。

5.1 攻擊技術路線

• 黑盒函式逼近：僅使用輸入與硬標籤輸出，訓練神經網路或決策樹替代模型。代表：利用隨機取樣與啟發式邊界探索。
• 蒸餾型黑盒提取：要求 API 返回軟標籤（類別機率），攻擊者可訓練結構相似或更簡單的學生模型，直接“蒸餾”目標模型的知識，效率遠高於僅用硬標籤。
• 生成式查詢生成：藉助 GAN 或語言模型生成大量貼近訓練分佈的查詢樣本，使提取出來的模型更泛化。2023 年的研究“Model Extraction from Large Language Models”展示了通過精心設計的提示詞從黑盒大型模型中蒸餾指令跟隨能力。
• 灰盒結構推測：部分雲端服務允許使用者檢視模型架構摘要或序列化檔案結構，攻擊者據此復原同構模型權重分佈，加速替代模型訓練。
• 物理側通道：利用部署在邊緣裝置上的模型功耗、電磁輻射等模擬洩露訊號，反推引數。該路線需物理接近，更針對端側場景。

5.2 防禦技術路線

• 被動防禦：部署 API 閘道器防火牆，執行呼叫頻率限制、異常 IP 封禁等規則。
• 主動干擾：動態注入虛假類別或擾動置信度，引導攻擊者訓練出偏離真實決策邊界的替代模型。
• 博弈論策略：將攻防視為 Stackelberg 博弈，防禦方事先最佳化噪聲注入和限速策略，最大化攻擊成本，最小化服務質量損失。
• 合規與法律：在 API 使用條款中明確禁止模型提取，並通過版權宣告、水印技術提供可追溯證據，雖非純技術手段，但與技術防禦形成閉環。

6 上游

模型提取產業鏈上游向防禦產品和攻擊工具提供基礎資源與核心元件。

• 算力與基礎設施：AWS、Azure、阿里雲端、華為雲端等同時扮演雙重角色——既是模型託管方（目標），又是防護基礎設施提供者。它們提供 API 管理工具、鑑權、日誌審計等底層能力，構成第一道防禦的“地基”。
• AI 晶片與硬體安全：NVIDIA、Intel、AMD 提供的 GPU/TPU 及其機密計算能力，可在硬體層面保護模型執行時安全，防止側通道洩露。2023 年，NVIDIA 推出了基於 Hopper 架構的機密計算功能，聲稱可減少物理攻擊面。
• 資料標註與合成數據：攻擊方需要高質量未標註資料用於查詢，上游資料販售或合成數據工具可能為大規模自動化提取提供“彈藥”。但公開黑產交易規模難以統計。
• 開源模型與程式碼架構：PyTorch、TensorFlow、ONNX 等開源生態一方面降低了模型搭建門檻，讓合法企業加速創新；另一方面也讓攻擊者更容易理解模型結構，快速復現替代網路。上游架構的開放性間接影響了攻防難易平衡。
• 安全合規標準機構：如 OWASP、ISO、NIST 釋出的 AI 安全指南，為上游標準制定和檢測基線提供依據。2024 年，OWASP 釋出了大語言模型十大安全風險，模型竊取位列其中。

7 下游

下游涵蓋利用模型提取攻擊情報、取證結果以及防護解決方案的各類需求方。

• 模型智慧財產權保護與審計：第三方安全公司（如奇安信、Comsec、CrowdStrike）提供滲透測試、攻擊模擬服務，幫助模型所有者評估提取風險，輸出審計報告以滿足監管或商業夥伴的盡職要求。
• 網路安全保險：隨著模型資產價值上升，保險公司推出覆蓋模型竊取與智慧財產權損失的險種。百度安全於 2024 年推出“模型盜取險”，將提取攻擊納入承保範圍（資訊來源：公開新聞報道）。
• 法律與司法取證：當下遊發現疑似被竊取的替代模型時，律所與電子取證機構需比對兩模型輸入輸出行為，結合水印證據、API 日誌鏈，在法庭上證明侵權行為。2023 年北京網際網路法院審理的商業秘密案中，原告提交了替代模型與原模型在特定測試集上的相似度報告（該案最終以調解結案，判決細節公開資料未見）。
• 模型溯源服務：基於水印或模型指紋技術，為下游提供機器學習模型“血緣”追溯，判斷某模型是否源自非法提取。該類服務多由安全初創公司提供，商業模式以按次檢測或部署私有化檢測工具為主。
• 合規與監管報告：金融機構、醫療企業等受行業監管的甲方，在採購外部 AI 服務時，常要求供應商出具模型抗提取測試報告，推動下游測試工具的需求增長。

8 受益公司

模型提取攻防需求增長，使以下型別的企業迎來業務增量，分析僅陳述客觀市場關係，不構成任何投資建議。

• 雲端服務商：微軟（Azure ML IP 保護）、AWS（Amazon Fraud Detector 加 API Gateway 安全）、阿里雲端（模型安全屋）、華為雲端（ModelArts 異常查詢監測）等，都將模型防護作為增值服務，提升客戶粘性。例如，微軟 2023 年公開強調其 Azure ML 水印與訪問日誌整合可即時發現可疑查詢模式，吸引對合規敏感的企業客戶。
• 綜合安全廠商：CrowdStrike、奇安信、深信服等將 AI 模型安全模組納入產品組合。大型客戶在購買端點安全時，順帶獲得模型攻擊檢測能力，有助於提高客單價。不過模型安全模組在整體營收中佔比未單獨揭露（公開資料未見分項資料）。
• AI 安全初創：如瑞萊智慧 RealSafe 攻防平台、Troj.ai、HiddenLayer 等，專注 AI 對抗與模型完整性保護，受益於垂直需求，估值在 2023-2024 年獲資本關注。它們通常提供模擬提取攻擊的檢測工具箱，按次或訂閱收費。
• 保險與法律服務商：承保 AI 智慧財產權風險的保險公司，以及精通 AI 取證的法律團隊，在模型竊取糾紛增多背景下，專業服務費用增加。部分國際再保險公司已啟動 AI 模型風險建模研究。
• 開源安全工具維護方：如 IBM 的 Adversarial Robustness Toolbox（ART），雖不直接產生營收，但鞏固了 IBM 在安全領域的思想領導力，間接推動其諮詢和安全產品收益。

9 市場規模

針對“模型提取攻擊防禦”這一極度細分的市場，尚無第三方權威機構釋出獨立統計。多數分析將其併入更寬泛的“AI 安全”或“模型安全”範疇。以下資料用以勾勒相關市場的量級，年份與來源均已註明，細分口徑以原報告為準。

• AI 安全整體市場：據 Fortune Business Insights 2023 年報告，2022 年全球 AI 安全市場規模約 148 億美元，預計 2030 年達到近 950 億美元。該口徑包含資料安全、模型安全、對抗攻擊防禦等多個子集，模型提取僅佔極小部分。
• MLaaS 市場相關：模型提取的潛在受害方即 MLaaS 提供商，根據 MarketsandMarkets 2023 年資料，全球機器學習即服務市場 2023 年約 56 億美元，預計 2028 年達 200 億美元。此增速意味著暴露在提取風險下的商業模型數量將急劇攀升，間接推高防護需求。
• 專業服務規模：以滲透測試和紅隊評估計，部分安全諮詢公司（如 GLG 訪談摘要，2023 年）提到模型模擬提取測試專案單價在 5 萬~30 萬美元不等，但專案數量難以獲取，總體量推測在數億美元級。
• 中國細分市場：中國信通院 2023 年釋出的《人工智慧安全架構》未給出模型提取防禦的具體產值，但指出超過 80% 的頭部雲端廠商已部署基礎 API 防護，而中小企業方案滲透率不足 30%，預示著長尾市場存在較大增長空間。

需要明確，任何孤立的“模型提取市場規模”數字在目前均屬推測，實際商業價值多捆綁於雲端安全與 AI 治理服務中。

10 玩家對比

下表從防禦能力、開放性、目標客群等維度對比主要平台與安全廠商，所有資訊均來自公開產品文件、白皮書或新聞稿（截至 2024 年 6 月）。

廠商	典型產品/方案	防禦重點	差異化特點	適用客群
Microsoft	Azure ML IP 保護、Model Watermarking	查詢水印、訪問日誌監控、威脅檢測	與 Azure AD、Sentinel 深度整合，可一鍵開啟異常檢測	企業級 Azure 客戶
Google	Cloud AI 安全、Model Cards、異常檢測系統	大規模查詢異常識別、模型版本追蹤	2023 年升級系統支援 10 億級查詢量檢測，結合 Vertex AI 服務	使用 GCP AI 服務的客戶
AWS	API Gateway 安全、WAF、GuardDuty	呼叫頻率限制、IP 信譽、應用防火牆	以基礎設施安全見長，AI 防禦作為整體安全策略的一部分	已有 AWS 生態的客戶
阿里雲端	模型安全屋、DDoS 防護 + API 限流	端到端 IP 保護方案、資料隔離	國內較早提出“模型安全屋”，覆蓋訓練到推論全週期	國內網際網路/金融客戶
華為雲端	ModelArts 異常查詢監測、可信 AI	內建阻斷 95% 自動化提取（廠商 2024 白皮書資料）	結合昇騰硬體，提供硬體級可信執行環境	政企、智慧駕駛客戶
IBM	ART 工具箱（開源）	對抗攻擊與提取攻擊檢測模組	開源社群活躍，提供多種攻擊模擬演算法，便於研發整合	自研 AI 的企業、研究機構
瑞萊智慧	RealSafe 攻防平台	提取攻擊模擬與評估	專注 AI 攻防，提供自動化攻擊場景測試，報告生成	國內金融、公安、頭部科技公司
HiddenLayer	MLDR（Machine Learning Detection and Response）	模型行為監控、即時告警	不依賴 API 日誌，直接監控模型推論過程，2023 年獲多輪融資	大型企業、國防客戶

對比總結：雲端廠商的優勢在於與自家服務無縫整合，安全廠商的優勢在於跨平台和攻防研究深度。目前尚無單一方案能覆蓋所有場景，使用者通常需組合使用 API 閘道器防護和專用異常檢測工具。

11 風險

• 法律界定風險：中國《反不正當競爭法》未明文將模型提取列作不正當競爭，司法實踐中多以“商業秘密”主張。2023 年某網際網路法院案件的審理過程顯示，認定模型構成商業秘密需要原告證明其採取了合理保密措施且具有商業價值。模型架構的公開性、API 可訪問性等因素可能削弱保密性認定，導致維權不確定性。
• 治理衝突：過度防禦會降低 API 服務質量。例如，將輸出機率向量截斷為 Top-1，會妨礙合法使用者獲得模型置信度用於校準分析。服務質量下降可能導致客戶流失，形成“安全-體驗”悖論。
• 開源模型困境：基於開源預訓練模型微調的商用模型，其權重資料保護範圍尚存爭議。攻擊者若同時擁有同一基座模型，提取難度可能大幅降低，而法律上難以界定“微調部分”是否構成獨立商業秘密。
• 中小企業資源失衡：實施水印嵌入、查詢監控與動態擾動需要額外的研發和維護成本。中小企業受經費和人才限制，更難建立有效防線，可能使優質小微模型成為攻擊者的“低位果實”，加劇模型資產分配不公。
• 攻擊升級：生成式 AI 的普及可能催生更智慧的查詢策略。已有研究概念驗證利用大語言模型自動規劃查詢樣本，大幅壓縮訓練替代模型所需的輪數，使低成本、高精度提取成為可能，而防禦方案迭代速度有滯後風險。
• 過度依賴演算法防禦的誤區：部分企業認為僅靠技術方案即可高枕無憂，而忽略合約約束、員工保密協議、定期安全審計等管理手段，導致防禦在組織層面存在單點盲區。

12 誤讀糾偏

• 誤讀 1：“模型提取＝完全複製模型權重”
  模型提取通常無法獲得逐層權重，而是建置輸入輸出行為近似的替代模型。它更像“功能克隆”，而非位元組級別的竊取。防禦水印正是利用了這種功能復刻的特性，比對行為而非比對引數。
• 誤讀 2：“只要限制查詢速率就能徹底防禦”
  攻擊者可利用多個分散式帳戶、代理 IP 進行低速長時間查詢，結合生成式模型壓縮所需樣本量，使限速策略失效。速率限制是必要非充分條件，需結合輸出模糊化和異常行為分析。
• 誤讀 3：“聯邦學習天然免疫模型提取”
  聯邦學習下，模型梯度在通訊中傳遞，研究表明攻擊者可從共享梯度中重建出部分訓練資料甚至模型結構（梯度洩露），這本質上是一種變相的提取。聯邦學習的安全增益需結合安全聚合與差分隱私，絕非完全免疫。
• 誤讀 4：“只有高複雜度大型模型才會被提取”
  目標的價值決定攻擊動機。許多中小企業訓練的輕量但高精度的專用模型（如工業缺陷檢測），功能獨特，容易成為黑產目標，其防護甚至更弱，風險並不低於大型模型。
• 誤讀 5：“模型提取僅與雲端模型有關”
  端側部署的模型，通過物理側通道、韌體逆向同樣可被提取。汽車智慧駕駛模型、手機端人臉識別模型等均有被提取的可能，這在物聯網安全研究中已被多次證實。

13 最新事件

• 2023 年 11 月：研究人員在 NeurIPS 2023 展示對商用 LLM API 的功能提取，通過精心設計的提示詞和少量反饋，訓練出小型對話模型，在特定任務上達到原模型相當的效能。該研究呼籲大型模型 API 需增強輸出不可逆性（來源：NeurIPS 會議論文摘要）。
• 2024 年 2 月：百度安全宣佈推出“模型盜取險”，為因模型提取攻擊導致智慧財產權損失的企業提供賠償，具體賠付條款及保費公開資料未見，事件引發行業對模型資產保險可行性的討論。
• 2024 年 4 月：華為雲端在可信 AI 白皮書中稱，其 ModelArts 平台通過服務端異常監測和梯度混淆技術，可阻斷 95% 的自動化提取攻擊。該資料屬廠商內部測試結果，無第三方驗證。
• 2024 年 5 月：北京某 AI 初創公司向公安機關報案，稱其影像生成模型 API 遭不明團伙大規模提取，用於建置競品服務，造成 API 呼叫費用激增和潛在訂單損失。案件仍在偵查，具體技術細節未公開。
• 2024 年 6 月：OWASP 更新 LLM 應用安全風險 Top 10 草案，將“模型盜竊”（Model Theft）列為獨立風險項，建議採用輸出擾動、減少過度共享資訊等措施。此舉提升了模型提取在全球合規議程中的優先順序。

14 追蹤指標

要持續觀測模型提取攻防態勢，建議關注以下維度的指標，數字需結合具體企業環境採集。

• API 異常查詢比例：每百萬次呼叫中，被行為分析規則標記為可疑的比例。行業通用基準公開資料未見，可根據企業歷史基線設定動態閾值。
• 查詢分佈偏離度：隨時間推移，輸入樣本分佈與訓練集或正常業務的偏離程度。若偏離度高，可能表明攻擊者在使用合成數據。
• 替代模型功能一致性：防禦方定期模擬攻擊，使用“紅隊”執行提取，並測量替代模型與原模型的 top-1 一致率，以此評估防禦衰減速度。
• 模型水印檢測陽性率：若企業預埋水印，追蹤在疑似第三方模型中觸發水印的比率，以量化模型竊取的擴散範圍。
• 防禦成本佔比：防禦措施（含算力、人力、許可證）佔 AI 服務總運維成本的比例，可與同行類比。過快攀升可能提示防禦方案效率不足。
• 法律事件與監管動態：追蹤國內外涉及模型竊取的訴訟、立法草案（如 EU AI Act 相關條款的細化）以及行業標準釋出，作為風險權重的輸入。
• 學術攻擊成功率：每年頂會（S&P、CCS、USENIX Security、NeurIPS 等）中揭露的新攻擊方法達到的替代準確率與查詢效率，可視為產業風險的先導指標。

15 信源

本頁所涉及資料與事件，均來自公開資訊或行業普遍引用的研究成果，具體出處梳理如下：

• 學術論文：
  • Tramèr 等，“Stealing Machine Learning Models via Prediction APIs”，USENIX Security 2016。
  • Carlini 等，“Extracting Training Data from Large Language Models”，USENIX Security 2021。
  • Jia 等，“MemGuard: Defending against Black-Box Membership Inference Attacks”，IEEE S&P 2019 及相關後續模型提取研究。
  • 各類 NeurIPS、ICLR 安全會議論文。
• 行業報告與標準：
  • Fortune Business Insights，“Artificial Intelligence Security Market Size”，2023。
  • MarketsandMarkets，“Machine Learning as a Service Market”，2023。
  • OWASP，“OWASP Top 10 for LLM Applications”，2024 draft。
  • 中國信通院，《人工智慧安全架構》，2023。
• 廠商白皮書/公告：
  • Microsoft，“Azure Machine Learning security and IP protection”（2023）。
  • 華為雲端，《可信 AI 白皮書》，2024。
  • IBM，“Adversarial Robustness Toolbox (ART) documentation”。
• 新聞報道與公告：
  • 百度安全“模型盜取險”產品釋出新聞，2024。
  • 國內外科技媒體關於 AI 模型竊取案件的報道。
• 法律法規：
  • 中國《生成式人工智慧服務管理暫行辦法》，2023。
  • 《中華人民共和國反不正當競爭法》及相關司法解釋。

免責宣告：本文僅為產業知識梳理，不構成任何投資建議或法律合規意見。部分市場資料為間接口徑推算，細分領域權威統計缺失，實際決策需獨立審慎。