reverse-skills-max: initial public release (restored, redacted, hardened)

vendor-new/rev-skills/.claude/skills/re-ai-attack/references/gotchas.md

@@ -0,0 +1,36 @@
+# AI 攻击方法论坑与边界
+
+## 提取攻击坑
+
+- **接口裁剪**：服务端裁剪输出（温度缩放/截断 logits/量化）会削弱教师信号——先探测输出分布（相同输入多次查询看方差），再决定蒸馏策略
+- **查询限额**：限流/计费/风控会中断长查询任务——预算内设计采样（先小批估计分布，再决定规模）；被风控时换查询节奏并记录
+- **数据分布不匹配**：查询分布与目标域分布不符时蒸馏模型「学会了查询集」而非「目标模型」——采样覆盖目标域，标注分布假设
+- **缓存与批处理**：API 前有缓存/批处理层时相同输入返回相同输出（正常），但去重/缓存会让查询统计失真——评估有效性时用随机扰动输入
+- **防提取对策**：水印（后门触发）、输出扰动、查询风控都可能存在——提取结果不可用时标注「存在防提取机制」，别当失败
+
+## 指纹/水印坑
+
+- **同源基础模型假说**：嫌疑模型与受害者模型都微调自同一公开基础模型时，行为指纹天然接近——判定前先比对「独有特征」（训练数据/任务特有的行为），排除同源解释
+- **指纹被抹除**：剪枝/量化/微调/蒸馏都会削弱指纹——用鲁棒指纹（多触发器/行为签名）；距离「接近但未达阈值」输出「弱相似」而非「无关」
+- **触发器过拟合**：单触发器验证可能只是「该输入的特殊性」而非水印——多触发器 + 触发器族（结构/噪声/语义类）交叉验证
+- **阈值无普适值**：指纹距离阈值依赖模型家族与输入集——阈值按同族对照模型校准（训练 1-2 个对照模型量距离分布），不套用他人阈值
+
+## 成员推断坑
+
+- **过拟合 ≠ 成员**：高置信度输出可能只是模型对特定输入过拟合，不是「在训练集中」——用影子模型（同分布代理）校准分布，再判定
+- **影子模型同分布假设**：影子模型与目标训练分布不一致时校准失效——影子训练数据尽量贴近目标域（公开同域数据），标注假设
+- **隐私保护训练对抗**：DP-SGD/差分隐私训练的模型成员推断信号弱——分布不分离时输出「无法判定」，别硬给结论
+- **统计性质误读**：成员推断是统计判定（带 TPR/FPR），单样本断言「肯定在训练集」不成立——报告带置信区间
+
+## 评估边界与反例
+
+- **对抗样本迁移性**：白盒扰动迁移到黑盒目标不保证有效——迁移成功率是评估指标，不是攻击保证
+- **反例：误用「精度」**：提取模型在测试集精度接近目标 ≠ 功能等价（输出分布可能完全不同）——功能等价要看一致率与分布
+- **反例：模型版本差异**：同一模型的不同部署版本（量化/蒸馏部署版）指纹与训练版不同——比对前确认版本口径
+- **范围外**：提示注入/提示泄露（LLM 侧）不在本技能（面向分类/生成模型的提取、指纹、成员推断与对抗评估）；训练数据版权判定是法律问题，本技能只出统计证据
+
+## 使用注意
+
+- 仅授权评估场景（范围/目标/数据确认先行）；不绕过付费/访问控制边界
+- 结论按 [[re-analyze/analysis-contract]] 交付，统计性陈述 + 置信度 + 局限
+- 相关文件分析衔接 [[re-ai-model]]；经验沉淀转 [[re-feedback]]（脱敏）