# AI 攻击实现笔记（Implementation Notes）

SKILL.md 操作步骤的流程（Overview + Checklist）之外的实现经验——按步骤分组，命中对应步骤时参考。

## 步骤 1：模型提取

- **soft label 优于 hard label**：API 输出带 logits/概率时蒸馏质量显著高于仅标签（决策边界信息更丰富）；仅有标签时降级为决策边界采样，输出分布重建受限（标注局限）
- **边界扰动**：输入空间小幅扰动（噪声/旋转/亮度）覆盖决策边界附近区域，提升蒸馏对边界形状的拟合
- **评估一致性**：同一输入多次查询看 logits 方差——方差大说明输出随机化/防提取机制
- **蒸馏训练要点**：学生模型容量与教师相近（过小欠拟合边界、过大过拟合采样噪声）；训练轮次/学习率按小验证集调
- **蒸馏评估基线**：随机初始化学生模型与目标模型同分布对比——排除「模型本身输出相似」的假象
- **查询日志**：每次查询记录（输入指纹/输出/时间/配额消耗），供审计与复现
- **查询预算**：预算内先小批估计（限流/计费中断处理见 SKILL.md 坑 1）

## 步骤 2：模型指纹/水印检测

- **指纹输入集设计**：覆盖类别/难度分层（简单+难例）——难例区分度更高
- **比对前归一化**：输出向量先归一（softmax 温度/缩放差异）再算距离（L2/余弦）
- **反例对照组**：触发器响应可能来自模型训练偏差而非水印——先测无触发器输入的基线响应
- **抹除对抗**：剪枝/微调/蒸馏会削弱指纹——用鲁棒指纹（多触发器）并标注「可能被抹除」
- **指纹时效**：模型热更新后指纹漂移——比对前确认版本/时间窗
- **未知水印枚举**：触发器候选（特定输入模式/语义后门）逐个测，先小批探测再扩大

## 步骤 3：成员推断

- **对照基线**：同分布随机样本（非训练样本）的损失分布作基准线，再对比目标样本位置
- **隐私敏感性**：成员推断涉及个人数据判定——结论脱敏，不公开样本身份
- **统计口径**：输出 ROC/阈值曲线（给定 FPR 下的 TPR、置信区间），不是确定性结论；隐私保护训练目标可对抗（误报控制：阈值校准）

## 步骤 4：对抗样本

- **扰动预算（epsilon）**：FGSM/PGD 都设扰动上限——评估口径可比
- **评估对照**：先测干净样本基线（扰动前准确率），报告扰动前后对比
- **预算梯度**：epsilon 从 0 起递增，报告不同预算下的准确率曲线
- **迁移性边界**：对抗样本迁移性差——白盒扰动对黑盒目标不保证有效

## 使用注意

- 本文件是经验参考，不替代 SKILL.md 的步骤流程；实现细节与目标模型域冲突时以目标域为准（见 [[decision-tree]] 分支）