2.8 KiB
2.8 KiB
AI 攻击实现笔记（Implementation Notes）
SKILL.md 操作步骤的流程（Overview + Checklist）之外的实现经验——按步骤分组，命中对应步骤时参考。
步骤 1：模型提取
- soft label 优于 hard label：API 输出带 logits/概率时蒸馏质量显著高于仅标签（决策边界信息更丰富）；仅有标签时降级为决策边界采样，输出分布重建受限（标注局限）
- 边界扰动：输入空间小幅扰动（噪声/旋转/亮度）覆盖决策边界附近区域，提升蒸馏对边界形状的拟合
- 评估一致性：同一输入多次查询看 logits 方差——方差大说明输出随机化/防提取机制
- 蒸馏训练要点：学生模型容量与教师相近（过小欠拟合边界、过大过拟合采样噪声）；训练轮次/学习率按小验证集调
- 蒸馏评估基线：随机初始化学生模型与目标模型同分布对比——排除「模型本身输出相似」的假象
- 查询日志：每次查询记录（输入指纹/输出/时间/配额消耗），供审计与复现
- 查询预算：预算内先小批估计（限流/计费中断处理见 SKILL.md 坑 1）
步骤 2：模型指纹/水印检测
- 指纹输入集设计：覆盖类别/难度分层（简单+难例）——难例区分度更高
- 比对前归一化：输出向量先归一（softmax 温度/缩放差异）再算距离（L2/余弦）
- 反例对照组：触发器响应可能来自模型训练偏差而非水印——先测无触发器输入的基线响应
- 抹除对抗：剪枝/微调/蒸馏会削弱指纹——用鲁棒指纹（多触发器）并标注「可能被抹除」
- 指纹时效：模型热更新后指纹漂移——比对前确认版本/时间窗
- 未知水印枚举：触发器候选（特定输入模式/语义后门）逐个测，先小批探测再扩大
步骤 3：成员推断
- 对照基线：同分布随机样本（非训练样本）的损失分布作基准线，再对比目标样本位置
- 隐私敏感性：成员推断涉及个人数据判定——结论脱敏，不公开样本身份
- 统计口径：输出 ROC/阈值曲线（给定 FPR 下的 TPR、置信区间），不是确定性结论；隐私保护训练目标可对抗（误报控制：阈值校准）
步骤 4：对抗样本
- 扰动预算（epsilon）：FGSM/PGD 都设扰动上限——评估口径可比
- 评估对照：先测干净样本基线（扰动前准确率），报告扰动前后对比
- 预算梯度：epsilon 从 0 起递增，报告不同预算下的准确率曲线
- 迁移性边界：对抗样本迁移性差——白盒扰动对黑盒目标不保证有效
使用注意
- 本文件是经验参考，不替代 SKILL.md 的步骤流程；实现细节与目标模型域冲突时以目标域为准（见 decision-tree 分支）