模型抽取与窃取：只靠查询 API，攻击者就能复刻我的功能、甚至套出我的部分参数
一句话摘要：别以为「权重不公开 = 模型就是保密的」。只要我暴露一个查询接口，攻击者用一批精心构造的查询 + 我的输出，就能（按目标不同）复刻我的功能，甚至解出我的部分参数。Tramèr 等（USENIX Security 2016）在判别式 ML 服务上近乎完美复刻逻辑回归 / 决策树 / 神经网络；Carlini 等（ICML 2024 最佳论文）对生产 LLM 套出最后的投影层、恢复隐藏维度——在其论文设置下成本可低至数十美元量级。隐私含义先行：被窃取 / 复刻的模型可被离线反复攻击（成员推断、抽取），把一次性 API 访问放大成持久隐私风险。结论：API 访问 ≠ 零泄露，要按「查询本身可被用来抽取模型信息」做威胁建模。